Acuerdo de tratamiento de datos

Encargo del tratamiento según el artículo 28 del RGPD y el artículo 33 de la LOPDGDD. Versión del 12 de octubre de 2026.

Partes

RESPONSABLE: la empresa que se da de alta en ConciliaIA, identificada con el nombre y, en su caso, el CIF o NIF indicados en el alta, representada por la persona que acepta este acuerdo, que declara tener capacidad suficiente para hacerlo.

ENCARGADO: David Serrano Marazuela, con NIF 70279004C y dirección postal y de notificaciones en C/ Albahaca 2, 18006 Granada, que actúa en su propio nombre bajo el nombre comercial ConciliaIA.

El ENCARGADO presta el servicio ConciliaIA, una aplicación web que lee las facturas y los albaranes de los proveedores de sus clientes, los cruza entre sí y prepara borradores de reclamación cuando encuentra diferencias de cantidad, precio o importe. Para prestarlo necesita tratar, por cuenta del RESPONSABLE, los datos personales que contienen esos documentos, y en cumplimiento del artículo 28.3 del RGPD las partes se rigen por las siguientes cláusulas.

1. Objeto del encargo

1.1. Este acuerdo habilita al ENCARGADO para tratar, por cuenta del RESPONSABLE, los datos personales necesarios para prestar el servicio ConciliaIA, descrito en el Anexo I.

1.2. El tratamiento consiste en recibir los documentos que el RESPONSABLE sube a su cuenta; leerlos de forma automatizada con inteligencia artificial para extraer sus datos; guardar los datos extraídos; cruzar cada factura con sus albaranes; y mostrar al RESPONSABLE las diferencias y un borrador de reclamación al proveedor, que el RESPONSABLE revisa y envía por su cuenta.

1.3. Operaciones de tratamiento: recogida, registro, estructuración, conservación, extracción, cotejo, consulta, modificación (cuando el RESPONSABLE corrige un dato) y supresión.

2. Información afectada

2.1. Los tipos de datos personales y las categorías de interesados se describen en el Anexo I.

2.2. El RESPONSABLE no subirá al servicio documentos con categorías especiales de datos (artículo 9 del RGPD) ni datos relativos a condenas e infracciones penales.

3. Duración

3.1. Este acuerdo entra en vigor cuando se acepta y dura mientras el RESPONSABLE tenga abierta su cuenta en ConciliaIA.

3.2. El deber de confidencialidad se mantiene después de que termine el acuerdo.

4. Obligaciones del ENCARGADO

El ENCARGADO se obliga a:

a) Finalidad. Utilizar los datos personales solo para prestar el servicio objeto de este encargo. En ningún caso los utilizará para fines propios ni para entrenar o mejorar modelos de inteligencia artificial.

b) Instrucciones. Tratar los datos siguiendo las instrucciones documentadas del RESPONSABLE, que son las de este acuerdo y las que el RESPONSABLE dé por escrito mientras esté vigente, incluidas las relativas a transferencias internacionales. Si el ENCARGADO considera que una instrucción infringe el RGPD u otra norma de protección de datos, se lo comunicará de inmediato al RESPONSABLE.

c) Registro de actividades. Llevar por escrito, también en formato electrónico, un registro de las categorías de actividades de tratamiento que realiza por cuenta del RESPONSABLE, con el contenido del artículo 30.2 del RGPD.

d) Comunicación de datos. No comunicar los datos a terceros, salvo a los subencargados autorizados según la cláusula 5 o cuando lo exija una norma legal. En ese último caso informará antes al RESPONSABLE, salvo que la ley lo prohíba.

e) Confidencialidad. Guardar secreto sobre los datos a los que tenga acceso, también después de terminar el encargo, y garantizar que cualquier persona que autorice a tratarlos se comprometa por escrito a respetar la confidencialidad y las medidas de seguridad, conservando la documentación que lo acredite a disposición del RESPONSABLE. En la fecha de esta versión, la única persona autorizada es el propio ENCARGADO.

f) Acceso del ENCARGADO a los datos. El ENCARGADO puede acceder técnicamente a la base de datos para mantener el servicio, pero solo consultará los datos del RESPONSABLE cuando haga falta para resolver una incidencia o una consulta que este le plantee.

g) Medidas de seguridad. Aplicar las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo según el artículo 32 del RGPD, y no reducirlas sin informar antes al RESPONSABLE.

h) Derechos de los interesados. Asistir al RESPONSABLE para responder a las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individualizadas automatizadas. Si un interesado se dirige al ENCARGADO, este lo comunicará al RESPONSABLE por correo electrónico de inmediato y nunca más tarde del día laborable siguiente al de la recepción, junto con la información que pueda servir para resolver la solicitud.

i) Violaciones de seguridad. Notificar al RESPONSABLE, sin dilación indebida y en cualquier caso en un plazo máximo de 48 horas desde que tenga conocimiento de ellas, por correo electrónico a la dirección de quien aceptó este acuerdo o de quien dio de alta la empresa, las violaciones de la seguridad de los datos personales a su cargo, con la información necesaria para documentarlas y, si procede, comunicarlas. Como mínimo: la naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados cuando sea posible; un punto de contacto; las posibles consecuencias; y las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos. Si no puede dar toda la información a la vez, la dará por partes sin dilación indebida.

j) Apoyo al RESPONSABLE. Ayudarle, según la naturaleza del tratamiento y la información de que disponga, a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas), cuando procedan.

k) Demostración del cumplimiento. Poner a disposición del RESPONSABLE la información necesaria para demostrar que cumple estas obligaciones, y permitir y contribuir a las auditorías e inspecciones que realice el RESPONSABLE u otro auditor autorizado por él, con un preaviso razonable.

l) Delegado de protección de datos. El ENCARGADO no está obligado a designar un delegado de protección de datos. Si llegara a estarlo, lo comunicará al RESPONSABLE junto con sus datos de contacto.

m) Destino de los datos al terminar. Al terminar el acuerdo, y a elección del RESPONSABLE, el ENCARGADO le entregará los datos extraídos en un archivo CSV y después los suprimirá, o los suprimirá directamente. La supresión alcanza a todos los datos de la cuenta del RESPONSABLE, se hará en un plazo máximo de 15 días desde la terminación y el ENCARGADO la confirmará por escrito. El ENCARGADO no conservará ninguna copia, salvo que una norma legal le obligue a ello. Además:

• El RESPONSABLE puede descargar sus datos en CSV y borrar en cualquier momento cada documento, todos sus documentos o la cuenta entera desde la propia aplicación, con efecto inmediato en la base de datos.
• El historial de restauración de la base de datos conserva los datos borrados solo durante su plazo técnico (en el plan actual, unas horas) y después desaparecen también de él.
• Los documentos enviados a Anthropic para su lectura se suprimen según sus condiciones, por regla general en un plazo máximo de 30 días.

5. Subencargados

5.1. El RESPONSABLE da al ENCARGADO una autorización general para recurrir a otros encargados (subencargados). Al aceptar este acuerdo, autoriza expresamente a los subencargados del Anexo III, que son los proveedores tecnológicos sin los que el servicio no puede funcionar.

5.2. El ENCARGADO informará por escrito al RESPONSABLE de cualquier cambio previsto en la incorporación o sustitución de subencargados, indicando quién es el nuevo subencargado y qué tratamiento hará, en cuanto lo sepa y, siempre que sea posible, con al menos 10 días de antelación. El RESPONSABLE podrá oponerse en ese plazo y, si se opone, terminar el acuerdo, con el destino de los datos de la cláusula 4.m).

5.3. Cada subencargado está sujeto, por sus condiciones contractuales con el ENCARGADO, a obligaciones de protección de datos que ofrecen garantías suficientes según el artículo 28.4 del RGPD. El ENCARGADO sigue siendo plenamente responsable ante el RESPONSABLE de que los subencargados cumplan sus obligaciones.

6. Transferencias internacionales

6.1. Algunos subencargados tratan datos en Estados Unidos. Estas transferencias se amparan en las garantías que el Anexo III indica para cada uno: la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU., para las empresas certificadas, o las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914.

6.2. Al aceptar este acuerdo, el RESPONSABLE da instrucciones al ENCARGADO para que realice estas transferencias en los términos aquí previstos.

7. Obligaciones del RESPONSABLE

El RESPONSABLE se obliga a:

a) Subir al servicio solo los documentos necesarios para la finalidad del encargo, y garantizar que puede tratar legítimamente los datos personales que contienen y encargar su tratamiento.

b) Subir los documentos solo a través del servicio, y no enviárselos al ENCARGADO por correo electrónico ni por otros medios.

c) Informar a los interesados según los artículos 13 y 14 del RGPD, cuando proceda.

d) Custodiar el acceso a su cuenta: dar acceso solo a las personas de su organización que deban usar el servicio, quitárselo cuando dejen de necesitarlo y avisar al ENCARGADO sin demora si cree que alguien no autorizado ha entrado.

e) Hacer, si procede, la evaluación de impacto y las consultas previas.

f) Velar, antes y durante todo el tratamiento, por que el ENCARGADO cumpla el RGPD, y supervisar el tratamiento.

8. Responsabilidad

Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si el ENCARGADO destina los datos a otra finalidad, los comunica o los utiliza incumpliendo este acuerdo, será considerado también responsable del tratamiento y responderá de las infracciones en que haya incurrido personalmente (artículo 28.10 del RGPD).

9. Terminación

Cualquiera de las partes puede terminar este acuerdo en cualquier momento, comunicándolo a la otra por correo electrónico; el RESPONSABLE también, borrando su cuenta desde la aplicación. Al terminar se aplica el destino de los datos de la cláusula 4.m).

10. Comunicaciones

Las comunicaciones entre las partes se harán por correo electrónico: al RESPONSABLE, a la dirección de quien aceptó este acuerdo o de quien dio de alta la empresa; al ENCARGADO, a david@conciliaia.es.

11. Ley aplicable y jurisdicción

Este acuerdo se rige por la legislación española. Para cualquier controversia, serán competentes los juzgados y tribunales que correspondan según la ley.

Anexo I. Descripción del tratamiento

Los datos de las personas que usan la cuenta del RESPONSABLE (su correo, por ejemplo) no forman parte de este encargo: el ENCARGADO los trata como responsable, según la política de privacidad.

Anexo II. Medidas de seguridad

1. Cifrado en tránsito. Todas las comunicaciones con el servicio, y entre el servicio y sus subencargados, van cifradas con HTTPS (TLS).
2. Cifrado en reposo. El proveedor de la base de datos la almacena cifrada.
3. Minimización. No se guarda el archivo original, solo los datos extraídos y el nombre del archivo.
4. Aislamiento entre clientes. Cada empresa tiene su propia cuenta. El servidor deduce la empresa de la sesión de quien hace cada petición, nunca de lo que indique el navegador, y cada consulta, cambio o borrado comprueba que el documento pertenece a esa empresa.
5. Acceso a la cuenta. Se entra sin contraseña, con un código de un solo uso que llega al correo de cada persona, caduca a los 15 minutos y deja de valer tras 5 intentos fallidos, o con una cuenta de Google cuando está disponible. Se limita el número de códigos que se pueden pedir por correo y por conexión. La sesión se guarda en una cookie técnica protegida (HttpOnly, Secure, SameSite) y caduca tras 30 días sin uso. En la base de datos solo se guardan huellas (hashes) de los códigos, los enlaces y las sesiones, nunca su valor.
6. Administración. Solo el ENCARGADO accede a la base de datos y a las cuentas del alojamiento, de la base de datos, de la API de inteligencia artificial, del envío de correos y del correo, todas con verificación en dos pasos. La clave de la API de inteligencia artificial está solo en el servidor y nunca llega al navegador.
7. Registros sin contenido. Los registros técnicos de errores guardan la fecha y el tipo de error, nunca el contenido de los documentos. Para limitar los intentos de acceso se guarda una huella de la dirección IP desde la que se pide cada código, que se borra al día siguiente.
8. Borrado. El RESPONSABLE puede borrar cada documento, todos sus documentos o la cuenta entera en cualquier momento, con efecto inmediato.
9. Sin entrenamiento. Las condiciones comerciales de Anthropic le impiden entrenar modelos con los datos enviados por el servicio.
10. Incidentes. Las violaciones de seguridad se notifican según la cláusula 4.i).

Anexo III. Subencargados autorizados

Para enviar los correos para entrar y las invitaciones, ConciliaIA usa Resend, Inc., que solo recibe la dirección de correo de las personas usuarias y ningún documento. Ese tratamiento no forma parte de este encargo y se rige por la política de privacidad.