Contrato de encargo del tratamiento

Este contrato, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, se celebra entre el cliente que se da de alta en factuAI (el responsable) y Seralti SL, NIF B26826313, Calle Alonso Cano 49, 28003 Madrid (el encargado). Se acepta electrónicamente al crear la cuenta, junto con las condiciones de contratación, y queda registrada la versión aceptada.

1. Objeto

El encargado trata, por cuenta del responsable, los datos personales necesarios para prestar factuAI: preparar y emitir facturas, generar los registros de facturación VERI*FACTU y remitirlos a la Agencia Tributaria, custodiar el certificado electrónico del obligado tributario y generar los documentos asociados.

2. Duración

La misma que el contrato de prestación de factuAI. Al terminar se aplica la cláusula 9.

3. Descripción del tratamiento

• Finalidad: la prestación del servicio descrita en la cláusula 1.
• Datos: identificativos y de contacto (nombre o razón social, NIF, dirección, correo, teléfono), económicos de facturación (conceptos, importes e impuestos) y el certificado electrónico del obligado con su contraseña.
• Interesados: clientes, proveedores y destinatarios de las facturas del responsable, y personas de contacto del propio responsable.
• No se prevén categorías especiales de datos (artículo 9 del RGPD).

4. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son las que resultan del uso de la aplicación, salvo obligación legal, de la que informará antes si la ley no lo prohíbe.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 6 (artículo 32 del RGPD).
• No recurrir a otro encargado sin autorización. El responsable autoriza con carácter general a los subencargados de la cláusula 7; el encargado le informará con antelación de cualquier alta o sustitución, y el responsable podrá oponerse por motivos justificados.
• Ayudar al responsable a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad) con las funciones de la aplicación o, si no bastan, colaborando con él.
• Ayudar al responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad y, en su caso, de evaluación de impacto (artículos 32 a 36).
• Notificar al responsable sin dilación indebida cualquier violación de seguridad de los datos de la que tenga conocimiento, con la información necesaria para que pueda, en su caso, notificarla a la autoridad de control en 72 horas.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

5. Conservación por obligación fiscal

El derecho de supresión no alcanza a los registros de facturación cuya conservación impone la normativa (Real Decreto 1007/2023 y normativa tributaria). Se conservan durante el plazo legal aunque se pida su supresión o termine el contrato. El responsable lo acepta y lo trasladará a los interesados en su propia información de privacidad.

6. Medidas de seguridad

• Certificado y contraseña cifrados con una clave por secreto, a su vez cifrada con una clave maestra (cifrado por sobre), y borrado criptográfico al retirarlos.
• Aislamiento de los datos de cada cliente y de cada obligado tributario.
• Acceso por roles, con los permisos mínimos para cada función.
• Sesiones revocables y contraseñas guardadas con un algoritmo resistente (argon2id).
• Cifrado en tránsito (TLS).
• Registro de auditoría inalterable de las acciones fiscales y de los accesos relevantes.

7. Subencargados

• Hostinger International Ltd.: alojamiento del servicio y envío de correo.

Si el responsable llega a disponer de la lectura automática de documentos con inteligencia artificial, esta función requerirá un subencargado adicional, del que se informará antes de activarla, con su ubicación y las garantías de la transferencia.

8. Transferencias internacionales

Cualquier tratamiento fuera del Espacio Económico Europeo se hará con las garantías del capítulo V del RGPD, de las que se informará antes al responsable.

9. Fin del encargo

Terminado el servicio, el encargado devolverá los datos al responsable, en un formato estructurado, o los suprimirá, a su elección, salvo los que deban conservarse por la cláusula 5. El certificado se destruye por borrado criptográfico.

10. Responsabilidad

Cada parte responde del cumplimiento de las obligaciones que le impone el RGPD, conforme a su artículo 82 y a las condiciones de contratación.