Contrato de Encargo del Tratamiento

Este contrato se incorpora por referencia a los Términos y Condiciones del servicio y forma parte integrante de los mismos. Su aceptación se produce por vía electrónica junto con la aceptación de dichos Términos, de conformidad con el artículo 28.9 del RGPD, que admite que el contrato conste «por escrito, inclusive en formato electrónico». En caso de conflicto entre este contrato y los Términos en lo relativo al tratamiento de datos personales por cuenta del responsable, prevalece este contrato.

Mediante las presentes cláusulas se habilita a PresuNow, encargado del tratamiento, para tratar por cuenta del usuario, responsable del tratamiento, los datos de carácter personal necesarios para prestar el servicio de creación, gestión, envío, firma y facturación de presupuestos, tal como se describe en los Términos y Condiciones.

El tratamiento comprende las siguientes operaciones:

• •Recogida, registro y estructuración de los datos introducidos por el responsable
• •Conservación y consulta durante la vigencia del servicio
• •Comunicación por transmisión a los destinatarios que indique el responsable (sus clientes, su gestor o asesor fiscal, y la Agencia Estatal de Administración Tributaria cuando el responsable emplee la remisión de registros de facturación)
• •Modificación, limitación, supresión y destrucción conforme a este contrato

La descripción detallada del tratamiento (categorías de interesados y de datos) figura en el Anexo II.

Este contrato permanece en vigor mientras el responsable mantenga una cuenta activa en PresuNow. Finalizada la prestación del servicio, se aplicará el régimen de destino de los datos previsto en la cláusula 11.

PresuNow, en su condición de encargado del tratamiento, se obliga a:

• •Tratar los datos personales únicamente siguiendo las instrucciones documentadas del responsable. Constituyen instrucciones documentadas este contrato, los Términos y Condiciones y las órdenes que el responsable imparte mediante el uso de las funciones de la plataforma (crear, enviar, compartir, facturar, exportar o suprimir documentos)
• •No utilizar los datos para fines propios ni para finalidades distintas de la prestación del servicio
• •Informar inmediatamente al responsable si, en su opinión, alguna instrucción infringe el RGPD u otra disposición en materia de protección de datos de la Unión o de los Estados miembros

PresuNow garantiza que las personas autorizadas para tratar datos personales se han comprometido, de forma expresa y por escrito, a respetar la confidencialidad, o están sujetas a una obligación legal de confidencialidad.

El deber de secreto respecto de los datos personales a los que se haya tenido acceso en virtud del presente encargo subsiste incluso después de que finalice su objeto.

PresuNow aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD. Las medidas implantadas se describen en el Anexo III.

El responsable otorga a PresuNow una autorización general por escrito para recurrir a los subencargados del tratamiento que figuran en el Anexo IV de este contrato.

• •PresuNow informará al responsable, con antelación razonable y por medios electrónicos, de cualquier adición o sustitución prevista en la lista de subencargados, de modo que el responsable disponga de tiempo suficiente para formular objeción antes de que el nuevo subencargado comience a tratar datos. Si el responsable formula objeción y no se alcanza una solución razonable, podrá resolver el contrato de servicio
• •Todo subencargado queda sujeto, mediante contrato, a obligaciones en materia de protección de datos que son, en esencia, las mismas que las impuestas a PresuNow en este contrato, incluidas garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas
• •En caso de incumplimiento por parte del subencargado, PresuNow seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del subencargado

Teniendo en cuenta la naturaleza del tratamiento, PresuNow asistirá al responsable, mediante las funciones de la propia plataforma y, cuando sea necesario, mediante asistencia directa, para que este pueda atender las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de los datos.

Si un interesado dirige una solicitud de ejercicio de derechos directamente a PresuNow, se lo notificará con presteza al responsable y no responderá a la solicitud por sí mismo, salvo autorización del responsable, sin perjuicio de indicar al interesado que su solicitud ha sido trasladada.

PresuNow notificará al responsable, sin dilación indebida desde que tenga constancia de ella, conforme al artículo 33.2 del RGPD, cualquier violación de la seguridad de los datos personales tratados por su cuenta, a la dirección de correo electrónico asociada a la cuenta del responsable. La notificación incluirá, como mínimo y en la medida en que se disponga de la información:

• •La naturaleza de la violación y, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados
• •Un punto de contacto donde obtener más información
• •Las consecuencias probables y las medidas adoptadas o propuestas para poner remedio o mitigar los posibles efectos negativos

Si no fuera posible facilitar toda la información al mismo tiempo, se facilitará de manera gradual sin dilación indebida.

PresuNow ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga; en particular, en materia de seguridad, notificación de violaciones de la seguridad a la autoridad de control y a los interesados, evaluaciones de impacto relativas a la protección de datos y consultas previas.

Al finalizar la prestación del servicio, el responsable puede, con carácter previo a la eliminación de su cuenta, exportar sus documentos y datos mediante las funciones de la plataforma. Eliminada la cuenta, PresuNow suprimirá los datos personales tratados por cuenta del responsable una vez transcurrido el período de gracia de 30 días descrito en la Política de Privacidad, y suprimirá las copias existentes salvo que se requiera su conservación en virtud del Derecho de la Unión o de los Estados miembros.

PresuNow pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este contrato, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable, previa solicitud por escrito con antelación razonable y sin perjuicio de la confidencialidad debida respecto de la información de terceros.

Corresponde al responsable del tratamiento (el usuario):

• •Disponer de base jurídica para el tratamiento de los datos personales de sus clientes que introduce en la plataforma, incluidos los datos fiscales necesarios para facturar
• •Facilitar a los interesados la información exigida por los artículos 13 y 14 del RGPD
• •Introducir únicamente datos adecuados, pertinentes y limitados a lo necesario para la elaboración de presupuestos y facturas
• •Atender las solicitudes de ejercicio de derechos de los interesados
• •Velar por el cumplimiento del RGPD durante todo el tratamiento y supervisar el tratamiento realizado por el encargado

• •Cifrado de las comunicaciones mediante TLS y cifrado de los datos en reposo (AES-256) en la infraestructura de base de datos
• •Control de acceso por identificación y autenticación de usuarios, con aislamiento de los datos de cada cuenta mediante políticas de seguridad a nivel de fila en la base de datos
• •Principio de mínimo privilegio en el acceso a los sistemas; acceso administrativo restringido al titular
• •Copias de seguridad diarias cifradas y procedimiento de restauración
• •Registro de actividad de los sistemas y limitación de frecuencia de peticiones para prevenir abusos
• •Seudonimización y minimización: los proveedores de inteligencia artificial reciben únicamente el contenido necesario para la función solicitada
• •Procedimiento documentado de gestión y notificación de violaciones de la seguridad, y registro interno de incidentes
• •Verificación y evaluación regulares de la eficacia de las medidas mediante pruebas automatizadas y revisiones de seguridad

El responsable autoriza el recurso a subencargados del tratamiento pertenecientes a las siguientes categorías de servicios:

La relación nominal completa y actualizada de los subencargados autorizados (entidad, país, finalidad y garantías aplicables) forma parte integrante de este contrato y está a disposición del responsable en todo momento: puede solicitarse a privacy@presunow.com y se facilitará sin dilación indebida. Los cambios en dicha relación se comunican conforme a la cláusula 7.

Las transferencias internacionales de datos que implican estos subencargados se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. respecto de las entidades certificadas, y, en su defecto, en las cláusulas contractuales tipo aprobadas por la Comisión Europea, tal como se detalla en la Política de Privacidad.