Acuerdo de Tratamiento de Datos

Responsable del tratamiento: el Cliente del servicio Kontevia, una empresa o persona autónoma que trata datos personales contenidos en sus documentos contables y otros datos enviados al Servicio.

Encargado del tratamiento: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, República Checa, NIF de empresa 22103741, inscrita en el Registro Mercantil llevado por el Tribunal Municipal de Praga, expediente n.º C 410771. Contacto para protección de datos: hello@kontevia.com.

1.1. Este Acuerdo regula los derechos y obligaciones de las partes cuando el Encargado trata datos personales por cuenta del Responsable en el marco de la prestación del servicio Kontevia (el «Servicio»).

1.2. Este Acuerdo forma parte integrante de las Condiciones Generales y entra en vigor cuando el Responsable se registra en el Servicio. Se aplica mientras el Encargado trate datos personales por cuenta del Responsable.

2.1. El Encargado trata datos personales exclusivamente con el fin de prestar el Servicio, en concreto:

• recepción y digitalización de documentos contables enviados por chat, correo electrónico o carga de archivos;
• extracción de datos de documentos mediante reconocimiento óptico de caracteres y modelos de extracción automatizada;
• categorización, detección de duplicados y propuestas de tratamiento del IVA;
• emisión de facturas y otros documentos según instrucciones del Responsable;
• importación de transacciones bancarias que el Responsable conecta y su conciliación con documentos;
• elaboración de resúmenes, informes y exportaciones al sistema contable o asesor del Responsable;
• almacenamiento de documentos y datos dentro del Servicio durante la vigencia del contrato y el período de exportación.

2.2. El Encargado trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias a terceros países, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro; en tal caso, informa al Responsable antes del tratamiento, salvo que la ley lo prohíba.

3.1. Interesados: los socios comerciales del Responsable (proveedores, clientes, personas de contacto), los empleados y contratistas del Responsable cuando se procesen documentos de nómina o gastos, y los propios usuarios del Servicio del Responsable.

3.2. Categorías de datos personales: datos identificativos (nombre, empresa, números de identificación fiscal y de IVA); datos de contacto (dirección, correo electrónico, teléfono); datos financieros (importes facturados, números de cuenta bancaria, referencias de pago); datos laborales cuando se envían documentos de nómina (puesto de trabajo, salario, identificadores de seguros); datos de uso de los usuarios del Responsable.

3.3. El Encargado no requiere categorías especiales de datos en el sentido del artículo 9 del RGPD. El Responsable se compromete a no enviar dichos datos a través del Servicio, salvo que estén contenidos en un documento que esté legalmente obligado a conservar, en cuyo caso el Responsable es responsable de la base legal aplicable.

El Encargado se compromete a:

• tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable y solo en la medida necesaria para el Servicio;
• garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad;
• aplicar las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD, en particular las indicadas en el Anexo de este Acuerdo;
• no subcontratar a otro encargado sin la autorización previa y general por escrito del Responsable, que este concede en virtud del artículo 6 de este Acuerdo;
• teniendo en cuenta la naturaleza del tratamiento, asistir al Responsable mediante medidas técnicas y organizativas adecuadas para responder a las solicitudes de los interesados que ejerzan sus derechos;
• asistir al Responsable para garantizar el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto relativa a la protección de datos, consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible para el Encargado;
• a elección del Responsable, suprimir o devolver todos los datos personales tras el fin de la prestación del Servicio y eliminar las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación;
• poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitir y contribuir a las auditorías, incluidas las inspecciones, realizadas por el Responsable o por un auditor designado por este;
• informar de inmediato al Responsable si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos de la Unión o de un Estado miembro.

5.1. El Encargado notifica al Responsable cualquier violación de la seguridad de los datos personales sin demora indebida y a más tardar 48 horas después de tener conocimiento de ella.

5.2. La notificación contiene al menos: una descripción de la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y registros afectados; el nombre y los datos de contacto de la persona responsable; una descripción de las probables consecuencias; y una descripción de las medidas adoptadas o propuestas para abordar la violación y mitigar sus efectos.

5.3. El Encargado colabora con el Responsable para el cumplimiento de sus obligaciones de notificación ante la autoridad de control competente y los interesados.

6.1. El Responsable concede una autorización general para que el Encargado contrate a subencargados para el tratamiento de datos personales.

6.2. La lista actual de subencargados, con la finalidad y ubicación de cada uno, se publica en la página de Subencargados del sitio web del Encargado y forma parte de este Acuerdo como anexo.

6.3. El Encargado informa al Responsable de cualquier incorporación o sustitución prevista de subencargados con al menos 14 días de antelación, mediante correo electrónico a la dirección de contacto del Responsable o mediante aviso en el Servicio, dando al Responsable la oportunidad de oponerse.

6.4. Si el Responsable plantea una objeción justificada en un plazo de 14 días desde el aviso, el Encargado renuncia al cambio previsto u ofrece al Responsable la posibilidad de rescindir el contrato sin penalización y con reembolso de las cuotas prepagadas correspondientes al período no utilizado.

6.5. El Encargado impone a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en este Acuerdo, en particular garantías suficientes para aplicar medidas técnicas y organizativas adecuadas. Cuando un subencargado incumpla sus obligaciones, el Encargado sigue siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones de dicho subencargado.

7.1. Los datos personales se almacenan en servidores ubicados en la Unión Europea. El Encargado no transfiere datos personales fuera del Espacio Económico Europeo, salvo a los subencargados indicados en la página de Subencargados y únicamente con las garantías adecuadas conforme al Capítulo V del RGPD.

7.2. Dichas transferencias se basan en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU. para destinatarios certificados), las cláusulas contractuales tipo adoptadas por la Comisión conforme al artículo 46, apartado 2, letra c), del RGPD, u otras garantías adecuadas, complementadas con medidas adicionales cuando así lo requiera una evaluación de impacto de la transferencia.

8.1. El Encargado presta al Responsable asistencia razonable en la gestión de las solicitudes de los interesados para ejercer sus derechos conforme a los artículos 15 a 22 del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición). El Servicio incluye funciones de búsqueda, exportación y eliminación que permiten al Responsable gestionar directamente la mayoría de las solicitudes.

8.2. Si un interesado se dirige directamente al Encargado, este remite al interesado al Responsable sin demora injustificada e informa al Responsable, salvo que la solicitud se refiera a datos para los que el propio Encargado sea el responsable del tratamiento.

9.1. El Encargado permite al Responsable o a un auditor designado por este realizar auditorías e inspecciones para verificar el cumplimiento de este Acuerdo y del RGPD.

9.2. Las auditorías se realizan a expensas del Responsable, con un preaviso razonable de al menos 14 días hábiles, en horario laboral y de forma que no perturbe las operaciones del Encargado ni comprometa la seguridad de los datos de otros clientes. El auditor debe estar sujeto a confidencialidad.

9.3. En lugar de una auditoría presencial, el Encargado puede proporcionar certificados vigentes, informes de auditores independientes u otra documentación que demuestre el cumplimiento de las medidas de seguridad, cuando estos sean suficientes para responder a las preguntas del Responsable.

10.1. Este Acuerdo tiene efecto durante la relación contractual entre el Responsable y el Encargado, es decir, mientras el Responsable utilice el Servicio.

10.2. Tras la finalización de la relación contractual, el Encargado: permite al Responsable exportar sus datos durante 90 días; transcurrido dicho período de 90 días, elimina de forma irreversible todos los datos personales del Responsable; elimina las copias de seguridad a más tardar 45 días después de la eliminación de los datos primarios; y confirma la eliminación a solicitud del Responsable. Quedan excluidos los datos que el Encargado deba conservar en virtud del Derecho de la Unión o de un Estado miembro (en particular los registros de facturación).

10.3. Las obligaciones de este Acuerdo, en particular las relativas a confidencialidad y seguridad, subsisten tras la finalización de la relación contractual mientras el Encargado conserve datos personales del Responsable.

11.1. El Encargado es responsable de los daños causados por un tratamiento que infrinja este Acuerdo o el RGPD conforme al artículo 82 del RGPD, en particular cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen de las instrucciones lícitas del Responsable o en contra de ellas.

11.2. Las limitaciones de responsabilidad establecidas en las Condiciones Generales se aplican a este Acuerdo en la medida permitida por la ley; no limitan los derechos de los interesados.

12.1. Este Acuerdo se rige por la legislación de la República Checa y por la normativa de la Unión Europea directamente aplicable, en particular el RGPD.

12.2. En caso de conflicto entre este Acuerdo y los Términos y Condiciones, prevalece este Acuerdo en materia de protección de datos personales.

12.3. Las modificaciones de este Acuerdo requieren forma escrita, lo que incluye una versión actualizada publicada en el sitio web y notificada al Responsable del tratamiento de acuerdo con los Términos y Condiciones.

12.4. Las controversias derivadas de este Acuerdo serán resueltas por los tribunales de la República Checa competentes según el domicilio social del Encargado del tratamiento, sin perjuicio de los derechos de los interesados y de las autoridades de control.

Cifrado

• Cifrado AES-256 de los datos en reposo, incluidas las copias de seguridad.
• TLS 1.2 o superior para todos los datos en tránsito, incluidas las conexiones a subencargados.

Control de acceso

• Acceso según el principio de mínimo privilegio; cada empleado y sistema dispone únicamente de los permisos necesarios para su función.
• Autenticación multifactor para el acceso administrativo y a la infraestructura.
• Separación de los espacios de trabajo de los clientes en la capa de aplicación y de base de datos.
• Revisión periódica y revocación inmediata de los derechos de acceso.

Disponibilidad y resiliencia

• Copias de seguridad automáticas periódicas con procedimientos de restauración probados.
• Infraestructura de alojamiento redundante dentro de la Unión Europea.
• Supervisión de la disponibilidad y el rendimiento con alertas.

Integridad y registro

• Registro de accesos a los datos personales y de las acciones administrativas.
• Registro de auditoría de documentos: quién los ha presentado, modificado, aprobado o exportado y cuándo.
• Detección de anomalías e incidentes de seguridad.

Medidas organizativas

• Obligaciones de confidencialidad para todo el personal y contratistas con acceso a datos personales.
• Formación del personal en protección de datos y seguridad.
• Procedimientos internos documentados para el tratamiento de datos personales y la gestión de las solicitudes de los interesados.
• Plan de respuesta a incidentes con funciones y plazos de notificación definidos.
• Revisión de protección de datos de los nuevos subencargados antes de su contratación.