Contrato de Encargo de Tratamiento (DPA)

Última actualización: [FECHA — al publicar]. Este contrato forma parte de los Términos y Condiciones y aplica automáticamente a toda gestoría cliente.

1. Partes y objeto

La gestoría cliente (el «Responsable») encarga a [TITULAR DEL SERVICIO — pendiente de decidir la forma jurídica] (el «Encargado») el tratamiento de datos personales necesario para prestar Regestia, conforme al art. 28 del RGPD.

2. Naturaleza, finalidad y duración del tratamiento

Tratamiento automatizado consistente en: almacenar los datos de expedientes y presentantes introducidos por el Responsable, consultar diariamente el estado de dichos expedientes en el portal oficial del Registro Mercantil de Madrid, generar y custodiar justificantes, y enviar notificaciones a las direcciones configuradas por el Responsable. Duración: la de la prestación del servicio, más el periodo de solo lectura de 30 días posterior a la cancelación.

3. Tipos de datos y categorías de interesados

• Interesados: representantes y presentantes designados por el Responsable; personas físicas vinculadas a las sociedades cuyos expedientes se siguen; usuarios del Responsable.
• Datos: identificativos (nombre, NIF), de contacto (domicilio, teléfono, email) y datos económicos derivados de los justificantes (importes).
• Cuando el Responsable opta por dar de alta un expediente subiendo el escaneo de la instancia en lugar de introducir los datos a mano, el documento completo (imagen o PDF) se envía al subencargado de inteligencia artificial identificado en la sección 5 para localizar el nombre de la sociedad, su NIF y el número de entrada. Al tratarse del documento completo, cualquier otro dato que aparezca visible en él (por ejemplo, datos del presentante o sellos del Registro) se transmite igualmente, aunque el subencargado solo esté instruido para extraer los tres campos indicados y descartar el resto.

4. Obligaciones del Encargado

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable y para las finalidades del servicio.
• Garantizar la confidencialidad del personal autorizado y el principio de mínimo privilegio, con acceso interno auditado.
• Aplicar las medidas de seguridad del art. 32 RGPD: cifrado en tránsito y en reposo, aislamiento por cuenta a nivel de base de datos, registro de accesos y acciones, y copias de seguridad.
• No subcontratar sin cumplir el apartado 5.
• Notificar al Responsable, sin dilación indebida, las violaciones de seguridad de las que tenga conocimiento, con la información disponible.
• Asistir al Responsable en la atención de los derechos de los interesados y en las obligaciones de los arts. 32 a 36 RGPD.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento, y permitir auditorías razonables con preaviso.

5. Subencargados

El Responsable autoriza de forma general la subcontratación de los siguientes subencargados, cada uno con contrato de encargo conforme al art. 28 RGPD:

• Proveedores de infraestructura (hosting, base de datos y almacenamiento de ficheros).
• Pasarela de pago (Stripe), para la gestión de suscripciones y facturación.
• Proveedor de email transaccional, para el envío de notificaciones y avisos.
• Anthropic PBC, como subencargado de inteligencia artificial: procesa el documento (imagen o PDF) de la instancia escaneada que el Responsable decide subir, con la única finalidad de localizar automáticamente el nombre de la sociedad, su NIF y el número de entrada (sección 2.2.2 y Anexo A de la especificación del servicio), a través de la API de Claude. Este subencargado solo interviene cuando el Responsable (o sus usuarios) utiliza esa función opcional de alta de expediente; el alta manual no implica en ningún momento el envío de datos a este subencargado.

La lista vigente se facilitará a petición del Responsable, que será informado de cambios —incluida la incorporación o sustitución de cualquiera de los subencargados anteriores— con antelación razonable y podrá oponerse por motivos justificados.

6. Transferencias internacionales

Anthropic PBC es una entidad radicada en Estados Unidos: el envío de la instancia escaneada para su procesamiento por inteligencia artificial (sección 5) implica una transferencia internacional de datos fuera del Espacio Económico Europeo. Esta transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, en su caso, en las garantías adicionales que Anthropic ofrezca conforme a sus términos comerciales vigentes en el momento de la contratación. Para el resto de subencargados, si alguno tratara datos fuera del EEE, se ampararía igualmente en una decisión de adecuación o en cláusulas contractuales tipo. [Confirmación del mecanismo de transferencia exacto de Anthropic vigente, y de la ubicación del resto de subencargados: pendiente de cerrar con la elección definitiva de proveedores y de revisión legal.]

7. Fin del encargo

Al terminar el servicio, el Responsable puede exportar sus datos durante el periodo de solo lectura de 30 días. Transcurrido este, el Encargado suprimirá todos los datos personales tratados por cuenta del Responsable, salvo los que deba conservar por obligación legal.