Contrato de encargo de tratamiento (DPA)

Este Contrato de Encargo de Tratamiento (en adelante, "DPA") forma parte integrante de las condiciones de contratación del servicio Cofactu y regula el tratamiento de datos personales que Codificado SL (en adelante, "el Encargado") realiza por cuenta del Cliente (en adelante, "el Responsable") en el marco de la prestación del Servicio, de conformidad con el art. 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Este DPA resulta especialmente relevante cuando el Cliente es una gestoría, despacho o empresa que trata datos de terceros (sus propios clientes, empleados o proveedores) a través de Cofactu. En ese caso, el Cliente actúa como Responsable (o Encargado, frente a sus clientes finales) y Cofactu como Encargado (o Subencargado).

1. Objeto y duración

El Encargado tratará datos personales por cuenta del Responsable únicamente para prestar el Servicio contratado. La duración del encargo coincide con la vigencia de la relación contractual; finalizada esta, se aplicará lo dispuesto en la cláusula 8.

2. Naturaleza y finalidad del tratamiento

Operaciones de tratamiento: recogida, registro, estructuración, almacenamiento, consulta, uso, comunicación (a la AEAT y demás destinatarios necesarios para el Servicio) y supresión. Finalidad: prestación de la plataforma de facturación electrónica, contabilidad, gestión fiscal y funcionalidades asociadas.

3. Tipos de datos y categorías de interesados

• Tipos de datos: datos identificativos y de contacto (nombre, NIF/CIF, dirección, email, teléfono), datos económicos y de facturación, datos fiscales y contables. No se tratan de forma prevista categorías especiales de datos (art. 9 RGPD).
• Categorías de interesados: clientes, proveedores, empleados y contactos del Responsable, así como los clientes finales de las gestorías.

4. Obligaciones e instrucciones del Responsable

El Responsable determina las finalidades y medios del tratamiento y garantiza que dispone de base jurídica para facilitar los datos al Encargado. El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las derivadas del uso del Servicio, salvo obligación legal (en cuyo caso lo informará, si la ley lo permite).

5. Obligaciones del Encargado

• Confidencialidad: el personal autorizado a tratar los datos está sujeto a deber de confidencialidad.
• Seguridad (art. 32 RGPD): el Encargado aplica medidas técnicas y organizativas apropiadas: cifrado en tránsito y en reposo, control de acceso basado en roles, aislamiento multi-tenant, registro de auditoría, copias de seguridad y hospedaje en la Unión Europea. Detalle en cofactu.com/seguridad.
• Asistencia: el Encargado asiste al Responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, portabilidad, etc.), así como para cumplir las obligaciones de los arts. 32 a 36 (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas).
• Notificación de brechas: el Encargado notificará al Responsable, sin dilación indebida, cualquier violación de seguridad de los datos de la que tenga conocimiento, con la información necesaria para que el Responsable cumpla sus obligaciones de notificación (arts. 33 y 34 RGPD).
• Registro de actividades: el Encargado mantiene el registro de actividades de tratamiento exigido por el art. 30.2 RGPD.

6. Subencargados

El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados listados a continuación para la prestación del Servicio. Todos ellos están vinculados por obligaciones de protección de datos equivalentes a las de este DPA.

El Encargado informará al Responsable de cualquier cambio previsto de adición o sustitución de subencargados, dándole la oportunidad de oponerse por motivos razonables antes de que el nuevo subencargado trate datos por cuenta del Responsable (art. 28.2 RGPD). La versión vigente de esta lista se publica en esta página.

7. Transferencias internacionales

El alojamiento principal y la base de datos se ubican en la Unión Europea. Cuando un subencargado trate datos fuera del Espacio Económico Europeo, dicha transferencia se ampara en una decisión de adecuación o en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, junto con las medidas complementarias que procedan. En el caso del asistente de IA (Anthropic), no se transmiten datos identificativos de los clientes finales del Responsable con las consultas.

8. Devolución o supresión al finalizar

Finalizada la prestación del Servicio, el Encargado, a elección del Responsable, devolverá o suprimirá los datos personales, salvo aquellos cuya conservación exija el Derecho de la Unión o español (en particular, la conservación fiscal de facturas y registros VeriFactu durante los plazos legales). El Responsable puede exportar sus datos en cualquier momento desde el propio Servicio (export de facturación + exportaciones por módulo) y solicitar una copia íntegra en privacidad@cofactu.com.

9. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Responsable o un auditor mandatado, con preaviso razonable y sin comprometer la seguridad o confidencialidad de otros clientes (art. 28.3.h RGPD).

10. Responsabilidad

La responsabilidad de las partes por incumplimiento de las obligaciones de protección de datos se rige por el art. 82 del RGPD y por lo dispuesto en las condiciones de contratación.

11. Formalización

Este DPA se entiende aceptado con la contratación del Servicio. Los Responsables que requieran un DPA firmado (documento con firma manuscrita o electrónica) pueden solicitarlo en privacidad@cofactu.com, indicando la razón social y el CIF.

Para dudas sobre este contrato de encargo: privacidad@cofactu.com · Delegado de Protección de Datos / contacto de privacidad de Codificado SL.