Data Processing Agreement
Version v1.3 — effective 16 de julio de 2026
Doc E Sign — Acuerdo de Tratamiento de Datos
Fecha de entrada en vigor: 16 de julio de 2026 Versión: v1.3 URL: doc-e-sign.com/dpa
Aviso de traducción: Esta traducción se ofrece por comodidad. En caso de discrepancia entre esta versión y la versión en inglés, prevalecerá la versión en inglés.
El presente Acuerdo de Tratamiento de Datos («DPA») se celebra entre Doc E Sign («Encargado») y el remitente que acepta los Términos de Servicio de Doc E Sign («Responsable»). Forma parte de los Términos de Servicio de Doc E Sign y se incorpora a estos por referencia.
Esta DPA regula el tratamiento por parte de Doc E Sign de datos personales por cuenta del Responsable en virtud del artículo 28 del Reglamento General de Protección de Datos del Reino Unido (UK GDPR) y del artículo 28 del Reglamento General de Protección de Datos de la Unión Europea (RGPD de la UE), según corresponda.
1. Definiciones
«Responsable» significa el remitente — el titular de la cuenta de Doc E Sign que carga documentos e indica a Doc E Sign que inicie las ceremonias de firma.
«Encargado» significa Doc E Sign.
«Datos Personales» tiene el significado atribuido en la legislación de protección de datos aplicable.
«Tratamiento» tiene el significado atribuido en la legislación de protección de datos aplicable.
«Interesado» significa la persona física cuyos datos personales son objeto de tratamiento — en este contexto, principalmente el firmante.
«Subencargado del tratamiento» significa cualquier tercero contratado por Doc E Sign para tratar Datos Personales en virtud de esta DPA.
«Legislación Aplicable» significa el UK GDPR, el RGPD de la UE y cualquier otra legislación de protección de datos aplicable al tratamiento descrito en esta DPA.
«Servicio» significa el servicio de firma de documentos de Doc E Sign, según se describe en los Términos de Servicio y en la documentación disponible en docs.doc-e-sign.com.
2. Alcance y naturaleza del tratamiento
2.1 Objeto
Doc E Sign trata datos personales por cuenta del Responsable para prestar el Servicio: iniciar las ceremonias de firma, entregar documentos a los firmantes, capturar firmas y valores de campos, y devolver los PDF firmados completados.
2.2 Datos personales tratados en virtud de esta DPA
Esta DPA regula las siguientes categorías de datos personales respecto de las cuales el Responsable es el responsable del tratamiento:
| Categoría | Detalle |
|---|---|
| Direcciones de correo electrónico del firmante | Facilitadas por el Responsable al crear un sobre; se utilizan para enviar la invitación de firma |
| Nombres del firmante | Facilitados por el Responsable o introducidos por el firmante durante la ceremonia; incorporados en el PDF firmado |
| Contenido del documento | El PDF cargado por el Responsable; puede contener datos personales de firmantes o de terceros |
| Firmas y valores de campos | Capturados de los firmantes durante la ceremonia; incorporados en el PDF completado |
| PDF firmados completados | Almacenados en el almacenamiento seguro de Doc E Sign durante la vigencia de la suscripción activa del Responsable |
Nota sobre los datos corresponsabilizados: Doc E Sign determina de forma independiente los fines y los medios del tratamiento de determinados datos del firmante (dirección IP, user agent, marcas temporales de eventos y el registro de confirmación). Respecto de estos datos, Doc E Sign es responsable del tratamiento, no encargado del tratamiento que actúa siguiendo las instrucciones del Responsable. Estos datos se rigen por el Acuerdo de Corresponsabilidad del Tratamiento y el Aviso de Privacidad, no por esta DPA.
2.3 Categorías de interesados
Firmantes — personas físicas que reciben una invitación de firma del Responsable y a quienes se solicita que firmen un documento a través de la plataforma Doc E Sign. El Responsable es responsable de determinar la identidad de los firmantes y de disponer de una base jurídica lícita para compartir sus datos de contacto con Doc E Sign.
2.4 Finalidad del tratamiento
Realizar la ceremonia de firma siguiendo las instrucciones del Responsable: entregar el documento a los firmantes, capturar firmas y otros valores de campos, sellar el PDF completado y almacenarlo en la cuenta del Responsable.
2.5 Duración del tratamiento
Doc E Sign tratará los Datos Personales en virtud de esta DPA durante la vigencia de la suscripción activa del Responsable y hasta 30 días después de la cancelación de la cuenta (el periodo de descarga posterior a la cancelación), transcurridos los cuales los PDF firmados almacenados se eliminarán de forma permanente.
3. Instrucciones del Responsable
3.1 Tratamiento por instrucción
Doc E Sign tratará los Datos Personales únicamente siguiendo las instrucciones documentadas del Responsable. Las instrucciones del Responsable se recogen en esta DPA y se ejercen a través del panel de control y la API de Doc E Sign (cuando esté disponible). El acto de crear un sobre, especificar los firmantes e iniciar la ceremonia de firma constituye la instrucción del Responsable de proceder al tratamiento.
3.2 Cumplimiento normativo
Doc E Sign informará sin demora al Responsable si, en opinión de Doc E Sign, una instrucción infringe la Legislación Aplicable. Doc E Sign no está obligado a seguir una instrucción que le exigiera incumplir la Legislación Aplicable.
3.3 Confidencialidad
Doc E Sign garantizará que todo el personal autorizado para tratar Datos Personales en virtud de esta DPA esté sujeto a obligaciones de confidencialidad adecuadas.
4. Seguridad
Doc E Sign implementará y mantendrá medidas técnicas y organizativas adecuadas para proteger los Datos Personales frente al tratamiento no autorizado o ilícito, y frente a la pérdida, destrucción o daño accidentales. Estas medidas incluyen:
| Medida | Implementación |
|---|---|
| Cifrado en reposo | Todos los documentos almacenados y los datos personales del firmante se cifran en reposo; los campos de datos personales del firmante utilizan claves de cifrado de datos (DEK) por firmante, gestionadas por Supabase Vault |
| Cifrado en tránsito | TLS 1.2 o superior obligatorio en todas las conexiones |
| Controles de acceso | Acceso basado en roles; políticas de seguridad a nivel de fila en la base de datos; controles de solo inserción sobre los registros de auditoría |
| Gestión de claves | DEK gestionadas por Supabase Vault; las claves se destruyen ante solicitudes de supresión válidas |
| Análisis de dependencias | GitHub Dependabot y npm audit en el pipeline de CI |
| Gestión de vulnerabilidades | Actualizaciones periódicas de dependencias; análisis de seguridad estático (linting) en CI |
| Respuesta ante incidentes | Proceso documentado de respuesta ante incidentes; notificación de violaciones de seguridad de los datos conforme a la cláusula 7 |
Doc E Sign revisará periódicamente estas medidas para garantizar que sigan siendo adecuadas al riesgo.
5. Subencargados del tratamiento
5.1 Autorización
El Responsable autoriza a Doc E Sign a contratar a los siguientes subencargados del tratamiento a efectos de la prestación del Servicio:
| Subencargado del tratamiento | Finalidad | Ubicación | DPA vigente |
|---|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento de archivos, gestión de claves de cifrado | UE (Fráncfort, Alemania) | Sí |
| Lettermint | Envío de los correos electrónicos de invitación de firma y de los correos electrónicos del documento completado a los firmantes | UE (Países Bajos) | Sí — firmado el 28 de junio de 2026, copia ejecutada archivada |
| Nuntly | Envío de los correos electrónicos de invitación de firma y de los correos electrónicos del documento completado a los firmantes | UE (Irlanda) | Sí — firmado el 14 de julio de 2026, copia ejecutada archivada |
Doc E Sign no contratará subencargados del tratamiento adicionales sin notificarlo previamente al Responsable. La notificación de nuevos subencargados del tratamiento se realizará actualizando esta DPA (con 30 días de antelación para incorporaciones sustanciales) y mediante notificación por correo electrónico a la dirección registrada del Responsable.
5.2 Obligaciones de los subencargados del tratamiento
Doc E Sign impondrá a cada subencargado del tratamiento obligaciones de protección de datos equivalentes a las establecidas en esta DPA, en particular en materia de confidencialidad, seguridad y derechos de los interesados. Doc E Sign seguirá siendo responsable frente al Responsable por los actos y omisiones de sus subencargados del tratamiento en la misma medida en que lo sería si realizara el tratamiento directamente.
6. Derechos de los interesados
Doc E Sign asistirá al Responsable en el cumplimiento de sus obligaciones de responder a las solicitudes de derechos de los interesados relativas a los Datos Personales tratados en virtud de esta DPA. En concreto:
- Cuando un firmante se ponga en contacto con Doc E Sign para presentar una solicitud de acceso, supresión, rectificación, limitación o portabilidad relativa a datos controlados por el Responsable (contenido del documento, datos de identidad del firmante facilitados por el Responsable), Doc E Sign lo notificará al Responsable en un plazo de 5 días hábiles y prestará la asistencia que el Responsable razonablemente requiera.
- Doc E Sign mantiene un mecanismo de búsqueda de correo electrónico que permite identificar los registros del firmante sin necesidad de descifrar la tabla completa, lo que permite responder de forma eficiente a las solicitudes de supresión y acceso.
- Respecto de las solicitudes de supresión relativas a datos que Doc E Sign controla por derecho propio (dirección IP, user agent, estructura del registro de auditoría), Doc E Sign responderá directamente al interesado. Véase el Acuerdo de Corresponsabilidad del Tratamiento para conocer la asignación de responsabilidades en materia de tramitación de derechos.
7. Notificación de violaciones de seguridad de los datos personales
Doc E Sign notificará al Responsable sin dilación indebida —y en cualquier caso en un plazo de 72 horas desde que tenga conocimiento de ello— cualquier violación de la seguridad de los datos personales que afecte a los Datos Personales tratados en virtud de esta DPA. La notificación incluirá, en la medida en que se conozca en ese momento:
- La naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados
- Las consecuencias probables de la violación
- Las medidas adoptadas o propuestas para hacer frente a la violación
Doc E Sign colaborará con el Responsable en la investigación de la violación y en el cumplimiento de las propias obligaciones de notificación del Responsable frente a las autoridades de control y a los interesados.
8. Evaluaciones de impacto relativas a la protección de datos
Doc E Sign prestará al Responsable la asistencia razonable necesaria para llevar a cabo cualquier evaluación de impacto relativa a la protección de datos (EIPD) exigida por la Legislación Aplicable en relación con el tratamiento objeto de esta DPA.
9. Supresión y devolución de Datos Personales
9.1 A la finalización
A la finalización de la cuenta de Doc E Sign del Responsable, o a solicitud escrita del Responsable:
- Los PDF firmados completados almacenados en el almacenamiento seguro de Doc E Sign estarán disponibles para su descarga durante 30 días tras el cierre de la cuenta, transcurridos los cuales se eliminarán de forma permanente
- Cualquier dato personal que obre en poder de Doc E Sign únicamente en calidad de encargado del tratamiento se eliminará o anonimizará en un plazo de 30 días desde el fin del periodo de descarga de 30 días
9.2 Excepción de conservación
No obstante lo dispuesto en la cláusula 9.1, Doc E Sign podrá conservar datos personales durante el periodo y en la medida en que así lo exija la Legislación Aplicable. En particular:
- La cadena de auditoría criptográfica (que no contiene datos personales legibles — los campos de datos personales del firmante están cifrados y las DEK se destruyen ante una solicitud de supresión) se conserva durante 7 años desde la fecha de la firma, de conformidad con las obligaciones de Doc E Sign como responsable del tratamiento y con su base de interés legítimo
- Los registros de facturación y financieros se conservan durante 7 años desde la fecha de la operación correspondiente, de conformidad con la legislación fiscal del Reino Unido
Doc E Sign confirmará por escrito, previa solicitud, que la supresión se ha completado.
10. Auditorías e inspección
El Responsable podrá auditar el cumplimiento por parte de Doc E Sign de esta DPA con sujeción a las siguientes condiciones:
- El Responsable proporcionará un preaviso por escrito de al menos 30 días
- Las auditorías se realizarán en horario laboral habitual y como máximo una vez por año natural, salvo que una autoridad de control exija otra cosa
- El Responsable asumirá todos los costes de cualquier auditoría, salvo que la auditoría revele un incumplimiento sustancial por parte de Doc E Sign
- La auditoría no exigirá a Doc E Sign divulgar información confidencial relativa a otros clientes o a terceros
Como alternativa a una auditoría directa, el Responsable podrá solicitar la documentación de seguridad más reciente de Doc E Sign, los resultados de las pruebas de penetración (cuando estén disponibles) o las certificaciones de terceros (cuando se hayan obtenido).
11. Transferencias internacionales de datos
11.1 Datos de la UE
Los datos personales originados por interesados de la UE se almacenan por Supabase en infraestructura de la UE (Fráncfort, Alemania). Cuando se requiera cualquier transferencia internacional de datos personales originados en la UE, dicha transferencia se ampara en las cláusulas contractuales tipo de la UE (Decisión de Ejecución 2021/914 de la Comisión) o en una decisión de adecuación aplicable.
11.2 Datos del Reino Unido
Los datos personales originados por interesados del Reino Unido se almacenan en la misma infraestructura de la UE. La UE renovó su decisión de adecuación para el Reino Unido el 19 de diciembre de 2025 (que abarca tanto el RGPD como la Directiva de Aplicación de la Ley) — no se requiere ningún mecanismo de transferencia para los flujos de datos originados en el Reino Unido hacia países de la UE/EEE. Cuando datos personales originados en el Reino Unido se transfieran a un país fuera del Reino Unido y del EEE que carezca de la adecuación del Reino Unido, Doc E Sign utilizará un International Data Transfer Agreement (IDTA) o el UK Addendum a las cláusulas contractuales tipo de la UE, según corresponda. Nota de verificación: las decisiones de adecuación pueden modificarse o revocarse; este estado debe verificarse de nuevo anualmente o cuando se informe de un cambio sustancial en las relaciones de datos entre el Reino Unido y la UE.
11.3 Transferencias de los subencargados del tratamiento
Cada transferencia realizada por un subencargado del tratamiento está amparada por la propia DPA del subencargado y por los mecanismos de transferencia aplicables. El registro de subencargados del tratamiento de Doc E Sign (mantenido internamente) documenta el mecanismo de transferencia aplicable a cada flujo de datos.
12. Responsabilidades del Responsable
El Responsable es responsable de:
- Disponer de una base jurídica lícita en virtud de la Legislación Aplicable para compartir datos personales del firmante con Doc E Sign y para instruir a Doc E Sign a tratarlos
- Garantizar que se ha informado a los firmantes de que sus datos serán tratados por Doc E Sign de conformidad con el Aviso de Privacidad de Doc E Sign
- Garantizar que los documentos enviados para su firma no contienen datos personales de terceros cuyos datos el Responsable no esté autorizado a compartir
- Cumplir todas las obligaciones que la Legislación Aplicable impone a los responsables del tratamiento en relación con el tratamiento descrito en esta DPA
13. Ley aplicable
Esta DPA se rige por la legislación de Inglaterra y Gales. Las partes se someten a la jurisdicción exclusiva de los tribunales de Inglaterra y Gales para cualquier controversia derivada de esta DPA, sin perjuicio de la jurisdicción de cualquier autoridad de control.
14. Orden de prelación
En caso de conflicto entre esta DPA y los Términos de Servicio, esta DPA prevalecerá en lo que respecta al objeto del tratamiento de datos. En caso de conflicto entre esta DPA y las cláusulas contractuales tipo de la UE (cuando resulten aplicables), prevalecerán las cláusulas contractuales tipo de la UE.