Contrato de encargado del tratamiento (DPA)

Versión 1.3 · Última actualización: 2026-10-15

Este documento es el contrato de encargado del tratamiento (Data Processing Agreement) entre el profesional (responsable del tratamiento) y Legalitec SCP (encargado del tratamiento). Regula, conforme al art. 28 del Reglamento General de Protección de Datos (RGPD), el tratamiento de los datos personales de los clientes finales del profesional que este introduce en el servicio (directorio de clientes, receptores de documentos y deudores de recordatorios).

Las cláusulas de este contrato desarrollan el contenido mínimo que exige el art. 28.3 RGPD: objeto, duración, naturaleza y finalidad, tipo de datos y categorías de interesados, obligaciones y derechos del responsable, medidas de seguridad, subencargados, asistencia, supresión o devolución al terminar y auditoría.

Forma parte integrante de las Condiciones de uso y se acepta, junto con ellas y con la Política de Privacidad, al registrarse, por información y sin casilla de consentimiento.

1. Objeto del encargo

El profesional introduce en el servicio datos personales de sus clientes finales (por ejemplo, para emitir presupuestos, facturas, proformas y albaranes, o para enviar recordatorios de cobro). Respecto de esos datos, el profesional es el responsable del tratamiento y Legalitec actúa únicamente como encargado del tratamiento, tratándolos solo para prestar el servicio al profesional y siguiendo sus instrucciones documentadas, que son las que se describen en este contrato y en las Condiciones de uso.

Legalitec no utiliza los datos de los clientes finales para finalidades propias, no los vende ni los cede a terceros para publicidad, y no construye con ellos la base de precios agregada y anónima (que se alimenta solo del precio efectivo por partida, sin datos del cliente ni de la obra; ver la Política de Privacidad).

2. Duración del encargo

El encargo dura mientras exista la cuenta del profesional y se mantenga el uso del servicio. Al terminar —por baja de la cuenta, resolución de las Condiciones de uso o cese del servicio—, se aplica lo previsto en el apartado 9 (supresión o devolución).

3. Naturaleza y finalidad del tratamiento

El tratamiento tiene una naturaleza instrumental y de soporte: Legalitec trata los datos de los clientes finales únicamente para almacenarlos, mostrarlos y generar los documentos y comunicaciones que el profesional le solicita dentro del servicio. Finalidades concretas:

• Guardar el directorio de clientes del profesional y los datos del receptor de cada documento.
• Componer y almacenar presupuestos, facturas, proformas y albaranes y sus importes.
• Preparar y enviar recordatorios de cobro al deudor indicado por el profesional.
• Mantener la memoria técnica del servicio en los términos declarados en el apartado 7 bis.
• Garantizar la seguridad y la integridad del servicio (apartado 6).

Legalitec no toma decisiones sobre los datos ni los explota con finalidades distintas de las anteriores sin instrucción del profesional.

Recordatorios de cobro a terceros (interés legítimo del profesional)

Cuando el profesional activa los recordatorios de cobro, el servicio envía, a su instrucción, un aviso de pago por correo a la persona o empresa que figura como deudora de la factura, que puede no coincidir con un cliente del directorio. Respecto de esos envíos:

• Base jurídica: el interés legítimo del profesional acreedor (art. 6.1.f RGPD) en el cobro de sus facturas. El profesional garantiza la legitimación de esos datos (que cuenta con una relación o base jurídica que ampara el cobro) y su exactitud; Legalitec los trata tal como se los facilita.
• Rol de Legalitec: actúa como encargado del tratamiento; no decide el envío ni su finalidad, solo presta el medio técnico a partir de las instrucciones del profesional.
• Garantías del correo: el mensaje conserva el reply-to de la empresa emisora (la respuesta llega al profesional) e incluye una nota de destinatario erróneo que explica a quién se dirige y cómo avisar de un envío equivocado.
• Sin baja: el recordatorio es una comunicación transaccional de cobro, no comercial; por eso no se ofrece un mecanismo de baja u oposición al deudor.

4. Tipo de datos personales y categorías de interesados

Los datos tratados por encargo son los que el profesional decide introducir, típicamente:

• Categorías de interesados: (a) los clientes finales del profesional dados de alta en el directorio de clientes; (b) los receptores que figuran, como instantánea («snapshot»), en las facturas, proformas y albaranes emitidos; y (c) los deudores de los recordatorios de cobro que el profesional active.
• Tipos de datos: nombre o razón social, NIF/CIF, dirección, teléfono, correo electrónico y los importes y conceptos de los documentos asociados.

El profesional se compromete a introducir solo los datos necesarios para cada documento (minimización) y a no introducir categorías especiales de datos (salud, ideología, etc.) salvo que cuente con una base jurídica específica para ello.

5. Obligaciones y derechos del responsable (el profesional)

El profesional, como responsable del tratamiento, se obliga a:

• Garantizar la base jurídica de los datos de sus clientes finales que incorpora al servicio, así como haberles informado y recabado, cuando proceda, las autorizaciones necesarias.
• Dar instrucciones lícitas a Legalitec y no pedirle tratamientos contrarios al RGPD.
• Atender los derechos de sus clientes finales (acceso, rectificación, supresión, etc.) y usar el servicio de buena fe.
• Custodiar sus credenciales y no compartirlas.

Legalitec reconoce al profesional el derecho a la información sobre el tratamiento y a la auditoría del apartado 10.

6. Medidas de seguridad técnicas y organizativas (art. 32 RGPD)

Legalitec aplica medidas técnicas y organizativas apropiadas al riesgo, entre ellas:

• Cifrado de las comunicaciones (TLS) y control de acceso por cuenta y empresa.
• Aislamiento por empresa en el acceso a datos, con consultas acotadas por el identificador de la empresa derivado de la sesión (nunca desde el navegador).
• Copias de seguridad y medidas para evitar la alteración, pérdida o acceso no autorizado de los datos.

7. Subencargados

El profesional autoriza a Legalitec a recurrir a los siguientes subencargados, cada uno para la finalidad indicada, informándole de cualquier cambio con antelación razonable para que pueda oponerse:

Cuando un subencargado trata datos personales fuera del EEE, Legalitec aplica las garantías del art. 46 RGPD: la decisión de adecuación o las cláusulas contractuales tipo y, en las transferencias sin decisión de adecuación —como la del proveedor de IA a China—, la evaluación de impacto de la transferencia (TIA). La mitigación planificada para eliminar esa transferencia es migrar el proveedor de IA a la región Europa (Xiaomi MiMo, Países Bajos); su ejecución técnica, diferida a una fase aparte, no forma parte de este contrato.

El detalle verificado de cada subencargado se documenta en la matriz interna (deploy/transferencias-internacionales.md) y la declaración publicada al usuario vive en la Política de Privacidad (§7, art. 13.1.f y art. 46 RGPD).

Legalitec impone a sus subencargados obligaciones equivalentes a las de este contrato.

7 bis. Memorias del servicio por empresa (`ExtractionMemory` y `ConceptPrice`)

Se declaran expresamente como tratamientos por cuenta del profesional, vinculados a la memoria técnica del servicio y acotados por empresa:

• `ExtractionMemory`: guarda la nota normalizada de extracciones anteriores de la empresa, para reutilizar resultados sin volver a llamar al modelo. Cada empresa solo accede a sus propias notas y estas no se comparten con otras empresas. Como la nota es texto libre dictado, puede contener datos del cliente final. Es un tratamiento del encargado.
• `ConceptPrice`: aprende el precio unitario por concepto/partida («última escritura gana») por empresa, como referencia de fallback cuando no hay tarifario. La empresa solo reutiliza sus propios precios aprendidos y estos no se comparten con otras empresas. También es un tratamiento del encargado.

Ambas memorias están aisladas por empresa (companyId), de modo que la información de un profesional nunca se mezcla con la de otro, y quedan cubiertas por la cláusula de confidencialidad de las Condiciones de uso (apartado 14).

8. Asistencia al responsable (arts. 32–36 RGPD)

Legalitec asiste al profesional, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, para que pueda:

• Atender las solicitudes de derechos de sus clientes finales (acceso, rectificación, supresión, limitación, portabilidad y oposición).
• Cumplir sus obligaciones en caso de brecha de seguridad: Legalitec notifica sin dilación indebida al profesional cualquier violación de seguridad de la que tenga conocimiento que afecte a los datos por él tratados, con la información disponible.
• Realizar, si procede, la evaluación de impacto y las consultas previas a la autoridad de control.

9. Supresión o devolución al terminar el encargo

Al terminar el encargo, Legalitec, a elección del profesional, suprime o devuelve los datos personales de sus clientes finales, y suprime las copias existentes salvo que el Derecho de la Unión o de los Estados miembros exija su conservación (por ejemplo, obligaciones fiscales).

El flujo de baja de cuenta ya existe en el producto (página /cuenta/eliminar): al eliminarla, el profesional da por terminado el encargo y se borran los datos personales no fiscales de sus clientes finales (el directorio y los datos de los presupuestos). La supresión preserva, por obligación legal, los documentos fiscales ya emitidos (art. 6.1.c y 17.3 RGPD) y la banda de precios agregada anónima, en coherencia con la Política de Privacidad (§7 y §8). Para una devolución del contenido o cualquier otra modalidad, la vía sigue siendo la petición escrita al correo de contacto (info@legalitec.es).

10. Auditoría e inspecciones

Legalitec pone a disposición del profesional la información necesaria para demostrar el cumplimiento de este contrato y contribuye a las auditorías e inspecciones que el responsable realice, respetando la confidencialidad de la información de otros clientes y sin comprometer la seguridad del servicio. Las auditorías se atienden por petición al correo de contacto.

11. Cambios en este contrato

Legalitec puede actualizar este contrato para reflejar cambios normativos o del servicio. La versión vigente será siempre la publicada en la aplicación, con su fecha de última actualización. Un cambio que altere el encargo exige versionarlo y reflejarlo en los textos legales enlazados.