Contrato de Encargo de Tratamiento (DPA)

El presente Contrato de Encargo de Tratamiento (“DPA”) desarrolla las obligaciones del artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y forma parte integrante de los Términos y Condiciones del Servicio AMAI Budget.

1. Partes

• El Responsable del tratamiento: el cliente (tenant) que contrata AMAI Budget, en su condición de titular de los datos que introduce sobre sus propios clientes (presupuestos, facturas, contactos) y obligado tributario emisor de dichos documentos.
• El Encargado del tratamiento: OZEON LLC, una US LLC (Limited Liability Company) constituida en New Mexico, United States (EE. UU.), con EIN 37-2116463 y domicilio en 1781 NORTH TURNER STREET, 1038, HOBBS, NM 88240, USA, que trata los datos personales del Responsable exclusivamente por cuenta e instrucciones de este para prestar el Servicio.

2. Objeto, duración, naturaleza y finalidad

El Encargado tratará, por cuenta del Responsable, los datos personales necesarios para prestar el Servicio de generación y gestión de presupuestos y facturas (incl. la funcionalidad VeriFactu/RRSIF cuando esté activada), durante la vigencia del contrato de servicio SaaS. La finalidad del tratamiento es exclusivamente la ejecución del Servicio contratado.

3. Tipo de datos y categorías de interesados

Datos identificativos, de contacto y fiscales (nombre, NIF, dirección, email, teléfono) de los clientes del Responsable que figuren en presupuestos, facturas y fichas de cliente. No se tratan categorías especiales de datos (art. 9 RGPD) salvo que el propio Responsable las incluya por su cuenta y riesgo en campos de texto libre.

4. Obligaciones del Encargado

1. Instrucciones documentadas: el Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, incluida cualquier transferencia internacional, salvo que una norma de la UE o de un Estado miembro exija otra cosa.
2. Confidencialidad: el Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Seguridad (art. 32 RGPD): el Encargado aplicará las medidas técnicas y organizativas descritas en la §5 de este documento.
4. Subencargados: el Encargado no subcontratará ningún tratamiento sin la autorización del Responsable, y cuando esta sea general (como en la §6), informará de cualquier cambio previsto e impondrá a los subencargados las mismas obligaciones de protección de datos que las establecidas en este DPA.
5. Asistencia en derechos: el Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, para dar respuesta a las solicitudes de ejercicio de derechos de acceso, rectificación, supresión, bloqueo, oposición y portabilidad.
6. Asistencia al Responsable: el Encargado colaborará con el Responsable en materia de seguridad (art. 32), notificación de brechas (arts. 33-34), evaluaciones de impacto (art. 35) y consultas previas (art. 36) cuando corresponda.
7. Supresión o devolución: finalizada la prestación del Servicio, el Encargado, a elección del Responsable, suprimirá o devolverá los datos personales, así como cualquier copia de estos, salvo que una norma exija su conservación (ver retención fiscal en la §8).
8. Auditoría: el Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá auditorías, incluidas inspecciones, realizadas por el Responsable o un auditor autorizado por este.

5. Seguridad y custodia de certificados electrónicos

El Encargado aplica cifrado en tránsito (TLS en todos los saltos), cifrado en reposo, aislamiento multi-tenant mediante Row Level Security (RLS) por empresa, control de acceso basado en roles, minimización/seudonimización cuando es posible, registro de accesos y un procedimiento de respuesta ante incidentes.

Cuando el Responsable aporta un certificado electrónico cualificado (.p12) y su clave privada para la firma de registros VeriFactu, aplica la siguiente cláusula específica:

“El Encargado custodia el certificado electrónico cualificado y su clave privada aportados por el Responsable aplicando cifrado de nivel de estado del arte (AES-256-GCM en reposo; evolución a custodia en módulo de gestión de claves — HashiCorp Vault Transit — donde la clave privada no es exportable ni abandona el almacén). El acceso está segregado por tenant, registrado en un log de auditoría, y restringido a operaciones de firma iniciadas por cuenta del Responsable. La clave privada nunca se registra en logs, trazas, copias de seguridad en claro ni se transmite fuera del entorno de firma servidor. En caso de compromiso, el Encargado lo notificará al Responsable sin dilación indebida y procederá a la revocación/rotación conforme al runbook de incidentes.”

6. Subencargados autorizados

El Responsable autoriza con carácter general la subcontratación de los siguientes subencargados, todos ellos con contrato conforme al art. 28.4 RGPD. El Encargado informará al Responsable de cualquier cambio previsto, dándole la posibilidad de oponerse:

La infraestructura de almacenamiento y procesamiento se ubica en la Unión Europea (Hetzner, Alemania). OpenRouter y, a través de él, OpenAI tratan fuera de la UE el contenido que se envía a las funciones de IA; el Encargado envía únicamente los datos necesarios para la función solicitada. Cuando el Responsable configura su propia integración (por ejemplo, su proveedor de IA, su servidor de correo o su cuenta de Stripe), ese proveedor trata los datos bajo el contrato que el Responsable mantiene directamente con él.

7. Transferencias internacionales (el Encargado es una entidad estadounidense)

OZEON LLC es una US LLC (Limited Liability Company) constituida en los Estados Unidos de América. En consecuencia, el tratamiento de datos personales por el Encargado (OZEON LLC) por cuenta del Responsable (el tenant) puede implicar una transferencia internacional de datos a un tercer país (EE. UU.), aunque la capa de almacenamiento y procesamiento permanezca físicamente en la Unión Europea (Hetzner, Alemania) — el vector de transferencia es el acceso del Encargado desde EE. UU., no la ubicación de los servidores.

1. Mecanismo de transferencia (art. 46 RGPD): la transferencia se ampara en el EU-U.S. Data Privacy Framework y/o en las Cláusulas Contractuales Tipo, según el proveedor. Cuando se utilicen Cláusulas Contractuales Tipo, serán las adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, en el módulo que corresponda a la relación entre las partes.
2. Evaluación de la transferencia: conforme a la sentencia Schrems II (C-311/18) y a las Recomendaciones 01/2020 del CEPD, el Encargado documenta la evaluación de las transferencias y de las medidas suplementarias aplicadas (cifrado en tránsito y en reposo, residencia UE de la capa de almacenamiento, minimización de los datos enviados a subencargados en EE. UU. y aislamiento multi-tenant por RLS), y pone la información pertinente a disposición del Responsable cuando este la solicite.
3. Designación de roles: a todos los efectos de esta transferencia, OZEON LLC actúa como encargado del tratamiento (data importer) y el tenant como responsable del tratamiento (data exporter).

8. Retención, bloqueo y supresión

Al finalizar la relación contractual, el Encargado suprimirá o devolverá los datos, salvo aquellos registros con relevancia fiscal (registros de facturación VeriFactu, huella encadenada) que deban conservarse por obligación legal durante el plazo de prescripción tributaria (4 a 6 años). Transcurrido dicho plazo, o mientras subsista una obligación de conservación, los datos podrán quedar bloqueados conforme al art. 32 LOPDGDD, accesibles únicamente para su puesta a disposición de jueces, tribunales o administraciones públicas.

9. Notificación de brechas de seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo que permita a este cumplir su obligación de notificación a la Agencia Española de Protección de Datos en el plazo de 72 horas (art. 33 RGPD), cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, junto con toda la información disponible para documentar y, en su caso, notificar la incidencia.

10. Papel en la facturación electrónica (VeriFactu / RRSIF)

A efectos del RD 1007/2023 y la Orden HAC/1177/2024, OZEON LLC actúa como productor del sistema informático de facturación (SIF) y no expide facturas. El obligado tributario y emisor de cada factura es el Responsable (el tenant), con su propio NIF/CIF español; los registros de facturación son suyos. El Encargado opera la generación y, en su caso, la remisión de dichos registros exclusivamente por cuenta e instrucciones del Responsable y con el certificado electrónico de este. Este papel es coherente con la condición de encargado del tratamiento a efectos de RGPD descrita en las §§ 1 y 7.

11. Vigencia y ley aplicable

Este DPA entra en vigor en el momento de la contratación del Servicio y permanece vigente mientras el Encargado trate datos personales por cuenta del Responsable. Se rige por la legislación española y europea en materia de protección de datos.