Contrato de encargo del tratamiento
Este contrato se celebra entre la empresa o profesional que contrata BillyFactu (el «Responsable») y Estrategias del Departamento Creativo, S.L.U., NIF B54928361, con domicilio en Avenida Teodomiro, 16, 2.º izquierda, 03300 Orihuela (Alicante), España (el «Encargado»). Lo acepta electrónicamente, en nombre del Responsable, la persona administradora de su cuenta; la aplicación guarda la fecha, la versión y quién lo aceptó. Forma parte de las Condiciones del servicio.
1. Objeto
El Encargado tratará datos personales por cuenta del Responsable únicamente para prestarle el servicio de facturación BillyFactu, siguiendo sus instrucciones documentadas, que son este contrato y el uso que el Responsable haga de la aplicación.
2. Detalle del tratamiento
- Naturaleza y operaciones: alojamiento, registro, organización, conservación, consulta, generación de documentos, envío por correo a los destinatarios que indique el Responsable, remisión de registros de facturación a la Agencia Tributaria cuando active VERI*FACTU, exportación y supresión.
- Finalidad: emitir, conservar y gestionar las facturas, presupuestos y cobros del Responsable.
- Tipos de datos: identificativos y de contacto de los clientes del Responsable y de sus personas de contacto (nombre, NIF o documento, dirección, correo, teléfono), datos económicos de las operaciones facturadas (conceptos, importes, formas de pago, cuentas bancarias que figuren en los documentos) y datos de acceso de los usuarios del Responsable.
- Categorías de interesados: clientes y potenciales clientes del Responsable, sus personas de contacto y los usuarios del Responsable.
- Datos de categorías especiales: el servicio no está pensado para ellos. Si el Responsable es, por ejemplo, un centro sanitario, deberá evitar que los conceptos de sus facturas revelen información de salud más allá de lo imprescindible.
- Duración: la del contrato de servicio, más el período de devolución previsto en la cláusula 10.
3. Obligaciones del Encargado
- Tratar los datos solo para la finalidad del encargo y según las instrucciones del Responsable. Si una instrucción infringe la normativa, se lo informará de inmediato.
- No comunicar los datos a terceros salvo a los subencargados autorizados, a los destinatarios que el propio Responsable indique (por ejemplo, al enviar una factura) y a la Agencia Tributaria en la remisión de registros de facturación, o cuando lo exija la ley.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad y reciben la formación necesaria.
- Aplicar las medidas de seguridad del Anexo, adecuadas al riesgo (art. 32 RGPD).
- Llevar el registro de actividades de tratamiento que efectúa por cuenta del Responsable (art. 30.2 RGPD).
- Asistir al Responsable, en la medida de lo posible, para atender los derechos de los interesados, notificar brechas y, si procede, realizar evaluaciones de impacto o consultas previas.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de 30 días, a su cargo y sin comprometer la seguridad ni los datos de otros clientes.
4. Subencargados
El Responsable autoriza de forma general la subcontratación con los proveedores de la lista de subencargados, que hoy son: Supabase, Vercel, Amazon Web Services (Amazon SES), OpenAI, Enable Banking, Resend. El Encargado les impone por contrato las mismas obligaciones de este documento y responde de su cumplimiento. Cualquier cambio se avisará con 30 días de antelación; el Responsable podrá oponerse de forma motivada y, si no hay solución, resolver el contrato sin penalización.
5. Transferencias internacionales
La base de datos y los documentos se alojan en la Unión Europea (Irlanda). Cuando un subencargado con matriz fuera del Espacio Económico Europeo procesa metadatos técnicos o accede para dar soporte, la transferencia se ampara en una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias que procedan (cifrado, minimización y evaluación del impacto de la transferencia). El detalle de cada proveedor está en la lista de subencargados.
6. Derechos de los interesados
Si un interesado se dirige al Encargado para ejercer sus derechos, este lo remitirá al Responsable en un plazo máximo de cinco días hábiles. La aplicación permite al Responsable consultar, rectificar, exportar y archivar los datos de sus contactos.
7. Violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible: naturaleza del incidente, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas y persona de contacto. Corresponde al Responsable notificar a la autoridad de control y a los interesados cuando proceda (arts. 33 y 34 RGPD).
8. Obligaciones del Responsable
- Disponer de base legal para los datos que introduce y haber informado a sus interesados.
- Introducir datos exactos y los mínimos necesarios.
- Gestionar con diligencia los accesos de sus usuarios.
- Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.
9. Confidencialidad
El Encargado mantendrá el secreto sobre los datos tratados incluso después de terminar el contrato.
10. Fin del encargo
Al terminar el servicio, el Responsable dispondrá de 60 días para descargar toda su información desde la aplicación (documentos en PDF, listados en Excel o CSV y datos de contactos, productos y cobros) y el Encargado se la devolverá en esos formatos si lo pide. Transcurrido ese plazo, el Encargado suprimirá los datos; las copias de seguridad se purgan al cumplirse su ciclo de retención. Como la ley obliga al Responsable a conservar sus facturas, el Encargado no las destruirá sin haberlas puesto antes a su disposición y, si el Responsable lo pide por escrito, las conservará bloqueadas mientras puedan derivarse responsabilidades (art. 33.3 y 33.4 LOPDGDD). Los registros de facturación ya remitidos a la Agencia Tributaria los conserva esta.
11. Responsabilidad
Si el Encargado destina los datos a otra finalidad, los comunica o los utiliza incumpliendo este contrato, será considerado responsable del tratamiento y responderá de las infracciones en que haya incurrido personalmente.
Anexo · Medidas de seguridad
- Cifrado: conexiones cifradas (TLS 1.2 o superior) y datos cifrados en reposo en el proveedor de base de datos.
- Aislamiento: cada empresa solo ve sus datos; lo impone la propia base de datos con políticas de seguridad por fila, no solo la aplicación.
- Control de acceso: roles (propietario, administración, facturación, lectura), contraseñas guardadas con función de resumen robusta, enlaces de acceso de un solo uso y cierre de sesión.
- Integridad: las facturas emitidas no se pueden modificar ni borrar, la numeración es correlativa y se deja rastro de quién emite, anula, cobra o envía cada documento.
- Mínimo acceso: el personal del Encargado solo accede a los datos del Responsable para dar soporte a petición suya o para resolver una incidencia técnica, con cuentas personales y el acceso mínimo imprescindible.
- Claves de integración: las claves de API se guardan resumidas, nunca en claro, y se pueden revocar.
- Copias de seguridad diarias en la región europea del proveedor y procedimiento de restauración.
- Gestión de incidentes y revisión periódica de dependencias y configuración.