Contrato de Encargo de Tratamiento (DPA)

El presente Contrato de Encargo de Tratamiento (“DPA”) desarrolla las obligaciones del artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y forma parte integrante de los Términos y Condiciones del Servicio AMAI Budget.

1. Partes

• El Responsable del tratamiento: el cliente (tenant) que contrata AMAI Budget, en su condición de titular de los datos que introduce sobre sus propios clientes (presupuestos, facturas, contactos) y obligado tributario emisor de dichos documentos.
• El Encargado del tratamiento: OZEON LLC, una US LLC (Limited Liability Company) constituida en [PENDIENTE: estado de constitución por confirmar] (EE. UU.), con EIN [PENDIENTE: EIN (Employer Identification Number) por confirmar] y domicilio en [PENDIENTE: domicilio social por confirmar], que trata los datos personales del Responsable exclusivamente por cuenta e instrucciones de este para prestar el Servicio.

2. Objeto, duración, naturaleza y finalidad

El Encargado tratará, por cuenta del Responsable, los datos personales necesarios para prestar el Servicio de generación y gestión de presupuestos y facturas (incl. la funcionalidad VeriFactu/RRSIF cuando esté activada), durante la vigencia del contrato de servicio SaaS. La finalidad del tratamiento es exclusivamente la ejecución del Servicio contratado.

3. Tipo de datos y categorías de interesados

Datos identificativos, de contacto y fiscales (nombre, NIF, dirección, email, teléfono) de los clientes del Responsable que figuren en presupuestos, facturas y fichas de cliente. No se tratan categorías especiales de datos (art. 9 RGPD) salvo que el propio Responsable las incluya por su cuenta y riesgo en campos de texto libre.

4. Obligaciones del Encargado

1. Instrucciones documentadas: el Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, incluida cualquier transferencia internacional, salvo que una norma de la UE o de un Estado miembro exija otra cosa.
2. Confidencialidad: el Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Seguridad (art. 32 RGPD): el Encargado aplicará las medidas técnicas y organizativas descritas en la §5 de este documento.
4. Subencargados: el Encargado no subcontratará ningún tratamiento sin la autorización del Responsable, y cuando esta sea general (como en la §6), informará de cualquier cambio previsto e impondrá a los subencargados las mismas obligaciones de protección de datos que las establecidas en este DPA.
5. Asistencia en derechos: el Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, para dar respuesta a las solicitudes de ejercicio de derechos de acceso, rectificación, supresión, bloqueo, oposición y portabilidad.
6. Asistencia al Responsable: el Encargado colaborará con el Responsable en materia de seguridad (art. 32), notificación de brechas (arts. 33-34), evaluaciones de impacto (art. 35) y consultas previas (art. 36) cuando corresponda.
7. Supresión o devolución: finalizada la prestación del Servicio, el Encargado, a elección del Responsable, suprimirá o devolverá los datos personales, así como cualquier copia de estos, salvo que una norma exija su conservación (ver retención fiscal en la §8).
8. Auditoría: el Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá auditorías, incluidas inspecciones, realizadas por el Responsable o un auditor autorizado por este.

5. Seguridad y custodia de certificados electrónicos

El Encargado aplica cifrado en tránsito (TLS en todos los saltos), cifrado en reposo, aislamiento multi-tenant mediante Row Level Security (RLS) por empresa, control de acceso basado en roles, minimización/seudonimización cuando es posible, registro de accesos y un procedimiento de respuesta ante incidentes.

Cuando el Responsable aporta un certificado electrónico cualificado (.p12) y su clave privada para la firma de registros VeriFactu, aplica la siguiente cláusula específica:

“El Encargado custodia el certificado electrónico cualificado y su clave privada aportados por el Responsable aplicando cifrado de nivel de estado del arte (AES-256-GCM en reposo; evolución a custodia en módulo de gestión de claves — HashiCorp Vault Transit — donde la clave privada no es exportable ni abandona el almacén). El acceso está segregado por tenant, registrado en un log de auditoría, y restringido a operaciones de firma iniciadas por cuenta del Responsable. La clave privada nunca se registra en logs, trazas, copias de seguridad en claro ni se transmite fuera del entorno de firma servidor. En caso de compromiso, el Encargado lo notificará al Responsable sin dilación indebida y procederá a la revocación/rotación conforme al runbook de incidentes.”

6. Subencargados autorizados

El Responsable autoriza con carácter general la subcontratación de los siguientes subencargados, todos ellos con contrato conforme al art. 28.4 RGPD. El Encargado informará al Responsable de cualquier cambio previsto, dándole la posibilidad de oponerse:

La infraestructura de almacenamiento y procesamiento se ubica íntegramente en la Unión Europea (Hetzner, Alemania). OpenAI es el único subencargado con tratamiento fuera de la UE; siempre que es posible, el Encargado despersonaliza el texto enviado al modelo (sin NIF, nombre completo ni dirección) o utiliza las opciones de residencia de datos en la UE / retención cero ofrecidas por el proveedor.

7. Transferencias internacionales (el Encargado es una entidad estadounidense)

OZEON LLC es una US LLC (Limited Liability Company) constituida en los Estados Unidos de América. En consecuencia, el tratamiento de datos personales por el Encargado (OZEON LLC) por cuenta del Responsable (el tenant) puede implicar una transferencia internacional de datos a un tercer país (EE. UU.), aunque la capa de almacenamiento y procesamiento permanezca físicamente en la Unión Europea (Hetzner, Alemania) — el vector de transferencia es el acceso del Encargado desde EE. UU., no la ubicación de los servidores.

1. Mecanismo de transferencia (art. 46 RGPD): la transferencia se ampara en [PENDIENTE: elegir mecanismo — Cláusulas Contractuales Tipo (SCCs) o EU-US Data Privacy Framework]. En el caso de las Cláusulas Contractuales Tipo, se utilizarían las adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, en su módulo aplicable a la relación responsable→encargado; en el caso del EU-US Data Privacy Framework, la adhesión activa y certificada del Encargado a dicho marco.
2. Evaluación de impacto de la transferencia (TIA): conforme a la sentencia Schrems II (C-311/18) y a las Recomendaciones 01/2020 del CEPD, las partes reconocen la necesidad de una evaluación del impacto de la transferencia y de medidas suplementarias: cifrado en tránsito y en reposo, residencia UE de la capa de almacenamiento, seudonimización/minimización de los datos enviados a subencargados en EE. UU. y aislamiento multi-tenant por RLS. [PENDIENTE: adjuntar la evaluación de impacto de la transferencia (TIA) firmada]
3. Designación de roles: a todos los efectos de esta transferencia, OZEON LLC actúa como encargado del tratamiento (data importer) y el tenant como responsable del tratamiento (data exporter).

8. Retención, bloqueo y supresión

Al finalizar la relación contractual, el Encargado suprimirá o devolverá los datos, salvo aquellos registros con relevancia fiscal (registros de facturación VeriFactu, huella encadenada) que deban conservarse por obligación legal durante el plazo de prescripción tributaria (4 a 6 años). Transcurrido dicho plazo, o mientras esté pendiente una obligación de conservación, los datos podrán quedar bloqueados conforme al art. 32 LOPDGDD, accesibles únicamente para su puesta a disposición de jueces, tribunales o administraciones públicas.

9. Notificación de brechas de seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo que permita a este cumplir su obligación de notificación a la Agencia Española de Protección de Datos en el plazo de 72 horas (art. 33 RGPD), cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, junto con toda la información disponible para documentar y, en su caso, notificar la incidencia.

10. Papel en la facturación electrónica (VeriFactu / RRSIF)

A efectos del RD 1007/2023 y la Orden HAC/1177/2024, OZEON LLC actúa como productor del sistema informático de facturación (SIF) y no expide facturas. El obligado tributario y emisor de cada factura es el Responsable (el tenant), con su propio NIF/CIF español; los registros de facturación son suyos. El Encargado opera la generación y, en su caso, la remisión de dichos registros exclusivamente por cuenta e instrucciones del Responsable y con el certificado electrónico de este. Este papel es coherente con la condición de encargado del tratamientoa efectos de RGPD descrita en las §§ 1 y 7.

11. Vigencia y ley aplicable

Este DPA entra en vigor en el momento de la contratación del Servicio y permanece vigente mientras el Encargado trate datos personales por cuenta del Responsable. Se rige por la legislación española y europea en materia de protección de datos.