Contrato de encargo del tratamiento

Este documento regula el tratamiento de datos personales que R3ZON CONSULTING SL realiza por cuenta del usuario al prestarle el Servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de los Términos y Condiciones y se acepta junto con ellos.

1. Papel de cada parte

El usuario es el responsable del tratamiento de los datos que introduce en el Servicio —los de sus clientes, proveedores, personal y contactos—: decide qué datos recoge, para qué y durante cuánto tiempo. R3ZON CONSULTING SL es el encargado, y los trata únicamente para prestarle el Servicio siguiendo sus instrucciones.

Respecto de los datos de la propia cuenta del usuario —su identidad, su facturación con nosotros, sus registros de acceso—, R3ZON CONSULTING SL actúa como responsable, y eso se rige por la Política de Privacidad, no por este documento.

2. Objeto, duración y naturaleza

• Objeto: prestación del Servicio de gestión: clientes, agenda, facturación, tareas, punto de venta y las funcionalidades que el usuario active.
• Duración: mientras exista la relación contractual, y después durante los plazos de conservación legalmente exigibles.
• Naturaleza: alojamiento, almacenamiento, consulta, modificación, copia de seguridad, comunicación a los destinatarios que el usuario determine y supresión.

3. Datos y personas afectadas

• Categorías de datos: identificativos y de contacto, datos fiscales y de facturación, contenido de documentos y comunicaciones, y datos de uso del Servicio.
• Personas afectadas: clientes y potenciales clientes del usuario, sus proveedores, sus empleados o colaboradores y sus contactos.
• No están previstas categorías especiales de datos (art. 9 RGPD). Si el usuario decidiera incorporarlas, será él quien deba valorar su licitud y adoptar las garantías adicionales que correspondan.

4. Obligaciones de R3ZON CONSULTING SL

• Tratar los datos únicamente conforme a las instrucciones documentadas del usuario, que se entienden dadas mediante el uso ordinario del Servicio y sus opciones de configuración. Si una instrucción infringiera la normativa de protección de datos, se lo comunicaremos.
• No utilizar los datos para fines propios ni cederlos a terceros distintos de los previstos en este documento.
• Garantizar que quienes acceden a los datos están sujetos a un deber de confidencialidad que subsiste tras el fin de la relación.
• Aplicar las medidas técnicas y organizativas del apartado 6 y mantenerlas actualizadas.
• Asistir al usuario en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como en las evaluaciones de impacto y consultas previas que pudieran corresponderle.
• Notificar cualquier violación de seguridad sin dilación indebida desde que tengamos constancia, con la información necesaria para que el usuario cumpla su obligación de notificación a la autoridad de control.
• Poner a su disposición la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previamente acordadas.

5. Obligaciones del usuario

• Disponer de base jurídica para tratar los datos que incorpora al Servicio y haber informado a las personas afectadas.
• Facilitar únicamente los datos necesarios para las finalidades que persigue.
• Mantener la confidencialidad de sus credenciales y gestionar los permisos de las personas de su equipo a las que dé acceso.
• Atender los derechos de las personas afectadas, con nuestra asistencia.

6. Medidas de seguridad

Atendiendo al estado de la técnica y a los riesgos del tratamiento, se aplican, entre otras:

• Cifrado en tránsito (TLS) y cifrado en reposo de la base de datos y las copias.
• Aislamiento entre cuentas a nivel de base de datos, de modo que los datos de un negocio no sean accesibles desde otro, y control de acceso por permisos dentro de cada cuenta.
• Verificación en dos pasos disponible para todas las cuentas.
• Copias de seguridad periódicas con verificación de restauración.
• Registro de accesos y de operaciones sensibles.
• Revisión periódica de dependencias y del control de acceso.

7. Subencargados

El usuario autoriza de forma general el recurso a los subencargados necesarios para prestar el Servicio. Los actuales, con su función y ubicación del tratamiento, se detallan en la Política de Privacidad, e incluyen proveedores de alojamiento e infraestructura, base de datos, envío de correo, pagos y analítica.

Todos ellos están vinculados por contrato con obligaciones equivalentes a las de este documento. Comunicaremos con antelación razonable la incorporación o sustitución de un subencargado, y el usuario podrá oponerse por motivos fundados; si la oposición impidiera prestar el Servicio, podrá resolver el contrato sin penalización.

8. Transferencias internacionales

El tratamiento se realiza preferentemente en el Espacio Económico Europeo. Cuando algún subencargado trate datos fuera del EEE, la transferencia se ampara en una decisión de adecuación de la Comisión Europea o en cláusulas contractuales tipo, con las medidas complementarias que procedan.

9. TicketBAI y remisión a la Hacienda Foral

Cuando el usuario activa TicketBAI, R3ZON CONSULTING SL genera, firma y remite en su nombre los ficheros de sus facturas a la Hacienda Foral competente, en virtud del apoderamiento que otorga expresamente. Esa comunicación de datos:

• se realiza por cuenta e instrucción del usuario, que es el obligado tributario;
• responde al cumplimiento de una obligación legal que recae sobre él, no sobre nosotros, y por tanto no requiere su consentimiento adicional para ser lícita;
• se limita a los datos que la normativa exige incorporar al fichero: identificación del emisor y, en su caso, del destinatario, y el detalle económico de la operación.

Los ficheros firmados y el registro de su remisión se conservan durante cuatro años, plazo de prescripción tributaria, y el documento de apoderamiento durante seis años desde su revocación.

10. Fin del encargo

Terminada la relación, R3ZON CONSULTING SL suprimirá los datos tratados por cuenta del usuario o se los devolverá en formato estructurado, a su elección, junto con los soportes en que consten. Podrá conservarlos bloqueados, sin tratarlos, durante los plazos en que pudieran derivarse responsabilidades o mientras una obligación legal lo exija.

11. Responsabilidad

Cada parte responde de los daños causados por el incumplimiento de las obligaciones que este documento le atribuye, en los términos del artículo 82 del RGPD.

12. Contacto

Para cualquier cuestión relativa a este encargo: info@r3zon.com. R3ZON CONSULTING SL, NIF B93854065, Avenida Altos Hornos de Vizcaya, número 33, 48901 Barakaldo.