Encargo de tratamiento de datos personales

Hard Questions Lab, S.L. (HQL) · Versión 1.0 · 5 de octubre de 2026 · hql.es/encargo-tratamiento

Este documento regula cómo HQL trata los datos personales de los trabajadores de sus clientes para prestar sus servicios de seguridad aérea. Es el contrato de encargo que exigen el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Está escrito para que lo entienda quien contrata, no solo quien lo revisa jurídicamente: frases cortas y cada obligación con su porqué. Cubre todos los servicios de las categorías descritas en la cláusula 2 que una misma empresa contrate a HQL, sin necesidad de firmar un encargo por servicio.

Partes

El Cliente (responsable del tratamiento): la empresa que contrata a HQL, identificada por su razón social y NIF en la solicitud de servicios. Decide para qué se tratan los datos de su personal y responde de ellos ante sus trabajadores y ante la autoridad de control.

HQL (encargado del tratamiento): Hard Questions Lab, S.L., NIF B75292169, Calle Carlos Vázquez 7, 1.º, oficina 8, 13001 Ciudad Real (España), [email protected]. Trata los datos por cuenta del Cliente y siguiendo sus instrucciones.

1. Objeto

HQL presta al Cliente servicios de seguridad de la aviación civil (AVSEC) y, para prestarlos, trata datos personales del personal del Cliente. Este encargo fija qué datos trata, para qué, durante cuánto tiempo, con qué garantías y qué obligaciones asume cada parte. Se aplica a todos los servicios de las categorías de la cláusula 2 que el Cliente contrate a HQL, ahora o en el futuro.

2. Servicios cubiertos y finalidad de cada uno

a) Formación AVSEC y AVSAF, online y presencial. Dar de alta a los alumnos en el aula virtual, impartirles la formación, registrar su asistencia y resultados, emitir los certificados, gestionar las convocatorias de examen ante AESA cuando el curso lo requiere, y comunicar al Cliente las altas, los resultados y los certificados.

b) Consultoría AVSEC. Redactar y mantener el Programa de Seguridad del Cliente, tramitar sus designaciones y comunicaciones ante AESA, preparar y asistir en inspecciones y auditorías, y gestionar la formación y las fichas SA-20 de su personal con responsabilidades de seguridad conforme a los apartados a) y c).

c) Verificación de antecedentes del personal (ficha SA-20). Ayudar al Cliente a cumplir la comprobación de antecedentes que la normativa de seguridad aérea exige a su personal: recoger la documentación que aporta el trabajador, comprobarla, cumplimentar la ficha oficial y entregarla al Cliente para que la valide y la firme.

La naturaleza del tratamiento es, según el servicio: recogida, registro, estructuración, conservación, consulta, comunicación al Cliente y a AESA cuando el trámite lo exige, y supresión.

3. Datos tratados y personas afectadas

Personas: trabajadores y candidatos del Cliente; personas de contacto del Cliente (responsables de seguridad, recursos humanos, operaciones, administración).

Categorías de datos, según el servicio:

• Identificación: nombre y apellidos, DNI/NIE o pasaporte, nacionalidad y fecha de nacimiento.
• Contacto: correo electrónico y teléfono.
• Datos laborales: empresa, centro de trabajo o delegación, puesto, fechas de alta y baja y, para la ficha SA-20, el historial de empleo que consta en el informe de vida laboral.
• Formación: cursos solicitados y realizados, fechas, resultados de los exámenes y certificados emitidos.
• Solo para la ficha SA-20: copia del documento de identidad, informe de vida laboral, certificado de antecedentes penales, el resultado de la comprobación que recoge la propia ficha, y las firmas del trabajador y de quien valida la ficha.

Datos relativos a condenas e infracciones penales. El certificado de antecedentes penales y el resultado de su comprobación son datos del artículo 10 del RGPD. Su tratamiento está autorizado por el Reglamento (CE) 300/2008 y por los puntos 11.1.3 y 11.1.4 del anexo del Reglamento de Ejecución (UE) 2015/1998, que obligan al Cliente a comprobar los antecedentes del personal al que esos puntos lo exigen (artículo 10.1 de la LOPDGDD); el Programa Nacional de Seguridad y la Instrucción de Seguridad SA-20 regulan cómo se hace. HQL los trata únicamente para comprobar la documentación y cumplimentar la ficha por cuenta del Cliente, solo respecto del personal al que la norma exige esa comprobación, no los usa para ninguna otra finalidad y no los facilita a ningún tercero ni a AESA salvo instrucción expresa del Cliente o requerimiento legal. A los 90 días borra la copia del certificado y conserva únicamente la ficha cumplimentada, con la anotación del resultado que la ficha oficial exige, durante el plazo de la cláusula 7.

4. Cómo llegan los datos a HQL e instrucciones del Cliente

• Por la plantilla de solicitud de formación o por correo electrónico, enviados por una persona autorizada del Cliente.
• Directamente del trabajador, a través de un enlace personal e irrepetible que HQL le facilita para aportar la documentación de la ficha SA-20, o en la propia aula virtual. En estas comunicaciones HQL actúa en nombre y por cuenta del Cliente y lo identifica como responsable del tratamiento, salvo en la información sobre los tratamientos de la cláusula 9, en la que actúa como responsable. La documentación de la ficha SA-20 se aporta preferentemente por ese enlace; si HQL la recibe por otra vía, la incorpora a su sistema y elimina la copia recibida.
• Por los canales acordados para la consultoría (correo, reuniones, documentación del Programa de Seguridad).

Las instrucciones documentadas del Cliente son este encargo, el contrato o propuesta de servicios vigente y cada solicitud concreta (una solicitud de formación es la instrucción de dar de alta a esos alumnos en esos cursos). HQL solo trata los datos siguiendo esas instrucciones, también en lo relativo a las transferencias internacionales de la cláusula 6, salvo que una norma de la Unión Europea o española le obligue a otra cosa; en ese caso se lo comunica al Cliente antes de tratarlos, salvo que la norma lo prohíba. Si HQL considera que una instrucción infringe la normativa de protección de datos, lo comunica inmediatamente al Cliente y no la ejecuta hasta que el Cliente la confirme o la modifique.

5. Obligaciones de HQL

Finalidad y confidencialidad. HQL trata los datos solo para los servicios contratados y según las instrucciones del Cliente. No los usa para fines propios (salvo los tratamientos de la cláusula 9, de los que HQL es responsable), no los cede a terceros salvo lo previsto en este encargo y no los conserva más de lo necesario. Todas las personas de HQL con acceso a los datos están obligadas por escrito al secreto profesional, también después de terminar su relación con HQL, y solo acceden a los datos que necesitan para su trabajo.

Seguridad. HQL aplica medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD), entre ellas: acceso a sus sistemas con usuario individual y doble factor de autenticación; cifrado de las comunicaciones (HTTPS/TLS) y de los equipos de trabajo; permisos mínimos en las conexiones automáticas entre sistemas (solo lectura cuando no necesitan escribir); enlaces personales e irrepetibles para que cada trabajador aporte su documentación de la ficha SA-20; registro de quién completa, valida y firma cada ficha; copias de seguridad diarias de la herramienta de fichas SA-20; y borrado programado de la documentación sensible (cláusula 7). HQL revisa estas medidas al menos una vez al año y cuando cambia un sistema.

Ayuda al Cliente con los derechos de las personas. Si un trabajador ejerce ante HQL los derechos de los artículos 15 a 22 del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas) sobre datos tratados por cuenta del Cliente, HQL lo comunica al Cliente en un máximo de cinco días laborables y le facilita lo que necesite para contestar en plazo. HQL no responde por su cuenta salvo que el Cliente se lo indique. Sobre los datos de la cláusula 9 responde HQL directamente.

Ayuda al Cliente con sus propias obligaciones. HQL aporta la información de la que dispone para que el Cliente pueda cumplir sus obligaciones de seguridad, notificar brechas, hacer evaluaciones de impacto o consultar a la Agencia Española de Protección de Datos cuando proceda.

Brechas de seguridad. Si HQL detecta una violación de la seguridad que afecte a datos del Cliente (destrucción, pérdida o alteración accidental o ilícita, o comunicación o acceso no autorizados; artículo 4.12 del RGPD), lo comunica al Cliente sin dilación indebida y, en todo caso, dentro de las 48 horas desde que la conoce, por correo electrónico a la persona designada por el Cliente según la cláusula 8 o, en su defecto, a quien envió la última solicitud, con la información disponible en ese momento: qué ha ocurrido, qué datos y personas pueden estar afectados, qué consecuencias puede tener y qué medidas se han tomado o se proponen. Completa la información a medida que la obtiene. El plazo se fija para que el Cliente pueda cumplir las 72 horas de notificación a la autoridad de control.

Registro y transparencia. HQL lleva el registro de las actividades de tratamiento que realiza por cuenta del Cliente (artículo 30.2 del RGPD) y lo pone a su disposición si se lo pide.

Auditoría. El Cliente puede solicitar a HQL la información necesaria para comprobar que cumple este encargo y, con un preaviso de al menos 15 días, realizar o encargar a un auditor independiente sujeto a confidencialidad una revisión, en horario laboral, sin acceso a datos de otros clientes y como máximo una vez al año, salvo incidente o requerimiento de una autoridad. Los costes de la auditoría los asume el Cliente.

6. Subencargados y transferencias internacionales

HQL utiliza proveedores tecnológicos para prestar el servicio. El Cliente autoriza con carácter general a los que figuran en la tabla y da instrucción a HQL para realizar las transferencias internacionales que se indican, con las garantías señaladas: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (DPF, Decisión de Ejecución (UE) 2023/1795) y, como respaldo, las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914, módulo 3). HQL mantiene con cada proveedor un contrato que le impone obligaciones de protección de datos equivalentes a las de este encargo (artículo 28.4 del RGPD) y responde ante el Cliente del cumplimiento de todos ellos.

Si HQL quiere añadir o sustituir un subencargado, lo comunica al Cliente con al menos 30 días de antelación por correo electrónico y publica la lista actualizada en esta misma página. Si la sustitución es urgente para mantener el servicio o su seguridad, HQL la comunica de inmediato y el plazo de oposición empieza a contar desde ese aviso. Si el Cliente se opone por motivos justificados relacionados con la protección de datos y no hay solución razonable, puede resolver el servicio afectado sin penalización.

Fuera de la tabla, HQL comunica datos a AESA y a otras autoridades solo cuando el trámite contratado lo exige (convocatorias de examen, designaciones, comunicaciones del Programa de Seguridad) y lo hace en nombre y por cuenta del Cliente; y cuando una norma se lo impone directamente a HQL, en cuyo caso avisa al Cliente según la cláusula 4. Para su propia facturación HQL usa Holded (Holded Technologies, S.L., Barcelona, Unión Europea); en ese tratamiento HQL actúa como responsable (cláusula 9).

7. Plazos de conservación y fin del encargo

• Documentación de la ficha SA-20 (copia del documento de identidad, informe de vida laboral y certificado de antecedentes penales): se borra automáticamente a los 90 días de entregarse la ficha al Cliente o, si la ficha no llega a completarse, de la última aportación del trabajador. Las copias de seguridad que la contengan se sobrescriben en un máximo de 30 días más. A partir de entonces HQL conserva solo la ficha cumplimentada y el registro de quién la completó y la validó, hasta que una comprobación posterior del mismo trabajador la sustituya y, como máximo, cinco años desde su validación, salvo instrucción distinta del Cliente.
• Datos de formación y certificados: hasta el mayor de estos dos plazos: cinco años desde la emisión del certificado (su periodo de validez) o el plazo que la normativa de seguridad aérea exija para que el Cliente pueda acreditar la formación ante AESA.
• Al terminar la prestación de servicios al Cliente, el Cliente elige si HQL le devuelve los datos, los entrega a otro encargado que designe o los destruye; HQL lo hace en los 30 días siguientes y lo certifica por escrito si se le pide. Si una norma obliga a conservar algún dato, HQL lo devuelve al Cliente para que lo conserve él. HQL solo conserva, bloqueados y durante el plazo de prescripción correspondiente, los datos necesarios para atender responsabilidades derivadas de su relación con el Cliente (artículo 33.4 de la LOPDGDD), además de los que trata como responsable según la cláusula 9.

8. Obligaciones del Cliente

• Entregar los datos por los canales previstos en la cláusula 4.
• Informar a sus trabajadores de que sus datos se comunican a HQL para los servicios contratados, y de sus derechos, y asegurarse de que existe base legal para cada servicio. Para la ficha SA-20, la base es la obligación legal del Cliente como empleador en el ámbito de la seguridad aérea (cláusula 3).
• Designar a las personas autorizadas para solicitar servicios, recibir notificaciones y validar fichas SA-20, y a la persona de contacto para incidencias de seguridad, y comunicar a HQL los cambios.
• Comunicar a HQL cualquier instrucción, incidencia o requerimiento de una autoridad que afecte a este encargo.
• Responder de la exactitud de los datos que facilita.

9. Tratamientos de los que HQL es responsable

Hay tratamientos que HQL realiza como responsable independiente, no como encargado ni corresponsable: decide por sí sola sus fines y medios, responde de ellos ante las personas afectadas y ante la Agencia Española de Protección de Datos, atiende directamente los derechos de las personas, y no se les aplican las cláusulas 5 a 7. Son estos:

• Registro de la formación impartida y verificación de certificados. HQL conserva el registro de los cursos que imparte (alumno, curso, fechas, resultado y certificado) y, cuando un tercero se lo pide, verifica la autenticidad de un certificado emitido por HQL. Base: interés legítimo de HQL, como instructor certificado por AESA, en acreditar la formación impartida y la validez de sus certificados (artículo 6.1.f del RGPD) y, en lo que la imponga, la obligación del capítulo 11 del anexo del Reglamento de Ejecución (UE) 2015/1998 (artículo 6.1.c). Conservación: cinco años desde la emisión del certificado o el plazo mayor que exija AESA. Los datos de formación pueden usarse, una vez anonimizados, para estadística.
• Datos de las personas de contacto del Cliente (nombre, cargo, correo y teléfono de empresa), para gestionar la relación comercial, la facturación y las comunicaciones del servicio. Base: interés legítimo (artículo 6.1.f del RGPD y artículo 19 de la LOPDGDD). Conservación: mientras dure la relación y, después, cuatro años para las obligaciones fiscales, cinco para las civiles y seis para la documentación contable. En las facturas puede figurar el nombre de los alumnos cuando el Cliente lo pide para justificar la formación.

Para estos tratamientos HQL informa directamente a los alumnos en el correo de bienvenida al aula virtual y en su Política de Privacidad (hql.es). El Cliente colabora facilitando esa información a su personal si HQL se lo pide.

10. Responsabilidad

Cada parte responde de las infracciones que cometa de la normativa de protección de datos y de este encargo. HQL responde ante el Cliente de los daños causados por un tratamiento realizado fuera de sus instrucciones o incumpliendo las obligaciones que el RGPD impone específicamente a los encargados (artículo 82 del RGPD). El Cliente responde de la licitud del tratamiento que encarga y de haber informado a sus trabajadores. En la relación entre las partes, la responsabilidad de HQL se limita al mayor de estos importes: lo facturado al Cliente en los doce meses anteriores al hecho que la origine o 3.000 euros; salvo dolo o culpa grave, y sin perjuicio de los derechos de las personas afectadas.

11. Duración, modificaciones y ley aplicable

Este encargo entra en vigor cuando el Cliente lo acepta y dura mientras HQL preste servicios al Cliente o conserve datos tratados por su cuenta. Las obligaciones de confidencialidad subsisten después. Este encargo no sustituye a ningún encargo de tratamiento firmado por las partes, anterior o posterior: si existe, prevalece el firmado y este documento solo se aplica en lo que aquel no regule.

HQL puede actualizar este texto para adaptarlo a cambios normativos, de servicios o de proveedores. Cada versión lleva número y fecha, se publica en hql.es/encargo-tratamiento, con su PDF, y las versiones anteriores quedan disponibles en esa misma página. HQL comunica cada nueva versión al Cliente por correo electrónico con 30 días de antelación; si el Cliente no está de acuerdo, puede oponerse dentro de ese plazo y resolver los servicios afectados sin penalización. Cada solicitud de servicios que el Cliente envíe después de esa fecha se entiende hecha bajo la versión vigente en ese momento.

Este encargo se rige por la ley española y por la normativa de la Unión Europea en materia de protección de datos. La autoridad de control es la Agencia Española de Protección de Datos (aepd.es). Para cualquier controversia, las partes se someten a los juzgados y tribunales de Ciudad Real.

12. Aceptación

El Cliente acepta este encargo de cualquiera de estas formas:

• enviando a HQL una solicitud de formación en la plantilla oficial, cuya casilla «Encargo de tratamiento de datos» indica «ACEPTO» y remite a este documento y a su versión vigente; el envío de la solicitud por una persona autorizada del Cliente con esa casilla es la aceptación;
• por correo electrónico a [email protected] o [email protected] indicando «Acepto el encargo de tratamiento de datos de HQL, versión 1.0», con nombre y cargo de quien acepta;
• firmando este documento, si el Cliente lo prefiere.

La persona que acepta declara tener facultades para hacerlo en nombre del Cliente. Si no las tuviera, el Cliente ratifica la aceptación al seguir solicitando o recibiendo servicios de HQL después de recibir esa confirmación. HQL deja constancia de la versión aceptada en la confirmación de cada solicitud que envía por correo electrónico al Cliente (a la dirección indicada para notificaciones o, en su defecto, a quien envió la solicitud), y conserva el registro de la fecha, la versión y la persona que acepta.

Historial de versiones: 1.0 · 5 de octubre de 2026 · primera versión publicada (PDF: hql.es/encargo-tratamiento/v1-0.pdf).

Contacto para cualquier cuestión sobre este encargo o sobre protección de datos: [email protected] · Hard Questions Lab, S.L. · Calle Carlos Vázquez 7, 1.º, oficina 8, 13001 Ciudad Real.