INVSUN · Documentación jurídica
Acuerdo de encargo del tratamiento (DPA)
Borrador contractual del artículo 28 RGPD entre el cliente profesional responsable y el titular de INVSUN como encargado.
1. Partes, objeto y duración
Responsable: organización o profesional titular de la cuenta INVSUN, identificado mediante sus datos de contratación. Encargado: Alex Barco Gutierrez, NIF [NIF DEL TITULAR], domicilio Avenida Salvador Vicente, s/n, 29631 Benalmádena (Málaga), España, correo [CORREO DE CONTACTO OPERATIVO].
Objeto: alojar y procesar datos personales introducidos por el responsable para prestar el servicio contratado. Duración: vigencia contractual y periodo de devolución o supresión posterior legalmente previsto. Este acuerdo debe aceptarse por un representante autorizado y contar con anexos verificables.
2. Naturaleza y finalidad
Operaciones: recogida por instrucciones del cliente, registro, estructuración, almacenamiento, consulta, rectificación, generación de documentos, exportación y, cuando se solicite, eliminación. Finalidades: facilitar operaciones de facturación y gestión comercial del responsable.
3. Tipos de datos e interesados
Datos habituales: nombre y apellidos, razón social de autónomos, NIF, domicilios, correos, teléfonos, datos comerciales y económicos, conceptos y documentos de facturación. Interesados: clientes, proveedores, profesionales, representantes y contactos del responsable.
No se ha diseñado el servicio como plataforma para categorías especiales de datos (art. 9 RGPD), datos penales ni información especialmente sensible; su incorporación requiere valoración adicional y controles específicos.
4. Instrucciones y confidencialidad
El encargado trata los datos únicamente siguiendo instrucciones documentadas del responsable, también cuando existan transferencias fuera del EEE, salvo obligación legal, que comunicará cuando se permita. Informará si aprecia instrucciones contrarias a la normativa.
Las personas autorizadas para acceder a los datos estarán sujetas a obligaciones de confidencialidad adecuadas.
5. Seguridad e incidentes
El encargado adoptará medidas apropiadas al riesgo conforme al artículo 32 RGPD: control de accesos, gestión de credenciales y privilegios, segregación entre organizaciones, copias de seguridad y mecanismos de gestión de incidentes, en la medida demostrada por la infraestructura real.
Ante una violación de seguridad de datos personales comunicará al responsable sin dilación indebida tras tener conocimiento y facilitará la información disponible para que el responsable evalúe sus obligaciones de notificación. No se promete un SLA de incidentes no implementado.
6. Subencargados
El responsable autorizará de forma específica o general, por escrito, a los subencargados necesarios. Se deberá informar previamente de incorporaciones o sustituciones y ofrecer la oportunidad de oposición en las condiciones pactadas.
Proveedores identificados en el código: Supabase (alojamiento/autenticación) y Vercel (infraestructura), más servicios de correo o pago que efectivamente intervengan. La lista de entidades jurídicas, localizaciones, finalidades y garantías debe verificarse y anexarse. El encargado impondrá a cada subencargado obligaciones equivalentes a las asumidas frente al responsable.
7. Colaboración y derechos
El encargado colaborará, en la medida razonablemente posible y según la información de que disponga, con la atención de derechos de personas interesadas, evaluaciones de impacto, consultas a autoridades de control y la seguridad del tratamiento. Pondrá a disposición la información necesaria para demostrar cumplimiento y facilitar auditorías legalmente procedentes, bajo garantías de seguridad y confidencialidad.
8. Devolución, eliminación y conservación legal
A elección del responsable, al finalizar el servicio se devolverán o eliminarán los datos personales, y se suprimirán copias, salvo conservación exigida por la legislación. Procedimientos de exportación y eliminación, tiempos máximos y tratamiento de backups deben fijarse en un anexo operativo aún pendiente.
9. Anexo I: medidas técnicas y organizativas
PENDIENTE DE VALIDAR: matriz de permisos y RLS entre empresas; MFA si corresponde; cifrado de tránsito y reposo; ubicación de servidores; backups y restauración; registro de acceso; acceso de soporte; respuesta a incidentes; retención, borrado y disponibilidad. No se dan estas medidas por probadas por el mero hecho de figurar aquí.
10. Anexo II: subencargados y transferencias
PENDIENTE DE VALIDAR: proveedor y entidad contratante, objeto, categoría de datos, país/región, base de la transferencia, garantías, enlaces a DPA y mecanismo de aviso de cambios. No aprobar una lista incompleta como definitiva.
11. Vigencia y aceptación
Este acuerdo es un borrador hasta completar identidad, anexos técnicos y mecanismo de aceptación contractual verificable, y someterlo a revisión jurídica. Versión: 2026-10-18-v2-BORRADOR; fecha prevista de entrada en vigor: [FECHA DE ENTRADA EN VIGOR].