Contrato de Encargo del Tratamiento de COBIQO (DPA)
Versión 1.0 · En vigor desde el 26 de octubre de 2026
1. Partes
Este Contrato de Encargo del Tratamiento ("DPA") se celebra entre:
- el Cliente, que actúa como responsable del tratamiento ("Responsable"); y
- Cobofam South SL ("Cobiqo"), que actúa como encargada del tratamiento ("Encargado"),
(conjuntamente, las "Partes"). Este DPA forma parte integrante de las Condiciones Generales. Los términos en mayúscula no definidos aquí tienen el significado que les dan las Condiciones Generales.
2. Objeto y ámbito
Este DPA regula el tratamiento de datos personales por el Encargado por cuenta del Responsable en la prestación del Servicio, conforme al artículo 28 del RGPD. Los tratamientos figuran en el anexo 1.
3. Naturaleza y finalidad del tratamiento
El Encargado trata datos personales únicamente para:
- prestar el Servicio, incluidos facturación, contabilidad, administración de personal y nóminas, CRM y lectura de documentos;
- realizar Envíos Legales por indicación del Responsable (Peppol, VeriFactu);
- permitir las integraciones que active el Responsable;
- realizar y restaurar copias de seguridad;
- prestar soporte y mantenimiento, incluido el Acceso de Soporte (artículo 7);
- garantizar la seguridad y el rendimiento del Servicio.
4. Categorías de datos e interesados
Las categorías figuran en el anexo 1. El Responsable decide qué datos incluye en el Servicio. Solo incluye categorías especiales de datos personales (como datos de salud en ausencias) cuando exista una base jurídica y sea necesario para la administración.
5. Obligaciones del Responsable
El Responsable:
- garantizará una base jurídica válida para el tratamiento;
- facilitará la información necesaria a los interesados, incluido su personal;
- garantizará que los datos personales sean exactos y lícitos;
- gestionará los usuarios y permisos de la Cuenta y los retirará a tiempo.
6. Obligaciones del Encargado
El Encargado:
- tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable. Esas instrucciones figuran en las Condiciones Generales, en este DPA y en la configuración del Servicio por el Responsable. Informará sin demora si, en su opinión, una instrucción infringe el RGPD;
- garantizará que las personas que tratan datos personales estén sujetas a confidencialidad;
- adoptará las medidas del artículo 8;
- no utilizará los datos personales para fines propios, salvo datos agregados y anonimizados según lo permitido en las Condiciones Generales;
- asistirá al Responsable en una evaluación de impacto relativa a la protección de datos y en una consulta previa, en la medida en que se refieran al Servicio.
7. Acceso para soporte (Acceso de Soporte)
El Responsable instruye al Encargado para que, con los fines descritos en el artículo 16 de las Condiciones Generales, acceda a los datos personales de la Cuenta mediante el Acceso de Soporte. El Encargado limita este acceso a lo necesario para el fin, registra cada acceso y pone los registros a disposición previa solicitud. El Administrador también puede consultar los registros en la Cuenta. El Acceso de Soporte es de solo lectura por defecto. Este acceso no constituye un tratamiento al margen de las instrucciones del Responsable.
8. Medidas de seguridad
El Encargado adopta medidas técnicas y organizativas adecuadas, entre ellas:
- una base de datos separada por Cuenta y separación por Empresa;
- verificación en dos pasos, obligatoria para Administradores y personal de la plataforma;
- funciones y permisos según el principio de mínimo privilegio;
- cifrado en tránsito y de las copias de seguridad fuera del servidor;
- copias de seguridad diarias con pruebas de restauración periódicas;
- registro de inicios de sesión, acciones de administración y Acceso de Soporte; el registro de la plataforma no puede modificarse;
- medidas contra el acceso no autorizado y las violaciones de datos.
9. Subencargados
El Responsable autoriza al Encargado a recurrir a los subencargados del anexo 2. El Encargado comunica un subencargado nuevo o sustituto con al menos treinta (30) días de antelación por correo electrónico o en el Servicio. El Responsable puede oponerse por motivos fundados dentro de ese plazo. Si las Partes no encuentran una solución, el Responsable puede resolver la Suscripción con efecto en la fecha en que se incorpore el subencargado. El Encargado impone a los subencargados las mismas obligaciones de protección de datos y sigue siendo responsable de su cumplimiento.
10. Transferencias internacionales
El Encargado almacena los datos del Servicio en el Espacio Económico Europeo. Las transferencias fuera del EEE (por ejemplo, a un proveedor de IA) solo se realizan con garantías adecuadas, como cláusulas contractuales tipo o una decisión de adecuación.
11. Derechos de los interesados
El Encargado asiste al Responsable en la respuesta a las solicitudes de los interesados, entre otros mediante las funciones de exportación y búsqueda del Servicio. El Encargado remite sin demora cualquier solicitud que reciba directamente.
12. Violaciones de la seguridad de los datos personales
El Encargado notifica una violación de la seguridad de los datos personales que afecte a los Datos del Cliente sin dilación indebida y, a más tardar, en un plazo de cuarenta y ocho (48) horas desde que tenga conocimiento de ella. La notificación incluye la información disponible en ese momento: la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas. El Encargado completa la notificación a medida que se conozcan más datos.
13. Conservación, devolución y supresión
El Responsable puede obtener en cualquier momento una exportación completa de la Cuenta (artículo 6.6 de las Condiciones Generales). A la terminación, el Encargado elimina la Cuenta tras un plazo de espera comunicado. Antes de la eliminación, el Encargado realiza automáticamente una exportación completa. La conserva cifrada e inaccesible para su uso, únicamente para poder dar acceso al Responsable o a una autoridad competente mientras dure la obligación legal de conservación de facturas y contabilidad, y como máximo diez (10) años. Las copias en las copias de seguridad desaparecen con el ciclo de copias, a más tardar doce (12) meses después de la eliminación.
14. Auditorías
Previa solicitud razonable, el Encargado facilita la información necesaria para demostrar el cumplimiento de este DPA. Las auditorías formales se limitan a una al año, salvo tras una violación. Requieren un preaviso razonable, las realiza un auditor sujeto a confidencialidad, no perturban la actividad y no dan acceso a datos de otros clientes.
15. Responsabilidad
La responsabilidad derivada de este DPA está sujeta a las limitaciones de las Condiciones Generales, en la medida en que lo permita el RGPD.
16. Duración y prelación
Este DPA se aplica mientras el Encargado trate datos personales por cuenta del Responsable, incluida la conservación tras la terminación (artículo 13). En caso de contradicción entre este DPA y las Condiciones Generales, prevalece este DPA en materia de protección de datos.
Anexo 1: Actividades de tratamiento
| Tratamiento | Naturaleza | Categorías de interesados | Categorías de datos | Conservación |
|---|---|---|---|---|
| Administración en el Servicio | almacenar, organizar, consultar, modificar, enviar, suprimir | clientes, proveedores y contactos del Cliente; usuarios | datos identificativos y de contacto, facturas y pagos, números de cuenta, comunicaciones | hasta la eliminación de la Cuenta; después, según el artículo 13 |
| Administración de personal y nóminas | almacenar, consultar, calcular, modificar, suprimir | personal y antiguo personal del Cliente | números de identificación, dirección, contrato, salario, retribuciones, ausencias, vehículos | igual |
| Lectura de documentos con IA | comunicar a un proveedor de IA, recibir el resultado | personas que figuran en el documento | contenido del documento | el proveedor no lo conserva más allá del tratamiento |
| Envíos Legales | enviar y recibir | clientes y proveedores del Cliente | contenido de facturas electrónicas y registros | como la administración |
| Copias de seguridad | copiar, cifrar, conservar, restaurar | todos los anteriores | todos los anteriores | 30 días (diarias) y 12 meses (mensuales) |
| Acceso para soporte (Acceso de Soporte) | consulta (lectura) de datos de la Cuenta por personal de soporte para prestar soporte; cambios solo según el artículo 16.4 de las Condiciones Generales | todas las categorías que el Cliente trata en el Servicio | todas las categorías que el Cliente trata en el Servicio | registros: 12 meses |
Anexo 2: Subencargados
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Socio de alojamiento (centro de datos) | alojamiento de la aplicación y las bases de datos | UE (Benelux) |
| Google Cloud (Google Ireland Ltd.) | almacenamiento de archivos y documentos; copia de seguridad cifrada | UE (archivos: europe-west1, Bélgica; copia: europe-west4, Países Bajos) |
| Brevo (Sendinblue SAS) | envío de correos electrónicos | UE (Francia) |
| Recommand | punto de acceso Peppol | UE (Bélgica) |
| OpenAI, Anthropic, en cada caso mediante una cuenta empresarial; los datos enviados no se utilizan para entrenar modelos | lectura de documentos con IA | EE. UU., con cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU. |
| TypeSafe AI (modelo Jev), cuenta empresarial; sin entrenamiento con los datos enviados | controles y propuestas con IA sobre datos de documentos (por ejemplo, factura duplicada, importe inusual, conciliación de un pago) | EE. UU., con cláusulas contractuales tipo |
Un banco, un servicio de pago o una tienda en línea que el Cliente conecte por su cuenta no es un subencargado del Encargado, sino un Servicio de Terceros del Cliente.