Partes y objeto
El negocio cliente actúa como responsable de los datos de sus clientes y proveedores. Javier Pavón Martín, NIF 38852253D, actúa como encargado respecto a esos datos, para prestar Oficina Fácil. Los datos propios de cuenta y contratación tienen el régimen indicado en la política de privacidad.
Duración, naturaleza y finalidad
Durante la prestación y la devolución o supresión posterior: recepción, organización, almacenamiento, consulta, cálculo, generación de borradores, exportación y, a petición del usuario, transcripción e interpretación mediante IA. No se tratarán los documentos para fines propios ajenos a las instrucciones del responsable.
Datos e interesados
Clientes, proveedores y personas de contacto: nombres, teléfonos, direcciones, correos, identificadores fiscales, conceptos de trabajo, importes, impuestos, fechas, cobros, justificantes y voz facilitada. No está previsto el tratamiento de categorías especiales ni datos penales; no deben introducirse sin un acuerdo y garantías específicos.
Instrucciones y confidencialidad
El encargado actuará exclusivamente siguiendo instrucciones documentadas y comunicará las que considere contrarias a la normativa. Las personas autorizadas estarán sujetas a confidencialidad y acceso limitado a su función. Cualquier obligación legal de tratamiento distinta se comunicará al responsable, salvo prohibición legal.
Seguridad y asistencia
El anexo de medidas deberá describir y verificar autenticación, separación de cuentas, permisos, almacenamiento y transporte, recuperación, registros, gestión de incidentes y pruebas. El encargado asistirá al responsable con los derechos, evaluaciones de impacto y consultas cuando proceda; comunicará las violaciones de seguridad sin dilación indebida con la información disponible.
Subencargados y transferencias
Consulta el anexo de proveedores y garantías, que distingue alojamiento, infraestructura, API de IA y pagos, e incorpora enlaces a sus acuerdos oficiales. La autorización del cliente para la cadena de tratamiento debe documentarse al formalizar el contrato. El uso de proveedores nuevos o la ampliación sustancial de las operaciones requerirá información y autorización conforme al acuerdo definitivo.
Se han identificado los marcos publicados de OpenAI para Sites y API, de Cloudflare y de Stripe. Antes de la firma se acreditará su aplicación a las cuentas contratadas, la cadena de infraestructura y las garantías de las transferencias. La autorización para subencargados debe quedar documentada, con información previa de cambios y posibilidad de oposición. Las obligaciones equivalentes se impondrán contractualmente; las transferencias internacionales requerirán una base y garantías verificadas. No se presume que toda la información permanezca en la UE.
Fin del servicio e impago
La suspensión por impago no constituye una instrucción de supresión. Se mantendrán las vías autenticadas de devolución y ejercicio de derechos. Al finalizar, el responsable elegirá devolución o supresión de los datos y las copias, salvo conservación legal obligatoria; cualquier conservación por responsabilidades deberá quedar restringida y justificada. El anexo deberá definir plazos operativos, copias históricas, acreditación de eliminación y el proceso de cambio de proveedor que resulte aplicable.
Verificación y formalización
El encargado facilitará la información necesaria para acreditar el cumplimiento y permitirá las auditorías e inspecciones pactadas. Deben completarse los anexos de medidas, subencargados y conservación, identificar al responsable cliente y registrar la aceptación en un soporte conservable. Esos trámites todavía no se han completado.
Anexo técnico: controles observados
| Control | Aplicación actual y límites |
|---|---|
| Identidad y separación | Identificador de sesión suministrado por el alojamiento; consultas de datos y archivos vinculadas a esa cuenta; importación piloto reservada al titular. La nueva cuenta empieza sin datos de otro negocio. |
| Escrituras y conflictos | Comprobación del origen, validación de datos y control de revisiones al guardar. Las copias anteriores permanecen en almacenamiento: todavía no hay un ciclo automático de eliminación. |
| Pago y privacidad | Las funciones de escritura e IA comprueban el periodo pagado. Exportación, descarga de adjuntos y ejercicio de derechos continúan disponibles sin suscripción activa. |
| Minimización de IA | Funciones solicitadas por el usuario, sin envío automático de toda la contabilidad. Interpretación y lectura de gastos sin almacenamiento de respuesta solicitado. No se garantiza ausencia de registros técnicos del proveedor. |
| Recuperación local | El navegador conserva datos y copias de recuperación. El usuario debe proteger su dispositivo y eliminar las copias descargadas o locales cuando corresponda; no se borran remotamente desde la nube. |
| Controles pendientes | Prueba operativa de restauración y eliminación completa, políticas de conservación, revisión de accesos de administración, registros del alojamiento, garantías de cifrado y gestión documentada de incidentes. Los controles de código no acreditan por sí solos estas garantías. |
Anexo de conservación y devolución
La copia actual en la nube se devuelve en formato JSON, con una exportación legible de presupuestos y facturas y enlaces para descargar los PDF. Las copias históricas de documentos de la nube pueden descargarse desde el apartado Historial de Privacidad. Los registros adicionales de los proveedores requieren tramitación específica. El bloqueo por impago no dispara eliminación.
El plan definitivo deberá fijar por separado los plazos de documentos del cliente, históricos, adjuntos sin referencias, registros de seguridad y facturación propia del titular. No debe aplicarse indiscriminadamente la obligación de conservar facturas propias a todos los documentos de los clientes. Se documentará cada excepción legal y se restringirá su tratamiento.
La supresión debe incluir copias actuales e históricas y adjuntos, la gestión de las copias de los proveedores y un justificante de finalización. Las solicitudes se registran, disponen de seguimiento interno auditado y permiten publicar respuestas en la cuenta del solicitante. El titular puede obtener un inventario de copias y adjuntos, que no realiza eliminaciones. Las supresiones permanecen abiertas hasta ejecutar y verificar el borrado; esta pantalla no permite declararlas completadas. Se ha implantado el borrado de documentos actuales, históricos y adjuntos de la nube con confirmación del cliente, revisión del titular, bloqueo de nuevas subidas y justificante de verificación. La solicitud permanece abierta para revisar proveedores, copias de desarrollo y otros dispositivos. La conservación de registros propios exige motivo y fecha documentados; su revisión y eliminación al vencer no están automatizadas. Estas operaciones externas y los controles pendientes deben completarse antes de la apertura comercial.
Atención de derechos e incidentes
Para los datos de los que el titular sea responsable, se responderá al ejercicio de derechos en un mes; una eventual ampliación justificada debe comunicarse dentro de ese primer mes. Para datos tratados por cuenta del cliente, Oficina Fácil le trasladará la solicitud y le prestará asistencia conforme a sus instrucciones. Las brechas se comunicarán al responsable sin dilación indebida. El plazo de 72 horas para notificar a la autoridad, cuando proceda, corresponde al responsable y no es un plazo de espera para el encargado.
Datos para la formalización
Responsable cliente: ____________________________________
NIF: ______________________
Domicilio: ____________________________________________
Representante y cargo: _________________________________
Contacto de privacidad: _________________________________
Versión del acuerdo y anexos aceptados: ___________________
Fecha y aceptación de ambas partes: ______________________
Estos campos se completarán al formalizar el contrato; imprimir o abrir este borrador no equivale a aceptarlo. Las condiciones y su aceptación de pago se registran por separado.