Contrato de encargado del tratamiento (RGPD, art. 28)
Entre: - La empresa cliente («el Responsable»): los datos de la empresa cliente que figuran en el documento firmado - Esperanza Lucía García Caballero (autónoma), NIF 48565875H, domicilio Doblada 7, bajo 34, 03540 Alicante («el Encargado»), titular de la plataforma Klarpyme.
1. Objeto
El Encargado trata datos personales por cuenta del Responsable únicamente para prestar el servicio Klarpyme: recibir, almacenar, leer (con y sin inteligencia artificial), validar, revisar, controlar los pagos y exportar facturas y documentos que el Responsable sube, importa o recibe en su dirección de correo de facturas, o que Klarpyme recoge de un buzón de correo que el propio Responsable conecta (solo lectura).
2. Descripción del tratamiento
- Naturaleza: recogida, almacenamiento, lectura automatizada, consulta, aviso por correo de vencimientos, exportación, anulación y supresión.
- Finalidad: gestión de facturas de proveedores del Responsable.
- Categorías de interesados: proveedores, clientes y otros terceros que figuren en las facturas (personas físicas, autónomos, representantes) y los usuarios de la empresa Responsable.
- Tipos de datos: nombre o razón social, NIF/CIF, domicilio, importes, número y fecha de factura, IBAN y otros datos que contengan los documentos; correo electrónico de los usuarios (que también se usa para enviarles los avisos de pago y las invitaciones que el propio Responsable configure).
- Categorías especiales de datos: no se prevé tratarlas. El Responsable no debe subir documentos que las contengan.
- Duración: la del contrato de servicio.
3. Obligaciones del Encargado
- Tratar los datos solo siguiendo instrucciones documentadas del Responsable (este contrato y el uso normal del servicio), también en transferencias internacionales, salvo obligación legal (en cuyo caso se lo comunicará, si la ley lo permite).
- Garantizar que las personas autorizadas se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad del Anexo II.
- No acceder al contenido de los documentos del Responsable salvo para prestar el servicio, resolver una incidencia que el Responsable solicite o cumplir una obligación legal. La administración de la plataforma no ve facturas ni documentos de las empresas.
- Buzón conectado: si el Responsable conecta un buzón, el Encargado accede a él solo para leer los correos nuevos con adjuntos de la bandeja de entrada y registrar las facturas; no conserva el texto de los correos; guarda el permiso de acceso (o la contraseña) cifrado y lo elimina cuando el Responsable desconecta el buzón. El Responsable garantiza que el buzón es suyo o que tiene derecho a usarlo, y se recomienda un buzón exclusivo para facturas.
- Respetar las condiciones para contratar subencargados (cláusula 5).
- Asistir al Responsable, con medidas técnicas y organizativas razonables, para atender el ejercicio de derechos de los interesados y para cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Notificar al Responsable sin dilación indebida, y como máximo en 48 horas, cualquier violación de seguridad de los datos de la que tenga conocimiento, con la información disponible.
- Al terminar el servicio, devolver o suprimir los datos según la cláusula 7.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo y sin perjudicar la seguridad de otros clientes.
- Informar al Responsable si considera que una instrucción infringe la normativa de protección de datos.
4. Obligaciones del Responsable
- Contar con base legal para tratar los datos que sube y haber informado a los interesados cuando proceda.
- Gestionar los usuarios y permisos de su empresa y custodiar sus credenciales, activando la verificación en dos pasos cuando esté disponible.
- Revisar los datos extraídos por el sistema antes de usarlos. La lectura con inteligencia artificial puede contener errores.
- No subir documentos con datos especialmente protegidos ni contenido ilícito.
5. Subencargados
El Responsable da su autorización general para los subencargados del Anexo I. El Encargado informará de cualquier incorporación o sustitución con al menos 30 días de antelación; el Responsable podrá oponerse por motivos justificados y, si no hay solución, resolver el contrato. El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos y responde ante el Responsable de su cumplimiento.
6. Transferencias internacionales
El Encargado no transferirá datos fuera del Espacio Económico Europeo salvo con las garantías del RGPD (decisión de adecuación o cláusulas contractuales tipo). El Anexo I indica qué subencargados pueden implicar transferencias: en particular, la lectura con inteligencia artificial (solo si la empresa la tiene activa) y el envío de correos.
7. Fin del servicio
Al terminar el contrato, el Encargado pondrá a disposición del Responsable la exportación de sus datos durante 30 días y, pasado ese plazo, suprimirá los datos de la plataforma, salvo que la ley exija conservarlos. Las copias de seguridad del proveedor se eliminan en su ciclo ordinario (hasta 7 días adicionales). La supresión de la empresa se hace en dos fases con confirmación del propietario.
8. Responsabilidad y ley aplicable
Se rige por la legislación española y por el RGPD. Los límites de responsabilidad entre las partes son los de las Condiciones de uso, sin perjuicio de los derechos de los interesados.
Fecha y firma: En el lugar y fecha de la firma — Responsable: __ · Encargado: ____
Anexo I · Subencargados autorizados
| Subencargado | Servicio | Ubicación del tratamiento | Datos |
|---|---|---|---|
| Supabase Inc. | Base de datos, archivos y autenticación | UE (Irlanda) | Todos los de la plataforma |
| Render Services, Inc. | Alojamiento de la aplicación | UE (Frankfurt) | Datos en tránsito y procesados por la aplicación |
| Cloudflare, Inc. | DNS y recepción/encaminado del correo de facturas | Red global; el correo se entrega a la aplicación y no se almacena en Cloudflare | Correos de facturas en tránsito |
| Resend, Inc. | Envío de correos de cuenta, de invitación y de aviso de pagos | Puede implicar tratamiento en EE. UU., con cláusulas contractuales tipo | Correo electrónico del usuario y datos del aviso (proveedor, número, importe y vencimiento) |
| Anthropic PBC | Lectura de facturas con inteligencia artificial (solo empresas con IA activa) | EE. UU., con cláusulas contractuales tipo incluidas en su acuerdo de tratamiento de datos | Imagen o texto de la factura enviada para su lectura |
Anexo II · Medidas de seguridad
- Cifrado en tránsito (HTTPS) y cabeceras de seguridad; contraseñas almacenadas cifradas.
- Aislamiento por empresa en la base de datos mediante políticas de seguridad por fila, comprobadas con pruebas automáticas.
- Archivos en almacenamiento privado; acceso por enlaces temporales y solo con permiso.
- Roles y permisos por usuario; la administración de la plataforma no ve documentos ni facturas.
- Registro de actividad (auditoría) de las acciones relevantes.
- Secretos en variables protegidas de cada servicio; nunca en el código.
- Límites de uso y de gasto por empresa.
- Copias de seguridad diarias del proveedor de base de datos.
- Verificación en dos pasos en los servicios de administración (Cloudflare, Supabase, Render, GitHub y otros).
- Dirección de correo de facturas secreta por empresa, que se puede cambiar si se filtra.
- Secretos de buzones conectados cifrados (AES-256-GCM) con una clave que solo existe en los servicios, y servidores IMAP restringidos a conexiones cifradas a servidores públicos.
- Anulación de facturas con motivo y registro; nada se borra al anular.