Contrato de encargado del tratamiento

Cuando usas Remitide nos entregas datos personales que no son tuyos ni nuestros: los nombres, los NIF, los correos y el historial de pagos de tus clientes. Esas personas no nos han dado su consentimiento y probablemente no saben que existimos.

El RGPD regula esa situación con precisión: tú eres el responsable del tratamiento, porque decides para qué se usan esos datos; nosotros el encargado, porque los tratamos por cuenta tuya. Y su artículo 28.3 exige que la relación esté regulada por un contrato con un contenido concreto. Este es ese contrato.

Aceptas este contrato al crear tu cuenta, junto con las condiciones del servicio. Obliga a las dos partes. Si necesitas una copia firmada para tu carpeta de cumplimiento, pídela a soporte@remitide.com.

• Objeto. El tratamiento de los datos personales necesarios para que puedas hacer el seguimiento de tus facturas y enviar recordatorios de pago a tus clientes.
• Duración. Mientras tengas cuenta activa. Al cerrarla se aplica lo previsto en el apartado de devolución.
• Naturaleza y finalidad. Recogida, almacenamiento, organización, consulta, uso para generar y enviar avisos de cobro, recepción de las respuestas que tus clientes envían desde el enlace de los avisos, comparación de tu cartera con publicaciones concursales oficiales si tu plan incluye la vigilancia concursal, acceso de tu gestoría si tú la autorizas, conservación como prueba de lo enviado, y supresión.
• Categorías de interesados. Tus clientes: personas físicas, autónomos, y las personas de contacto de las empresas a las que facturas.
• Tipos de datos. Identificativos (nombre, razón social, NIF), de contacto (correo, teléfono, dirección postal) y económicos relativos a la relación comercial contigo (facturas, importes, vencimientos, pagos, impagos, notas y comunicaciones, incluidas las respuestas que envíen desde el enlace de los avisos).
• Lo que no se trata. No se piden ni se necesitan datos de las categorías especiales del artículo 9 —salud, ideología, afiliación sindical y demás—. Tampoco datos de infracciones penales. No los subas.

Como encargado, Blixma Capital Group, S.L. se compromete a:

• Tratar los datos solo siguiendo tus instrucciones. Las instrucciones documentadas son este contrato y lo que tú configuras en la aplicación. No se usan para ninguna finalidad propia: ni para publicidad, ni para estadística que se comparta, ni para entrenar modelos de inteligencia artificial.
• Guardar confidencialidad, también después de terminar la relación, y garantizar que se comprometen a lo mismo todas las personas autorizadas a tratarlos.
• Aplicar las medidas de seguridad del artículo 32, que se detallan más abajo.
• Asistirte con los derechos de tus clientes. Si uno de ellos ejerce acceso, rectificación, supresión u oposición, la aplicación te permite atenderlo tú directamente. Si la petición nos llega a nosotros, te la trasladamos sin demora y no la respondemos por nuestra cuenta.
• Ayudarte a cumplir los artículos 32 a 36: seguridad, notificación de brechas y evaluación de impacto, en la medida de la información de que dispongamos.
• Avisarte de una brecha sin demora indebida en cuanto tengamos constancia, con lo que sepamos, para que puedas cumplir tu plazo de 72 horas ante la Agencia Española de Protección de Datos.
• Advertirte si una instrucción tuya nos parece ilegal, en vez de ejecutarla en silencio.
• Devolver o suprimir los datos al terminar, según lo que elijas, y borrar las copias salvo que una ley obligue a conservarlas.
• Poner a tu disposición la información necesaria para demostrar el cumplimiento, y permitir auditorías en los términos de abajo.

Este contrato tiene dos partes, y la tuya es la que la mayoría de proveedores deja en letra pequeña. Como responsable te corresponde:

• Tener una base legal para tratar los datos de tus clientes y para escribirles. Reclamar el pago de una factura propia se apoya normalmente en la ejecución del contrato que tienes con ellos o en tu interés legítimo, pero eso lo valoras tú, que conoces la relación.
• Haber informado a tus clientes del tratamiento de sus datos, como exigen los artículos 13 y 14, incluida la existencia de un encargado.
• Asegurarte de que los datos que subes son exactos y están actualizados. Un correo mal escrito en una ficha manda un aviso de deuda a un tercero que no tiene nada que ver, y eso es una brecha de datos.
• Atender las peticiones de tus clientes sobre sus datos y las respuestas que te lleguen a los avisos.
• No usar el servicio para reclamar deudas ajenas, cedidas o compradas.
• Decidir los destinatarios, el contenido, el tono y la frecuencia de los avisos, incluidos los textos que propone la IA y los envíos automáticos que actives: son instrucciones tuyas, y la licitud de lo que se comunica a cada persona te corresponde a ti.

Lo que hay puesto, con nombre concreto en vez de fórmulas genéricas. La descripción completa está en la página de seguridad.

• Aislamiento entre clientes. Cada empresa está separada por seguridad a nivel de fila en la propia base de datos, no solo por un filtro en el programa. Aunque una consulta se olvidara de filtrar, la base de datos no devolvería filas de otra empresa.
• Cifrado. El tráfico va cifrado siempre. Las contraseñas se guardan con argon2id y nunca en claro. Las credenciales de tus conexiones y de tu servidor de correo, cifradas con AES-256-GCM.
• Control de acceso. Sesiones con caducidad, límite de intentos de acceso, y reparto de permisos por papeles dentro de tu empresa.
• Trazabilidad. Registro de auditoría de quién hizo qué y cuándo, y copia literal de cada aviso enviado.
• Red y despliegue. La base de datos solo es accesible desde la red privada del alojamiento, con conexiones cifradas; la aplicación usa un rol sin privilegios de administración y cada empresa solo ve sus datos por políticas de seguridad a nivel de fila.
• Recuperación. La base de datos se copia de forma continua, cifrada, en un almacén separado en Ámsterdam, lo que permite recuperarla a un momento concreto.

La incorporación de subencargados requiere identificación, autorización y obligaciones equivalentes de protección. Este inventario no autoriza tratamientos indeterminados. Los proveedores que actúen como responsables independientes no son subencargados para esas operaciones.

Al aceptar este contrato nos das la autorización general por escrito que prevé el artículo 28.2 del RGPD para recurrir a los subencargados de esta tabla. A cada uno le imponemos por contrato obligaciones de protección de datos equivalentes a las de este documento y, si no las cumple, seguimos respondiendo ante ti de su actuación, como establece el artículo 28.4.

Cuando conectas una cuenta tuya —tu Gmail, tu Outlook o tu cuenta de Stripe—, ese proveedor trata los datos también conforme a tu propio contrato con él. Remitide solo usa esa conexión para lo que tú configuras y puedes retirarla cuando quieras.

Si vamos a añadir uno nuevo, te lo comunicamos con al menos treinta días de antelación. Durante ese plazo puedes oponerte; si lo haces y no encontramos una alternativa, puedes resolver el contrato sin penalización y llevarte tus datos.

Algunos proveedores están establecidos en Estados Unidos o pueden tratar datos allí. Railway Corporation, Stripe, LLC, Plus Five Five, Inc. (Resend), Google LLC y Microsoft Corporation están certificadas en el Marco de Privacidad de Datos UE-EE. UU., y las transferencias a ellas se amparan en la Decisión de Ejecución (UE) 2023/1795 de la Comisión. Sus acuerdos de tratamiento de datos incorporan además cláusulas contractuales tipo adoptadas por la Comisión Europea en 2021. El proveedor de IA es OpenAI Ireland Ltd., que transfiere los datos a sus filiales en Estados Unidos con cláusulas contractuales tipo de 2021, al no estar OpenAI certificada en ese Marco; Anthropic, alternativo y no en uso, se apoyaría igualmente en cláusulas tipo. Copia de estas garantías a petición en el correo de privacidad.

No se transfieren datos a un tercer país por instrucción distinta de la tuya salvo que lo exija el Derecho de la Unión o de un Estado miembro; en ese caso te informaríamos antes, salvo prohibición legal.

Puedes comprobar que cumplimos. A petición razonable y con aviso previo, te facilitamos la información necesaria y, si hace falta, la posibilidad de una auditoría —tuya o de un tercero que designes y que asuma deber de confidencialidad—, en horario laboral y sin interrumpir el servicio a otros clientes.

Salvo que lo exija una autoridad o haya habido una brecha que afecte a tus datos, las auditorías presenciales se limitan a una al año, con al menos treinta días de aviso, y cada parte asume sus propios costes. Normalmente bastará con la documentación y las respuestas por escrito que te facilitemos. La auditoría no da acceso a datos de otras empresas usuarias.

Cuando cierres la cuenta, y según lo que elijas, devolvemos los datos o los suprimimos. Para la devolución no hace falta esperar a nadie: en Configuración › Datos y privacidad te los descargas en cualquier momento.

Se suprimen también las copias, salvo aquello que una obligación legal exija conservar —principalmente los documentos con efecto contable o fiscal—, que queda bloqueado: se guarda a disposición de la Administración y de los tribunales y no se usa para nada más, hasta que prescriba.

Los límites comerciales no reducen los derechos de los afectados, las facultades de las autoridades ni la responsabilidad exigible conforme al RGPD. Remitide mantiene las obligaciones legales relativas a sus subencargados. No se trasladan automáticamente sanciones al cliente.

Cada parte responde de sus propias obligaciones. Respondemos del daño causado por el tratamiento cuando hayamos incumplido las obligaciones que el RGPD impone específicamente a los encargados o hayamos actuado al margen de tus instrucciones legítimas. Tú respondes de la licitud de las instrucciones que nos das y del cumplimiento de tus obligaciones como responsable.

Para cualquier cuestión sobre este contrato, para pedir una copia firmada o para comunicarnos algo relativo a los datos de tus clientes, escribe a soporte@remitide.com.