Contrato de encargo del tratamiento

1. Objeto

El encargado trata, por cuenta del responsable, los datos personales necesarios para prestar el servicio Matheus: facturación, gastos, banco, contabilidad, impuestos y comunicaciones con los clientes y proveedores del responsable.

2. Duración

Mientras esté vigente la suscripción y, después, mientras el responsable mantenga su cuenta en solo lectura o hasta que solicite la devolución o supresión de los datos.

3. Datos y personas afectadas

• Datos identificativos y de contacto (nombre, NIF, dirección, email, teléfono).
• Datos económicos y de facturación (importes, cuentas bancarias, cobros y pagos).
• Datos de empleados si el responsable los introduce (jornada laboral, retenciones).
• Personas afectadas: clientes, proveedores, empleados y usuarios del responsable.

4. Obligaciones del encargado

• Tratar los datos solo según las instrucciones documentadas del responsable, que son las de este contrato y el uso que el responsable haga de la aplicación.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD): cifrado en tránsito, control de acceso por empresa y rol, verificación en dos pasos, registro de cambios y copias de seguridad.
• No recurrir a otro encargado sin autorización: el responsable autoriza a los subencargados de la cláusula 6 y será informado de cualquier cambio con 30 días de antelación para poder oponerse.
• Ayudar al responsable a atender los derechos de los interesados y en las evaluaciones de impacto cuando proceda.
• Notificar al responsable sin dilación indebida, y en todo caso en un máximo de 48 horas, cualquier violación de la seguridad de los datos.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

5. Obligaciones del responsable

Disponer de base legal para los datos que introduce, informar a los interesados y usar la aplicación según las Condiciones.

6. Subencargados autorizados

• Vercel Inc.: alojamiento y ejecución de la aplicación web (Unión Europea (Fráncfort) con soporte desde EE. UU.; cláusulas contractuales tipo de la comisión europea y marco de privacidad de datos ue-ee. uu.).
• Neon (Databricks Inc.): base de datos y copias de seguridad (Unión Europea (Fráncfort); contrato de encargo y cláusulas contractuales tipo).
• Stripe Payments Europe, Ltd.: cobro de las suscripciones y emisión de sus facturas (Irlanda (Unión Europea); contrato de encargo y cláusulas contractuales tipo).
• Resend Inc.: envío de los emails de la aplicación (verificación, avisos, facturas) (EE. UU.; cláusulas contractuales tipo de la comisión europea).
• Anthropic PBC: lectura automática (ocr) de las facturas de gasto que sube el cliente y respuestas del asistente a partir de los datos de la empresa (EE. UU.; cláusulas contractuales tipo; los datos enviados no se usan para entrenar modelos).

7. Transferencias internacionales

Cuando un subencargado trata datos fuera del Espacio Económico Europeo, se hace con las garantías del capítulo V del RGPD (cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.).

8. Fin del encargo

Al terminar, el responsable puede descargar todos sus datos desde la aplicación. A petición suya, el encargado los suprimirá, salvo los que deba conservar por obligación legal, que quedarán bloqueados. Mientras tanto, la cuenta queda en solo lectura para que el responsable pueda cumplir su obligación de conservar la documentación (6 años).