Contrato de encargo del tratamiento

1. Partes

• Responsable del tratamiento: la asesoría, despacho o profesional titular de la cuenta.
• Encargada del tratamiento: Adrián Rojas Martínez, NIF 43188784M, con domicilio en C/ Reina Laura, 8, 3, 07007 Palma de Mallorca, Illes Balears y correo kkuadria@gmail.com.

2. Objeto y duración

La encargada trata datos personales por cuenta del responsable con la única finalidad de prestar el servicio: recibir documentos de factura, extraer sus datos, permitir su revisión y generar ficheros de importación contable.

El encargo dura mientras exista la cuenta y termina con su baja o con la resolución del contrato de servicio.

3. Datos y personas afectadas

No se solicitan ni se tratan de forma deliberada categorías especiales de datos del artículo 9 del RGPD. Si aparecieran incidentalmente en un documento, recibirán el mismo tratamiento confidencial que el resto.

4. Obligaciones de la encargada

Kuadria se compromete a:

1. Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las que se dan al configurar y usar la aplicación. Si una instrucción infringe la normativa, se lo comunicará de inmediato.
2. No usar los datos para fines propios, no cederlos a terceros y no emplearlos para entrenar modelos de inteligencia artificial propios ni de terceros.
3. Garantizar que quien accede a los datos está sujeto a deber de confidencialidad, con carácter indefinido y también tras finalizar la relación.
4. Aplicar las medidas de seguridad del artículo 32, detalladas en la cláusula 7.
5. Asistir al responsable en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La aplicación permite exportar y suprimir los datos directamente, sin necesidad de solicitud previa.
6. Ayudarle a cumplir con las evaluaciones de impacto y consultas previas que procedan, facilitando la información técnica necesaria.
7. Notificar sin dilación indebida cualquier violación de seguridad que afecte a estos datos, con la información necesaria para que el responsable pueda notificarla a la autoridad en el plazo de 72 horas.
8. Poner a su disposición la información necesaria para acreditar el cumplimiento y permitir auditorías, previo aviso razonable.
9. Al terminar el encargo, devolver o suprimir los datos según elija el responsable, salvo que deba conservarlos por obligación legal.

5. Obligaciones del responsable

1. Disponer de base jurídica para incorporar los datos a la aplicación e informar debidamente a sus clientes.
2. Velar por el cumplimiento previo y durante el tratamiento, y por que las instrucciones que dé sean conformes a la normativa.
3. Supervisar el tratamiento, incluida la revisión de los datos extraídos automáticamente antes de incorporarlos a la contabilidad.
4. Custodiar las credenciales de acceso de su personal.

6. Subencargados

El responsable autoriza a la encargada a servirse de los proveedores que se enumeran a continuación, con los que existe contrato que impone las mismas obligaciones recogidas aquí:

Cualquier alta o cambio de subencargado se comunicará con 30 días de antelación. Si el responsable no está conforme, podrá resolver el contrato sin penalización antes de que el cambio surta efecto.

7. Medidas de seguridad

• Cifrado de las comunicaciones mediante TLS.
• Contraseñas almacenadas con función de derivación bcrypt, nunca en claro ni reversibles.
• Control de acceso por cuenta, con separación estricta de los datos de cada asesoría.
• Registro de auditoría de las acciones que alteran o difunden datos, con usuario, fecha y dirección IP.
• Datos alojados en servidores situados en la Unión Europea.
• Copias de seguridad y capacidad de restaurar el servicio.
• Supresión efectiva de los documentos, incluidas las imágenes almacenadas, cuando se borran desde la aplicación.

8. Transferencias internacionales

El almacenamiento y el tratamiento principal se realizan en la Unión Europea. La lectura automática de documentos y el envío de correo pueden implicar tratamiento en Estados Unidos por parte de los proveedores indicados, amparado en cláusulas contractuales tipo de la Comisión Europea y, en su caso, en el marco de adecuación aplicable.

9. Fin del encargo

A la baja de la cuenta, los datos se suprimen de forma inmediata e irreversible, incluidas las imágenes. El responsable puede exportar previamente toda la información en formato estructurado desde la propia aplicación. Si prefiere que la encargada conserve los datos durante un plazo de gracia antes de suprimirlos, debe solicitarlo por escrito.

10. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables. La encargada responde del daño causado cuando no haya cumplido las obligaciones que el RGPD impone específicamente a los encargados o haya actuado al margen de las instrucciones del responsable.