Contrato de encargo del tratamiento

Responsable del tratamiento: la empresa o profesional que da de alta su empresa en Cobrenta (el «Responsable»), con los datos que figuran en su cuenta.

Encargado del tratamiento: José Antonio Vaquero Mateos, NIF 76038702N, domicilio en Madrid (Madrid), España, que presta el servicio Cobrenta (el «Encargado»). Contacto: legal@cobrenta.io.

Este contrato se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta electrónicamente al dar de alta cada empresa, y el Encargado guarda constancia de quién lo aceptó, en nombre de qué empresa, qué versión y cuándo. Forma parte de las Condiciones de contratación.

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestarle el servicio Cobrenta: alojar su cartera de facturas pendientes, analizarla y priorizarla, proponer y redactar reclamaciones y llamadas, enviar las reclamaciones por email cuando el Responsable lo decida, registrar su entrega y las respuestas, y generar informes y exportaciones.

Las operaciones de tratamiento son: recogida (por importación del Responsable), registro, organización, conservación, consulta, adaptación, utilización, comunicación por transmisión (envío de emails), cotejo, limitación, supresión y destrucción.

• Personas afectadas: clientes del Responsable (cuando son personas físicas, como autónomos) y personas de contacto de sus clientes; y las personas usuarias que el Responsable invite a su equipo.
• Categorías de datos:identificativos y de contacto (nombre, razón social, NIF, email, teléfono, cargo); económicos y de transacciones (facturas, importes, vencimientos, pagos, acuerdos y promesas de pago); el historial de reclamaciones, llamadas y notas que el Responsable registre.
• Categorías especiales: ninguna. El Responsable no subirá datos de las categorías del art. 9 RGPD ni relativos a infracciones penales, ni los incluirá en notas.

Este contrato dura lo mismo que la prestación del servicio para la empresa correspondiente, y después lo necesario para cumplir la cláusula 9.

El Encargado se obliga a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y las acciones que el Responsable realiza en la aplicación, también en lo relativo a las transferencias internacionales. Si una instrucción infringe a su juicio la normativa, lo informará de inmediato al Responsable.
2. No usar los datos para fines propios ni distintos del servicio, y en particular no usarlos para entrenar modelos de inteligencia artificial ni para elaborar perfiles, ni comunicarlos a terceros salvo a los subencargados autorizados o por obligación legal.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, también tras terminar su relación.
4. Aplicar las medidas de seguridad del Anexo, conforme al art. 32 RGPD.
5. Respetar las condiciones de la cláusula 7 para recurrir a subencargados.
6. Asistir al Responsable, con las medidas técnicas y organizativas apropiadas, para que pueda responder a los ejercicios de derechos de las personas afectadas (cláusula 6).
7. Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa (arts. 32 a 36 RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
8. Suprimir o devolver los datos al terminar el servicio (cláusula 9).
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías (cláusula 10).
10. Llevar el registro de actividades de tratamiento que efectúa por cuenta de responsables (art. 30.2 RGPD).

El Responsable se obliga a:

1. Contar con una base de legitimación para tratar los datos que sube y para reclamar, y cumplir el deber de información frente a las personas afectadas (arts. 13 y 14 RGPD).
2. Subir solo los datos necesarios, exactos y actualizados.
3. Velar por que sus usuarios usen el servicio conforme a este contrato.
4. Supervisar el tratamiento, incluidas inspecciones y auditorías.

Si una persona afectada ejerce sus derechos ante el Encargado, este lo comunicará al Responsable en un plazo máximo de 5 días hábiles, sin contestar por su cuenta salvo instrucción del Responsable. El Responsable puede consultar, corregir, exportar y borrar los datos directamente desde la aplicación. Además, una dirección que rebota de forma permanente o marca un email como spam deja de recibir emails automáticamente.

El Responsable da una autorización general para que el Encargado recurra a los subencargados que figuran a continuación y en la página de subencargados. El Encargado ha firmado con cada uno un contrato que le impone las mismas obligaciones de protección de datos que este, y sigue respondiendo ante el Responsable de su cumplimiento.

Antes de añadir o sustituir un subencargado, el Encargado lo avisará por email al administrador de la cuenta y en la página de subencargados con al menos 15 días de antelación. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se encuentra una solución, podrá resolver el contrato sin penalización antes de que el cambio se aplique.

El Encargado notificará al Responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible: naturaleza, categorías y número aproximado de personas y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un contacto. Si no puede facilitarla toda a la vez, la facilitará de forma gradual. Le corresponde al Responsable notificar a la autoridad y a los interesados cuando proceda.

Durante todo el servicio, el Responsable puede descargar sus datos en formatos abiertos (CSV y Excel) desde la aplicación. Al borrar la empresa desde Configuración, sus datos se suprimen de inmediato de la base de datos.

Si el contrato termina sin que el Responsable haya borrado la empresa, el Encargado conservará los datos bloqueados durante 60 días para que pueda descargarlos y, pasado ese plazo, los suprimirá. Las copias de seguridad se sobrescriben en su ciclo ordinario, de como máximo 30 días más. Solo se conservarán, bloqueados, los datos que una ley obligue a mantener, durante el plazo de prescripción de las responsabilidades derivadas del tratamiento.

El Encargado facilitará, a petición razonable del Responsable, la información necesaria para demostrar el cumplimiento, incluida la documentación de seguridad y las certificaciones de los subencargados. El Responsable podrá realizar una auditoría al año, o más si hay una violación de seguridad o lo exige una autoridad, avisando con 30 días, en horario laboral, sin acceder a datos de otros clientes y asumiendo su coste, mediante un auditor obligado a confidencialidad.

Cada parte responde de sus incumplimientos conforme al art. 82 RGPD. Si el Encargado destinara los datos a otra finalidad, los comunicara o los usara incumpliendo este contrato, será considerado responsable del tratamiento en lo que respecta a ese tratamiento (art. 28.10 RGPD). Este contrato se rige por la ley española y los tribunales competentes son los de Madrid capital.

• Aislamiento entre empresas en la propia base de datos (Row Level Security): cada consulta se filtra por empresa, con pruebas automáticas que verifican que una empresa no puede leer ni modificar datos de otra.
• Cifrado en tránsito (TLS/HTTPS con HSTS) y en reposo (AES-256 en la base de datos y las copias).
• Ubicación de la base de datos y de la aplicación en la Unión Europea (Fráncfort).
• Control de acceso: contraseñas robustas almacenadas con hash, roles dentro de cada empresa, invitaciones con enlace de un solo uso guardado como huella, y doble factor obligatorio para la administración del servicio.
• Minimización con IA: el proveedor de inteligencia artificial no recibe nombres de clientes ni de contactos, importes, números de factura ni notas.
• Registros: las acciones de administración quedan registradas; los registros técnicos ocultan claves, importes y contenidos y enmascaran los emails; los errores se guardan sin la parte de búsqueda de las direcciones y se borran a los 90 días.
• Protección frente a abusos: límites de intentos en el acceso, el alta, la importación y el envío; cabeceras de seguridad del navegador; validación de todos los datos de entrada.
• Disponibilidad: copias de seguridad automáticas del proveedor de base de datos, vigilancia de disponibilidad y aviso automático de errores.
• Privilegios mínimos: las claves de servicio solo se usan en procesos sin usuario (envío programado, webhooks) y con filtros por empresa explícitos; ninguna clave se expone al navegador.