# Acuerdo de tratamiento de datos de Harbourlight y Northstar
Fecha del ejemplo: 14 de octubre de 2026
Contexto jurídico: Inglaterra y Gales; contexto del UK GDPR y la Data Protection Act 2018, sujeto a la legislación de transferencias y a la versión vigente. La versión en español traduce el ejemplo; no sustituye la ley aplicable ni convierte el documento en un contrato regido por el Derecho español.
Partes y referencia: Responsable: Harbourlight Community Clinics Ltd, número 11984620, 18 Calder Street, Leeds LS2 7JP. Encargado: Northstar Appointment Systems Ltd, número 13250741, 42 Meridian Park, York YO26 6RW. Aplicación prevista desde el 1 de noviembre de 2026.
## 1. Tratamiento e instrucciones
El Encargado opera un sistema de gestión de citas para el Responsable. Tratará datos personales sólo siguiendo instrucciones documentadas y para prestar las funciones contratadas, no para fines propios, publicidad o entrenamiento de sus productos. El anexo debe identificar categorías de personas y datos, duración, operaciones y finalidades reales antes de comenzar. El Responsable determina la finalidad y la base jurídica; el Encargado no decide por sí mismo que los datos clínicos son necesarios. Si una instrucción parece contraria a la legislación de protección de datos, avisará al Responsable.
## 2. Personal, confidencialidad y seguridad
El Encargado limitará el acceso a personal autorizado sujeto a deber de confidencialidad y formación apropiada. Aplicará medidas proporcionadas al riesgo, como acceso de mínimo privilegio, autenticación reforzada, registro de accesos, cifrado en tránsito, copias de seguridad probadas, gestión segura de vulnerabilidades y recuperación. El plan debe describir controles realmente implantados, no limitarse a prometer una certificación inexistente. Los detalles técnicos, responsables, tiempos de respuesta y pruebas deben mantenerse en un anexo de seguridad que ambas partes revisen periódicamente.
## 3. Subencargados y acceso internacional
Antes de usar otro encargado, el Encargado obtendrá la autorización previa convenida, notificará cambios con tiempo suficiente para plantear objeciones y aplicará al proveedor obligaciones de protección equivalentes. Mantendrá una lista actualizada, con servicio, ubicación y acceso permitido. No trasladará datos ni permitirá acceso remoto desde otro país sin comprobar previamente el mecanismo legal de transferencia, su evaluación y las salvaguardas aplicables bajo las reglas vigentes del Reino Unido. La autorización de un proveedor no reduce las obligaciones propias del Encargado.
## 4. Solicitudes, incidentes y auditoría
El Encargado ayudará razonablemente a responder a solicitudes de acceso, rectificación, supresión u oposición y a las evaluaciones e investigaciones requeridas, sin contestar por el Responsable salvo instrucción. Notificará una violación de datos sin dilación indebida tras conocerla, compartirá hechos disponibles y cooperará en su contención y evaluación; no prometerá que la notificación al regulador ocurra en nombre de la otra parte. El Responsable podrá revisar evidencias y realizar auditorías proporcionadas, protegiendo la seguridad de otros clientes y la información comercial legítima.
## 5. Conservación, devolución y responsabilidad
Al acabar el servicio, el Encargado devolverá o eliminará los datos siguiendo instrucciones documentadas, salvo la copia que una norma obligue a conservar, que seguirá bloqueada y protegida. El Responsable verificará plazos, copias de seguridad y proveedores; una solicitud de eliminación no puede contradecir una obligación legal vigente. El acuerdo de tratamiento se coordina con el contrato principal y su régimen de responsabilidad, pero no transfiere al Encargado las decisiones del Responsable. Firmar este ejemplo no acredita cumplimiento, inscripción, medidas técnicas ni evaluación de transferencias.
## Firma y formalidades
Este ejemplo completado es ficticio, educativo y no está firmado. No representa una inscripción, autorización, declaración de validez, firma, testimonio ni verificación oficial. Compruebe la ley y las formalidades aplicables antes de usarlo.