Condiciones de Encargo del Tratamiento (art. 28 RGPD)

En la prestación del servicio conviven dos relaciones de tratamiento diferentes, tal y como se detalla en el Anexo: Encargados del Tratamiento y Transferencias Internacionales:

• Datos de cuenta del Usuario autónomo: respecto a los datos con los que el autónomo se da de alta y gestiona su cuenta, Factonic actúa como responsable del tratamiento. Ese tratamiento se rige por la Política de Privacidad, no por este documento.
• Datos de los clientes del Usuario autónomo: respecto a los datos personales que el autónomo introduce sobre sus propios clientes (destinatarios de sus facturas, presupuestos, proformas y obras), el Usuario autónomo es el responsable del tratamiento y Factonic actúa como su encargado del tratamiento. Esta relación es la que regula el presente Contrato de Encargo.

A los efectos de este documento, “el Usuario autónomo” es el responsable del tratamiento y “Factonic” es el encargado del tratamiento.

2.1. Objeto. El objeto del Encargo es el tratamiento, por parte de Factonic y por cuenta del Usuario autónomo, de los datos personales de los clientes del Usuario autónomo que resulten necesarios para prestar el servicio de facturación por voz de la aplicación Factonic.

2.2. Naturaleza y finalidad. El tratamiento consiste en la recogida, registro, estructuración, almacenamiento, transcripción, extracción asistida por inteligencia artificial de los campos de la factura, cálculo fiscal, generación de documentos (facturas, presupuestos, proformas y sus versiones descargables en PDF y Excel), consulta, conservación y, en su caso, supresión de dichos datos. La única finalidad es permitir al Usuario autónomo emitir y gestionar su facturación y la documentación asociada a través del servicio. Factonic no destina los datos a ninguna finalidad distinta de la prestación del servicio conforme a las instrucciones del responsable.

2.3. Duración. El Encargo se mantiene vigente mientras el Usuario autónomo disponga de una cuenta activa y utilice el servicio, y finaliza con la terminación de la relación contractual, sin perjuicio de las obligaciones de conservación legal previstas en la cláusula 10 y de las salvedades indicadas en ella.

3.1. Categorías de interesados. Los clientes y destinatarios de factura del Usuario autónomo (personas físicas, o personas de contacto en el caso de clientes B2B), así como cualquier persona física cuyos datos aparezcan en las facturas, presupuestos, proformas, obras o en el audio y la transcripción dictados por el Usuario autónomo.

3.2. Tipo de datos personales. Datos identificativos y de contacto de dichos clientes: nombre o razón social, NIF/CIF, dirección, email y teléfono, así como los datos que consten en los documentos emitidos (conceptos, importes, fechas) y los datos personales que puedan estar contenidos en el audio de voz y su transcripción.

No está previsto el tratamiento de categorías especiales de datos (art. 9 RGPD). El Usuario autónomo se compromete a no introducir en el servicio datos de categorías especiales ni datos innecesarios para la finalidad de facturación.

4.1. El Usuario autónomo, como responsable, garantiza que dispone de base jurídica para el tratamiento de los datos de sus clientes y para su comunicación a Factonic como encargado, y que ha cumplido, cuando corresponda, con sus deberes de información frente a dichos interesados.

4.2. El Usuario autónomo tiene derecho a impartir instrucciones documentadas a Factonic sobre el tratamiento, a supervisar su cumplimiento en los términos de la cláusula 11 y a decidir, al finalizar el Encargo, sobre la supresión o devolución de los datos conforme a la cláusula 10.

4.3. El Usuario autónomo es responsable de la exactitud y licitud de los datos que introduce en el servicio y de gestionar frente a sus clientes las relaciones que le corresponden como responsable.

Factonic tratará los datos personales únicamente siguiendo las instrucciones documentadas del Usuario autónomo, incluidas las relativas a las transferencias internacionales. Se consideran instrucciones documentadas del responsable las contenidas en este Contrato de Encargo, en la Política de Privacidad, en los Términos y Condiciones de Uso y las que se deriven del uso normal de las funcionalidades del servicio por parte del Usuario autónomo.

Si Factonic estuviera obligado a tratar los datos por el Derecho de la Unión o de un Estado miembro, informará de esa exigencia al Usuario autónomo antes del tratamiento, salvo que dicho Derecho lo prohíba por razones de interés público. Si Factonic considera que una instrucción infringe la normativa de protección de datos, informará de ello sin dilación al Usuario autónomo.

Factonic garantiza que las personas autorizadas para tratar los datos personales objeto del Encargo se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal o contractual, tanto durante la vigencia del Encargo como tras su finalización. El acceso a los datos se limita al personal que lo necesite para prestar el servicio.

Factonic aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre las que se incluyen:

• Cifrado en tránsito de las comunicaciones con el servicio.
• Aislamiento multi-tenant mediante control de acceso a nivel de fila (RLS) en todas las tablas, de modo que cada Usuario autónomo solo puede acceder a sus propios datos y a los de sus clientes.
• Gestión de secretos exclusivamente en servidor (por ejemplo, claves de API y credenciales privilegiadas), que nunca se exponen en el cliente.
• Alojamiento de los datos en la Unión Europea en la infraestructura backend principal, según se detalla en el Anexo: Encargados del Tratamiento y Transferencias Internacionales.
• Control de acceso, autenticación de los usuarios y registro de la actividad relevante del sistema.

El detalle de la ubicación de los datos, los proveedores y las transferencias figura en el Anexo: Encargados del Tratamiento y Transferencias Internacionales. Las garantías concretas de cada proveedor están [garantía a confirmar en el DPA del proveedor].

8.1. Autorización general. El Usuario autónomo autoriza con carácter general a Factonic a recurrir a otros encargados (sub-encargados) para la prestación del servicio. La relación de sub-encargados vigente, con su finalidad, ubicación y transferencias internacionales, figura en el Anexo: Encargados del Tratamiento y Transferencias Internacionales, que forma parte de este Contrato de Encargo.

8.2. Deber de informar de altas y bajas. Factonic informará al Usuario autónomo de cualquier cambio previsto en la incorporación o sustitución de sub-encargados mediante la actualización del citado Anexo, dando al Usuario autónomo la oportunidad de oponerse a dichos cambios en los términos previstos en la Política de Privacidad y en este documento.

8.3. Mismas obligaciones. Factonic impondrá a cada sub-encargado, mediante contrato, las mismas obligaciones de protección de datos que las estipuladas en este Contrato de Encargo, en particular las garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas. Factonic responde frente al Usuario autónomo del cumplimiento por parte del sub-encargado de sus obligaciones. La formalización de cada contrato de encargo (DPA) con los sub-encargados está [garantía a confirmar en el DPA del proveedor].

9.1. Derechos de los interesados. Teniendo en cuenta la naturaleza del tratamiento, Factonic asistirá al Usuario autónomo, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que este pueda atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si un interesado dirige una solicitud directamente a Factonic, este la trasladará sin dilación al Usuario autónomo y no responderá por su cuenta, salvo instrucción en contrario.

9.2. Violaciones de seguridad (brechas). Factonic notificará al Usuario autónomo sin dilación indebida las violaciones de la seguridad de los datos personales de las que tenga conocimiento, aportando la información de que disponga para que el responsable pueda, en su caso, cumplir con sus obligaciones de notificación a la autoridad de control y a los interesados.

9.3. Evaluaciones de impacto y consultas previas. Factonic prestará al Usuario autónomo la asistencia necesaria para la realización de evaluaciones de impacto relativas a la protección de datos y las consultas previas a la autoridad de control, cuando resulten procedentes, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

Una vez finalizada la prestación del servicio, Factonic, a elección del Usuario autónomo, suprimirá o le devolverá los datos personales objeto del Encargo, y suprimirá las copias existentes, salvo que se requiera su conservación en virtud del Derecho de la Unión o de los Estados miembros.

Salvedad legal relevante: las facturas ya emitidas son documentos inmutables cuya conservación viene impuesta por la normativa fiscal y mercantil aplicable. Dichos documentos y los datos personales que contienen podrán conservarse durante los plazos legales de conservación, aun tras la finalización del Encargo, y no se suprimirán mientras dicha obligación legal persista. Véase el Aviso de Responsabilidad Fiscal y la Política de Privacidad.

Respecto al audio de voz: se elimina de forma automática e inmediata en cuanto se transcribe con éxito (principio de minimización), por lo que no se conserva una vez cumplida su finalidad; las grabaciones residuales de transcripciones no completadas se eliminan mediante un proceso periódico de limpieza en implementación. Este punto se coordina con lo previsto en la Política de Privacidad y en el Anexo: Encargados del Tratamiento y Transferencias Internacionales.

Factonic pondrá a disposición del Usuario autónomo toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Contrato de Encargo y en el artículo 28 del RGPD, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Usuario autónomo o de un auditor autorizado por este, en términos razonables y con preaviso, respetando la confidencialidad y la seguridad de los demás usuarios del servicio (arquitectura multi-tenant).

Determinadas operaciones del servicio pueden implicar transferencias internacionales de datos personales fuera del Espacio Económico Europeo (EEE). En cuanto a la capa de voz (transcripción y extracción asistida por IA), tras la migración a Azure OpenAI (Microsoft) el recurso está alojado en la UE (Suecia) y los datos se almacenan en reposo en la UE, si bien por la modalidad de despliegue no puede descartarse un procesamiento puntual fuera de la UE. El detalle de dichas transferencias, su ubicación y el mecanismo de transferencia aplicable conforme al Capítulo V del RGPD se recoge en el Anexo: Encargados del Tratamiento y Transferencias Internacionales. Factonic no realizará transferencias internacionales al margen de las instrucciones del Usuario autónomo y de lo previsto en dicho Anexo, cuyas garantías concretas están [garantía a confirmar en el DPA del proveedor].

La generación de los documentos descargables se realiza a través de el sitio web interno de apoyo al backend (de uso interno, no accesible al público), que además genera los documentos PDF y Excel descargables. Dicho sitio no está dirigido a los usuarios finales de la aplicación móvil; su cookie de sesión afecta únicamente a quien accede a esa web interna. Véase la Política de Cookies y la Política de Privacidad.

Factonic podrá modificar este Contrato de Encargo cuando resulte necesario para adecuarlo a la normativa, a la evolución del servicio o a la relación de sub-encargados, informando al Usuario autónomo a través de la actualización de este documento y del Anexo: Encargados del Tratamiento y Transferencias Internacionales. La fecha de la última revisión figura en el encabezado.

Para cualquier consulta sobre el encargo del tratamiento, puede escribir a soporte@factonic.es. Véase también la Política de Privacidad, los Términos y Condiciones de Uso, el Aviso de Responsabilidad Fiscal y el Anexo: Encargados del Tratamiento y Transferencias Internacionales.