Saltar al contenido
Recaudoc
EntrarEmpezar
Volver al inicio

Pendiente de revisión legal

Contrato de encargo del tratamiento (art. 28 RGPD)

Acuerdo de encargo del tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Se acepta al registrar la gestoría en el piloto, junto con los términos del piloto.

1. Partes

Responsable del tratamiento: la gestoría, asesoría o despacho que se da de alta en la plataforma. Encargado del tratamiento: [POR COMPLETAR: nombre o razón social del titular], NIF [POR COMPLETAR: NIF/CIF del titular], [POR COMPLETAR: domicilio del titular] (titular de Recaudoc).

2. Objeto

El encargado trata los datos personales necesarios para prestar el servicio Recaudoc: solicitud, recepción, revisión y custodia de la documentación que los clientes del responsable envían, recordatorios y avisos por email, y el portal del cliente.

3. Duración

El tiempo que dure el piloto (hasta el [POR COMPLETAR: fecha de fin del piloto]) y, en su caso, el tiempo necesario para devolver y borrar los datos conforme al apartado 8. Termina antes si el responsable pide la baja.

4. Tipos de datos y personas afectadas

  • Personas afectadas: clientes del responsable (autónomos, representantes y socios de sociedades, empleados) y las personas usuarias de la gestoría.
  • Datos identificativos y de contacto: nombre, NIF/CIF, email y teléfono.
  • Datos fiscales y económicos: facturas, extractos, declaraciones, impuestos y documentos contables que se suban.
  • Datos laborales: nóminas, contratos, partes de baja y similares que se suban.
  • Los documentos que suban los clientes, cuyo contenido es decidido por ellos y por el responsable y puede incluir otras categorías de datos.

5. Obligaciones del encargado

  • Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable y para la finalidad del servicio.
  • Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
  • Aplicar las medidas de seguridad del apartado 6.
  • No ceder los datos a terceros salvo los subencargados autorizados (apartado 7), ni usarlos para entrenar modelos de inteligencia artificial ni para publicidad.
  • Notificar al responsable, sin dilación indebida, cualquier violación de la seguridad de los datos de la que tenga conocimiento.
  • Asistir al responsable en el ejercicio de los derechos de los interesados y en el cumplimiento de sus obligaciones de seguridad y evaluación.
  • Poner a su disposición la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables.

6. Medidas de seguridad

Las que aplica hoy la aplicación:

  • Cifrado en tránsito: toda la comunicación va por HTTPS/TLS, con HSTS en producción. La conexión de la aplicación a la base de datos verifica el certificado y el nombre del servidor.
  • Cifrado en reposo: lo aplican los proveedores de alojamiento y almacenamiento (apartado 7).
  • Aislamiento por gestoría: cada consulta de la aplicación se limita a la gestoría de la persona usuaria; una gestoría nunca ve datos de otra. Hay pruebas automáticas de este aislamiento.
  • Seguridad a nivel de fila (RLS) activada en todas las tablas de la base de datos, con los accesos de la API pública de Supabase revocados: los datos solo son accesibles desde la aplicación.
  • Archivos privados con URL firmada de corta duración: los documentos nunca son públicos; se descargan con enlaces firmados que caducan a los 5 minutos y se suben con enlaces que caducan a los 10 minutos.
  • Enlaces del portal del cliente: aleatorios de 256 bits, de los que solo se guarda su huella (hash), con caducidad y revocables, y con límite de peticiones.
  • Control de acceso: contraseñas con un mínimo de 10 caracteres guardadas cifradas, límite de intentos, sesiones por cookie segura, y permisos por rol dentro de la gestoría.
  • Trazabilidad: registro de la actividad relevante y de las aceptaciones. El historial de actividad y los registros de la aplicación no incluyen emails, NIF ni contenido de los archivos; el registro de envíos de email guarda el destinatario y el asunto, y se borra con la gestoría.
  • Cabeceras de seguridad del navegador (nosniff, protección contra marcos, política de referencia restrictiva).

7. Subencargados y transferencias internacionales

El responsable autoriza los siguientes subencargados, necesarios para prestar el servicio. Todos alojan en la Unión Europea; las matrices de los cuatro están en Estados Unidos, por lo que cada uno indica la base jurídica de la transferencia internacional. El encargado informará al responsable de cualquier cambio.

  • Vercel

    • Finalidad: Alojamiento de la aplicación y ejecución del código (funciones en París).
    • Datos: Los datos que pasan por la aplicación mientras se atiende una petición; no se guardan allí.
    • Ubicación del alojamiento: Unión Europea (París, Francia)
    • Base jurídica de la transferencia internacional: [POR COMPLETAR: base jurídica de la transferencia internacional, por el abogado]
    • Cifrado en reposo: lo aplica el proveedor. [POR COMPLETAR: verificar el cifrado en reposo con la documentación de Vercel]

  • Supabase

    • Finalidad: Base de datos PostgreSQL y almacenamiento de los documentos.
    • Datos: Todos los datos de la gestoría y de sus clientes, y los documentos que se suben.
    • Ubicación del alojamiento: Unión Europea (París, Francia)
    • Base jurídica de la transferencia internacional: [POR COMPLETAR: base jurídica de la transferencia internacional, por el abogado]
    • Cifrado en reposo: lo aplica el proveedor. [POR COMPLETAR: verificar el cifrado en reposo con la documentación de Supabase]

  • Resend

    • Finalidad: Envío de los emails transaccionales (solicitudes, recordatorios, invitaciones, avisos).
    • Datos: Email del destinatario y contenido del mensaje (nombre, enlaces).
    • Ubicación del alojamiento: Unión Europea (Irlanda)
    • Base jurídica de la transferencia internacional: [POR COMPLETAR: base jurídica de la transferencia internacional, por el abogado]
    • Cifrado en reposo: lo aplica el proveedor. [POR COMPLETAR: verificar el cifrado en reposo con la documentación de Resend]

  • Upstash

    • Finalidad: Límite de peticiones por IP y por enlace (protección contra abusos).
    • Datos: Contadores efímeros con la IP o un hash del enlace; caducan en como máximo una hora. No contienen documentos ni datos de clientes.
    • Ubicación del alojamiento: Unión Europea (Fráncfort, Alemania; región AWS eu-central-1)
    • Base jurídica de la transferencia internacional: [POR COMPLETAR: base jurídica de la transferencia internacional, por el abogado]
    • Cifrado en reposo: lo aplica el proveedor. [POR COMPLETAR: verificar el cifrado en reposo con la documentación de Upstash]

8. Devolución y borrado de los datos

Al terminar el servicio, o en cualquier momento a petición del responsable, el encargado:

  • Devuelve los datos en una descarga completa: los archivos de todas las solicitudes, del archivador y de los documentos compartidos, las versiones de la hoja de encargo y los datos en CSV (clientes, contactos, solicitudes con su estado, documentos, historial, mensajes y equipo).
  • Borra los datos de la gestoría de la base de datos y los archivos del almacenamiento, incluidas las cuentas del equipo y los registros de emails. Si el borrado de algún archivo falla, queda anotado y se reintenta automáticamente cada día.
  • Solo conserva un registro mínimo: identificador, nombre de la gestoría, fecha de baja y la versión y fecha en que aceptó estos documentos, durante [POR COMPLETAR: plazo de conservación de la prueba de aceptación, fijado por el abogado].

Los proveedores eliminan las copias que mantengan según sus propias políticas.