← Factunomo

Contrato de encargado de tratamiento

Art. 28 del Reglamento (UE) 2016/679 (RGPD) y art. 33 de la LOPDGDD. Versión 2026-09-03. Se acepta junto con las condiciones generales al crear la cuenta.

Partes

Responsable del tratamiento ("el Cliente"): la persona física o jurídica identificada en el proceso de alta de Factunomo con los datos (nombre o razón social, NIF y email) que figuran en su cuenta.

Encargado del tratamiento ("el Encargado" o "Factunomo"): Manuel Alejandro González Sánchez, NIF 15408313-S, con domicilio en Calle Unidad nº22, CP 41520, El Viso del Alcor (Sevilla), email agonzaleztic@gmail.com.

Ambas partes se reconocen capacidad suficiente para obligarse y acuerdan:

1. Objeto

El Encargado prestará al Cliente el servicio SaaS Factunomo (gestión de clientes, facturas, presupuestos, gastos deducibles, registro de jornada de trabajadores y cálculo orientativo de IVA/IRPF) y, para ello, tratará por cuenta del Cliente los datos personales descritos en el Anexo I.

Este contrato regula exclusivamente ese tratamiento por cuenta del Cliente. Los datos que el propio Cliente facilita sobre sí mismo para darse de alta y pagar (nombre, email, contraseña, datos de suscripción) los trata Factunomo como responsable, conforme a su política de privacidad, y quedan fuera de este documento.

2. Duración

Este contrato entra en vigor con la aceptación del alta y se mantiene mientras el Cliente tenga una cuenta activa en Factunomo. Al finalizar (baja voluntaria, impago o resolución) se aplica la cláusula 10.

3. Naturaleza, finalidad y alcance del tratamiento

El tratamiento consiste en la recogida (a través de la interfaz web, la pantalla de fichaje o el bot de WhatsApp), registro, estructuración, conservación, consulta, modificación, extracción (informes, exportaciones, copias de seguridad), comunicación por transmisión (envío de PDFs y recordatorios) y supresión de los datos, con la única finalidad de que el Cliente utilice las funciones del servicio.

El Encargado no utilizará los datos para fines propios, ni para elaborar perfiles, ni para entrenar modelos, ni para cederlos a terceros salvo lo previsto en la cláusula 7 (subencargados) o por obligación legal.

4. Instrucciones del Cliente

El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente. A estos efectos, se consideran instrucciones documentadas: este contrato, las condiciones generales, y el uso que el Cliente hace de las funciones de la aplicación (cada acción en la interfaz —crear, editar, exportar, borrar— es una instrucción).

Si el Encargado considera que una instrucción infringe el RGPD, la LOPDGDD u otra norma aplicable, informará inmediatamente al Cliente y podrá suspender su ejecución hasta que se aclare.

Si el Encargado estuviera obligado por el Derecho de la UE o de un Estado miembro a tratar los datos de otro modo (por ejemplo, un requerimiento de la AEAT o de un juzgado), informará al Cliente antes de hacerlo, salvo que esa misma norma se lo prohíba por razones de interés público.

5. Confidencialidad

El Encargado mantendrá el deber de secreto sobre los datos, incluso una vez finalizado el contrato. Garantiza que cualquier persona que autorice a tratar datos (a fecha de este documento, ninguna: el Encargado es persona física y opera el servicio sin empleados) se compromete por escrito a la misma confidencialidad y recibe la formación necesaria.

6. Medidas de seguridad (art. 32 RGPD)

El Encargado aplica las medidas técnicas y organizativas descritas en el Anexo II, revisándolas periódicamente en función del riesgo. En particular, garantiza: seudonimización/cifrado donde proceda, confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, capacidad de restaurar el acceso a los datos tras un incidente (copias de seguridad) y un proceso de verificación regular de la eficacia de las medidas.

7. Subencargados

7.1. El Cliente autoriza con carácter general al Encargado a recurrir a los subencargados listados en el Anexo III (infraestructura de hosting, base de datos y mensajería).

7.2. El Encargado informará al Cliente de cualquier cambio (alta o sustitución) de subencargado con al menos 30 días de antelación por email a la dirección de la cuenta. El Cliente podrá oponerse por motivos razonables dentro de ese plazo; si no es posible atender la oposición sin inutilizar el servicio, el Cliente podrá resolver el contrato sin penalización, aplicándose la cláusula 10.

7.3. El Encargado impondrá a cada subencargado, mediante contrato escrito (el DPA del propio proveedor), las mismas obligaciones de protección de datos que asume aquí, y seguirá siendo plenamente responsable ante el Cliente del cumplimiento por parte del subencargado.

8. Transferencias internacionales

Los datos se alojan en centros de datos de la Unión Europea (ver Anexo III). Algunos subencargados están establecidos fuera del Espacio Económico Europeo, por lo que podría existir un acceso remoto desde fuera de la UE con fines de soporte u operación. El Encargado garantiza que cualquier transferencia de ese tipo se ampara en un mecanismo válido del Capítulo V del RGPD (decisión de adecuación —EU-US Data Privacy Framework para proveedores certificados— o cláusulas contractuales tipo de la Comisión Europea), según se detalla en ese anexo, y mantendrá el almacenamiento en regiones de la UE mientras los proveedores lo permitan.

9. Asistencia al Cliente

9.1. Derechos de las personas interesadas. Si el Encargado recibe directamente una solicitud de acceso, rectificación, supresión, oposición, limitación o portabilidad de una persona cuyos datos trata por cuenta del Cliente, la remitirá al Cliente en un plazo máximo de 5 días laborables sin responderla por sí mismo, y le prestará la ayuda necesaria (exportación, bloqueo o borrado de registros) para que el Cliente pueda contestar dentro del mes que fija el art. 12.3 RGPD.

9.2. Brechas de seguridad. El Encargado notificará al Cliente, por email a la dirección de la cuenta y sin dilación indebida y en todo caso antes de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos personales, aportando al menos: naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas, y un punto de contacto. Si no es posible dar toda la información a la vez, se facilitará de forma gradual. El plazo de 48 horas está pensado para que el Cliente pueda cumplir a su vez el de 72 horas ante la AEPD (art. 33 RGPD).

9.3. Evaluaciones de impacto y consultas previas. El Encargado facilitará al Cliente la información sobre el tratamiento que necesite para realizar una evaluación de impacto (art. 35) o una consulta previa a la AEPD (art. 36), cuando proceda.

10. Finalización: devolución y supresión

Al terminar el contrato, el Cliente dispone de 30 días naturales para exportar sus datos (copia de seguridad completa desde la pantalla de configuración, exportaciones CSV y PDFs). Transcurrido ese plazo, el Encargado suprimirá todos los datos personales del Cliente y sus copias, salvo:

• las copias de seguridad de la plataforma, que se eliminan según el ciclo de retención del subencargado de base de datos (Anexo III), sin que se restauren ni se acceda a ellas salvo para recuperación ante desastre; y
• los datos que el Encargado deba conservar por obligación legal propia (por ejemplo, la facturación de la suscripción al Cliente), que se mantendrán bloqueados el tiempo que la norma exija.

El Cliente puede solicitar en su lugar, dentro de esos 30 días, que la supresión sea inmediata.

11. Información, auditorías y registro

11.1. El Encargado pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de este contrato (incluida la descripción de medidas de seguridad, la lista de subencargados y las constancias de sus DPA).

11.2. El Cliente, o un auditor independiente designado por él y sujeto a confidencialidad, podrá realizar una auditoría una vez al año (o con mayor frecuencia si lo exige una autoridad de control o tras una brecha), con preaviso mínimo de 30 días, en horario laboral, y sin acceder a datos de otros clientes del Encargado. Se priorizará la auditoría documental; los costes correrán a cargo del Cliente salvo que se detecten incumplimientos sustanciales.

11.3. El Encargado mantiene el registro de categorías de actividades de tratamiento efectuadas por cuenta de sus clientes que exige el art. 30.2 RGPD.

12. Responsabilidad

Cada parte responde de los daños que cause por incumplir las obligaciones que el RGPD le impone específicamente según su rol (art. 82). El Encargado responderá frente al Cliente por las infracciones de este contrato y por tratar los datos al margen de las instrucciones documentadas; en ese caso se le considerará responsable del tratamiento respecto a dicho tratamiento (art. 28.10 RGPD).

El Cliente responde de la licitud de los datos que introduce (base legal, información a sus clientes y trabajadores, incluido el aviso de geolocalización del art. 90 LOPDGDD) y de la exactitud de las instrucciones que da.

La limitación de responsabilidad económica que establezcan las condiciones generales se aplica también a este contrato, salvo en caso de dolo o negligencia grave, y sin perjuicio de las sanciones administrativas que cada parte deba asumir por sus propios incumplimientos.

13. Modificaciones

Las modificaciones de este contrato (incluidas las de sus anexos, salvo el cambio de subencargados regulado en la cláusula 7) se comunicarán al Cliente con 30 días de antelación; el uso continuado del servicio tras ese plazo supone aceptación. Las modificaciones exigidas por una norma o por una autoridad de control podrán aplicarse con efecto inmediato, informando al Cliente.

14. Ley aplicable y jurisdicción

Este contrato se rige por el RGPD, la LOPDGDD y el resto de la legislación española. Para cualquier controversia las partes se someten a los Juzgados y Tribunales de Sevilla, salvo fuero imperativo distinto.

Anexo I — Descripción del tratamiento

Anexo II — Medidas de seguridad

Estado a fecha de este documento (se actualiza con cada cambio relevante):

• Control de acceso: autenticación por email/contraseña con hash (nunca en claro); bloqueo temporal por cuenta tras varios intentos fallidos; límite por IP en el formulario de acceso (15 intentos / 15 minutos); protección CSRF en toda acción que modifica datos; verificación de email en el alta.
• Aislamiento entre clientes (multi-tenant): cada consulta lleva el identificador de cuenta; auditado y cubierto por tests automáticos de aislamiento.
• Cifrado en tránsito: HTTPS/TLS en todo el servicio (forzado por el proveedor de hosting) y en la conexión con la base de datos (libsql sobre TLS).
• Cifrado en reposo: el que aplique el subencargado de base de datos (cifrado de disco en reposo del proveedor de infraestructura).
• Integridad: cadena de huellas SHA-256 en facturas y rectificativas (verificable desde la propia aplicación); los fichajes no se editan ni borran, solo se anulan con rastro de quién, cuándo y por qué.
• Minimización: las imágenes de tickets (subida manual o WhatsApp) se procesan en un directorio temporal y se destruyen al terminar el OCR; no se guardan.
• Disponibilidad y recuperación: copias de seguridad automáticas y recuperación a un punto en el tiempo por parte del subencargado de base de datos, más copia de seguridad completa descargable por el propio Cliente desde la pantalla de configuración.
• Secretos: claves y credenciales solo en variables de entorno del hosting; nunca en el repositorio ni en logs.
• Registro y trazabilidad: logs de acceso del proveedor de hosting; tabla de intentos de acceso.
• Gestión de incidentes: procedimiento interno documentado y cláusula 9.2 de este contrato.
• Desarrollo seguro: revisión de seguridad dirigida de cada flujo nuevo sensible, suite de tests automáticos ejecutada antes de cada despliegue.

Anexo III — Subencargados autorizados

No son subencargados a efectos de este contrato, porque no tratan datos de los clientes ni trabajadores del Cliente: Stripe (trata los datos de pago del propio Cliente como responsable independiente) y el proveedor SMTP de los emails de verificación (solo recibe el email del propio Cliente).

Aceptación. El Cliente declara haber leído y aceptado este contrato al marcar la casilla correspondiente en el proceso de alta de Factunomo; la fecha de aceptación, la versión y el email del aceptante quedan registrados en su cuenta. En el programa de pruebas, el contrato se acepta por email o firma antes del alta. Versión del documento: 2026-09-03.