RGPD y extractos bancarios de clientes: qué debe exigir un despacho a sus proveedores
Un extracto bancario dice mucho de una persona: nómina, alquiler, médico, colegio de los hijos, afiliación sindical. Cuando una asesoría usa un servicio externo para procesarlo, ese servicio es un **encargado del tratamiento** y el despacho responde de haberlo elegido bien.
Quién es quién
- Tu cliente (o los terceros que aparecen en sus movimientos) es el interesado.
- Tu despacho es responsable del tratamiento de esos datos, o encargado si actúa por cuenta de una empresa cliente.
- El conversor, la nube o el programa que procesa los extractos por ti es encargado (o subencargado).
El artículo 28 del RGPD obliga a elegir encargados que ofrezcan garantías suficientes y a firmar con ellos un contrato con un contenido mínimo: objeto, duración, tipo de datos, obligaciones de confidencialidad y seguridad, subencargados, asistencia con los derechos, borrado o devolución al terminar, y auditorías.
Las transferencias fuera de la UE
Si el proveedor envía datos a un país fuera del Espacio Económico Europeo (por ejemplo, a un modelo de inteligencia artificial alojado en EE. UU.), hay una transferencia internacional. Puede ser legal con las garantías adecuadas (decisión de adecuación, cláusulas contractuales tipo), pero añade riesgo y obligaciones de información. Para datos financieros de clientes, lo más sencillo es exigir que todo el procesamiento se haga en la UE.
Preguntas que debes hacer a cualquier proveedor
| Pregunta | Respuesta que buscas |
|---|---|
| ¿Dónde se procesan los ficheros? | En la UE, incluidos los servicios de IA u OCR que use |
| ¿Quién más accede (subencargados)? | Lista pública con función y país de cada uno |
| ¿Cuánto tiempo se guarda el PDF? | Nada, o lo mínimo para procesarlo |
| ¿Y el resultado? | Cifrado y con borrado automático en un plazo que tú eliges |
| ¿Hay contrato del art. 28? | Sí, y lo puedes leer antes de registrarte |
| ¿Qué se guarda en los registros técnicos? | Nada del contenido de los extractos |
| ¿Usan mis extractos para entrenar modelos? | No |
| ¿Qué pasa si hay una brecha? | Aviso al despacho sin dilación indebida para que pueda notificar a la AEPD en 72 h |
Cómo lo hacemos en Extracta
- El PDF se procesa en memoria y no se guarda.
- El resultado se guarda cifrado (AES-256) y se borra a la hora por defecto. Tú eliges: descarga inmediata sin guardar nada, 1 hora, 7 o 30 días.
- Todo en la UE, también el OCR y el respaldo con IA. Ningún dato de extractos sale de la UE.
- Los registros técnicos no contienen IBAN completos, titulares, importes ni conceptos.
- Nunca usamos tus extractos para entrenar modelos. El lector aprende formatos de maquetación, no datos.
- Contrato de encargado y lista de subencargados públicos, sin registrarte.
Esta guía es informativa y no sustituye el asesoramiento jurídico. Para tu caso concreto, consulta con tu delegado de protección de datos o un abogado.
Preguntas frecuentes
¿Tengo que informar a mis clientes de que uso un conversor?
Tu información de privacidad debe mencionar las categorías de encargados con los que trabajas. No hace falta pedir consentimiento para cada proveedor si tienes base legal (normalmente, la ejecución del contrato con tu cliente).
¿Es obligatorio firmar el contrato de encargado?
Sí. El art. 28.3 RGPD exige un contrato u otro acto jurídico vinculante. Aceptarlo electrónicamente al registrarte es válido si contiene lo que exige el artículo.