Encargo del tratamiento de datos (art. 28 RGPD)

1. Partes, ámbito y prelación

Este anexo desarrolla el artículo 28 del RGPD y forma parte de las condiciones del servicio. En lo relativo a datos personales de terceros, prevalece sobre ellas. No se aplica a las personas que contratan como consumidores fuera de su actividad profesional ni a los datos de tu propia cuenta, de los que somos responsables según la política de privacidad. Omnexia tiene su propio encargo del tratamiento en el apartado 5 de sus condiciones v1.0, con los mismos subencargados, plazos de aviso (15 días) y de brechas (48 horas) que este anexo, además de xAI.

2. Objeto, naturaleza, finalidad y duración

3. Instrucciones del responsable

Tratamos los datos solo según tus instrucciones documentadas, que son las condiciones del servicio, este anexo y el uso que haces de la plataforma, también en cuanto a transferencias internacionales, salvo que una norma de la Unión o de un Estado miembro nos exija otra cosa; en ese caso te lo comunicaremos antes, salvo que la ley lo prohíba. Si consideramos que una instrucción infringe el RGPD u otra norma de protección de datos, te informaremos de inmediato.

4. Confidencialidad

Las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad, que se mantiene tras acabar la relación.

5. Medidas de seguridad (art. 32 RGPD)

• Comunicaciones cifradas con HTTPS.
• Acceso restringido a las personas y sistemas que lo necesitan, y separación de los datos de cada cliente.
• Tratamiento de las facturas con modelos de IA locales, en servidores propios ubicados en España, sin enviarlas a proveedores externos de IA.
• Los datos se guardan en nuestro propio NAS, ubicado en España. Cloudflare solo actúa como proveedor de red y CDN.
• Acceso a tu Google Drive limitado al permiso drive.file: solo a los archivos y carpetas que Nexovyn crea o abre; puedes retirarlo en cualquier momento.
• Los datos de tarjeta se introducen en Stripe y nunca pasan por nuestros servidores.

6. Subencargados

Autorizas con carácter general los subencargados que figuran a continuación, que son los únicos en uso. Les imponemos obligaciones de protección de datos equivalentes a las de este anexo y seguimos siendo plenamente responsables ante ti.

• Sin IA externa: El contable no usa ningún proveedor externo de inteligencia artificial. La IA se ejecuta en nuestros propios servidores.
• Google Drive es tu propio espacio de almacenamiento, que nos autorizas a usar; no es un subencargado nuestro.
• Cambios: te avisaremos por correo o en tu panel de cualquier incorporación o sustitución con una antelación mínima de 15 días naturales. Puedes oponerte de forma motivada en ese plazo; si no podemos atender tu oposición, puedes cancelar el servicio sin coste antes de que el cambio se aplique.

Las transferencias fuera del EEE que puedan producirse se apoyan, según el proveedor, en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (cuando esté adherido) o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias que procedan. Puedes pedirnos información sobre estas garantías en [email protected].

7. Asistencia al responsable

Te ayudaremos, con medidas técnicas y organizativas adecuadas y en la medida de lo posible, a atender las solicitudes de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), y a cumplir las obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa (arts. 32 a 36 RGPD). Si un interesado nos escribe directamente, te trasladaremos su solicitud sin demora indebida.

8. Violaciones de seguridad

Te comunicaremos cualquier violación de la seguridad de los datos personales que traten por tu cuenta sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tengamos conocimiento, con la información disponible en ese momento (naturaleza, datos afectados, consecuencias probables y medidas adoptadas) y completándola después. Tú valorarás si debes notificarla a la autoridad de control y a los afectados.

9. Responsabilidad de la IA y de los resultados

La IA local puede cometer errores al leer o clasificar facturas. Los resultados son orientativos y debes revisarlos; no sustituyen a tu gestor o asesor fiscal (condiciones, apartado 10). Eres responsable de contar con una base legal para tratar los datos que subes o reenvías y de informar a los interesados cuando proceda.

10. Devolución o supresión al terminar

Al terminar el servicio, tú eliges entre la devolución (exportación) o la supresión de los datos tratados por tu cuenta, salvo que una norma nos obligue a conservarlos. Puedes exportar tus datos desde el panel o pedírnoslo en [email protected]. Tras la cancelación, borramos los datos del panel a los 30 días y las copias de seguridad no se conservan más de 30 días. Tus archivos guardados en tu Google Drive son tuyos y no los borramos. Conservaremos únicamente lo que la ley exija, como los datos de facturación, 6 años.

11. Auditorías e información

Pondremos a tu disposición la información necesaria para demostrar el cumplimiento de este anexo y permitiremos auditorías proporcionadas, incluidas inspecciones, realizadas por ti o por un auditor que designes, con preaviso razonable, en horario laboral, sin comprometer la seguridad del servicio ni los datos de otros clientes y bajo deber de confidencialidad.

12. Contacto

Para cualquier cuestión sobre este encargo escribe a [email protected]. Si consideras que no se han respetado tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos.