Acuerdo de encargo del tratamiento

Este acuerdo se celebra entre el cliente de IVAERO, que actúa como responsable del tratamiento, e IVAERO Digital, S.L., NIF B05630363, con domicilio social en calle Sostres, 1 bis, 2.º 1.ª, 08024 Barcelona (España) (en adelante, «IVAERO»), que actúa como encargada del tratamiento, en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

Forma parte de los Términos y condiciones de IVAERO y se acepta con ellos. Regula los datos personales que IVAERO trata por cuenta del cliente. Los que IVAERO trata como responsable, como los de acceso y seguridad de las personas usuarias de la cuenta, se rigen por la Política de privacidad.

IVAERO trata los datos para prestar el servicio contratado: almacenar las ventas y los clientes del cliente, preparar y emitir sus facturas, generar y remitir a la AEAT sus registros de facturación cuando el cliente lo activa, importar ventas desde archivos y desde los canales que el cliente conecte, generar exportaciones y documentos, y prestar soporte. Las operaciones incluyen la recogida, el registro, la organización, la conservación, la consulta, la comunicación por transmisión a la AEAT y la supresión.

Interesados: los compradores y destinatarios de las facturas del cliente, sus personas de contacto y el titular o representante que figure en el certificado electrónico que el cliente aporte.

Datos: identificativos (nombre o razón social y NIF u otro identificador fiscal), de contacto (dirección postal y, cuando se incorporen, correo electrónico y teléfono) y los de las operaciones facturadas (fechas, conceptos, importes e impuestos). El servicio no necesita categorías especiales de datos y el cliente no debe incorporarlas.

El encargo dura mientras esté vigente la relación contractual del cliente con IVAERO y, después, durante el plazo de devolución y supresión de la sección 10.

IVAERO tratará los datos solo siguiendo instrucciones documentadas del cliente (estos términos, la configuración que el cliente elija en la aplicación y las instrucciones que le dirija por escrito), también en lo relativo a transferencias internacionales, salvo que una norma de la Unión o de España le obligue a otra cosa; en ese caso lo comunicará al cliente antes del tratamiento, salvo que la norma lo prohíba. Informará al cliente si considera que una instrucción infringe la normativa de protección de datos.

Garantizará que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y aplicará las medidas de seguridad de la sección 7.

Ayudará al cliente, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de ejercicio de derechos de los interesados; si una solicitud llega a IVAERO, la trasladará al cliente sin dilación. También le ayudará a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad, de evaluación de impacto y de consulta previa (artículos 32 a 36 del RGPD), teniendo en cuenta la información de que disponga.

Notificará al cliente las violaciones de la seguridad de sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ellas, con la información disponible para documentarlas y, en su caso, comunicarlas a la autoridad de control y a los interesados.

Llevará el registro de las actividades de tratamiento que efectúa por cuenta de sus clientes y pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de este acuerdo, en los términos de la sección 9.

El cliente garantiza que dispone de una base jurídica para los datos que incorpora, que ha informado a los interesados conforme a los artículos 13 y 14 del RGPD y que sus instrucciones son conformes con la normativa. Supervisa el tratamiento y puede consultar en todo momento en la aplicación los datos que IVAERO trata por su cuenta.

IVAERO aloja el servicio en Amazon Web Services, en la región de Irlanda (Unión Europea), y aplica, entre otras, estas medidas: cifrado en reposo de la base de datos, de la memoria caché y del almacenamiento de documentos; cifrado adicional, con claves gestionadas en AWS Key Management Service, de los certificados electrónicos que aportan los clientes; comunicaciones con el servicio cifradas mediante TLS; control de acceso por roles dentro de cada cuenta y separación lógica de los datos de cada cliente; contraseñas almacenadas mediante funciones de resumen robustas; copias de seguridad automáticas diarias de la base de datos; registro de auditoría de las acciones relevantes; y acceso del personal de IVAERO limitado a lo necesario.

IVAERO revisa estas medidas periódicamente y puede sustituirlas por otras equivalentes o mejores, sin reducir el nivel de protección.

El cliente otorga a IVAERO una autorización general para recurrir a otros encargados. IVAERO informará al cliente de cualquier incorporación o sustitución con al menos 30 días de antelación, por correo electrónico o en la aplicación; el cliente podrá oponerse por motivos razonables y, si no se alcanza una solución, cancelar el servicio sin penalización antes de que el cambio produzca efectos. IVAERO impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo y responde ante el cliente de su cumplimiento.

Amazon Web Services EMEA SARL (Luxemburgo): alojamiento, base de datos, almacenamiento de documentos y envío de correo transaccional; los datos se alojan en la región de Irlanda (UE).

Google Cloud EMEA Limited (Irlanda), a través de Google Workspace: correo electrónico corporativo y atención al cliente, cuando las comunicaciones con el cliente incluyan datos de sus facturas; puede tratar datos fuera del Espacio Económico Europeo con las garantías de la sección 11.

No son subencargados, sino destinatarios o fuentes que activa el cliente: la Agencia Estatal de Administración Tributaria, a la que IVAERO remite los registros de facturación en cumplimiento de las obligaciones del cliente, y las plataformas de venta que el cliente conecte, de las que IVAERO recibe datos con su autorización.

El cliente podrá solicitar la información necesaria para verificar el cumplimiento de este acuerdo. IVAERO la facilitará en primer lugar mediante documentación, informes o certificaciones disponibles. Si no son suficientes, el cliente, o un auditor que designe y que esté sujeto a confidencialidad, podrá realizar una auditoría con un preaviso de 30 días, una vez al año salvo que exista una violación de seguridad, a su cargo y sin comprometer la seguridad ni la confidencialidad de los datos de otros clientes.

Al terminar el contrato, el cliente dispone de 30 días naturales para exportar sus facturas y datos, como establecen los Términos y condiciones. Transcurrido ese plazo, IVAERO suprimirá los datos personales tratados por cuenta del cliente, salvo que este haya pedido su devolución dentro del plazo o que una norma de la Unión o de España exija conservarlos; en ese caso los mantendrá bloqueados y solo los tratará para cumplir esa obligación. Las copias de seguridad se suprimen según su ciclo de rotación. A petición del cliente, IVAERO certificará la supresión.

IVAERO trata los datos en el Espacio Económico Europeo. Si un subencargado los trata fuera de él, lo hará con las garantías del capítulo V del RGPD, como una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas) o las cláusulas contractuales tipo de la Comisión Europea.

Esta sección se aplica cuando el cliente conecta su cuenta de vendedor de Amazon. Los datos de compradores recibidos de Amazon (nombre, dirección y, en su caso, correo electrónico) se usan solo para emitir las facturas de esos pedidos.

Los datos que no queden vinculados a una factura emitida se suprimirán a los 30 días de la entrega del pedido. Los vinculados a una factura emitida se conservan mientras lo exija la normativa fiscal y mercantil. Si el cliente desconecta el canal o revoca la autorización, IVAERO suprimirá en un plazo de 30 días todos los datos procedentes de Amazon que no estén sujetos a esa obligación de conservación y, a petición del cliente, lo certificará.

Cada parte responde conforme al artículo 82 del RGPD y a los Términos y condiciones.

Este acuerdo se redacta en español. La versión en inglés es una traducción y, en caso de discrepancia, prevalece la versión en español.