Acuerdo de Encargado del Tratamiento
REUNIDOS
De una parte, como Responsable del Tratamiento: la gestoría o asesoría fiscal que contrata el servicio VegaFactu.
De otra parte, como Encargado del Tratamiento:
| Nombre | José Portugués Mellado |
|---|---|
| Condición | Autónomo — titular de VegaFactu |
| NIF | 48574135K |
| Domicilio | C/ Carmen García Sorribes, Nº 11, 2ºC, 03360 Callosa de Segura, Alicante, España |
| vegafactu@proton.me | |
| Web del servicio | vegafactu.es |
CLÁUSULAS
1. Objeto y naturaleza del tratamiento
El presente Acuerdo regula el tratamiento de datos personales que el Encargado llevará a cabo por cuenta del Responsable en el contexto de la prestación del servicio VegaFactu: recepción, almacenamiento, extracción automatizada mediante inteligencia artificial, organización y exportación de datos contenidos en facturas de los empresarios-clientes del Responsable.
2. Categorías de datos e interesados
Empresarios-clientes de la gestoría: nombre, email, NIF/CIF, teléfono (WhatsApp), contenido de facturas (número, fecha, importes, IVA, datos del emisor/receptor) y datos de uso de la plataforma. No se tratan categorías especiales del art. 9 RGPD.
3. Finalidad del tratamiento
El Encargado tratará los datos exclusivamente para: recepción automática de facturas por WhatsApp y por email (Brevo/Mailgun), extracción de datos mediante IA (Anthropic Claude), presentación al gestor para revisión, exportación al software contable y validación fiscal ante la AEAT (Verifactu). El Encargado no tratará los datos para ninguna otra finalidad.
4. Duración
El Acuerdo permanecerá vigente mientras esté en vigor el contrato de servicio de VegaFactu. La resolución del contrato implica automáticamente la terminación del presente Acuerdo.
5. Obligaciones del Encargado
El Encargado se compromete a: tratar los datos únicamente según instrucciones del Responsable; garantizar la confidencialidad; aplicar medidas de seguridad técnicas y organizativas (HTTPS/TLS, autenticación segura, control de acceso por roles); notificar al Responsable con 30 días de antelación cualquier cambio de subencargados; asistir en el ejercicio de derechos de los interesados; notificar brechas de seguridad en máximo 72 horas.
5.1 Subencargados autorizados
| Subencargado | Función | País | Base legal |
|---|---|---|---|
| Vercel, Inc. | Alojamiento de la aplicación | EEUU | SCC |
| Supabase, Inc. | Base de datos y autenticación | EEUU | SCC |
| Anthropic, PBC | Extracción de datos por IA | EEUU | SCC |
| Meta Platforms (WhatsApp API) | Mensajería WhatsApp | EEUU | SCC |
| Brevo (Sendinblue) | Envío de emails transaccionales y recepción de facturas por email | Francia (UE) | No aplica (dentro del EEE) |
| Mailgun (Sinch) | Recepción de facturas por email | EEUU | SCC |
| Verifacti | Validación fiscal AEAT | España | No aplica (UE) |
6. Obligaciones del Responsable
El Responsable se compromete a: obtener el consentimiento explícito de cada empresario-cliente antes de conectar su WhatsApp a VegaFactu; informar a sus clientes sobre el tratamiento de datos conforme al art. 13 RGPD (incluido el canal de recepción de facturas por email); usar VegaFactu exclusivamente en el marco de una relación profesional de gestoría.
7. Transferencias internacionales
Las transferencias a EEUU se realizan al amparo de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914), que garantizan un nivel de protección equivalente al exigido por el RGPD.
8. Destino de los datos al término del Acuerdo
A la terminación del contrato, el Encargado, a elección del Responsable: (A) entregará todos los datos en formato CSV/Excel en máximo 30 días, o (B) eliminará todos los datos y expedirá certificación escrita. Si el Responsable no comunica su elección, se aplica la opción B por defecto.
9. Responsabilidad
Cada parte responderá por los daños derivados del incumplimiento de sus obligaciones bajo el RGPD. El Encargado solo será responsable si ha actuado al margen de las instrucciones del Responsable o contraviniendo el RGPD.
10. Ley aplicable y jurisdicción
Este Acuerdo se rige por la legislación española. Las controversias se someten a los Juzgados y Tribunales de Alicante.
11. Aceptación
Al marcar la casilla "He leído y acepto el DPA" durante el registro en VegaFactu, el Responsable acepta íntegramente el presente Acuerdo. La fecha, hora y datos de la aceptación quedan registrados en los sistemas de VegaFactu a efectos de trazabilidad legal.