Contrato de encargo del tratamiento

Este contrato forma parte de las condiciones generales de contratación de Pleia y se acepta junto con ellas al crear la cuenta. Regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de los datos personales que el cliente incorpora al servicio.

1. Partes

• Responsable del tratamiento: el cliente que contrata Pleia (en adelante, «el Responsable»).
• Encargado del tratamiento: DLC DIGITAL SL, NIF B19841113, con domicilio en Paseo Gran Vía, 41, 1.º D, 50006 Zaragoza (Zaragoza) (en adelante, «el Encargado»).

2. Objeto, naturaleza y finalidad

El Encargado trata los datos personales necesarios para prestar el servicio Pleia por cuenta del Responsable: alojarlos y custodiarlos, emitir y conservar sus facturas, generar los registros de facturación y remitirlos a la Agencia Estatal de Administración Tributaria en la modalidad VERI*FACTU en nombre del Responsable, enviar las facturas a sus destinatarios cuando el Responsable lo ordene y las demás funciones que el Responsable utilice en la aplicación.

El tratamiento consiste en la recogida (cuando el Responsable introduce o importa los datos), registro, organización, conservación, consulta, comunicación a la AEAT y a los destinatarios que el Responsable indique, copia de seguridad y supresión.

3. Datos y personas afectadas

• Clientes y destinatarios de las facturas del Responsable: nombre o razón social, número de identificación fiscal, domicilio, correo electrónico, teléfono y datos de las operaciones facturadas (conceptos, importes, fechas y estado de cobro).
• Proveedores del Responsable: nombre o razón social, número de identificación fiscal, datos de las facturas recibidas y los documentos que el Responsable adjunte.
• Usuarios que el Responsable invita a su cuenta: correo electrónico, rol y actividad en la aplicación.

El servicio no está concebido para tratar categorías especiales de datos (art. 9 RGPD). El Responsable se compromete a no incluirlas en conceptos, observaciones ni documentos adjuntos salvo que sea imprescindible para documentar la operación.

4. Duración

Este contrato dura lo mismo que el contrato de servicio. A su terminación se aplica la cláusula 11.

5. Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son estas condiciones y las acciones que el Responsable realiza en la aplicación, y no utilizarlos para fines propios. Si considera que una instrucción infringe la normativa de protección de datos, informará de inmediato al Responsable.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 7.
• Recurrir a otros encargados solo en los términos de la cláusula 8.
• Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, para que pueda atender las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige al Encargado, este le dará traslado de la solicitud al Responsable sin dilación.
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad y, en su caso, de evaluación de impacto y consulta previa, con la información de que disponga.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir las auditorías razonables que el Responsable o un auditor que este designe soliciten, con un preaviso suficiente y sin comprometer la seguridad ni los datos de otros clientes.
• Llevar el registro de las actividades de tratamiento efectuadas por cuenta de sus clientes (art. 30.2 RGPD).

6. Obligaciones del Responsable

• Facilitar al Encargado los datos de forma lícita y contar con una base jurídica para su tratamiento.
• Informar a los interesados del tratamiento en lo que le corresponda como responsable.
• Velar por que los datos sean exactos y estén actualizados, y gestionar los usuarios que da de alta en su cuenta.
• Supervisar el tratamiento y el cumplimiento de este contrato por el Encargado.

7. Medidas de seguridad

El Encargado aplica, entre otras, las siguientes medidas técnicas y organizativas (art. 32 RGPD):

• Cifrado de las comunicaciones (HTTPS) con la aplicación y con la AEAT.
• Separación lógica de los datos de cada cliente: ninguna consulta puede acceder a los de otro.
• Contraseñas guardadas con un algoritmo de un solo sentido, bloqueo tras intentos fallidos y sesiones que caducan.
• Registros de facturación inalterables y encadenados, con verificación periódica de su integridad.
• Acceso a los servidores restringido al personal del Encargado, con clave y desde equipos autorizados.
• Copias de seguridad automáticas y verificadas, con una copia fuera del servidor principal, y procedimiento de restauración probado.
• Registro de la actividad de la aplicación para detectar y analizar incidencias.

El Encargado podrá actualizar estas medidas siempre que no reduzca el nivel de seguridad.

8. Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, con los que el Encargado ha suscrito las garantías del artículo 28.4 del RGPD:

El Encargado informará al Responsable, con al menos treinta días de antelación, de cualquier alta o sustitución de subencargados, para que pueda oponerse; si la oposición impidiera prestar el servicio, el Responsable podrá resolver el contrato sin penalización.

La AEAT no es un subencargado: es la destinataria de los registros de facturación que la normativa obliga a remitir, y el Encargado se los envía en nombre del Responsable.

9. Transferencias internacionales

Los datos se tratan dentro del Espacio Económico Europeo. Si algún subencargado perteneciente a un grupo de fuera del Espacio Económico Europeo accediera a ellos desde fuera, la transferencia se ampararía en las cláusulas contractuales tipo de la Comisión Europea o en otra garantía del capítulo V del RGPD.

10. Violaciones de seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, las violaciones de la seguridad de los datos personales a su cargo, con la información disponible sobre su naturaleza, las categorías y el número aproximado de interesados y registros afectados, sus posibles consecuencias y las medidas adoptadas o propuestas. Si no puede facilitar toda la información a la vez, la dará de forma gradual.

11. Destino de los datos al terminar

Al terminar el contrato, el Responsable puede descargar sus facturas, registros y demás datos desde la aplicación durante treinta días naturales. Transcurrido ese plazo, el Encargado suprimirá los datos, incluidas las copias, una vez caducadas por su propia rotación, salvo que una norma le obligue a conservarlos, en cuyo caso los mantendrá bloqueados durante el plazo legal.

Se recuerda que la obligación de conservar las facturas y los registros de facturación durante el plazo exigido por la normativa tributaria es del Responsable, por lo que debe descargarlos antes de que termine el plazo anterior.

12. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o la normativa de protección de datos, en los términos del artículo 82 del RGPD y con los límites de las condiciones generales de contratación en lo que legalmente proceda. Si el Encargado trata los datos para fines propios o incumple las instrucciones del Responsable, será considerado responsable del tratamiento respecto de ese tratamiento.

13. Ley aplicable

Este contrato se rige por la legislación española y por el RGPD, y se somete a la misma jurisdicción que las condiciones generales de contratación.