Contrato de encargo del tratamiento

1. Objeto del encargo

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestarle el servicio Inhumario Facturas: alojamiento, almacenamiento, consulta, organización, generación de documentos (facturas, presupuestos, contratos y registros de facturación), envío de correos en nombre del Responsable, remisión de registros a la Agencia Tributaria, lectura automatizada de documentos, copias de seguridad y supresión.

2. Datos e interesados

Categorías de interesados: clientes, proveedores, firmantes de contratos, personas de contacto y usuarios de la cuenta del Responsable.

Categorías de datos: identificativos (nombre, NIF), de contacto (dirección, correo, teléfono), económicos y de transacciones (importes, conceptos, IBAN, estado de pago), datos de firma (nombre y NIF del firmante, fecha, dirección IP y navegador) y cualquier otro dato que el Responsable incluya en sus documentos.

El Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD). El Responsable se compromete a no introducirlas salvo que sea imprescindible y tenga base legal para ello.

3. Duración

El encargo dura lo mismo que la suscripción o la prueba gratuita. Al terminar, se aplica el apartado «Destino de los datos».

4. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son las que resultan de este contrato y del uso que haga de la aplicación. Si una instrucción le parece contraria a la normativa, lo comunicará de inmediato.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
4. Aplicar las medidas de seguridad del apartado siguiente.
5. Ayudar al Responsable a responder a las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige al Encargado, se lo trasladará al Responsable en un plazo máximo de 5 días hábiles.
6. Notificar al Responsable, sin dilación indebida y en todo caso antes de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información disponible para que pueda documentarla y, si procede, notificarla a la autoridad.
7. Ayudar al Responsable, cuando proceda, en las evaluaciones de impacto y consultas previas.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de 30 días, a cargo del Responsable y sin comprometer la seguridad ni los datos de otros clientes.
9. Llevar el registro de actividades de tratamiento que efectúa por cuenta del Responsable cuando le resulte obligatorio.

5. Medidas de seguridad

• Alojamiento en servidores ubicados en la Unión Europea.
• Cifrado de las comunicaciones (HTTPS/TLS) y de los certificados electrónicos almacenados (AES-256).
• Contraseñas guardadas con función hash robusta; limitación de intentos de acceso.
• Separación lógica de los datos de cada empresa y control de accesos por roles.
• Copias de seguridad periódicas y procedimientos de restauración.
• Actualización regular del software y acceso administrativo restringido.

6. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados:

El Encargado impone a cada subencargado las mismas obligaciones de protección de datos que asume en este contrato y sigue respondiendo ante el Responsable de su cumplimiento. Si el Responsable configura su propio servidor de correo, los envíos se hacen a través de él y Google no interviene.

El Encargado avisará por correo de cualquier alta o sustitución de subencargados con al menos 15 días de antelación. El Responsable podrá oponerse por motivos justificados y, si no hay solución, cancelar el servicio sin penalización.

7. Remisión a la Agencia Tributaria

Cuando el Responsable activa Veri*factu, el Encargado remite en su nombre, con el certificado electrónico que el Responsable aporta, los registros de facturación a la Agencia Estatal de Administración Tributaria. La AEAT no es subencargada: recibe los datos como destinataria por obligación legal del Responsable.

8. Obligaciones del Responsable

• Facilitar al Encargado solo los datos necesarios y contar con base legal para tratarlos.
• Informar a los interesados y atender sus derechos, con la ayuda del Encargado.
• Custodiar las credenciales de acceso y el certificado electrónico, y gestionar los permisos de sus usuarios.
• Supervisar el tratamiento, incluidas las auditorías que considere oportunas en los términos anteriores.

9. Destino de los datos

Al terminar el servicio, el Responsable dispone de 30 días en modo solo lectura para exportar sus datos. Transcurrido ese plazo, el Encargado los suprimirá, incluidas las copias (en su ciclo ordinario de rotación), salvo que una norma exija conservarlos, en cuyo caso los mantendrá bloqueados durante el tiempo exigido. A petición del Responsable, certificará la supresión.

10. Responsabilidad y ley aplicable

Si el Encargado usa los datos para otra finalidad, los comunica o incumple este contrato, será considerado responsable del tratamiento en lo que se refiere a ese incumplimiento. Este contrato se rige por la ley española y la jurisdicción pactada en los Términos y condiciones.