Contrato de encargo del tratamiento

1. Objeto y partes

Este documento regula el tratamiento de datos personales que SKY CLOUD INFRASTRUCTURE, SL (NIF B26682641), en adelante «VeriBai», efectúa por cuenta del Cliente al prestar el servicio descrito en el apartado 4 de las condiciones del servicio, y da cumplimiento a lo exigido por el artículo 28.3 del RGPD.

El Cliente, o en su caso el emisor en cuyo nombre actúa, es el responsable del tratamiento. VeriBai es el encargado. Los términos definidos en el apartado 3 de las condiciones tienen aquí el mismo significado.

Este encargo se acepta junto con las condiciones del servicio, en la activación de la cuenta, y VeriBai conserva constancia de la versión aceptada y de la fecha de aceptación. No requiere firma separada.

2. Objeto, naturaleza, finalidad y duración del tratamiento

Naturaleza y objeto. Recepción, validación, firma, encadenamiento y remisión a la administración tributaria competente de los registros de facturación que el Cliente envía, junto con su conservación y con las operaciones de consulta, descarga y exportación asociadas.

Finalidad. Prestar el servicio y cumplir las obligaciones que la normativa de los sistemas informáticos de facturación impone al prestador. VeriBai no trata estos datos para ninguna finalidad propia: no los comunica a terceros salvo obligación legal, no los vende, no elabora perfiles con ellos y no los utiliza para entrenar modelos ni para ningún desarrollo ajeno al servicio.

Duración. El tratamiento se extiende a toda la vigencia de la relación contractual y, después, a los plazos de conservación del apartado 11 de las condiciones, según el apartado 10 de este documento.

3. Datos personales e interesados

Las categorías de datos personales tratadas son:

• datos identificativos y fiscales del emisor: NIF o identificador equivalente, nombre o razón social y domicilio;
• datos identificativos del destinatario de cada factura: NIF o identificador equivalente, nombre o razón social y, cuando conste en la factura, domicilio;
• datos de la operación facturada: descripción, importes, impuestos, fechas, serie y número;
• datos de los usuarios de la cuenta del Cliente: nombre, dirección de correo electrónico y registros de acceso y de uso de la API.

Las categorías de interesados son:

• personas físicas que actúan como emisores;
• personas físicas destinatarias de las facturas;
• personas de contacto y usuarios de la cuenta del Cliente.

El tratamiento no comprende las categorías especiales de datos del artículo 9 del RGPD ni los datos relativos a condenas e infracciones del artículo 10. El Cliente se obliga a no incluirlos en los campos de texto libre de los registros que remite.

4. Obligaciones del Cliente como responsable

• Disponer de base jurídica para el tratamiento y haber informado a los interesados conforme a los artículos 13 y 14 del RGPD.
• Garantizar la exactitud de los datos que remite y de las instrucciones que imparte.
• Impartir sus instrucciones por escrito. El uso del servicio conforme a su documentación pública constituye la instrucción ordinaria del responsable.
• Cuando el Cliente gestione emisores por cuenta de terceros, garantizar que dispone de título suficiente para ello y que esos terceros conocen la intervención de VeriBai como subencargado.
• Comunicar a VeriBai cualquier circunstancia que afecte al tratamiento, incluida la recepción de requerimientos de autoridades relativos a los datos tratados en el servicio.

5. Obligaciones de VeriBai como encargado

Conforme al artículo 28.3 del RGPD, VeriBai se obliga a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, incluida cualquier transferencia internacional. Si VeriBai considera que una instrucción infringe la normativa de protección de datos, lo comunicará al Cliente de inmediato.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos, mediante compromiso expreso de confidencialidad, y limitar su acceso a lo estrictamente necesario para sus funciones.
• Aplicar las medidas de seguridad del artículo 32, descritas en el apartado 8.
• Respetar el régimen de subencargados de los artículos 28.2 y 28.4, descrito en el apartado 6.
• Asistir al responsable en la atención de los derechos de los interesados y en el cumplimiento de los artículos 32 a 36, según el apartado 9.
• Suprimir o devolver los datos al terminar la prestación, según el apartado 10.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías, según el apartado 11.

VeriBai mantiene el registro de actividades de tratamiento efectuadas por cuenta de sus clientes que exige el artículo 30.2 del RGPD, y no comunica los datos a terceros salvo obligación legal, en cuyo caso informará previamente al Cliente si el Derecho aplicable no lo prohíbe.

6. Subencargados

El Cliente autoriza con carácter general la intervención de los subencargados necesarios para prestar el servicio. Los que intervienen a la fecha de este documento son:

VeriBai comunicará al Cliente cualquier alta o sustitución de subencargado con una antelación mínima de treinta (30) días naturales, por correo electrónico o a través del panel. Durante ese plazo el Cliente puede oponerse por motivos fundados relativos a la protección de datos. Si la oposición está fundada y no existe una alternativa razonable, cualquiera de las partes puede resolver la relación sin penalización antes de que el cambio surta efecto.

VeriBai impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este documento, y responde ante el Cliente de su actuación como de la propia.

7. Ubicación de los datos y transferencias internacionales

Los registros de facturación y sus artefactos se procesan y almacenan en la región de Amazon Web Services en España. Las copias de recuperación ante desastres se replican, cifradas, en la región de Irlanda. Ambas están dentro de la Unión Europea.

El tratamiento no comporta ninguna transferencia internacional de datos. Si en el futuro resultara necesaria, se comunicaría conforme al apartado 6 y quedaría sujeta a las garantías del capítulo V del RGPD.

8. Medidas de seguridad y violaciones

Atendiendo al estado de la técnica y a los riesgos del tratamiento, VeriBai aplica, entre otras, las siguientes medidas:

• cifrado de los datos en tránsito y en reposo;
• aislamiento de los registros por cuenta y por emisor, de modo que ninguna cuenta puede acceder a los datos de otra;
• autenticación por clave con control de acceso, revocación y rotación a instancia del Cliente;
• registro de las operaciones realizadas sobre los registros;
• copias de seguridad y replicación en una segunda región de la Unión Europea, con procedimientos de recuperación;
• revisión periódica de la eficacia de las medidas y actualización cuando el riesgo lo requiera.

VeriBai notificará al Cliente cualquier violación de la seguridad que afecte a sus datos sin dilación indebida desde que tenga conocimiento de ella, facilitando la información del artículo 33.3 del RGPD de que disponga y completándola a medida que avance la investigación. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Cliente como responsable.

9. Asistencia al responsable

Si un interesado ejercita ante VeriBai cualquiera de los derechos de los artículos 15 a 22 del RGPD respecto de datos tratados por cuenta del Cliente, VeriBai le indicará que debe dirigirse al responsable y lo comunicará al Cliente sin dilación, sin atender la solicitud por su cuenta.

VeriBai asiste al Cliente en la atención de esos derechos mediante las funciones del propio servicio, que permiten consultar, descargar y exportar los registros, y, cuando esas funciones no basten, con medios razonables atendiendo a la naturaleza del tratamiento. El límite de la supresión sobre los registros de facturación es el descrito en el apartado 11.4 de las condiciones.

VeriBai asiste asimismo al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD, incluidas la notificación de violaciones, la evaluación de impacto y la consulta previa, con la información de que disponga.

10. Fin del tratamiento

Al terminar la prestación, el artículo 28.3.g) del RGPD obliga al encargado a suprimir o devolver los datos a elección del responsable, salvo que el Derecho de la Unión o de los Estados miembros exija conservarlos. Éste es el caso: los registros de facturación están sujetos a los plazos de conservación descritos en el apartado 11 de las condiciones.

En consecuencia, y según ese apartado: el Cliente puede recuperar sus registros a través de la API o del panel antes de la baja y durante los treinta días siguientes a solicitarla; transcurrido ese plazo los registros dejan de estar disponibles en el servicio y pasan a un archivo bloqueado en el sentido del artículo 32 de la Ley Orgánica 3/2018, con el acceso restringido a la puesta a disposición de jueces, tribunales, Ministerio Fiscal y administraciones tributarias; y se destruyen al vencer el plazo indicado en ese mismo apartado.

11. Información y auditoría

VeriBai pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones de este documento, incluida su declaración responsable y la documentación técnica y de seguridad pertinente.

El Cliente puede auditar el cumplimiento, por sí o a través de un tercero independiente que no sea competidor de VeriBai, una vez al año, con un preaviso mínimo de treinta (30) días naturales, en horario laborable y de forma que no perturbe el servicio. Los costes de la auditoría son a cargo del Cliente. La auditoría no alcanza a los datos de otros clientes ni a la información cuya divulgación comprometa la seguridad del servicio. VeriBai puede atender la solicitud aportando certificaciones o informes de auditoría de terceros que cubran el alcance solicitado.

12. Régimen

Este documento forma parte de las condiciones del servicio. En caso de contradicción entre ambos en materia de protección de datos personales, prevalece este documento.

Su modificación se rige por el apartado 16 de las condiciones. El tratamiento de los datos personales de quienes visitan veribai.com se describe en la política de privacidad, que es ajena a este encargo.

Este documento se rige por la legislación española. Para cualquier controversia derivada de él, las partes se someten a los juzgados y tribunales de Barcelona, conforme al apartado 17 de las condiciones.