Contrato de encargado del tratamiento

Este contrato, que forma parte de las condiciones del servicio, regula cómo tratamos por cuenta de tu empresa los datos personales que guardas en Cuadernio, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018.

1. Partes

• Responsable del tratamiento: la empresa o el autónomo titular de la cuenta (en adelante, «el cliente»).
• Encargado del tratamiento: Festinalente42 S.L., CIF B72922792, Santiago 36, 41300 La Rinconada (Sevilla), que presta el servicio Cuadernio. Contacto: hola@cuadernio.com.

2. Objeto, naturaleza y finalidad

El encargado aloja y trata los datos que el cliente introduce en Cuadernio con la única finalidad de prestarle el servicio: emitir y guardar facturas, enviar los registros VERI*FACTU a la Agencia Tributaria en su nombre, registrar gastos y justificantes, preparar la información fiscal, gestionar socios y repartos, guardar documentos, enviar facturas por correo a sus clientes, guardar y leer ficheros en el Google Drive que el cliente conecte (y clasificar los documentos que ya tenga en él) y permitir la exportación.

3. Datos y personas afectadas

• Personas: clientes, proveedores, socios y usuarios del cliente, y las personas de contacto que figuren en sus documentos.
• Datos: identificativos y de contacto (nombre o razón social, NIF, domicilio, correo), económicos y fiscales (facturas, importes, retenciones, participaciones, dividendos, cuentas bancarias que el cliente incluya) y los que contengan los documentos que el cliente suba.
• El servicio no está pensado para categorías especiales de datos. El cliente no debe subirlas salvo que sea imprescindible y bajo su responsabilidad.

4. Duración

Mientras esté vigente la suscripción. Al terminar, se aplica el apartado 9.

5. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son estas condiciones y el uso que hace de la aplicación, y nunca para fines propios. Si una instrucción le parece contraria a la ley, se lo dirá.
• Guardar confidencialidad y exigirla a las personas autorizadas para tratar los datos.
• Aplicar medidas de seguridad adecuadas al riesgo (apartado 7).
• Ayudar al cliente a atender los derechos de las personas afectadas: la aplicación le permite consultar, corregir, exportar y borrar sus datos. Si una persona se dirige al encargado, se lo trasladará al cliente sin demora.
• Avisar al cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga constancia, de cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que pueda cumplir sus obligaciones.
• Ayudar al cliente, en lo que sea razonable, con las evaluaciones de impacto y consultas previas que necesite.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisadas con antelación y a cargo del cliente.

6. Subencargados

El cliente autoriza al encargado a recurrir a estos subencargados, que asumen obligaciones equivalentes a las de este contrato:

• OVH: alojamiento del servidor y copias de seguridad, en Francia (Unión Europea).
• OpenRouter y el proveedor del modelo que utiliza (actualmente Google para la lectura y el que elija el enrutador Jev de TypeSafe para la clasificación): solo cuando el cliente usa la lectura automática de justificantes o conecta su Google Drive, para extraer los datos de la imagen o el PDF o clasificar el documento. Puede implicar una transferencia internacional a Estados Unidos, amparada en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo. El cliente puede no usar esta función.

Google Drive no es subencargado: es un servicio que el cliente contrata con Google, conecta si quiere y en el que elige la carpeta; el encargado solo guarda y lee ficheros en él con el permiso que el cliente le da y que puede retirar en cualquier momento. Los correos se envían desde el propio servidor del encargado. La Agencia Tributaria no es subencargada: recibe los registros VERI*FACTU como destinataria, por obligación legal del cliente. El encargado avisará al cliente de cualquier cambio de subencargados con al menos 30 días de antelación, y el cliente podrá oponerse dándose de baja.

7. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS) y cifrado del certificado digital del cliente, de la referencia de su tarjeta y del permiso de su Google Drive.
• Separación de los datos de cada empresa en la aplicación, con controles que impiden que una empresa vea o modifique los datos de otra.
• Acceso por usuario y contraseña, con bloqueo tras intentos fallidos, y permisos por papel (titular, usuario, gestoría).
• Registro de las acciones del soporte. El soporte solo entra en la cuenta con permisos limitados, y el titular recibe un aviso cada vez.
• Copias de seguridad diarias y procedimiento de restauración probado.
• Actualización del software y revisión de la seguridad antes de cada cambio.

8. Transferencias internacionales

Salvo lo indicado para la lectura automática de justificantes y la clasificación de documentos, los datos se tratan en la Unión Europea (los que el cliente guarda en su Google Drive quedan donde Google los aloje, según su contrato con Google).

9. Fin del encargo

Al terminar la suscripción, el cliente dispone de 90 días para exportar todos sus datos desde la aplicación. Pasado ese plazo, el encargado los suprime definitivamente, incluidos los ficheros, y su certificado digital se sobrescribe antes de borrarlo. Las copias de seguridad se renuevan a diario, así que los datos desaparecen también de ellas en los días siguientes. El encargado solo conservará, bloqueados, los datos que una ley le obligue a guardar.

10. Responsabilidad

Cada parte responde de sus obligaciones conforme al RGPD. Si el encargado trata los datos para otra finalidad o incumple este contrato, será considerado responsable de ese tratamiento.