Acuerdo de encargo del tratamiento (DPA)

1. Objeto y marco legal

Este Acuerdo de encargo del tratamiento (en adelante, «DPA») regula el tratamiento de datos personales que Alastia SLU («el Encargado» o «Tributs») realiza por cuenta del Cliente («el Responsable») en el marco de la prestación del servicio Tributs.

Se suscribe en cumplimiento del artículo 31 de la Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (LQPD), que exige que todo tratamiento por encargo se regule mediante contrato. Forma parte integrante de las Condiciones del servicio y prevalece sobre estas en lo relativo al tratamiento de datos personales de terceros.

2. Roles de las partes

El Cliente es el responsable del tratamiento de los datos personales de terceros (sus clientes, proveedores, empleados y contactos) que introduce o sube al servicio. Determina los fines y los medios del tratamiento.

Alastia SLU es el encargado del tratamiento: trata esos datos únicamente para prestar el servicio y siguiendo las instrucciones documentadas del Responsable. (Para los datos de la cuenta y de la facturación de la suscripción, en cambio, Alastia es responsable: véase la Política de privacidad.)

3. Objeto, duración, naturaleza y finalidad

Objeto: el tratamiento de datos personales necesario para prestar el servicio Tributs (gestión contable, fiscal, de facturación, bancaria y de nóminas).

Duración: mientras esté vigente la suscripción, más el período de conservación y las operaciones de devolución o supresión previstas en la sección 11.

Naturaleza y finalidad: almacenamiento, organización, consulta, cálculo, generación de documentos y modelos, extracción de datos de facturas y comunicación a los sub-encargados indicados, siempre para la prestación del servicio y nunca para fines propios del Encargado.

4. Tipos de datos y categorías de interesados

Categorías de interesados: clientes, proveedores, empleados, administradores y contactos del Responsable.

Tipos de datos: identificativos (nombre, NRT/NIF), de contacto (dirección, correo, teléfono), económicos y bancarios (IBAN, medios de pago, movimientos), fiscales (facturas, bases, retenciones) y, en el caso de las nóminas, datos laborales y de cotización (salario, número de afiliación a la CASS, retenciones IRPF/IRNR). El servicio no está diseñado para tratar categorías especiales de datos; el Responsable se abstiene de introducirlas.

5. Obligaciones del Encargado (art. 31.4 LQPD)

a) Instrucciones: tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable (incluidas las relativas a transferencias internacionales), salvo que una obligación legal exija otra cosa; en tal caso informará al Responsable. Si considera que una instrucción infringe la normativa, se lo comunicará sin dilación.

b) Confidencialidad: garantizará que las personas autorizadas a tratar los datos se hayan comprometido a respetar su confidencialidad.

c) Seguridad: aplicará las medidas técnicas y organizativas adecuadas exigidas por el art. 35 de la LQPD (véase la sección 7).

d) Sub-encargados: respetará las condiciones de la sección 8 para recurrir a otros encargados.

e) Asistencia — derechos: asistirá al Responsable, en la medida de lo posible y con medidas técnicas y organizativas adecuadas, para que pueda atender las solicitudes de ejercicio de derechos de los interesados (Capítulo 3 de la LQPD).

f) Asistencia — cumplimiento: ayudará al Responsable a cumplir las obligaciones de evaluación de impacto, seguridad y notificación de violaciones (arts. 32, 35, 36 y 37 de la LQPD).

g) Supresión o devolución: a elección del Responsable, suprimirá o le devolverá los datos al finalizar el servicio (sección 11).

h) Auditoría: pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías (sección 12).

6. Confidencialidad

El Encargado y su personal mantendrán la confidencialidad de los datos incluso después de finalizar la relación. El acceso del personal se limita a lo estrictamente necesario para prestar el servicio.

7. Medidas de seguridad

El Encargado aplica, entre otras: cifrado en tránsito (TLS 1.3); aislamiento físico de los datos de cada empresa cliente en una base de datos propia (modelo multi-site); control de acceso con autenticación de doble factor para el personal interno; copias de seguridad periódicas con retención rotativa; y registro de accesos. Las medidas se adecúan al riesgo y pueden actualizarse para mantener un nivel de protección equivalente o superior.

8. Sub-encargados

El Responsable autoriza de manera general que el Encargado recurra a sub-encargados para prestar el servicio. La lista vigente y actualizada de los sub-encargados —con la identidad, la finalidad, la ubicación y la garantía de cada uno, y la fecha de versión— se publica y se mantiene en esa página. Cada uno tiene firmado un contrato que le impone las mismas obligaciones de protección de datos (art. 31.5 LQPD), y el Encargado responde ante el Responsable de su cumplimiento.

Informaremos al Responsable de cualquier alta o sustitución de sub-encargados con al menos 30 días de antelación, publicando la versión actualizada en la lista y notificándolo por correo electrónico. Durante ese plazo el Responsable puede oponerse por motivos razonables relacionados con la protección de datos (art. 31.3 LQPD); si la oposición es fundada y no hay una alternativa razonable, podrá resolver el servicio sin penalización por la parte no consumida.

9. Transferencias internacionales

Andorra es un país con nivel de protección adecuado reconocido por la Unión Europea (Decisión 2010/625/UE de la Comisión, de 19 de octubre de 2010, confirmada en la revisión de 2024). Por tanto, un Responsable establecido en la UE/EEE puede encargar el tratamiento a Alastia SLU sin necesidad de garantías adicionales, como si fuera una transmisión intracomunitaria.

Cuando un sub-encargado esté fuera del EEE (por ejemplo, en Estados Unidos), la transferencia se realiza al amparo de las cláusulas contractuales tipo (SCCs) aprobadas por la Comisión Europea y otras garantías adecuadas (arts. 42 a 45 de la LQPD), tal como se indica en la lista de sub-encargados (sección 8).

10. Violaciones de la seguridad

Si el Encargado tiene conocimiento de una violación de la seguridad que afecte a datos tratados por cuenta del Responsable, se lo notificará sin dilación (art. 36.2 LQPD), con el objetivo práctico de hacerlo en un máximo de 48 horas, aportando la información de que disponga para que el Responsable pueda cumplir, en su caso, su obligación de notificar a la APDA en el plazo máximo de 72 horas (art. 36.1) y, cuando corresponda, a los interesados (art. 37).

11. Devolución o supresión al final

Al finalizar la prestación del servicio, y a elección del Responsable, el Encargado le devolverá los datos en formato estándar (CSV para datos estructurados, PDF/imagen para adjuntos) o los suprimirá, junto con las copias existentes, salvo que una obligación legal exija su conservación. El Responsable dispone de herramientas de exportación autónoma antes del cierre de la cuenta.

12. Auditoría e información

El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento del art. 31 de la LQPD y permitirá y contribuirá a auditorías, incluidas inspecciones, llevadas a cabo por el Responsable o por un auditor que este designe, con un preaviso razonable y respetando la confidencialidad y la seguridad del resto de clientes.

13. Responsabilidad

Cada parte responde del incumplimiento de las obligaciones que le corresponden según la LQPD y este DPA. La limitación de responsabilidad de las Condiciones del servicio se aplica también a este acuerdo, en la medida permitida por la ley y sin afectar a los derechos de los interesados ante la autoridad de control.

14. Contacto y autoridad de control

Consultas sobre este acuerdo: hola@tributs.ad. La autoridad de control competente es la Agència Andorrana de Protecció de Dades (APDA): www.apda.ad.