Política y Relación de Subencargados

POLÍTICA Y RELACIÓN DE SUBENCARGADOS DEL TRATAMIENTO

Última actualización: 7 de agosto de 2026

Versión: 1.0

1. Objeto

La presente Política identifica el marco utilizado por:

ACCION DIGITAL LOCAL S.L.

NIF: B75510008

Domicilio: Avinguda de les Glòries Catalanes, 62, Bloc B, Can Palet, 08223 Terrassa, Barcelona, España

Correo electrónico: info@acciondigital.es

en adelante, “ACCIÓN DIGITAL”,

para seleccionar, contratar, controlar y comunicar los proveedores que puedan actuar como subencargados del tratamiento cuando ACCIÓN DIGITAL trate datos personales por cuenta de sus clientes.

2. Ámbito

Esta Política se aplica únicamente cuando:

1. un CLIENTE actúa como responsable del tratamiento;

2. ACCIÓN DIGITAL actúa como encargado del tratamiento por cuenta del CLIENTE;

3. ACCIÓN DIGITAL contrata a otro proveedor que trata datos personales para prestar parte de dicho servicio.

En ese supuesto, dicho proveedor podrá actuar como subencargado del tratamiento.

3. Qué es un subencargado

A efectos de esta Política, un Subencargado es un tercero contratado por ACCIÓN DIGITAL que trata datos personales por cuenta de ACCIÓN DIGITAL dentro de un tratamiento realizado, a su vez, por cuenta del CLIENTE.

Ejemplo conceptual:

4. No todo proveedor es un subencargado

La mera contratación de un proveedor por ACCIÓN DIGITAL no significa automáticamente que dicho proveedor sea un Subencargado.

Un proveedor puede:

• no acceder a datos personales;

• actuar como responsable independiente;

• prestar un servicio ajeno al tratamiento encargado por el CLIENTE;

• intervenir únicamente en tratamientos propios de ACCIÓN DIGITAL.

Su papel deberá analizarse conforme a la realidad del tratamiento.

5. Ejemplos

Podrán actuar como Subencargados, dependiendo de la configuración real:

• proveedores de hosting;

• proveedores cloud;

• datacenters;

• proveedores de backup;

• proveedores de bases de datos;

• proveedores de inteligencia artificial;

• proveedores de correo;

• plataformas de automatización;

• proveedores de monitorización;

• herramientas de soporte;

• herramientas de almacenamiento;

• proveedores de seguridad;

• plataformas SaaS;

• proveedores de comunicaciones.

6. Proveedores que no tratan Datos del Cliente

Los proveedores que no reciben, almacenan, acceden o tratan Datos Personales del CLIENTE no se incluirán necesariamente en la relación de Subencargados.

7. Responsables independientes

Cuando un tercero determine sus propias finalidades y medios respecto de determinados datos y actúe jurídicamente como responsable independiente, no deberá clasificarse incorrectamente como Subencargado.

Su régimen se analizará separadamente.

8. Autorización del CLIENTE

ACCIÓN DIGITAL no recurrirá a un nuevo Subencargado respecto de Datos del CLIENTE sin contar con la autorización requerida conforme al DPA aplicable.

La autorización podrá ser:

ESPECÍFICA

para un Subencargado determinado;

o:

GENERAL

para una categoría o relación de Subencargados, acompañada del procedimiento de información sobre cambios.

9. Autorización general

Salvo que el DPA establezca otro modelo, ACCIÓN DIGITAL propondrá utilizar un sistema de autorización general previa para los Subencargados identificados en esta Política.

Esto permitirá evolucionar la arquitectura tecnológica sin necesidad de firmar un nuevo DPA cada vez que resulte necesario sustituir un proveedor.

10. Información sobre cambios

Cuando exista autorización general, ACCIÓN DIGITAL informará al CLIENTE de la incorporación o sustitución prevista de un Subencargado conforme al procedimiento establecido en el DPA.

La comunicación deberá permitir al CLIENTE conocer razonablemente:

• identidad del nuevo proveedor;

• servicio;

• finalidad;

• ubicación relevante;

• impacto sobre datos;

• transferencias internacionales cuando proceda.

11. Plazo de oposición

Salvo que el DPA establezca otro plazo, ACCIÓN DIGITAL propone un periodo de:

15 días naturales desde la comunicación

para que el CLIENTE formule una oposición razonada relacionada con protección de datos.

Este plazo es contractual y no pretende presentarse como un plazo legal obligatorio establecido por el RGPD.

12. Oposición razonada

La oposición deberá basarse en motivos razonables relacionados con:

• protección de datos;

• seguridad;

• transferencias internacionales;

• incumplimiento normativo;

• riesgo material para los interesados.

Una preferencia comercial sin relación razonable con dichos riesgos no implicará automáticamente obligación de mantener indefinidamente un proveedor anterior.

13. Evaluación de la oposición

Cuando exista oposición válida, las Partes procurarán evaluar alternativas como:

1. mantener temporalmente el proveedor anterior;

2. configurar el Servicio de forma distinta;

3. utilizar un proveedor alternativo;

4. limitar determinadas funcionalidades;

5. acordar una migración;

6. terminar el componente afectado cuando no exista alternativa razonable.

14. Imposibilidad de alternativa

Cuando el Subencargado sea técnicamente imprescindible y no exista una alternativa razonable que permita cumplir los requisitos del CLIENTE, podrá ser necesario modificar o terminar el Servicio afectado.

15. Cambios urgentes

En situaciones excepcionales podrá ser necesario sustituir un proveedor con mayor rapidez debido a:

• incidente de seguridad;

• cierre del proveedor;

• suspensión;

• incumplimiento regulatorio;

• vulnerabilidad grave;

• indisponibilidad crítica;

• prohibición legal;

• orden de autoridad.

En dichos casos ACCIÓN DIGITAL procurará informar al CLIENTE tan pronto como resulte razonablemente posible.

16. Selección de Subencargados

Antes de incorporar un proveedor que pueda tratar Datos Personales del CLIENTE, ACCIÓN DIGITAL evaluará razonablemente las garantías disponibles atendiendo a:

• servicio prestado;

• categorías de datos;

• riesgo;

• ubicación;

• seguridad;

• condiciones contractuales;

• medidas técnicas;

• medidas organizativas;

• transferencias internacionales;

• historial o reputación relevante;

• documentación disponible.

17. Evaluación proporcional al riesgo

La profundidad de la evaluación podrá variar según:

• sensibilidad;

• volumen;

• criticidad;

• acceso;

• naturaleza del proveedor;

• consecuencias de un incidente.

No todos los proveedores requieren exactamente el mismo nivel de due diligence.

18. Garantías suficientes

ACCIÓN DIGITAL seleccionará Subencargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas al tratamiento encargado.

19. Contrato con el Subencargado

Cuando sea exigible, ACCIÓN DIGITAL formalizará con el Subencargado las obligaciones necesarias en materia de protección de datos.

20. Obligaciones equivalentes

El Subencargado quedará sujeto a obligaciones de protección de datos sustancialmente equivalentes a aquellas que resulten necesarias para que ACCIÓN DIGITAL pueda cumplir el DPA celebrado con el CLIENTE.

21. Instrucciones

El Subencargado deberá tratar los Datos Personales únicamente dentro del marco contractual e instrucciones aplicables.

22. Confidencialidad

El Subencargado deberá garantizar el nivel de confidencialidad correspondiente respecto de las personas que puedan acceder a los Datos Personales.

23. Seguridad

El Subencargado deberá aplicar las medidas técnicas y organizativas adecuadas a los riesgos correspondientes.

24. Brechas de seguridad

Los contratos o condiciones aplicables deberán permitir que ACCIÓN DIGITAL pueda cumplir sus obligaciones de comunicación y asistencia al CLIENTE cuando el Subencargado detecte una violación de seguridad relacionada con Datos Personales.

25. Derechos de interesados

El Subencargado deberá proporcionar la asistencia necesaria, dentro de su ámbito, para que ACCIÓN DIGITAL pueda colaborar con el CLIENTE en el ejercicio de derechos cuando proceda.

26. Eliminación y devolución

Al finalizar el tratamiento correspondiente, los Datos Personales deberán:

• eliminarse;

• devolverse;

• bloquearse;

según el contrato, instrucciones, capacidades técnicas y obligaciones legales aplicables.

27. Responsabilidad de ACCIÓN DIGITAL

La utilización de un Subencargado no libera automáticamente a ACCIÓN DIGITAL de las obligaciones que haya asumido frente al CLIENTE como encargado del tratamiento.

28. Cadena de Subencargados

Un Subencargado podrá, a su vez, necesitar recurrir a otros proveedores.

Cuando esta cadena implique nuevos Subencargados relevantes, deberá existir un mecanismo contractual que mantenga las obligaciones necesarias a lo largo de la cadena.

29. Transparencia de la cadena

ACCIÓN DIGITAL procurará disponer de información suficiente para identificar la cadena de Subencargados relevante para los tratamientos contratados.

30. Limitaciones de transparencia upstream

Determinados grandes proveedores cloud o SaaS pueden utilizar una estructura extensa de filiales, proveedores técnicos o infraestructura.

ACCIÓN DIGITAL utilizará la documentación contractual y de cumplimiento razonablemente disponible para mantener el registro correspondiente.

31. Registro interno ampliado

ACCIÓN DIGITAL mantendrá un registro interno de Subencargados más detallado que podrá incluir:

32. Relación pública

La versión pública podrá contener, como mínimo:

• proveedor;

• entidad jurídica;

• servicio;

• finalidad;

• ubicación o región relevante;

• existencia de transferencia internacional cuando proceda;

• mecanismo principal aplicable;

• fecha de incorporación o última actualización.

33. Datos que no se publicarán

Por motivos de seguridad, confidencialidad o proporcionalidad, la lista pública no tendrá necesariamente que mostrar:

• identificadores de cuentas;

• API keys;

• configuración interna;

• IP;

• contratos completos;

• arquitectura sensible;

• credenciales;

• datos de otros clientes.

34. Categorías de Datos Personales

Dependiendo del Servicio, un Subencargado podrá tratar:

• datos identificativos;

• datos de contacto;

• datos profesionales;

• comunicaciones;

• documentos;

• tickets;

• contenidos;

• logs;

• direcciones IP;

• identificadores técnicos;

• datos de usuarios;

• Datos del Cliente contenidos en los sistemas.

35. Minimización

Cada Subencargado deberá acceder únicamente a las categorías de datos razonablemente necesarias para proporcionar el componente contratado.

36. Acceso potencial

En determinados servicios cloud, un proveedor puede tener capacidad técnica potencial de acceso aunque no exista acceso humano ordinario a los contenidos.

Esta circunstancia deberá considerarse dentro del análisis de encargado/subencargado cuando resulte jurídicamente relevante.

37. Ubicación

La relación de Subencargados indicará, cuando resulte relevante y verificable:

• país;

• región;

• Espacio Económico Europeo;

• otra ubicación aplicable.

38. Ubicación contractual

Cuando un CLIENTE haya contratado una restricción específica de residencia de datos, ACCIÓN DIGITAL seleccionará únicamente configuraciones compatibles con dicha restricción dentro del alcance contratado.

39. Transferencias internacionales

La incorporación de un Subencargado no autoriza por sí sola transferencias internacionales de Datos Personales sin las garantías exigidas por la normativa aplicable.

40. Capítulo V del RGPD

Cuando exista transferencia de Datos Personales a un tercer país u organización internacional, deberán cumplirse las condiciones del Capítulo V del RGPD.

41. Decisión de adecuación

Cuando exista una decisión de adecuación aplicable, la transferencia podrá apoyarse en dicho mecanismo conforme a sus condiciones.

42. Cláusulas Contractuales Tipo

Cuando resulte necesario, podrán utilizarse las Cláusulas Contractuales Tipo de la Comisión Europea — SCCs u otro instrumento jurídicamente válido.

43. Transfer Impact Assessment

Cuando resulte necesario atendiendo al mecanismo, país y riesgo, podrá realizarse o utilizarse una evaluación relativa a las condiciones de la transferencia.

44. Medidas suplementarias

Podrán utilizarse, cuando resulte necesario y técnicamente viable:

• cifrado;

• seudonimización;

• minimización;

• separación;

• restricciones de acceso;

• configuraciones regionales;

• medidas contractuales adicionales.

45. Transferencia posterior

Un Subencargado no deberá realizar transferencias posteriores incompatibles con las garantías que resulten aplicables al tratamiento.

46. Acceso desde terceros países

Un acceso remoto a Datos Personales desde un tercer país podrá tener implicaciones de transferencia internacional y deberá analizarse conforme a la normativa aplicable.

47. Filiales internacionales

La pertenencia de un proveedor a un grupo internacional no demuestra por sí sola que todos los Datos Personales sean transferidos fuera del EEE.

Deberá analizarse la configuración y acceso reales.

48. Región europea

Seleccionar una región de alojamiento europea puede reducir determinadas transferencias, pero no demuestra automáticamente que no exista ningún acceso o tratamiento internacional.

49. Proveedores de inteligencia artificial

Los proveedores de inteligencia artificial deberán analizarse específicamente debido a posibles aspectos como:

• Inputs;

• Outputs;

• logs;

• retención;

• entrenamiento;

• ubicación;

• moderación;

• soporte;

• acceso técnico.

50. Configuración de IA

La condición jurídica y riesgos del mismo proveedor de IA pueden variar dependiendo de si se utiliza:

• producto de consumo;

• cuenta empresarial;

• API;

• deployment privado;

• servicio cloud intermediario.

Por ello, el registro deberá identificar el producto o modalidad relevante cuando sea necesario.

51. Uso para entrenamiento

La relación de Subencargados no deberá afirmar genéricamente que un proveedor:

“no utiliza datos para entrenamiento”

sin verificar:

• producto;

• contrato;

• configuración;

• condiciones vigentes.

52. Proveedores cloud

La evaluación de proveedores cloud podrá considerar:

• región;

• disponibilidad;

• contratos;

• certificaciones;

• controles;

• subprocessors;

• mecanismos de transferencia.

53. Proveedores de backup

La localización y tratamiento de las copias podrán ser distintos de la infraestructura de producción.

El registro deberá reflejarlo cuando un proveedor distinto procese los datos.

54. Proveedores de correo

Cuando los mensajes o notificaciones gestionados por cuenta del CLIENTE pasen por un proveedor externo, éste podrá requerir inclusión como Subencargado dependiendo de su papel.

55. Proveedores de monitorización

Las herramientas de monitorización pueden recibir:

• IP;

• logs;

• nombres de host;

• errores;

• identificadores;

• partes de contenido.

Deberá analizarse el alcance real antes de clasificarlas.

56. Proveedores de soporte

Una plataforma de tickets utilizada para gestionar incidencias del CLIENTE puede tratar Datos Personales y deberá evaluarse como posible Subencargado.

57. Proveedores sin contenido

Cuando una herramienta se configure para recibir únicamente métricas anónimas o no personales, podrá no actuar como Subencargado respecto de dicho tratamiento.

58. Servicios contratados directamente por el CLIENTE

Cuando el CLIENTE contrate directamente un proveedor y ACCIÓN DIGITAL únicamente integre técnicamente su cuenta, dicho proveedor no será necesariamente Subencargado contratado por ACCIÓN DIGITAL.

La distribución de papeles deberá analizarse según la relación real.

59. Herramientas elegidas obligatoriamente por el CLIENTE

Cuando el CLIENTE obligue a utilizar una herramienta determinada, ACCIÓN DIGITAL podrá advertir de riesgos o limitaciones.

La decisión del CLIENTE no elimina las obligaciones jurídicas propias que correspondan a cada Parte.

60. Cambio por seguridad

ACCIÓN DIGITAL podrá proponer sustituir un Subencargado cuando identifique:

• vulnerabilidad significativa;

• cambio contractual incompatible;

• transferencia problemática;

• pérdida de garantías;

• incidente grave;

• fin del servicio.

61. Cambio por disponibilidad

También podrá sustituirse un proveedor debido a:

• discontinuación;

• indisponibilidad;

• cambios de API;

• degradación;

• fin de producto.

62. Cambio por coste

Un incremento significativo de costes podrá justificar evaluar otro proveedor siempre que el cambio mantenga las garantías contractuales y de protección de datos necesarias.

63. Cambio por cumplimiento

Una modificación regulatoria puede obligar a cambiar:

• proveedor;

• región;

• configuración;

• contrato;

• mecanismo de transferencia.

64. Due diligence periódica

Los Subencargados relevantes podrán revisarse periódicamente en función del riesgo.

65. Eventos que pueden provocar revisión

Podrán provocar una revisión extraordinaria:

• incidente;

• adquisición del proveedor;

• cambio de condiciones;

• cambio de ubicación;

• sanción relevante;

• vulnerabilidad grave;

• cambio de subencargados;

• cambio normativo.

66. Evidencias

ACCIÓN DIGITAL podrá conservar:

• DPA;

• términos;

• informes;

• certificaciones;

• cuestionarios;

• documentación de seguridad;

• registros de revisión;

• SCC;

• TIA;

• comunicaciones.

67. Certificaciones

La existencia de certificaciones como:

• ISO;

• SOC;

• esquemas de seguridad;

podrá formar parte de la evaluación, pero no sustituirá automáticamente las obligaciones contractuales o legales.

68. Auditorías

Cuando resulte necesario y proporcionado, ACCIÓN DIGITAL podrá revisar documentación o evidencias proporcionadas por el Subencargado.

69. Grandes proveedores

Cuando una auditoría individual directa no resulte razonablemente disponible, podrán utilizarse mecanismos como:

• auditorías independientes;

• certificaciones;

• informes de terceros;

• documentación de cumplimiento;

• compromisos contractuales.

70. Incumplimiento del Subencargado

Si ACCIÓN DIGITAL detecta un incumplimiento relevante podrá adoptar medidas como:

• solicitar corrección;

• restringir el tratamiento;

• suspender;

• cambiar proveedor;

• terminar la relación.

71. Comunicación al CLIENTE

Cuando el incumplimiento pueda afectar materialmente a Datos del CLIENTE, ACCIÓN DIGITAL informará conforme a las obligaciones contractuales y legales aplicables.

72. Incidente de seguridad

Cuando un Subencargado notifique una violación de seguridad relacionada con Datos del CLIENTE, ACCIÓN DIGITAL actuará conforme al:

• DPA;

• procedimiento de incidentes;

• obligaciones legales aplicables.

73. Comunicación sin dilación indebida

Cuando ACCIÓN DIGITAL actúe como encargado, comunicará al CLIENTE responsable la violación de seguridad correspondiente sin dilación indebida una vez tenga conocimiento en los términos aplicables.

74. Información disponible inicialmente

Una comunicación inicial de incidente puede ser incompleta.

ACCIÓN DIGITAL podrá proporcionar información adicional de manera progresiva conforme avance la investigación.

75. Autoridades

Un Subencargado podrá estar legalmente obligado a responder a solicitudes vinculantes de autoridades.

La gestión de dichas solicitudes se regirá por:

• normativa aplicable;

• contrato;

• mecanismos de transferencia;

• políticas del proveedor.

76. Transparencia sobre solicitudes

Cuando resulte jurídicamente posible, ACCIÓN DIGITAL procurará utilizar proveedores que dispongan de procedimientos razonables frente a solicitudes de autoridades.

77. DPA del CLIENTE

La autorización general, procedimiento de oposición y obligaciones contractuales específicas sobre Subencargados se recogerán en:

15 — DPA

Esta Política complementa, pero no sustituye, dicho contrato.

78. Lista vigente

La relación publicada deberá representar los proveedores actualmente autorizados para los servicios cubiertos.

No deberán mantenerse como activos proveedores que ya no puedan tratar Datos del Cliente.

79. Proveedor en retirada

Cuando un proveedor esté siendo eliminado pero conserve temporalmente backups o datos debido a ciclos de retención, podrá aparecer con estado:

EN RETIRADA / RETENCIÓN RESIDUAL

hasta completar el proceso.

80. Proveedor futuro

No deberá identificarse como Subencargado activo un proveedor que únicamente esté siendo evaluado y todavía no trate Datos del Cliente.

81. Estado del proveedor

El registro podrá utilizar:

• ACTIVO;

• EN ALTA;

• EN RETIRADA;

• RETIRADO.

82. Fecha de alta

Se mantendrá, cuando resulte razonable, una fecha de incorporación para facilitar trazabilidad.

83. Historial

ACCIÓN DIGITAL podrá conservar internamente versiones anteriores de la lista para acreditar:

• proveedores utilizados;

• fechas;

• cambios;

• autorizaciones.

84. Notificaciones de cambios

El mecanismo recomendado será:

1. actualización de la relación;

2. comunicación a los contactos contractuales afectados;

3. registro de fecha;

4. periodo de oposición cuando corresponda.

85. Canal

Las comunicaciones podrán realizarse mediante:

• email contractual;

• portal de cliente;

• sistema de tickets;

• otro mecanismo acordado.

La mera publicación silenciosa de una nueva lista no deberá utilizarse como único mecanismo cuando el DPA exija informar activamente al CLIENTE.

86. Contacto actualizado

El CLIENTE será responsable de mantener actualizado el contacto designado para comunicaciones contractuales y de protección de datos.

87. Falta de respuesta

Cuando exista autorización general y el CLIENTE no formule oposición dentro del plazo contractual después de una comunicación válida, podrá entenderse mantenida la autorización conforme al DPA.

88. Oposición no retroactiva

Una oposición a un nuevo Subencargado no invalidará por sí sola tratamientos anteriores realizados lícitamente bajo la autorización existente.

89. Servicios múltiples

No todos los Subencargados identificados serán necesariamente utilizados para todos los CLIENTES.

La utilización dependerá de:

• servicio;

• configuración;

• región;

• funcionalidades contratadas.

90. Matriz por servicio

La lista podrá indicar:

91. Lista actual de Subencargados

ESTADO: PENDIENTE DE INVENTARIO TÉCNICO DEFINITIVO

Antes de publicar esta sección deberán verificarse todos los proveedores utilizados realmente por ACCIÓN DIGITAL.

92. Prohibición de inventar la lista

La tabla anterior no deberá publicarse con proveedores ficticios, históricos o simplemente previstos.

Debe corresponder con los flujos técnicos reales.

93. Inventario previo obligatorio

Antes de pasar esta Política a producción, ACCIÓN DIGITAL deberá identificar al menos:

94. Producto exacto

No bastará con registrar únicamente:

“Microsoft”, “Google”, “OpenAI”, etc.

Cuando sea relevante deberán identificarse:

• entidad jurídica;

• producto;

• modalidad;

• región/configuración.

95. Cuenta de consumo vs empresarial

Una versión consumer y una versión empresarial/API del mismo proveedor pueden tener condiciones de tratamiento diferentes.

No deberán considerarse equivalentes sin comprobación.

96. Cambios de producto

Si ACCIÓN DIGITAL cambia de:

• producto;

• plan;

• región;

• modalidad;

dentro del mismo proveedor, deberá evaluar si el cambio altera materialmente:

• tratamiento;

• retención;

• subencargados;

• transferencias;

• seguridad.

97. Información al CLIENTE

El CLIENTE podrá solicitar información adicional razonable sobre los Subencargados utilizados para su Servicio.

98. Límites de información

La obligación de transparencia no requerirá revelar:

• información de otros clientes;

• secretos;

• credenciales;

• documentación cuya divulgación comprometa seguridad.

99. Cooperación

ACCIÓN DIGITAL colaborará razonablemente con el CLIENTE para que éste pueda cumplir sus propias obligaciones de accountability respecto de la cadena de tratamiento.

100. Responsabilidad del CLIENTE

El CLIENTE deberá evaluar, como responsable del tratamiento, si las garantías ofrecidas por el Servicio y los Subencargados son adecuadas para:

• finalidad;

• datos;

• riesgos;

• requisitos regulatorios propios.

101. Casos de alto riesgo

Cuando el tratamiento implique:

• categorías especiales;

• grandes volúmenes;

• menores;

• decisiones sensibles;

• información altamente confidencial;

podrá requerirse evaluación adicional antes de permitir determinados Subencargados.

102. DPIA

Cuando el CLIENTE deba realizar una evaluación de impacto, ACCIÓN DIGITAL proporcionará la asistencia razonable prevista en el DPA respecto de los elementos bajo su control.

103. Nuevos servicios

La incorporación de una nueva funcionalidad podrá requerir nuevos Subencargados.

El CLIENTE deberá revisar la información correspondiente antes de activar funcionalidades opcionales cuando resulte necesario.

104. Funcionalidades opcionales

Cuando una funcionalidad requiera un proveedor adicional, ACCIÓN DIGITAL podrá no activarla hasta:

• aceptación;

• autorización;

• evaluación;

cuando corresponda.

105. Minimización de proveedores

ACCIÓN DIGITAL procurará evitar incorporar Subencargados innecesarios cuando exista una alternativa razonable que permita reducir complejidad y exposición sin perjudicar materialmente el Servicio.

106. Consolidación

La utilización de menos proveedores no constituye por sí sola mayor seguridad.

Deberán valorarse también:

• concentración;

• dependencia;

• resiliencia;

• garantías.

107. Portabilidad

La existencia de Subencargados no deberá utilizarse para impedir obligaciones de:

• exportación;

• portabilidad;

• switching;

que resulten legalmente aplicables.

108. Offboarding

Durante la salida deberán:

• revocarse accesos;

• terminar tratamientos;

• iniciar eliminación;

• gestionar retenciones residuales;

conforme a:

17 — Offboarding

y el DPA.

109. Backups residuales

Los Subencargados pueden mantener datos temporalmente dentro de backups conforme a sus ciclos de retención.

Durante dicho periodo los datos permanecerán sujetos a las protecciones correspondientes y no deberán utilizarse ordinariamente.

110. Confirmación de eliminación

No se garantiza que todos los grandes proveedores emitan un certificado individualizado de destrucción para cada CLIENTE.

ACCIÓN DIGITAL utilizará las evidencias y mecanismos disponibles conforme al servicio contratado.

111. Terminación del Subencargado

Cuando finalice una relación con un Subencargado, ACCIÓN DIGITAL deberá procurar:

• revocar accesos;

• cerrar cuentas no necesarias;

• gestionar eliminación;

• documentar el cambio.

112. Responsabilidad

La utilización de Subencargados estará sujeta al régimen de responsabilidad establecido en:

• Condiciones Generales;

• DPA;

• legislación aplicable.

113. Prioridad del DPA

En caso de contradicción sobre tratamiento de Datos Personales:

prevalecerá el DPA

respecto de esta Política.

114. Actualización

Esta relación constituye un documento vivo y será actualizada cuando cambien materialmente los Subencargados utilizados.

115. Control de versiones

ACCIÓN DIGITAL mantendrá:

• número de versión;

• fecha;

• cambios relevantes;

• proveedores incorporados;

• proveedores eliminados.

116. Historial de cambios

Podrá incorporarse una tabla como:

117. Contacto

Para consultas u oposiciones relativas a Subencargados:

ACCION DIGITAL LOCAL S.L.

NIF B75510008

Avinguda de les Glòries Catalanes, 62, Bloc B, Can Palet

08223 Terrassa, Barcelona

España

Email: info@acciondigital.es

Cuando exista un canal específico de privacidad, éste podrá sustituir o complementar la dirección anterior.

Versión: 1.0

Fecha: 7 de agosto de 2026