Contrato de encargo

1. Objeto

El encargado trata datos personales por cuenta del responsable para prestarle el servicio Taxaia: facturación y presupuestos, gestión de gastos, bandeja de documentos, conciliación bancaria, cierre del trimestre, borradores de modelos tributarios, portal para el gestor, asistentes de inteligencia artificial y, cuando el responsable lo active, remisión de registros de facturación a la Agencia Tributaria.

2. Duración

Mientras exista la organización en Taxaia. Al terminar, se aplica la cláusula 10.

3. Naturaleza y finalidad del tratamiento

Recogida, registro, estructuración, conservación, extracción con inteligencia artificial, consulta, comunicación a los destinatarios que el responsable indique y supresión. La finalidad es exclusivamente prestar las funciones contratadas. El encargado no trata los datos para fines propios, no los usa para entrenar modelos de inteligencia artificial ni los cede a terceros fuera de lo previsto aquí.

4. Tipos de datos e interesados

Interesados

• Clientes, proveedores y empleados del responsable que figuran en sus documentos.
• Personas que el responsable invita a la organización, incluido su gestor.
• Cualquier persona nombrada en los documentos, correos o mensajes que el responsable incorpora.

Categorías de datos

• Identificativos y de contacto: nombre, NIF, dirección, correo, teléfono.
• Económicos y transaccionales: facturas, gastos, presupuestos, movimientos bancarios, retenciones, registros de facturación.
• Documentos e imágenes que el responsable sube o reenvía, y el texto extraído de ellos.
• Correos y mensajes de los conectores que el responsable activa, dentro del alcance que autoriza.
• Solo si el propietario lo sube: el certificado digital de la organización y su clave privada, conforme a la política de custodia.

No se tratan de forma intencionada categorías especiales de datos (art. 9 RGPD). Si un documento las contiene, por ejemplo una factura sanitaria, el responsable garantiza que su incorporación es lícita.

5. Obligaciones del encargado

1. Instrucciones. Tratar los datos solo según las instrucciones documentadas del responsable: este contrato, la configuración que haga en la aplicación (conectores, permisos, modos de privacidad, retención) y las peticiones que envíe por escrito. Si una instrucción infringe la normativa, el encargado lo comunicará de inmediato.
2. Confidencialidad. Las personas con acceso a datos están sujetas a un deber de secreto. El acceso se limita a lo necesario y queda registrado.
3. Seguridad. Aplicar las medidas del anexo I.
4. Subencargados. Según la cláusula 7.
5. Derechos de las personas. Si un interesado ejerce sus derechos ante el encargado, este lo comunicará al responsable en 5 días laborables y le ayudará a atenderlos con las funciones de la aplicación (búsqueda, descarga, rectificación) y, cuando no basten, extrayendo o suprimiendo los datos por petición escrita del responsable.
6. Brechas de seguridad. Notificar al responsable, al correo del propietario de la organización, sin dilación indebida y en todo caso en menos de 72 horas desde que la confirme, con la naturaleza de la brecha, las categorías y el número aproximado de afectados, las consecuencias probables y las medidas adoptadas.
7. Apoyo. Ayudar al responsable en las evaluaciones de impacto y en las consultas previas a la autoridad de control, con la información de la que disponga.
8. Registro. Mantener el registro de actividades de tratamiento que realiza por cuenta del responsable.
9. Auditoría. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías, con aviso de 30 días, en horario laboral, una vez al año salvo brecha o requerimiento de la autoridad, y sin acceder a datos de otras organizaciones.

6. Obligaciones del responsable

• Tener una base jurídica para los datos que incorpora e informar a los interesados.
• Decidir qué conectores activa y con qué alcance, y qué personas tienen acceso.
• Revisar las propuestas de la inteligencia artificial antes de aprobarlas.
• Atender los derechos de los interesados y las consultas de la autoridad de control.
• Comprobar, si sube su certificado digital, que las condiciones de su entidad de certificación se lo permiten.

7. Subencargados

El responsable autoriza de forma general al encargado a recurrir a los subencargados del anexo II. Cada uno está sujeto por contrato a obligaciones equivalentes a las de este documento. Si el encargado quiere añadir o sustituir uno, lo publicará en esta página y lo comunicará al propietario de la organización por correo con 30 días de antelación. El responsable puede oponerse por motivos justificados en ese plazo; si no hay alternativa razonable, podrá resolver el contrato sin penalización y exportar sus datos. El encargado responde ante el responsable del cumplimiento de sus subencargados.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos subencargados tratan datos fuera del Espacio Económico Europeo o pueden acceder a ellos desde fuera; en esos casos la transferencia se ampara en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas adicionales del anexo I, según se indica en el anexo II.

9. Inteligencia artificial

Para extraer datos de documentos, clasificar gastos y preparar propuestas, el encargado envía el contenido necesario a los proveedores de modelos del anexo II, en condiciones de uso por API que excluyen el uso de los datos para entrenamiento. El encargado conserva la respuesta del modelo y el resultado de cada propuesta, con el modelo y la versión de la instrucción utilizados, mientras exista la organización, para poder revisarla y reproducirla. Ninguna propuesta se aplica sin aprobación humana, salvo las que el responsable configure expresamente como automáticas.

10. Fin del encargo

Al terminar el contrato, el responsable puede exportar sus datos y descargar sus documentos. El encargado suprimirá los datos personales en un plazo de 30 días desde la petición o desde la eliminación de la organización, salvo los que deba conservar por obligación legal: las facturas emitidas y sus registros de facturación durante los plazos de la normativa tributaria, con acceso bloqueado y solo para atender requerimientos. Las copias de seguridad se eliminan conforme a su ciclo de rotación.

11. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD y este contrato, en los términos de su artículo 82. Se aplica el límite de responsabilidad de los términos del servicio, salvo en lo que el RGPD no permita limitar.

Anexo I. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) y cifrado en reposo del almacenamiento de archivos y de la copia externa, a cargo del proveedor de alojamiento.
• Aislamiento por organización: cada dato lleva la organización a la que pertenece y toda consulta se filtra por ella.
• Control de acceso por usuario, permisos por rol dentro de la organización y enlaces compartidos con clave y caducidad.
• Acceso sin contraseñas: enlace de un solo uso al correo o inicio de sesión con Google.
• Tokens de los conectores cifrados (AES-256-GCM), borrados al desconectar el conector y, en el caso de Google, revocados también ante el proveedor.
• Certificado digital de la organización, si se sube: cifrado con una clave propia por certificado, envuelta a su vez con una clave que custodia un módulo de seguridad de AWS en España. Solo un proceso aislado sin puerto de red puede abrirlo, únicamente para autenticar la conexión con la Agencia Tributaria. No existe descarga. Eliminarlo destruye la clave.
• Registro de auditoría inmutable de las acciones relevantes, incluidas las de los asistentes de inteligencia artificial y las aprobaciones humanas.
• Límite de capacidades de los asistentes: ninguna acción con efecto fiscal o envío a terceros sin aprobación; destinatarios restringidos a los contactos de la organización; detección de instrucciones maliciosas en documentos.
• Registros de facturación con huella encadenada e inmutables.
• Copias de seguridad diarias: 14 días en el servidor y 90 días en un almacenamiento externo en la Unión Europea, cifradas con una clave que no se guarda en ese almacenamiento.
• Diagnóstico de errores sin contenido de documentos ni datos fiscales.
• Procedimiento de respuesta a incidentes con plazos de comunicación.

Anexo II. Subencargados

Lista vigente a 3 de octubre de 2026.

La Agencia Tributaria y los destinatarios de las facturas, presupuestos y correos que el responsable decide enviar no son subencargados: son destinatarios de una comunicación que ordena el responsable.