Contrato de encargo del tratamiento (DPA)

DPA = Data Processing Agreement (contrato de encargo del tratamiento). Es el contrato que tremen.phis ofrece a cada usuario: el usuario es responsable de los datos de sus clientes y tremen.phis los trata como encargado, solo para prestar el servicio.

1. Partes

• Responsable del tratamiento: el usuario titular de la cuenta en tremen.phis, identificado mediante los datos de su cuenta y perfil de emisor (nombre/razón social, NIF/CIF y domicilio facilitados en la plataforma).
• Encargado del tratamiento:Alberto C. Fojo Eiras, NIF 76414741R, con domicilio en Estrada de Viveiro 62, Porto do Barqueiro, 15337 Mañón (A Coruña), correo alberto@tremen.dev (en adelante, «tremen.phis» o «el Encargado»).

La aceptación de las Condiciones de uso del servicio implica la aceptación de este contrato de encargo del tratamiento.

2. Objeto

Este contrato regula el tratamiento de datos personales que tremen.phis realiza por cuenta del Responsable para prestarle el servicio de facturación, presupuestos y gestión contratado. El detalle del tratamiento figura en el Anexo I.

El Encargado tratará los datos únicamente para prestar el servicio y según las instrucciones documentadas del Responsable; no los usará para fines propios ni los cederá a terceros, salvo obligación legal.

3. Duración

Este contrato está vigente mientras lo esté la relación contractual del servicio (suscripción). A su finalización, el Encargado actuará conforme a la cláusula 11 (devolución y supresión).

4. Instrucciones del Responsable

El Encargado tratará los datos personales conforme a las instrucciones documentadas del Responsable, incluidas las que resultan del uso normal de la plataforma y de la configuración elegida por el Responsable. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo informará al Responsable.

5. Obligaciones del Encargado (art. 28.3 RGPD)

El Encargado se obliga a:

• a) Tratar los datos solo siguiendo instrucciones documentadas del Responsable, también en transferencias internacionales (salvo obligación legal, que comunicará salvo prohibición).
• b) Confidencialidad: garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• c) Seguridad: aplicar las medidas técnicas y organizativas apropiadas del art. 32 RGPD (detalladas en el Anexo II).
• d) Subencargados: respetar las condiciones de la cláusula 6 para recurrir a otro encargado.
• e) Asistencia al Responsable: ayudarle, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad).
• f) Apoyo en el cumplimiento: asistir al Responsable en garantizar la seguridad (art. 32), la notificación de brechas (arts. 33-34), las evaluaciones de impacto (art. 35) y las consultas previas (art. 36), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
• g) Devolución o supresión: a elección del Responsable, suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 11.
• h) Demostración del cumplimiento: poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías, conforme a la cláusula 9.

6. Subencargados

El Responsable autoriza con carácter general a tremen.phis a recurrir a los subencargados necesarios para prestar el servicio, listados en el Anexo III. tremen.phis suscribe con cada subencargado un contrato que le impone las mismas obligaciones de protección de datos que las aquí asumidas.

tremen.phis informará al Responsable de cualquier alta o sustitución de subencargados con antelación razonable, dándole la oportunidad de oponerse por motivos fundados. tremen.phis responde de la actuación de sus subencargados como de la propia.

7. Asistencia en los derechos de los interesados

Si un interesado dirige al Encargado una solicitud de ejercicio de derechos, el Encargado la trasladará al Responsable a la mayor brevedad para que este la resuelva, y le facilitará las funciones de la plataforma necesarias para atenderla (exportación, rectificación, supresión/anonimización de los datos).

8. Notificación de violaciones de seguridad (brecha)

El Encargado notificará al Responsable, sin dilación indebida y a más tardar en 72 horas desde que tenga conocimiento, toda violación de la seguridad de los datos personales, con la información del art. 33.3 RGPD disponible (naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas), para que el Responsable pueda cumplir, en su caso, sus obligaciones de notificación a la AEPD y a los interesados.

9. Auditoría y demostración del cumplimiento

El Encargado pondrá a disposición del Responsable la información razonable para demostrar el cumplimiento de este contrato. Las auditorías o inspecciones se realizarán con preaviso razonable, sin comprometer la seguridad ni la confidencialidad de los datos de otros clientes (entorno multi-inquilino), y podrán satisfacerse mediante certificaciones o informes de terceros cuando existan.

10. Transferencias internacionales

Los datos se alojan en la Unión Europea a través de Supabase (Irlanda). Cuando un subencargado implique una transferencia internacional fuera del EEE, esta se ampara en una garantía adecuada del art. 46 RGPD: tanto Vercel como Stripe (Stripe Payments Europe, Ltd.) tienen suscrito un DPA que incorpora las cláusulas contractuales tipo (SCC) de la Comisión Europea.

11. Devolución y supresión al finalizar

Finalizada la prestación, y a elección del Responsable, el Encargado:

• devolverá los datos en un formato exportable, y/o
• los suprimirá, junto con las copias existentes.

Dado que la plataforma debe respetar la inmutabilidad fiscal (Ley Antifraude), la supresión se materializa mediante anonimización no destructiva: se anonimizan o eliminan los datos cuando es posible y se bloquea (conservación restringida, sin uso ordinario) lo que la ley obliga a conservar durante sus plazos.

12. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que la normativa le atribuye, conforme al art. 82 RGPD y a las Condiciones de uso del servicio.

Anexo I — Descripción del tratamiento

• Objeto: prestación del servicio SaaS de facturación, presupuestos y gestión de tremen.phis.
• Naturaleza y finalidad: alojamiento, almacenamiento, organización, consulta, generación de documentos (facturas, presupuestos, contratos), conservación y, en su caso, supresión/anonimización de los datos.
• Duración: la de la relación contractual del servicio.
• Tipo de datos personales: datos identificativos y de contacto (nombre/razón social, NIF/CIF, domicilio, correo electrónico, persona de contacto/representante) y datos económicos y de facturación de los clientes del Responsable. No se prevén categorías especiales (art. 9 RGPD).
• Categorías de interesados: los clientes y contactos del Responsable (personas físicas profesionales/autónomas y representantes o contactos de personas jurídicas).

Anexo II — Medidas de seguridad (art. 32 RGPD)

• Aislamiento multi-inquilino mediante seguridad a nivel de fila (RLS) en la base de datos: cada Responsable solo accede a sus datos.
• Cifrado en tránsito de las comunicaciones.
• Control de acceso y autenticación gestionados por el proveedor de identidad (contraseñas almacenadas con hash; no se conservan en claro).
• Registros de auditoría inmutables (append-only) de los eventos relevantes.
• Copias de seguridad gestionadas por el proveedor de base de datos.

Anexo III — Subencargados autorizados

Stripe trata datos del Responsable como cliente de pago de la plataforma; respecto a los datos de los clientes del Responsable, los subencargados que realmente los alojan son Supabase y Vercel. A fecha de hoy no hay proveedor de email transaccional; si se añade, se incorporará aquí.