Acuerdo de encargado del tratamiento

Cómo se formaliza

Este acuerdo forma parte integrante de las condiciones de uso de PresuFlash. Al aceptarlas, lo aceptas también, sin necesidad de firma.

Si tu asesoría necesita un ejemplar firmado con tus datos, escríbenos a soporte@presuflash.com y te lo enviamos.

1. Partes

Responsable del tratamiento: el titular de la cuenta de usuario de PresuFlash, con los datos que consten en ella en el momento de aceptar las condiciones.

Encargado del tratamiento: David Martín Pérez, NIF 09013720C, con domicilio en calle Alejo Carpentier, 2, 28810 Villalbilla (Madrid), titular del servicio PresuFlash. Contacto: soporte@presuflash.com.

2. Objeto

Este acuerdo regula el tratamiento de los datos personales que introduces en PresuFlash sobre terceros, principalmente tus clientes, y que tratamos únicamente por cuenta tuya para prestarte el servicio. El detalle está en el Anexo I.

Queda fuera el tratamiento de tus propios datos como usuario —tu cuenta, tu empresa y tu suscripción—, respecto de los cuales actuamos como responsables y se aplica la política de privacidad.

3. Duración

Entra en vigor con la aceptación de las condiciones de uso y permanece vigente mientras mantengas una cuenta activa. Al terminar se aplica el apartado 12.

4. Instrucciones del responsable

Trataremos los datos únicamente siguiendo tus instrucciones documentadas, incluidas las relativas a transferencias internacionales. Se consideran instrucciones documentadas:

• Este acuerdo y las condiciones de uso.
• Las acciones que realizas dentro de la aplicación: crear un presupuesto, enviarlo, adjuntar fotos, dictar una nota de voz o borrar un registro.
• Las instrucciones adicionales que nos comuniques por escrito a soporte@presuflash.com.

Si consideramos que una instrucción infringe la normativa de protección de datos, te lo diremos de inmediato y podremos suspender su ejecución hasta aclararlo.

No usamos tus datos para finalidades propias, no los cedemos a terceros salvo lo previsto aquí o por obligación legal, no elaboramos perfiles y no entrenamos modelos con ellos.

5. Obligaciones del encargado

Además de lo anterior, nos obligamos a:

• a) Tratar los datos solo para prestarte el servicio y conforme a tus instrucciones.
• b) Garantizar que quienes están autorizados a tratarlos se han comprometido a la confidencialidad, con un deber que subsiste tras el fin de la relación.
• c) Aplicar las medidas del artículo 32 del RGPD, descritas en el Anexo II.
• d) Respetar las condiciones para recurrir a otros encargados, previstas en el apartado 8.
• e) Asistirte para que puedas atender las solicitudes de ejercicio de derechos de los interesados.
• f) Asistirte en el cumplimiento de los artículos 32 a 36: seguridad, notificación de brechas y evaluaciones de impacto.
• g) Suprimir o devolverte los datos al terminar la prestación, según elijas.
• h) Facilitarte la información necesaria para demostrar el cumplimiento y permitir auditorías, según el apartado 13.
• i) Llevar, cuando proceda, un registro de las categorías de tratamientos realizados por cuenta tuya.
• j) No comunicar los datos a autoridades de terceros países salvo obligación legal, informándote antes si la ley lo permite.

6. Confidencialidad

Mantendremos la confidencialidad con carácter indefinido. El acceso a los sistemas de producción está limitado a las personas imprescindibles para prestar el servicio y darte soporte.

7. Seguridad

Aplicamos las medidas del Anexo II, apropiadas al riesgo. Podemos actualizarlas siempre que el nivel de protección no disminuya.

8. Subencargados

Autorizas de forma general que recurramos a los subencargados del Anexo III, necesarios para prestar el servicio. Nos obligamos a:

• Imponer a cada uno, por contrato, obligaciones equivalentes a las de este acuerdo.
• Responder plenamente ante ti del incumplimiento de cualquiera de ellos.
• Avisarte de cualquier alta o sustitución con treinta días de antelación, por correo o dentro de la aplicación.

Puedes oponerte por motivos razonables dentro de ese plazo. Si la oposición impide prestar el servicio en condiciones equivalentes, cualquiera de las partes podrá resolver el contrato sin penalización, devolviéndote la parte proporcional no consumida de la suscripción.

9. Transferencias internacionales

El grueso del tratamiento —base de datos, autenticación, archivos y copias de seguridad— se realiza en Irlanda, dentro de la Unión Europea.

La funcionalidad de dictado por voz sí implica transferencias a Estados Unidos:

• El audio de la nota se envía a Groq Inc. para transcribirlo.
• La transcripción se envía a Anthropic PBC para convertirla en partidas.

Estas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU. Te facilitamos copia de las garantías si nos la pides.

10. Asistencia al responsable

Si un interesado nos dirige a nosotros una solicitud de derechos, te la trasladaremos sin dilación indebida y no responderemos por nuestra cuenta salvo que nos autorices.

Te damos los medios técnicos para acceder, rectificar, exportar o suprimir los datos de tus clientes desde la propia aplicación, y te prestamos asistencia razonable en las evaluaciones de impacto y consultas previas que te correspondan.

11. Violaciones de la seguridad

Te notificaremos cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de ella, al correo asociado a tu cuenta.

La notificación incluirá, en lo que se conozca: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas. Si no se puede facilitar todo de una vez, se completará de forma gradual.

Te corresponde a ti decidir si la violación debe notificarse a la autoridad de control y a los interesados.

12. Devolución o supresión de los datos

Al terminar la prestación eliges entre la devolución de los datos o su supresión. A falta de indicación en treinta días, se procede a la supresión.

Eliminar la cuenta desde la aplicación o desde esta página borra los archivos, los datos y el usuario, y el sistema verifica que la eliminación se ha completado.

Podremos conservar los datos estrictamente necesarios para cumplir obligaciones legales, bloqueados y durante el plazo exigido.

13. Auditoría

Te facilitaremos, previa solicitud razonada, la información necesaria para acreditar el cumplimiento de este acuerdo, incluida la documentación de seguridad de nuestros subencargados.

Puedes auditarnos, por ti o mediante un auditor independiente sujeto a confidencialidad, con un preaviso mínimo de treinta días, como máximo una vez al año salvo incidente de seguridad, en horario laboral y sin afectar a la continuidad del servicio. Los costes corren a tu cargo, salvo que se detecten incumplimientos relevantes.

14. Obligaciones del responsable

Por tu parte, te obligas a:

• Disponer de una base legal válida para tratar los datos de tus clientes e informarles conforme al artículo 13 del RGPD.
• Introducir en la aplicación únicamente los datos necesarios para elaborar y gestionar tus presupuestos.
• No introducir categorías especiales de datos —salud, ideología, religión, origen racial, datos biométricos o genéticos— ni datos relativos a infracciones o condenas penales.
• Atender las solicitudes de ejercicio de derechos de tus propios clientes.
• Mantener actualizados tus datos de contacto para poder recibir las notificaciones previstas aquí.

15. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus propias obligaciones, conforme al artículo 82 del RGPD. La limitación de responsabilidad de las condiciones de uso se aplica también aquí en lo que la ley permita, sin alcanzar en ningún caso al dolo, a la culpa grave ni a los derechos irrenunciables de los interesados.

16. Ley aplicable

Se rige por el Reglamento (UE) 2016/679, por la Ley Orgánica 3/2018 y, en lo no previsto, por la legislación española. Prevalece sobre cualquier disposición contraria de las condiciones de uso en materia de protección de datos.

Anexo I · Descripción del tratamiento

Anexo II · Medidas técnicas y organizativas

Control de acceso y aislamiento

• Autenticación individual por cuenta, con contraseñas almacenadas cifradas.
• Aislamiento a nivel de base de datos mediante Row Level Security de PostgreSQL: cada consulta se filtra por el identificador de la sesión, de modo que una cuenta no puede acceder a los datos de otra ni manipulando la aplicación.
• Acceso a los sistemas de producción limitado a las personas imprescindibles.

Cifrado

• Cifrado en reposo con AES-256 sobre todos los datos y las copias, permanente y no desactivable.
• Cifrado en tránsito mediante TLS en todas las comunicaciones, con HTTPS forzado.

Almacenamiento de archivos

• Fotografías, logotipos y notas de voz en almacenamiento privado, sin acceso por dirección pública.
• Entrega mediante enlaces firmados con caducidad temporal.
• El audio de las notas de voz se elimina una vez transcrito.

Minimización en las comunicaciones

• La página pública del presupuesto recibe una lista cerrada de campos que excluye los costes y el margen.
• El acceso al presupuesto público solo es posible mediante un token único: no puede solicitarse por número ni enumerarse.
• La huella de la aceptación se calcula en el servidor, no en el navegador del cliente.

Gestión de claves e integridad

• Las credenciales de los servicios externos se almacenan como secretos del servidor y no se incluyen en la aplicación instalable.
• Huella SHA-256 sobre un texto canónico del presupuesto firmado, bloqueo del documento tras la firma e historial de firmas sucesivas.

Anexo III · Subencargados

Cualquier alta o sustitución se comunica con treinta días de antelación.