Depende de lo que te pidan. Son tres documentos distintos y se confunden mucho.
"El contrato de encargado de tratamiento"
Es el Anexo de Tratamiento de Datos Personales. Lo descargas con tus datos desde Protección de datos. Es el que acredita la relación entre tu empresa y Avantys conforme al artículo 28 del RGPD, y el que te van a pedir el 90% de las veces.
"Las garantías del proveedor" o "las medidas de seguridad"
Están en el Anexo II, que va dentro de ese mismo PDF. Si quieren algo más formal, el Registro de Actividades de Tratamiento recoge qué tratamientos hacemos por tu cuenta, con qué datos, dónde están y qué medidas se aplican. Lo descargas del mismo sitio. Es el mismo para todos los clientes, así que no lleva tus datos: eso es normal y es lo que corresponde al artículo 30.2.
"La lista de subcontratistas"
Es el Anexo I. Ese no se descarga: se solicita y te lo mandamos. Está explicado en su propio artículo.
Lo que NO te podemos dar
La evaluación de impacto (la EIPD del artículo 35) de tu tratamiento. No es que no queramos: es que le corresponde al responsable, o sea a ti, porque depende de para qué uses tú los datos, y eso lo sabes tú y no nosotros. Lo que sí hacemos es asistirte con la información técnica que necesites para hacerla.
