Contrato de encargado del tratamiento

1. Partes

• Responsable del tratamiento: el cliente (la gestoría o empresa titular de la cuenta).
• Encargado del tratamiento: Paginas Web EA LLC, EIN 37-2062536, 500 4th St NW, Ste 102, PMB 1699, Albuquerque, NM 87102 (Estados Unidos), hola@cuadreo.es.

2. Objeto y duración

El encargado trata los datos solo para prestar Cuadreo: guardar y leer extractos bancarios y facturas, cuadrarlos, buscar el contacto de los proveedores, enviar las peticiones de factura que el cliente decida y preparar la documentación. Dura mientras el cliente tenga la cuenta.

3. Qué datos y de quién

• Datos identificativos y de contacto (nombre, NIF, dirección, email, teléfono) de proveedores, clientes y otras personas que aparezcan en extractos, facturas o correos.
• Datos económicos: movimientos bancarios, importes, conceptos y facturas.
• Correos que parecen facturas, si el cliente conecta su Gmail.
• Datos de las personas usuarias de la cuenta del cliente.

No se tratan, por la naturaleza del servicio, categorías especiales de datos.

4. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones del cliente, que son las de usar el servicio tal y como lo configura.
• Que quien acceda a los datos tenga obligación de confidencialidad.
• Aplicar medidas de seguridad adecuadas (artículo 32 RGPD): cifrado en tránsito y en reposo, credenciales de correo cifradas, separación estricta de los datos de cada cliente, copias de seguridad y acceso restringido.
• Ayudar al cliente a atender las peticiones de las personas que ejerzan sus derechos.
• Avisar al cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que lo sepa, de cualquier brecha de seguridad que afecte a sus datos, con la información necesaria para que pueda notificarla.
• Ayudar al cliente, cuando haga falta, con las evaluaciones de impacto y las consultas a la autoridad de control.
• Poner a disposición del cliente la información necesaria para demostrar que cumple este contrato.

5. Subencargados

El cliente autoriza que el encargado use estos subencargados, con los que tiene contratos con las mismas garantías:

• Supabase, Inc.: Base de datos, archivos (facturas) e inicio de sesión. Servidores en la Unión Europea (Irlanda).
• Vercel, Inc.: Alojamiento de la aplicación. Servidores en la Unión Europea (Irlanda).
• Anthropic, PBC: Lectura de facturas con inteligencia artificial y búsqueda del contacto de proveedores. Estados Unidos.
• Google: Gmail (solo si se conecta) y lectura de facturas con inteligencia artificial cuando la anterior falla. Unión Europea y Estados Unidos.
• Hostinger International Ltd.: Correo de la plataforma: los emails que enviamos (confirmar la cuenta, avisos) y el buzón que recibe las facturas reenviadas. Chipre (Unión Europea).
• Stripe Payments Europe, Ltd.: Cobro de las suscripciones (Stripe trata los datos de la tarjeta; nosotros no los vemos). Unión Europea (Irlanda).

Cuando un proveedor está en Estados Unidos, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo aprobadas por la Comisión Europea. Si añadimos o cambiamos un subencargado, avisaremos al cliente por email con 30 días de antelación, y podrá oponerse dándose de baja.

6. Al terminar

Cuando el cliente se da de baja, puede descargar antes sus datos. Si no vuelve, el encargado borra todos los datos personales tratados por su cuenta en un plazo máximo de 90 días, avisándole antes por email (las copias de seguridad se borran solas en su ciclo normal), salvo que la ley obligue a conservarlos.

7. Obligaciones del cliente

Tener base legal para los datos que sube o conecta, informar a los interesados cuando corresponda y dar instrucciones conformes con la ley.