Acuerdo de encargo del tratamiento de datos personales

1. Partes

Responsable: la persona usuaria profesional que contrata AutoBill y decide para qué se tratan los datos de los documentos que sube.

Encargado: [pendiente: nombre y apellidos de la titular], titular de AutoBill.

Este acuerdo forma parte de las condiciones aceptadas electrónicamente.

2. Objeto y operaciones

Tratar los datos necesarios para prestar el servicio de organización documental:

1. Recibir y almacenar documentos.
2. Leer y extraer datos de los PDF con texto, en el propio servidor.
3. Indexar, consultar y organizar registros.
4. Generar archivos y resúmenes.
5. Exportar y descargar información.
6. Mantenimiento, seguridad, copias de seguridad y eliminación.

3. Duración, naturaleza y finalidad

El encargo dura lo que dure el servicio y, después, lo necesario para la supresión. La confidencialidad subsiste tras terminar. La única finalidad es la gestión documental del responsable dentro del servicio; el encargado no decide otras finalidades.

4. Personas y datos afectados

Interesados: la propia persona usuaria, sus clientes y proveedores, sus representantes y personas de contacto, y otras personas que aparezcan en los justificantes.

Datos: nombres y apellidos, NIF u otros identificadores fiscales, direcciones y contacto, información económica y de facturación, operaciones comerciales e información incidental de los justificantes. No se encargan categorías especiales de datos; si fueran necesarias, el responsable debe garantizar su base jurídica.

5. Obligaciones del encargado

• Tratar los datos solo según las instrucciones documentadas del responsable, que son las derivadas de usar el servicio, y avisarle si una instrucción infringiera la normativa.
• Garantizar la confidencialidad de quien intervenga en la prestación.
• Aplicar las medidas de seguridad del anexo A (artículo 32 RGPD).
• Recurrir solo a los subencargados del anexo B, avisar antes de cambios con un plazo razonable de oposición e imponerles obligaciones equivalentes.
• Ayudar a atender los derechos de los interesados y trasladar sin dilación las solicitudes que reciba directamente.
• Comunicar sin dilación indebida las violaciones de seguridad, con la información disponible, y colaborar en su gestión.
• Ayudar en seguridad, notificaciones, evaluaciones de impacto y consultas previas cuando proceda.
• No hacer transferencias internacionales sin las garantías del capítulo V del RGPD.
• Al terminar, suprimir los datos según el anexo C, salvo obligación legal de conservarlos.
• Facilitar la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, sin dar acceso a datos de otros clientes.

6. Obligaciones del responsable

1. Tener base jurídica para tratar los datos.
2. Informar a los interesados cuando corresponda.
3. Determinar los fines y límites del tratamiento.
4. Aplicar la minimización de datos.
5. Atender los derechos que le correspondan.
6. Dar instrucciones legítimas y documentadas.
7. Evaluar los riesgos de los documentos que decide subir.

Anexo A. Medidas de seguridad implantadas

• Aislamiento de cuentas: cada fila de la base de datos pertenece a una cuenta y las políticas de seguridad a nivel de fila impiden leer o modificar datos de otra. Se prueba de forma automática con dos cuentas en cada función.
• Acceso: sin contraseñas, con enlace de un solo uso enviado al correo; la sesión se valida en el servidor en cada petición y se revoca al cerrar sesión o eliminar la cuenta.
• Archivos: almacenamiento privado, sin enlaces públicos; cada descarga pasa por el servidor, que comprueba de nuevo la sesión y la propiedad.
• Archivos subidos: se verifica el tipo real (PDF, JPEG, PNG), se rechazan los disfrazados y nunca se sirven como página web.
• Comunicaciones: solo HTTPS, con HSTS; protección frente a peticiones falsificadas (token ligado a la sesión y comprobación de origen).
• Datos en reposo: cifrados por el proveedor de base de datos y almacenamiento.
• Registros: no contienen documentos ni sus datos; los errores solo llevan un identificador de petición.
• Datos exportados: el CSV neutraliza contenido que una hoja de cálculo podría ejecutar como fórmula.
• Copias de seguridad: las del proveedor de base de datos, cifradas y con un ciclo máximo de 30 días.

Anexo B. Subencargados autorizados

No hay ningún proveedor de reconocimiento de texto (OCR): la lectura de los PDF se hace en el propio servidor.

Anexo C. Salida y conservación

• Exportación: en cualquier momento, desde «Preparar», por trimestre: ZIP con los originales sin modificar, CSV (csv-v1) y nota explicativa.
• Supresión: la persona elimina un documento o la cuenta desde la aplicación; el acceso se corta y los datos se borran en ese momento (como máximo en 24 horas si fallara algún paso).
• Periodo de recuperación: ninguno; por eso se recomienda descargar los paquetes antes de eliminar.
• Copias de seguridad: se eliminan como máximo a los 30 días y lo suprimido nunca se restaura al servicio.
• Confirmación: la aplicación confirma la eliminación en pantalla y se conserva un comprobante sin los datos eliminados. Se puede pedir por escrito a [pendiente: correo de protección de datos].