Encargo de tratamiento

1. Objeto, duración y datos

El encargo cubre recepción, alojamiento, organización, extracción por IA, consulta, generación y exportación de facturas durante la prestación del servicio y las operaciones de devolución o supresión acordadas. Comprende datos identificativos, de contacto, fiscales, bancarios y económicos incluidos en documentos y registros, relativos a usuarios, clientes, proveedores, profesionales y otras personas que figuren en las facturas. No está destinado al tratamiento de categorías especiales.

2. Instrucciones del responsable

El encargado tratará los datos únicamente siguiendo instrucciones documentadas del cliente, incluidas las relativas a transferencias, salvo obligación legal; en tal caso informará previamente, salvo prohibición legal. Las acciones autorizadas en la aplicación concretan las operaciones solicitadas, sin autorizar usos propios ajenos al servicio. Si considera que una instrucción infringe la normativa, informará al responsable.

3. Confidencialidad y seguridad

Las personas autorizadas deberán asumir obligaciones de confidencialidad y acceder solo en la medida necesaria. El acuerdo deberá detallar las medidas técnicas y organizativas adecuadas al riesgo, incluidos control de acceso por cuenta, gestión de autorizaciones, protección de comunicaciones, recuperación, copias de seguridad y comprobaciones periódicas. Los controles por cuenta existentes no equivalen a una certificación de seguridad ni acreditan todas esas medidas.

4. Subencargados y transferencias

Los servicios técnicos utilizados incluyen Lovable Cloud, Lovable AI Gateway con Google Gemini para extracción y Google Drive cuando el cliente configura esa integración. Antes de formalizar el acuerdo, deben identificarse las entidades jurídicas contratadas, operaciones, países, retención y garantías de transferencias, y obtenerse la autorización específica o general escrita del cliente.

Con autorización general, el encargado informará de incorporaciones o sustituciones con antelación suficiente para permitir objeciones. Impondrá al subencargado obligaciones equivalentes y seguirá respondiendo frente al responsable según el RGPD. Una referencia comercial al proveedor no sustituye ese contrato.

5. Asistencia, derechos e incidentes

El encargado asistirá al cliente, teniendo en cuenta la naturaleza del tratamiento, para atender derechos y obligaciones de seguridad, evaluaciones de impacto y consultas previas. Tras conocer una violación de datos personales, lo notificará al responsable sin dilación indebida, facilitando la información disponible y actualizándola. El responsable valorará las notificaciones a autoridad y afectados dentro de los plazos legales.

6. Finalización y auditoría

Al terminar, el encargado devolverá o eliminará los datos personales y copias a elección del responsable, salvo conservación legal obligatoria. Deben acordarse los plazos y procedimiento, incluidas copias de seguridad y archivos huérfanos, sin confundir borrar una fila con borrar todos los archivos. Pondrá a disposición la información necesaria para demostrar cumplimiento y permitirá auditorías e inspecciones por el responsable o auditor autorizado, conforme al artículo 28.

7. Formalización pendiente

Para convertir esta propuesta en un acuerdo vinculante faltan la identificación y aceptación de ambas partes, fecha y versión aceptadas, anexos de medidas de seguridad, lista y autorización de subencargados, garantías internacionales y procedimiento de devolución o eliminación. Solicita su formalización en hola.instafactura@gmail.com. La mera navegación por esta página no formaliza el encargo.

Referencia: Reglamento General de Protección de Datos.