Contrato de encargado del tratamiento

1. Objeto y partes

Este contrato regula el tratamiento de datos personales que el ENCARGADO (PicABR) realiza por cuenta del RESPONSABLE (la gestoría o despacho profesional que contrata el servicio), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD).

El RESPONSABLE decide qué datos introduce en la aplicación y con qué finalidad. El ENCARGADO se limita a tratarlos siguiendo sus instrucciones para prestar el servicio contratado.

2. Finalidad del tratamiento

El ENCARGADO trata los datos con la única finalidad de prestar el servicio de recepción, digitalización, extracción automática, revisión, almacenamiento y exportación de facturas y documentos contables que el RESPONSABLE y sus clientes suban a la aplicación.

El ENCARGADO no utilizará los datos para ninguna finalidad propia, ni para elaborar perfiles, ni para entrenar modelos de inteligencia artificial.

3. Datos y personas afectadas

Por la naturaleza del servicio, el tratamiento afecta principalmente a datos identificativos y económicos contenidos en documentos mercantiles:

• Datos de contacto y de acceso de los usuarios del RESPONSABLE y de sus clientes (nombre, correo electrónico, contraseña cifrada).
• Datos identificativos y fiscales que figuren en las facturas: nombre o razón social, NIF, domicilio.
• Datos económicos: importes, bases, cuotas de IVA, retenciones, fechas y conceptos.
• Registros de actividad en la aplicación (quién hizo qué y cuándo).

4. Duración

Este contrato está vigente mientras lo esté la licencia de uso de PicABR. Al terminar, el ENCARGADO procederá según la cláusula 10.

5. Obligaciones del encargado

El ENCARGADO se compromete a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del RESPONSABLE, y no aplicarlos ni utilizarlos con otro fin.
• Mantener la confidencialidad, extendiéndola a toda persona autorizada a acceder a los datos, con obligación que subsiste tras el fin de la relación.
• Garantizar que las personas autorizadas reciben la formación necesaria en protección de datos.
• No comunicar los datos a terceros, salvo a los subencargados de la cláusula 7, con autorización del RESPONSABLE o por obligación legal.
• Llevar un registro de las categorías de tratamientos efectuados por cuenta del RESPONSABLE.
• Asistir al RESPONSABLE en la realización de evaluaciones de impacto y en las consultas previas a la autoridad de control, cuando proceda.
• Poner a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías o inspecciones que el RESPONSABLE decida, previo aviso razonable.

6. Medidas de seguridad

El ENCARGADO aplica las medidas técnicas y organizativas apropiadas al riesgo (artículo 32 del RGPD), entre ellas:

• Cifrado de las comunicaciones mediante TLS en todos los accesos.
• Cifrado de los datos en reposo en la base de datos y en el almacenamiento de documentos.
• Contraseñas almacenadas exclusivamente mediante función de derivación con sal (bcrypt); nunca en claro ni recuperables.
• Separación estricta de los datos de cada organización cliente: cada consulta está acotada a su organización.
• Control de acceso por perfiles: el personal de la gestoría y sus clientes solo ven lo que les corresponde.
• Registro de actividad de las acciones relevantes sobre los datos.
• Copias de seguridad periódicas y cifradas, sin contraseñas, con procedimiento de restauración comprobado.
• Revisión y actualización de dependencias y componentes de seguridad.

7. Subencargados

El RESPONSABLE autoriza al ENCARGADO a recurrir a los proveedores relacionados a continuación, necesarios para prestar el servicio. Todos ellos han suscrito compromisos equivalentes a los de este contrato.

El ENCARGADO informará al RESPONSABLE de cualquier cambio previsto en esta relación, con antelación suficiente para que pueda oponerse.

8. Transferencias internacionales

Algunos subencargados están establecidos fuera del Espacio Económico Europeo. Dichas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en decisiones de adecuación, junto con las medidas complementarias que procedan.

9. Derechos de las personas y brechas de seguridad

El ENCARGADO asistirá al RESPONSABLE para atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una persona afectada dirige su solicitud al ENCARGADO, este la remitirá al RESPONSABLE sin dilación.

El ENCARGADO notificará al RESPONSABLE, sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener conocimiento, cualquier violación de la seguridad de los datos, junto con la información disponible para que el RESPONSABLE pueda cumplir su deber de notificación.

10. Devolución y supresión al finalizar

Al terminar la prestación, el ENCARGADO pondrá a disposición del RESPONSABLE la totalidad de sus datos en formato de uso común (exportación en Excel y descarga de los documentos originales) durante un plazo de 30 días.

Transcurrido ese plazo, el ENCARGADO suprimirá los datos y los documentos, incluidas las copias de seguridad, salvo aquellos que deba conservar por obligación legal, que quedarán bloqueados.

11. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus propias obligaciones, en los términos del artículo 82 del RGPD. El ENCARGADO responderá como responsable del tratamiento si utilizara los datos para fines propios o al margen de las instrucciones recibidas.

12. Legislación y jurisdicción

Este contrato se rige por el Derecho español y por la normativa europea de protección de datos. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio del ENCARGADO, salvo norma imperativa en contrario.