Acuerdo de Encargado del Tratamiento (DPA)

1. Partes y roles

Respecto a los datos de terceros (clientes, proveedores y personal del cliente) introducidos en el Servicio, las partes y sus roles son:

• Responsable del tratamiento: el cliente que contrata el Servicio y decide qué datos introduce y con qué finalidad.
• Encargado del tratamiento: TONVI TECH SL (NIF B-19780394), que trata esos datos únicamente para prestar el Servicio siguiendo las instrucciones del responsable.

2. Objeto y alcance

El objeto del tratamiento es la prestación del Servicio descrito en los Términos: facturación, contabilidad, conexión bancaria, conciliación y funciones de IA. El encargado tratará los datos personales contenidos en las facturas, contactos, movimientos y documentos que el responsable suba a la plataforma. La naturaleza, finalidad, tipos de datos y categorías de interesados se detallan en el Anexo I.

3. Duración

El tratamiento durará mientras esté vigente la relación contractual (mientras la cuenta del cliente esté activa). A su finalización se aplicará lo previsto en la cláusula de devolución y supresión, sin perjuicio de los plazos de conservación legal.

4. Obligaciones del encargado

Como encargado del tratamiento, TONVI TECH SL se obliga a:

• Tratar los datos personales únicamente siguiendo las instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas técnicas y organizativas apropiadas descritas en el Anexo II (art. 32 RGPD).
• No recurrir a otro encargado (subencargado) sin autorización; se aplica la autorización general regulada en la cláusula de subencargados y el Anexo III.
• Asistir al responsable, en la medida posible, para que pueda cumplir su obligación de responder a las solicitudes de ejercicio de derechos de los interesados.
• Poner a disposición del responsable las herramientas para acceder, exportar, rectificar y suprimir los datos directamente desde la aplicación (Ajustes → Privacidad y datos).
• Notificar al responsable, sin dilación indebida, las violaciones de seguridad de los datos personales de las que tenga conocimiento.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías o inspecciones razonables.
• A elección del responsable, suprimir o devolver los datos personales una vez finalizada la prestación, salvo que deba conservarlos por obligación legal.
• Mantener un registro de las actividades de tratamiento realizadas por cuenta del responsable.

5. Obligaciones del responsable

El responsable garantiza que dispone de base legal para tratar los datos que introduce en el Servicio (por ejemplo, los de sus clientes y proveedores), que ha informado a los interesados cuando proceda y que sus instrucciones cumplen el RGPD. El responsable es quien decide las finalidades y los medios del tratamiento.

6. Subencargados

El responsable autoriza con carácter general que el encargado recurra a los subencargados enumerados en el Anexo III para prestar el Servicio. El encargado impone a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos. Antes de incorporar o sustituir un subencargado, el encargado lo comunicará con antelación razonable (por ejemplo, actualizando esta página); el responsable podrá oponerse por motivos razonables y, si la oposición impide prestar el Servicio, resolver el contrato.

7. Transferencias internacionales

Tanto los servidores de Aikount como el modelo de inteligencia artificial utilizado están ubicados en la Unión Europea, y los datos no se utilizan para entrenar modelos de terceros. Cuando un subencargado esté ubicado fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación o en las Cláusulas Contractuales Tipo de la Comisión Europea, junto con las medidas adicionales que correspondan. El Anexo III indica la ubicación de cada subencargado.

8. Violaciones de seguridad

En caso de violación de la seguridad de los datos, el encargado notificará al responsable sin dilación indebida tras tener conocimiento, aportando la información disponible para que el responsable pueda, en su caso, notificar a la autoridad de control (AEPD) y a los interesados dentro de los plazos legales.

9. Responsabilidad

La responsabilidad de cada parte se rige por el artículo 82 del RGPD y por la cláusula de limitación de responsabilidad de los Términos y Condiciones. Cada parte responde del incumplimiento de las obligaciones que el RGPD le atribuye en su respectivo rol.

Anexo I — Detalle del tratamiento

Categorías de interesados

• Clientes del responsable (personas físicas o representantes de empresas).
• Proveedores y acreedores del responsable.
• Personal o colaboradores del responsable que aparezcan en la documentación.
• Usuarios autorizados por el responsable para acceder a su espacio de trabajo.

Categorías de datos personales

• Datos identificativos: nombre, razón social y NIF/CIF.
• Datos de contacto: dirección postal, correo electrónico y teléfono.
• Datos fiscales: domicilio fiscal, régimen de IVA e identificadores tributarios.
• Datos económico-financieros: IBAN, importes y facturas.
• Datos transaccionales: movimientos bancarios, conciliaciones y documentos adjuntos.

Finalidad y naturaleza del tratamiento

Almacenamiento, organización, lectura, análisis y procesamiento (incluidos OCR e IA) de la documentación contable y financiera, con el fin de prestar las funciones del Servicio contratadas por el responsable.

El Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD). El responsable se compromete a no introducir este tipo de datos salvo que sea estrictamente necesario y conforme a la ley.

Anexo II — Medidas de seguridad

El encargado aplica, como mínimo, las siguientes medidas técnicas y organizativas (art. 32 RGPD), que pueden evolucionar para mantener un nivel de seguridad adecuado:

• Cifrado en tránsito de todas las comunicaciones (HTTPS/TLS).
• Cifrado en reposo de los secretos sensibles (credenciales de integraciones) mediante claves gestionadas.
• Control de acceso basado en roles y principio de mínimo privilegio.
• Aislamiento lógico multi-tenant: los datos de cada cliente están separados y no son accesibles por otros clientes.
• Almacenamiento de contraseñas mediante funciones de hash robustas (nunca en texto plano).
• Registro de auditoría de las operaciones, con identificación del actor y posibilidad de reversión.
• Copias de seguridad periódicas de la base de datos.
• Minimización de datos: a los proveedores de IA solo se envían los datos necesarios para cada función, sin usarlos para entrenar modelos de terceros.
• Procedimientos de detección, gestión y notificación de incidentes de seguridad.

Anexo III — Subencargados del tratamiento

El responsable autoriza a los siguientes subencargados. La activación de cada integración depende de que el responsable la conecte voluntariamente; si no se utiliza, no se comunican datos al subencargado correspondiente.

Esta lista se mantiene actualizada en esta página. Los proveedores de pago y de agregación bancaria pueden actuar, respecto de ciertos datos, como responsables independientes conforme a la normativa de servicios de pago (PSD2).