Contrato de Encargado del Tratamiento (art. 28 RGPD)

Este documento tiene la consideración de anexo o contrato de encargado del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y regula el tratamiento de datos personales que realiza el Proveedor por cuenta del Cliente con motivo de la prestación del Servicio Plan V-erifactu.

1. Partes

Responsable del tratamiento: el Cliente que contrata el Servicio, titular de los datos personales de sus propios clientes, proveedores y empleados que introduce en la plataforma.

Encargado del tratamiento: D. José Raúl Álvarez Aguilar, con NIF 11431317H, actuando como Plan B Estudio Creativo, con domicilio en Calle La Cámara nº 38 2ºD, 33402 Avilés (Asturias) y correo electrónico info@planbestudiocreativo.com.

2. Objeto y duración

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el Servicio contratado (alojamiento, procesamiento, copia de seguridad y puesta a disposición de la información introducida en la plataforma). La duración de este contrato queda vinculada a la vigencia del contrato de prestación del Servicio (Condiciones Generales de Contratación) y finalizará automáticamente cuando este termine.

3. Naturaleza, finalidad y tipo de tratamiento

El tratamiento consiste en el alojamiento, almacenamiento, procesamiento y puesta a disposición de los datos que el Responsable introduce en el Servicio, con la única finalidad de permitir la prestación de las funcionalidades contratadas: emisión y gestión de facturas, presupuestos y albaranes; gestión de clientes y proveedores; gestión del punto de venta (TPV); control de fichajes y ausencias del personal; y comunicación con la asesoría fiscal del Cliente, cuando estos módulos estén contratados.

4. Tipo de datos y categorías de interesados

Datos identificativos, de contacto, económico-financieros y, en su caso, datos laborales de horario y presencia. Categorías de interesados: clientes y proveedores del Responsable, empleados del Responsable (si utiliza el módulo de fichajes), y usuarios de la plataforma autorizados por el Responsable. No se tratan categorías especiales de datos (art. 9 RGPD) salvo que el propio Cliente las introduzca por su cuenta y bajo su responsabilidad.

5. Obligaciones del Encargado

• Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, materializadas mediante la configuración y el uso normal del Servicio, y no aplicarlos ni utilizarlos para fin distinto al objeto de este contrato.
• Garantizar que el personal autorizado para tratar los datos se ha comprometido a respetar la confidencialidad o está sujeto a una obligación de confidencialidad de naturaleza legal o contractual.
• Adoptar las medidas de seguridad técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD, incluyendo, entre otras: cifrado de las comunicaciones (HTTPS/TLS), control de acceso basado en roles y en el principio de aislamiento de datos entre clientes (multiempresa), copias de seguridad periódicas, y un sistema de encadenamiento de registros de facturación mediante huella digital (SHA-256) que garantiza su inalterabilidad.
• No subcontratar a otro encargado del tratamiento (subencargado) sin la autorización previa, específica o general, del Responsable. El Cliente autoriza, con carácter general, la subcontratación de los proveedores de infraestructura tecnológica (hosting) necesarios para prestar el Servicio, actualmente Render Services Inc., informando de cualquier cambio relevante con antelación razonable para que el Responsable pueda oponerse si lo considera necesario.
• Asistir al Responsable, en la medida de lo posible y dentro del alcance de las funcionalidades del Servicio, en el cumplimiento de su obligación de responder a solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de los interesados.
• Notificar al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 72 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que gestione por cuenta del Responsable, facilitando la información razonablemente disponible para que este pueda cumplir, en su caso, con su obligación de notificación a la autoridad de control.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 RGPD, y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por este, previo aviso razonable.
• Devolver o suprimir, a elección del Responsable, todos los datos personales una vez finalice la prestación del Servicio, así como suprimir las copias existentes, salvo que se requiera su conservación por obligación legal aplicable (en particular, la normativa fiscal y de facturación).

6. Transferencias internacionales

El Encargado no realizará transferencias de datos personales a un tercer país u organización internacional fuera del Espacio Económico Europeo sin contar con las garantías adecuadas exigidas por el Capítulo V del RGPD, e informará al Responsable de cualquier subencargado ubicado fuera del EEE que pretenda incorporar.

7. Responsabilidad

El Encargado será responsable de los daños y perjuicios causados por el tratamiento de datos personales que incumpla las obligaciones que el RGPD impone específicamente a los encargados del tratamiento, o cuando haya actuado al margen o en contra de las instrucciones lícitas del Responsable.