Acuerdo de encargo de tratamiento (DPA)
1. Partes y objeto
El presente Acuerdo de Encargo de Tratamiento (DPA) se celebra, conforme al artículo 28 del RGPD, entre:
- Responsable del tratamiento: el usuario, profesional o empresa que contrata y utiliza el Servicio Contabilify (en adelante, "el Responsable").
- Encargado del tratamiento: Contabilify SL, CIF/NIF B88725494, con domicilio fiscal en CL. ONZE, 23 - 08130 Santa Perpètua de Mogoda (Barcelona), titular de Contabilify (en adelante, "el Encargado").
Este acuerdo regula el tratamiento de los datos personales de terceros que el Responsable suba o gestione en Contabilify —especialmente datos de clientes, proveedores, colaboradores o empleados incluidos en facturas y documentos— por cuenta y según las instrucciones del Responsable.
2. Naturaleza y finalidad del tratamiento
El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable y con la finalidad de prestar el Servicio: extracción de datos, clasificación de facturas, almacenamiento, analítica, exportación, soporte, seguridad y mantenimiento técnico. Contabilify no usará esos datos para finalidades propias incompatibles, publicidad de terceros ni entrenamiento de modelos propios.
3. Tipo de datos y categorías de interesados
Los datos tratados en el marco de este acuerdo pueden incluir:
- Datos identificativos de terceros: nombre o razón social, NIF/CIF y dirección.
- Datos económicos: importes, fechas y conceptos de facturación.
- Categorías de interesados: clientes, proveedores, colaboradores u otras personas físicas que aparezcan en los documentos subidos.
El Responsable garantiza que dispone de base jurídica suficiente para tratar estos datos, subirlos a Contabilify y encargar su tratamiento.
4. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos únicamente según las instrucciones documentadas del Responsable.
- Garantizar la confidencialidad de los datos, comprometiendo a tal efecto al personal autorizado que acceda a ellos.
- Aplicar las medidas técnicas y organizativas apropiadas al riesgo.
- Asistir al Responsable en la atención del ejercicio de derechos de los interesados en un plazo máximo de 72 horas hábiles desde su comunicación.
- Notificar al Responsable las violaciones de seguridad que afecten a los datos tratados por su cuenta sin dilación indebida y, en todo caso, antes de 72 horas desde que el Encargado tenga conocimiento de ellas.
- Ayudar al Responsable en la realización de evaluaciones de impacto y en el cumplimiento de sus obligaciones de seguridad.
- Suprimir o devolver los datos al finalizar la prestación, salvo obligación legal de conservación.
- Poner a disposición del Responsable la información razonable para demostrar el cumplimiento del artículo 28 del RGPD.
5. Subencargados
El Responsable autoriza el uso de los subencargados necesarios para prestar el Servicio, que actualmente son:
- Supabase Inc. — base de datos y autenticación.
- Railway Corp. — infraestructura.
- Anthropic PBC. — procesamiento mediante IA.
- Resend Inc. — emails transaccionales.
- Stripe Inc. — pagos y facturación.
- Google LLC — integración con Google Drive (solo cuando el usuario la activa).
Contabilify podrá actualizar esta lista cuando sea necesario para el Servicio. Los cambios relevantes se comunicarán por email o dentro de la plataforma con antelación razonable. Si el Responsable se opone por motivos fundados de protección de datos, podrá cancelar el Servicio.
6. Transferencias internacionales
Cuando el tratamiento implique acceso o transferencia de datos fuera del Espacio Económico Europeo, el Encargado aplicará garantías adecuadas conforme al RGPD, en particular las cláusulas contractuales tipo (CCT) previstas en el artículo 46 del RGPD u otros mecanismos válidos.
7. Duración y terminación
Este acuerdo estará vigente mientras el Responsable mantenga una cuenta activa o existan datos tratados por su cuenta. A la finalización del Servicio, el Encargado suprimirá o devolverá los datos en un plazo máximo de 72 horas hábiles desde la solicitud, salvo conservación obligatoria por ley.
8. Responsabilidad
Cada parte responde del cumplimiento de las obligaciones que le corresponden conforme al RGPD. El Responsable garantiza la licitud de los datos que sube y de las instrucciones que imparte, así como disponer de base jurídica e información a los interesados. El Encargado responde de los daños causados por el tratamiento únicamente cuando haya incumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen de las instrucciones lícitas del Responsable. Para cualquier consulta o solicitud relacionada con este acuerdo: soporte@contabilify.com.