Contrato de encargado del tratamiento (art. 28 RGPD)
Este contrato regula el tratamiento que Extracta hace de los datos personales contenidos en los extractos que sube el cliente. Se acepta al crear la cuenta y queda registrada la versión y la fecha.
1. Partes
Responsable: el cliente (despacho, profesional o empresa) titular de la cuenta. Encargado: Anuar Iz., NIF 54311627W, con domicilio en 50002 Zaragoza, Aragón.
2. Objeto y duración
El encargado trata los datos solo para convertir los extractos bancarios que suba el responsable a los formatos que este elija, verificar sus saldos y, si el responsable lo activa, organizarlos por cliente y cuenta. El contrato dura lo mismo que la cuenta.
3. Datos y personas afectadas
- Categorías de datos: identificativos (nombre del titular), económicos y financieros (IBAN, movimientos, importes, saldos, conceptos), y cualquier dato que aparezca en los conceptos bancarios.
- Personas afectadas: titulares de las cuentas y terceros que aparecen en los movimientos.
4. Obligaciones del encargado
- Tratar los datos solo siguiendo instrucciones documentadas del responsable (las que da al usar el servicio).
- Garantizar la confidencialidad de las personas autorizadas a tratarlos.
- Aplicar las medidas de seguridad del anexo.
- No recurrir a otro encargado sin autorización: el responsable autoriza de forma general a los subencargados publicados y será informado con 30 días de antelación de cualquier cambio, pudiendo oponerse.
- No transferir datos de extractos fuera del Espacio Económico Europeo.
- Asistir al responsable en la atención de los derechos de los interesados y en sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Notificar al responsable cualquier violación de seguridad sin dilación indebida y, en todo caso, en menos de 48 horas desde que se tenga constancia, con la información necesaria para notificar a la AEPD en 72 horas.
- Suprimir los datos al terminar el plazo de retención elegido y, en todo caso, al terminar el contrato.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
5. Obligaciones del responsable
- Tener base jurídica para tratar los datos de los extractos y para encargar su tratamiento.
- Elegir el plazo de retención adecuado a sus necesidades.
- Revisar el resultado antes de usarlo.
- Decidir a quién da el enlace del cliente o la dirección del buzón, si los activa: lo que llegue por ellos se considera subido siguiendo sus instrucciones.
- Conservar sus propias copias de los extractos y de los resultados: el encargado no presta un servicio de archivo.
6. Responsabilidad
Cada parte responde de sus incumplimientos de este contrato y del RGPD conforme al artículo 82 del RGPD. En lo demás se aplica la limitación de responsabilidad de las condiciones del servicio.
Anexo: medidas de seguridad
- Procesamiento del PDF en memoria, sin guardarlo.
- Resultados cifrados en reposo con AES-256-GCM; claves separadas de la base de datos.
- Borrado automático al vencer la retención (0, 1 hora, 7 o 30 días).
- Cifrado en tránsito (HTTPS/TLS).
- Contraseñas con argon2id; sesiones en cookies seguras httpOnly; protección CSRF.
- Registros técnicos sin contenido de extractos (enmascarado automático).
- Infraestructura y subencargados con acceso a extractos, solo en la UE.
- Copias de seguridad cifradas de la base de datos (sin resultados de extractos caducados).