Contrato de encargo del tratamiento

Esta traducción se facilita únicamente a título informativo. Solo la versión en alemán es jurídicamente vinculante.

Contrato sobre el tratamiento de datos personales por encargo

⬇ Descargar el contrato de encargo del tratamiento en PDF (v4.2)

Nota: La presente versión es aplicable a partir del 01.12.2026. Hasta el 30.11.2026 se aplica la versión anterior: Contrato de encargo del tratamiento, versión 4.1 (PDF).

Partes contratantes

Encargo conforme al art. 28 RGPD (versión 4.2, vigente a partir del 01.12.2026)

Contrato entre

Encargado del tratamiento faktoora GmbH, Amselweg 1, 89231 Neu-Ulm – el Encargado del tratamiento –

y

Responsable del tratamiento (El Responsable del tratamiento resulta de la respectiva relación contractual.) – el Responsable del tratamiento –

01 · Disposiciones generales

(1) El Encargado del tratamiento trata datos personales por encargo del Responsable del tratamiento en el sentido del art. 4.8 y del art. 28 del Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD). El presente contrato regula los derechos y obligaciones de las partes en relación con el tratamiento de datos personales.

(2) Cuando en el presente contrato se utilice el término «tratamiento de datos» o «tratamiento» (de datos), se tomará como base la definición de «tratamiento» en el sentido del art. 4.2 RGPD.

02 · Objeto y duración del encargo

El objeto y la duración del encargo se determinan íntegramente conforme a los datos indicados en la respectiva relación contractual. El Encargado del tratamiento trata para ello datos personales para el Responsable del tratamiento en el sentido del art. 4.2 RGPD (tratamiento) y del art. 28 RGPD sobre la base del presente encargo.

03 · Alcance, naturaleza y finalidad del tratamiento de datos

El alcance, la naturaleza y la finalidad del tratamiento de datos personales, el tipo de datos y las categorías de interesados se describen en el anexo 1, en la medida en que no resulten del contenido contractual de las relaciones contractuales descritas en la cláusula 2.

El tratamiento se realiza, por regla general, en la UE/EEE. En la medida en que, en el marco de la prestación del servicio, se recurra a subencargados del tratamiento con domicilio fuera de la UE/EEE o no pueda excluirse técnicamente por completo un acceso desde terceros países, ello se realizará exclusivamente cumpliendo los requisitos de los arts. 44 y ss. RGPD y con las garantías adecuadas previstas en el presente contrato.

04 · Medidas técnicas y organizativas conforme al art. 32 RGPD

(art. 28.3.c) RGPD)

(1) El Encargado del tratamiento aplica medidas técnicas y organizativas apropiadas conforme al art. 32 RGPD para garantizar un nivel de seguridad adecuado al riesgo. Las medidas vigentes en el momento de la celebración del contrato se describen en el anexo 2 y se consideran acordadas.

(2) El Encargado del tratamiento está facultado para adaptar y desarrollar las medidas técnicas y organizativas teniendo en cuenta el estado de la técnica y la evolución de la seguridad de TI, siempre que con ello no se reduzca el nivel de protección acordado. Las modificaciones sustanciales de las medidas se documentan.

(3) El Encargado del tratamiento pone a disposición del Responsable del tratamiento, previa solicitud, la versión vigente en cada momento de las medidas técnicas y organizativas.

05 · Rectificación, limitación del tratamiento y supresión de datos

(1) El Encargado del tratamiento no puede suprimir por iniciativa propia los datos tratados por encargo ni limitar su tratamiento. En la medida en que un interesado se dirija directamente al Encargado del tratamiento a este respecto, el Encargado del tratamiento remitirá sin dilación indebida dicha solicitud al Responsable del tratamiento.

(2) El Encargado del tratamiento asiste al Responsable del tratamiento, en la medida de lo posible, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de los derechos de los interesados conforme al capítulo III RGPD (art. 28.3.e) RGPD). Aplica la supresión, la rectificación, la portabilidad de los datos y el acceso conforme a las instrucciones documentadas del Responsable del tratamiento.

06 · Garantía de calidad y otras obligaciones del Encargado del tratamiento

Además del cumplimiento de las disposiciones del presente encargo, el Encargado del tratamiento tiene obligaciones legales conforme a los arts. 28 a 33 RGPD; en este sentido, asegura en particular el cumplimiento de los siguientes requisitos:

• Como delegado de protección de datos del Encargado del tratamiento está designada PROLIANCE GmbH: Leopoldstr. 21, 80802 Múnich, datenschutzbeauftragter@datenschutzexperte.de

• Los datos de contacto vigentes en cada momento del delegado de protección de datos figuran, de forma fácilmente accesible, en la página web del Encargado del tratamiento; cualquier cambio se publica allí.

• La preservación de la confidencialidad conforme al art. 28.3.b), al art. 29 y al art. 32.4 RGPD. En la ejecución de los trabajos, el Encargado del tratamiento solo recurre a empleados que se hayan comprometido a respetar la confidencialidad y que hayan sido previamente familiarizados con las disposiciones de protección de datos relevantes para ellos. El Encargado del tratamiento y cualquier persona subordinada al Encargado del tratamiento que tenga acceso a datos personales solo pueden tratar dichos datos conforme a las instrucciones del Responsable del tratamiento, incluidas las facultades otorgadas en el presente contrato, salvo que estén obligados legalmente al tratamiento.

• La aplicación y el cumplimiento de todas las medidas técnicas y organizativas necesarias para el presente encargo conforme al art. 28.3.c) y al art. 32 RGPD y al anexo 2.

• El Responsable del tratamiento y el Encargado del tratamiento cooperarán, previa solicitud, con la autoridad de control en el cumplimiento de sus funciones.

• La información sin dilación indebida al Responsable del tratamiento sobre las actuaciones de control y las medidas de la autoridad de control, en la medida en que se refieran al presente encargo. Esto se aplica también en la medida en que una autoridad competente investigue al Encargado del tratamiento en el marco de un procedimiento administrativo sancionador o penal en relación con el tratamiento de datos personales en el encargo del tratamiento.

• En la medida en que el Responsable del tratamiento, por su parte, esté sometido a un control de la autoridad de control, a un procedimiento administrativo sancionador o penal, a la pretensión de responsabilidad de un interesado o de un tercero o a otra pretensión en relación con el encargo del tratamiento en el Encargado del tratamiento, el Encargado del tratamiento deberá prestarle asistencia en una medida razonable; se aplica la cláusula 14.1.

• El Encargado del tratamiento controla periódicamente los procesos internos y las medidas técnicas y organizativas para garantizar que el tratamiento en su ámbito de responsabilidad se realice de conformidad con los requisitos de la normativa de protección de datos aplicable y que se garantice la protección de los derechos del interesado.

07 · Subencargos del tratamiento

Los subencargados del tratamiento son terceros que tratan datos personales por cuenta del Encargado del tratamiento en relación con la prestación del servicio. Entre ellos pueden figurar también servicios de apoyo como el alojamiento, el mantenimiento, el soporte o la monitorización, siempre que en ellos se traten datos personales.

(1) El Responsable del tratamiento otorga al Encargado del tratamiento una autorización general para recurrir a otros subencargados del tratamiento en el sentido del art. 28.2 RGPD. El Encargado del tratamiento informa al Responsable del tratamiento en forma de texto, con al menos tres semanas de antelación, de cualquier cambio previsto en relación con la incorporación de nuevos subencargados del tratamiento o la sustitución de los existentes. El Responsable del tratamiento tiene derecho a oponerse en un plazo de tres semanas desde la recepción de la comunicación, siempre que existan motivos legítimos en materia de protección de datos. Si el Responsable del tratamiento formula una oposición justificada y no se alcanza una solución de mutuo acuerdo, cualquiera de las partes puede resolver de forma extraordinaria el contrato principal y el presente contrato con efectos en la fecha en que surta efecto el cambio. Si ninguna de las partes resuelve antes de que el cambio surta efecto, el Encargado del tratamiento puede aplicar el cambio. En casos urgentes, en particular por motivos de seguridad o en caso de desaparición de un subencargado del tratamiento, basta con una comunicación posterior sin dilación indebida; el derecho de oposición se aplica por analogía. Las frases 2 a 6 se aplican por analogía cuando un subencargado del tratamiento existente traslade el tratamiento a un tercer país.

(2) El Encargado del tratamiento se compromete a seleccionar cuidadosamente a todos los subencargados del tratamiento y a asegurarse de que estos cumplen los requisitos del art. 32 RGPD mediante medidas técnicas y organizativas apropiadas (p. ej., certificaciones sectoriales como ISO 27001). La documentación de auditoría pertinente se pondrá a disposición del Responsable del tratamiento, previa solicitud, en un plazo razonable, en la medida en que el subencargado del tratamiento permita su divulgación.

(3) El Encargado del tratamiento comprueba periódicamente el cumplimiento de las obligaciones de protección de datos por parte de sus subencargados del tratamiento y documenta los resultados. El Encargado del tratamiento facilita al Responsable del tratamiento, previa solicitud, pruebas al respecto, en la medida en que no se opongan a ello obligaciones de confidencialidad frente al subencargado del tratamiento. Los controles de los subencargados del tratamiento se realizan prioritariamente a partir de sus certificaciones e informes de auditoría; los derechos de control del Responsable del tratamiento conforme a la cláusula 8 y al art. 28.3.h) RGPD no se ven afectados.

(4) El Encargado del tratamiento impone contractualmente a cada subencargado del tratamiento las mismas obligaciones de protección de datos que se establecen en el presente contrato, en particular garantías suficientes de que se aplicarán medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con los requisitos del RGPD (art. 28.4 RGPD).

(5) El Encargado del tratamiento responde frente al Responsable del tratamiento de que el subencargado del tratamiento cumpla las obligaciones de protección de datos que le haya impuesto contractualmente el Encargado del tratamiento de conformidad con la presente sección del contrato.

(6) Actualmente, los subencargados del tratamiento indicados en el anexo 3 se ocupan del tratamiento de datos personales en el alcance allí indicado. El Responsable del tratamiento da su conformidad a su contratación.

08 · Derechos de control del Responsable del tratamiento

(1) Los controles se realizan prioritariamente mediante información, documentación, justificantes de seguridad, certificados, informes de auditoría y otras pruebas adecuadas. En la medida en que dichas pruebas no sean suficientes en el caso concreto para comprobar adecuadamente el cumplimiento de las obligaciones conforme al art. 28 RGPD, el Encargado del tratamiento permitirá, previa coordinación, también comprobaciones adicionales, incluidas inspecciones en un alcance razonable. En ellas deberán preservarse la confidencialidad, los intereses operativos y de seguridad del Encargado del tratamiento y los derechos de terceros. Las comprobaciones in situ solo se realizan con un preaviso adecuado, durante el horario comercial habitual y en la medida en que sean necesarias y proporcionadas en el caso concreto. El Responsable del tratamiento puede realizar las comprobaciones por sí mismo o a través de un auditor designado por él, sujeto a obligación de confidencialidad, que no sea competidor del Encargado del tratamiento. Por regla general, las inspecciones se realizan como máximo una vez por año natural, salvo que un motivo concreto o una autoridad de control exija una comprobación adicional.

(2) El Encargado del tratamiento asegura que el Responsable del tratamiento pueda cerciorarse del cumplimiento de las obligaciones del Encargado del tratamiento conforme al art. 28 RGPD. El Encargado del tratamiento se compromete a facilitar al Responsable del tratamiento, a petición de este, la información necesaria, en la medida en que no se desprenda de los documentos existentes y accesibles.

(3) La acreditación de aquellas medidas que no se refieran únicamente al encargo concreto puede realizarse, a elección, mediante la adhesión a códigos de conducta aprobados conforme al art. 40 RGPD, la certificación conforme a un mecanismo de certificación aprobado conforme al art. 42 RGPD, dictámenes, informes o extractos de informes actuales de instancias independientes (p. ej., auditores de cuentas, auditoría interna, delegado de protección de datos, departamento de seguridad de TI, auditores de protección de datos, auditores de calidad) y/o una certificación adecuada mediante una auditoría de seguridad de TI o de protección de datos (p. ej., conforme a la protección básica [Grundschutz] de la BSI, Oficina Federal de Seguridad de la Información de Alemania).

(4) La puesta a disposición de las pruebas existentes y la facilitación de información conforme a los apartados 1 a 3 son gratuitas. Por las inspecciones, así como por las comprobaciones y cuestionarios individuales, el Encargado del tratamiento puede exigir una remuneración adecuada conforme a sus tarifas horarias vigentes en cada momento, salvo que el control haya sido necesario debido a un incumplimiento acreditable del Encargado del tratamiento del presente contrato o de las obligaciones en materia de protección de datos.

09 · Asistencia conforme a los arts. 32 a 36 RGPD y notificación de violaciones de la seguridad de los datos personales

(1) El Encargado del tratamiento asiste al Responsable del tratamiento en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 RGPD relativas a la seguridad de los datos personales, las obligaciones de notificación de violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y las consultas previas. Entre ellas figuran, entre otras:

a) la garantía de un nivel de protección adecuado mediante medidas técnicas y organizativas que tengan en cuenta las circunstancias y los fines del tratamiento, así como la probabilidad y gravedad previstas de una posible vulneración de derechos debida a brechas de seguridad, y que permitan detectar con prontitud los incidentes de violación relevantes

b) la obligación de notificar sin dilación indebida al Responsable del tratamiento las violaciones de la seguridad de los datos personales; la notificación contiene, en la medida en que se conozca, la información indicada en el art. 33.3 RGPD, y la información de la que aún no se disponga se facilitará posteriormente de forma gradual (art. 33.4 RGPD)

c) la obligación de asistir al Responsable del tratamiento en el marco de su obligación de información frente al interesado y de facilitarle a este respecto, sin dilación indebida, la información relevante de que disponga

d) la asistencia al Responsable del tratamiento en su evaluación de impacto relativa a la protección de datos

e) la asistencia al Responsable del tratamiento en el marco de las consultas previas con la autoridad de control

(2) Por los servicios de asistencia que no estén incluidos en la descripción de las prestaciones y que no se deban a una conducta indebida del Encargado del tratamiento, el Encargado del tratamiento puede reclamar una remuneración.

10 · Facultad de instrucción del Responsable del tratamiento

(1) El Encargado del tratamiento trata datos personales exclusivamente siguiendo instrucciones documentadas del Responsable del tratamiento. Las instrucciones se establecen en el presente contrato y en el contrato principal y se imparten mediante el uso de las funciones de la plataforma. Esto se aplica también a la transferencia de datos personales a un tercer país o a una organización internacional, salvo que el Encargado del tratamiento esté obligado a ello en virtud del Derecho de la Unión o del Derecho de un Estado miembro que se le aplique. En tal caso, el Encargado del tratamiento informará al Responsable del tratamiento de esa exigencia legal antes del tratamiento, salvo que tal Derecho prohíba dicha información por razones importantes de interés público.

(2) El Responsable del tratamiento confirmará sin dilación indebida en forma de texto las instrucciones verbales.

(3) El Encargado del tratamiento debe informar sin dilación indebida al Responsable del tratamiento si considera que una instrucción infringe la normativa de protección de datos. El Encargado del tratamiento está facultado para suspender la ejecución de la instrucción correspondiente hasta que el Responsable del tratamiento la confirme o la modifique.

11 · Acceso para soporte y análisis de errores (acceso vinculado a la cuenta / «impersonation»)

(1) El Responsable del tratamiento instruye y autoriza al Encargado del tratamiento para acceder, en la medida necesaria, a los datos personales tratados por encargo con el fin de analizar errores, subsanar incidencias, prestar asistencia técnica y tramitar solicitudes de soporte, incluido el acceso a través de la interfaz de usuario en la vista de una cuenta de usuario (la denominada «impersonation»). Esta instrucción se considera una instrucción general documentada en el sentido del art. 28.3 RGPD; no se requiere una instrucción o autorización separada para cada caso concreto.

(2) El acceso se realiza con sujeción a su finalidad, conforme al principio de minimización de datos y exclusivamente por parte de personal del Encargado del tratamiento autorizado, comprometido a respetar la confidencialidad (art. 28.3.b), art. 29 y art. 32.4 RGPD).

(3) Los accesos a través de la interfaz de usuario («impersonation») quedan registrados con el momento, la persona que accede y la cuenta afectada; los accesos administrativos a los sistemas productivos quedan registrados de forma personalizada. Los registros se ponen a disposición del Responsable del tratamiento, previa solicitud, en el marco de sus derechos de control (cláusula 8).

(4) También en el marco de este acceso, el Encargado del tratamiento trata los datos exclusivamente en el marco del presente contrato y no para fines propios.

12 · Supresión y devolución de datos personales

(1) No se realizarán copias ni duplicados de los datos sin conocimiento del Responsable del tratamiento. Quedan exceptuadas las copias de seguridad, en la medida en que sean necesarias para garantizar un tratamiento de datos correcto, así como las copias que el Encargado del tratamiento necesite para el cumplimiento de sus propias obligaciones legales.

(2) Tras la finalización del acuerdo de prestación de servicios, el Encargado del tratamiento pone a disposición del Responsable del tratamiento, para su exportación, todos los datos tratados por encargo durante un periodo de recuperación de 30 días (cláusula 5.2 de las CGC). Una vez transcurrido el periodo de recuperación, o antes por instrucción del Responsable del tratamiento, el Encargado del tratamiento suprime dichos datos de conformidad con la normativa de protección de datos, incluidos los contenidos de las solicitudes y respuestas de la API; la conservación conforme a las disposiciones mercantiles y tributarias corresponde al Responsable del tratamiento. Los datos de registro relativos a inicios de sesión, accesos y modificaciones (registro de auditoría) forman parte de los datos tratados por encargo y se suprimen junto con ellos. Las copias de seguridad se sobrescriben en el ciclo ordinario de copias de seguridad de hasta 12 meses; hasta entonces están cifradas, con acceso restringido y solo se utilizan para restaurar datos. Si se restauran datos a partir de una copia de seguridad, el Encargado del tratamiento vuelve a aplicar las supresiones realizadas antes de la restauración. El Encargado del tratamiento informará al Responsable del tratamiento, previa solicitud, sobre la naturaleza y el momento de la supresión.

(3) La documentación que sirva para acreditar el tratamiento de datos conforme al encargo y correcto deberá ser conservada por el Encargado del tratamiento, conforme a los respectivos plazos de conservación, más allá de la finalización del contrato. Para su descargo, podrá entregarla al Responsable del tratamiento al finalizar el contrato.

13 · Trabajo móvil (Remote-first)

(1) El Encargado del tratamiento trabaja de forma independiente de la ubicación («remote-first») y no dispone de oficinas ni salas de servidores propias. La plataforma se opera en centros de datos en Alemania (Anexo 2); para los subencargados se aplica el Anexo 3.

(2) Los empleados y demás personas que trabajan para el Encargado del tratamiento pueden desempeñar su actividad desde domicilios particulares y otros lugares de trabajo móviles. En particular:

• El acceso a los sistemas del Encargado del tratamiento se realiza siempre cifrado y con autenticación personal.
• Los dispositivos de trabajo están totalmente cifrados, se bloquean automáticamente en caso de inactividad y se mantienen con las actualizaciones de seguridad vigentes.
• Los datos del Responsable del tratamiento solo se almacenan en dispositivos de trabajo en la medida en que sea necesario en casos concretos para el análisis de errores y la reproducción de errores notificados, y se suprimen una vez concluido el análisis. No se almacenan en soportes extraíbles ni en almacenamientos privados en la nube.
• Se trabaja de forma que terceros no puedan ver datos personales; a través de redes públicas solo se accede a los sistemas productivos mediante una conexión protegida.

(3) El acceso a datos personales del Responsable del tratamiento desde un lugar de trabajo fuera de la UE/EEE solo está permitido en las condiciones de los arts. 44 y ss. RGPD (cláusula 3).

(4) El Encargado del tratamiento garantiza las medidas conforme al art. 32 RGPD (Anexo 2) también en el trabajo móvil, las comprueba periódicamente, lo documenta y pone la documentación a disposición del Responsable del tratamiento a petición de este. Los controles conforme a la cláusula 8 se realizan a este respecto sobre la base de esta documentación y otras pruebas; queda excluido el acceso a domicilios particulares.

14 · Otros acuerdos

14.1 Remuneración

No se exige ninguna remuneración por el presente encargo. En la medida en que el Responsable del tratamiento necesite asistencia conforme a la cláusula 5 para responder a solicitudes de interesados, deberá reembolsar los costes que ello genere. A los controles se aplica la cláusula 8, apartado 4. La exportación de datos y el cambio de proveedor conforme a la cláusula 5.2 de las CGC son gratuitos. Si el Responsable del tratamiento imparte al Encargado del tratamiento instrucciones conforme a la cláusula 10 que excedan del alcance de las prestaciones acordado o que generen esfuerzos adicionales, deberá reembolsar los costes razonables que ello genere.

No existe obligación de remuneración en la medida en que la asistencia, el control o la medida correspondiente hayan sido necesarios debido a un incumplimiento acreditable del Encargado del tratamiento del presente contrato o de las obligaciones en materia de protección de datos.

14.2 Duración del contrato

El presente contrato depende de la existencia de una relación contractual principal conforme a la cláusula 2. La resolución o cualquier otra forma de terminación de la relación contractual principal conforme a la cláusula 2 pone fin al presente contrato, sin perjuicio de la regla de vigencia continuada que figura a continuación. El derecho a la resolución extraordinaria aislada del presente contrato, así como el ejercicio de derechos legales de resolución referidos concretamente a este contrato, no se ven afectados por ello.

En la medida en que, tras la terminación de la relación contractual principal, se sigan tratando datos personales en relación con la devolución, la exportación, la supresión, la conservación de copias de seguridad o la acreditación, las disposiciones del presente contrato seguirán aplicándose hasta la conclusión completa de dichas operaciones de tratamiento.

14.3 Elección de la ley aplicable

Se aplica el derecho de la República Federal de Alemania.

14.4 Fuero

Para el fuero se aplica la cláusula 12.1 de las CGC.

14.5 Responsabilidad

A la responsabilidad se aplica la cláusula 9 de las CGC; el art. 82 RGPD no se ve afectado.

Firmas

Anexo 1 · Datos personales y finalidad del tratamiento

Anexo 1 al encargo conforme al art. 28 RGPD – Relación de los datos personales y de la finalidad de su tratamiento

I. Tipo de datos

Son objeto habitual del tratamiento los siguientes tipos de datos:

• Denominación de la empresa con el nombre de las personas de contacto y la dirección de la empresa
• Datos de contacto
• Facturas emitidas y recibidas, junto con sus anexos
• Transacciones bancarias (en caso de conexión de una cuenta bancaria)
• Datos de comunicación y de transmisión (envío y recepción de correo electrónico, Peppol, transmisiones a autoridades tributarias)
• Registros de la API (solicitudes y respuestas a la interfaz de programación)
• Datos de usuario y de acceso/autenticación (p. ej., identificador de usuario, roles/permisos, registros de acceso)
• Datos de uso y de registro (p. ej., dirección IP, marcas de tiempo, metadatos técnicos)
• Datos de pago
• Datos de clientes de la empresa para la facturación
• Denominaciones de productos y de servicios de la empresa

II. Categorías de interesados

Categorías de interesados afectados por el tratamiento de datos:

• Empleados y clientes del Responsable del tratamiento
• Socios y proveedores de servicios del Responsable del tratamiento
• Proveedores del Responsable del tratamiento
• Destinatarios y emisores de facturas del Responsable del tratamiento

III. Naturaleza y finalidad del tratamiento

Puesta a disposición de una aplicación web y de una interfaz de programación para la creación, la recepción, la comprobación, la entrega y el almacenamiento durante la vigencia del contrato de facturas, notas de abono y otros documentos comerciales conforme a la norma EN 16931 y a otros formatos; conciliación de pagos; transmisión a redes de facturación electrónica y a autoridades tributarias; captura automática opcional de datos a partir de facturas recibidas; soporte.

Anexo 2 · Medidas técnicas y organizativas

Anexo 2 al encargo conforme al art. 28 RGPD – Medidas técnicas y organizativas conforme al art. 32 RGPD.

Nota: Las medidas específicas para el teletrabajo se orientan por las medidas recomendadas por la BSI (Recomendaciones para el teletrabajo).

1. Confidencialidad (art. 32.1.b) RGPD)

a. Control de acceso físico

Centro de datos – Nuestros servidores se encuentran en centros de datos alemanes de Hetzner Online GmbH con certificación ISO 27001.

• Control de acceso físico, vigilancia y acompañamiento de visitantes conforme a la certificación ISO 27001 del operador del centro de datos

Administración/teletrabajo

• Los dispositivos de trabajo están totalmente cifrados; se instruye a los empleados para que no los dejen desatendidos
• Los dispositivos de trabajo se bloquean automáticamente tras un breve periodo de inactividad y se bloquean al abandonar el puesto de trabajo
• Las impresiones con datos personales se destruyen tras su uso
• Solo personal comprometido a respetar la confidencialidad y la protección de datos accede a datos personales con fines de soporte
• Se instruye a los empleados para que no traten datos personales en presencia de terceros

b. Control de acceso a los sistemas

Centro de datos – Las credenciales administrativas y los medios de acceso a los sistemas de servidores y de infraestructura solo son accesibles para los empleados autorizados en cada caso del Encargado del tratamiento y se utilizan exclusivamente con fines de administración, mantenimiento y control de la infraestructura.

Teletrabajo

• Se instruye a los empleados para que almacenen las contraseñas de acceso a cuentas o sistemas en un gestor de contraseñas cifrado.
• Los accesos administrativos a los sistemas de servidores, de nube y de desarrollo están protegidos con autenticación multifactor.

c. Control de acceso a los datos

Infraestructura

• El proveedor de infraestructura opera su infraestructura conforme a un concepto de seguridad documentado; en la selección, el Encargado del tratamiento tiene en cuenta, entre otros aspectos, acreditaciones/certificaciones de seguridad reconocidas.
• El proveedor de infraestructura aplica controles de acceso físico y de acceso a los datos conforme a estándares reconocidos; las acreditaciones resultan de las correspondientes certificaciones/informes de auditoría del proveedor.

Aplicaciones / sistemas internos de administración

• mediante actualizaciones de seguridad periódicas (conforme al estado de la técnica en cada momento) se garantiza que se impidan los accesos no autorizados.
• solo son accesibles mediante accesos personalizados y protegidos por contraseña
• Las bases de datos y los almacenes de datos internos no son accesibles desde Internet; un acceso directo solo es posible mediante accesos administrativos con autenticación multifactor
• Las aplicaciones administrativas requieren un inicio de sesión a través del proveedor de identidad con autorización basada en roles
• Revisión y adaptación periódicas de los permisos de acceso

d. Control de los soportes de datos

Centro de datos

• El proveedor de infraestructura sobrescribe (borra) varias veces los discos duros mediante un procedimiento definido. Tras su comprobación, los discos duros se reutilizan.
• Los discos duros defectuosos que no pueden borrarse de forma segura se destruyen (trituran) directamente en el centro de datos del proveedor de infraestructura.

General / teletrabajo

• Los soportes de datos de los empleados que ya no se necesitan o que están defectuosos se sobrescriben (borran) varias veces y se destruyen.
• Los dispositivos de trabajo y los soportes de datos están totalmente cifrados; los datos del Responsable del tratamiento solo se almacenan localmente conforme a la cláusula 13.

e. Control de separación

• Los datos de los clientes se almacenan separados física o lógicamente de otros datos.
• La copia de seguridad de los datos de los clientes se realiza igualmente en sistemas separados lógica y/o físicamente.

2. Integridad (art. 32.1.b) RGPD)

a. Control de la transmisión

General

• Todos los empleados han sido instruidos y están obligados en el sentido del art. 32.4 RGPD a garantizar un manejo de los datos personales conforme a la normativa de protección de datos.
• Las transmisiones externas se realizan de forma cifrada (TLS 1.2 o superior)
• Los sistemas productivos y las copias de seguridad están cifrados (art. 32.1.a) RGPD)

Teletrabajo

• Se instruye a los empleados para que solo creen documentos/impresiones confidenciales en casos excepcionales y los destruyan inmediatamente después de su uso.
• Se instruye a los empleados para que sometan los soportes de datos que ya no se necesiten a una destrucción adecuada.

b. Registro / monitorización / análisis de errores

Para garantizar la estabilidad, la disponibilidad y la corrección de errores se tratan datos técnicos de eventos y de diagnóstico. El tratamiento se realiza conforme al principio de minimización de datos; los contenidos identificativos se reducen en la medida de lo posible o se eliminan mediante filtros/depuración («scrubbing»). Los accesos a los sistemas de diagnóstico y de monitorización están restringidos en función de los roles y quedan registrados. Los plazos de conservación de los datos de diagnóstico/errores están limitados en función de su finalidad. Un acceso de soporte vinculado a la cuenta («impersonation») a cuentas de usuario solo se realiza en función de los roles por parte de personal autorizado y queda registrado (momento, persona que accede, cuenta afectada).

3. Disponibilidad y resiliencia (art. 32.1.b) RGPD)

a. Control de la disponibilidad

Servidores

• Nuestros servidores se encuentran en un centro de datos de Hetzner en Alemania que cuenta con la certificación ISO 27001.
• Todos los conjuntos de datos persistentes de la plataforma productiva se copian a intervalos cortos (actualmente, como mínimo cada 2 horas) de forma cifrada y se almacenan en una ubicación físicamente separada.
• Suministro eléctrico y protección de red conforme a la certificación ISO 27001 del operador del centro de datos.

Teletrabajo

• Los datos de los clientes solo se almacenan en los dispositivos de trabajo conforme a la cláusula 13 y de forma temporal; los dispositivos de trabajo están totalmente cifrados.

b. Rápida capacidad de restablecimiento (art. 32.1.c) RGPD)

Servidores

• Para todos los sistemas está definida una cadena de escalado que establece a quién debe informarse en caso de fallo para restablecer el sistema lo antes posible.
• La restauración a partir de copias de seguridad se ensaya y documenta periódicamente.

Teletrabajo

• Los dispositivos de trabajo pueden sustituirse sin pérdida de datos de los clientes, ya que el conjunto de datos de referencia se encuentra exclusivamente en la plataforma con copia de seguridad central.

4. Procedimientos de verificación, evaluación y valoración periódicas (art. 32.1.d) RGPD; art. 25.1 RGPD)

a. Control del encargo

Medidas que garantizan que los datos personales tratados por encargo solo puedan tratarse conforme a las instrucciones del Responsable del tratamiento. Estas comprenden:

• Selección cuidadosa de subencargados del tratamiento, especialmente en lo relativo a la protección de datos
• Celebración de los acuerdos necesarios con los subencargados del tratamiento y su verificación

b. Control de la organización

La organización interna debe configurarse de modo que satisfaga los requisitos especiales de la protección de datos. Comprende las siguientes medidas:

• Los empleados se comprometen a respetar la confidencialidad y reciben formación en protección de datos
• Las medidas técnicas y organizativas se revisan y desarrollan periódicamente.
• Documentación específica por cliente de las instrucciones y actividades en el marco del encargo del tratamiento
• Existe un proceso documentado para la detección, evaluación, contención y notificación de incidentes de seguridad y de protección de datos; los incidentes se documentan y evalúan sin dilación indebida.
• Las vulnerabilidades se detectan mediante comprobaciones automatizadas y se corrigen en función del riesgo.

Anexo 3 · Subencargados del tratamiento

Para el tratamiento de datos por cuenta del Responsable del tratamiento, el Encargado del tratamiento recurre a servicios de terceros que tratan datos personales por cuenta suya («subencargados del tratamiento»). Se trata de las siguientes empresas:

Los destinatarios que reciben datos en virtud de una obligación legal (p. ej., las autoridades tributarias en el caso de VeriFactu, KSeF o la factura electrónica francesa), los proveedores de servicios de pago autorizados que prestan servicios de información sobre cuentas y de iniciación de pagos frente a los usuarios bajo su propia responsabilidad (BANKSapi Technology GmbH, Múnich), así como los servicios conectados por el propio Responsable del tratamiento (p. ej., sistemas de contabilidad, ERP o CRM) no son subencargados del tratamiento en el sentido del presente anexo. La relación actualizada en cada momento puede consultarse además en trust.faktoora.com.

---

Esta versión es aplicable a partir del 01.12.2026. Para los Responsables del tratamiento cuyo contrato se haya celebrado antes de esa fecha, se aplicará a partir del 01.12.2026, pero no antes de que transcurran cuatro semanas desde la recepción de la comunicación de la modificación, salvo que el Responsable del tratamiento se oponga dentro de dicho plazo (regulación de modificaciones de las CGC anteriores, en lo sucesivo cláusula 8.10 de las CGC); el derecho de oposición a nuevos subencargados del tratamiento conforme a la cláusula 7, apartado 1, no se ve afectado. Hasta entonces se aplica la versión anterior.

faktoora GmbH · Contrato de encargo del tratamiento · v4.2 · vigente a partir del 01.12.2026