Acuerdo de Procesamiento de Datos (DPA)

1. Definiciones

• Datos Personales: cualquier información relativa a una persona física identificada o identificable que el Responsable introduzca en la plataforma.
• Tratamiento: cualquier operación realizada sobre datos personales (recogida, registro, almacenamiento, consulta, comunicación, supresión, etc.).
• Subencargado: tercero que trata datos personales por cuenta del Encargado.

2. Objeto y duración

El Encargado tratará datos personales exclusivamente para prestar los servicios de facturación electrónica, gestión de clientes, gastos y obligaciones fiscales descritos en los Términos y Condiciones.

Este DPA permanecerá vigente mientras el Responsable utilice la plataforma y hasta la completa eliminación de los datos personales conforme a la sección 10.

3. Tipos de datos y categorías de interesados

4. Obligaciones del Encargado

• Tratar los datos únicamente según las instrucciones documentadas del Responsable.
• Garantizar que las personas autorizadas para tratar datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas técnicas y organizativas apropiadas (sección 6).
• No recurrir a otro encargado sin autorización previa por escrito (sección 5).
• Asistir al Responsable en el cumplimiento de las solicitudes de ejercicio de derechos de los interesados.
• Una vez finalizada la prestación del servicio, devolver todos los datos personales al Responsable, si así lo elige, y suprimirlos; si no elige en 14 días, devolvérselos y suprimirlos (sección 10).
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones y permitir auditorías.

5. Subencargados

El Responsable autoriza con carácter general el recurso a los siguientes subencargados:

El Encargado informará al Responsable de cualquier cambio en los subencargados con al menos 30 días de antelación.

6. Medidas de seguridad

• Cifrado en tránsito: TLS 1.2+ para todas las comunicaciones.
• Cifrado en reposo: AWS KMS (AES-256) para DynamoDB y S3.
• Autenticación: AWS Cognito con PKCE (sin client_secret), tokens JWT firmados con RS256.
• Control de acceso: Sistema multi-tenant con roles (owner, admin, read) y separación de datos por company_id.
• Rate limiting: Protección contra abuso en todos los endpoints.
• Cabeceras de seguridad: CSP, HSTS, X-Frame-Options, Permissions-Policy.
• Logs: Registro estructurado de accesos y operaciones críticas.

7. Transferencias internacionales

El almacenamiento principal de los datos (base de datos, ficheros, autenticación) se realiza dentro del Espacio Económico Europeo, en la región AWS eu-west-1 (Irlanda).

Sin embargo, algunas funcionalidades implican transferencias internacionales fuera del EEE, en concreto a:

• EE.UU. — OpenAI (asistente Lynx), Stripe (pagos), Sentry (monitorización), Google FCM y Apple APNs (notificaciones push). Estas transferencias se realizan bajo el Data Privacy Framework UE-EE.UU. (Decisión de adecuación de 10/07/2023) y/o Cláusulas Contractuales Tipo de la Comisión Europea.
• Reino Unido — GoCardless (agregación bancaria PSD2). Transferencia amparada por la decisión de adecuación de la Comisión Europea sobre el Reino Unido (Decisión (UE) 2021/1772) y Cláusulas Contractuales Tipo como salvaguarda adicional.

El Encargado mantiene actualizada esta lista y notificará al Responsable cualquier nueva transferencia con al menos 30 días de antelación.

8. Derechos de los interesados

El Encargado asistirá al Responsable para atender las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, portabilidad, oposición, limitación).

La plataforma proporciona herramientas automatizadas para el ejercicio del derecho a la portabilidad (exportación JSON) y el derecho al olvido (eliminación de datos), accesibles desde Mis datos personales.

9. Notificación de brechas de seguridad

El Encargado notificará al Responsable sin dilación indebida (y en todo caso en un plazo máximo de 48 horas) cualquier violación de seguridad que afecte a datos personales, proporcionando: (a) la naturaleza de la violación, (b) las categorías y número aproximado de interesados afectados, (c) las posibles consecuencias, y (d) las medidas adoptadas o propuestas para remediar la violación.

10. Conservación y supresión

Al finalizar la prestación, el Responsable elige recibir una copia completa de sus datos antes de la supresión, o su supresión sin copia. En ambos casos el Encargado suprime los datos al concluir el proceso, conservando solo lo previsto en esta sección (Art. 28.3.g RGPD). El Responsable lo solicita desde «Mis datos personales» en la plataforma. La prestación finaliza cuando termina el último periodo pagado sin que la suscripción se renueve, porque el Responsable la cancela o por impago, o cuando termina la prueba gratuita sin contratar. Cancelar la suscripción no elimina nada en el acto: el servicio sigue hasta el final del periodo pagado y, desde entonces, la cuenta queda en modo lectura.

Si el Responsable no elige: el Encargado le avisa por email el día en que finaliza la prestación. Si en los 14 días siguientes el Responsable no contrata o reactiva la suscripción ni solicita la supresión, el Encargado le devuelve una copia completa de sus datos mediante un enlace de descarga autenticado, del que le avisa por email y que caduca a los 30 días, y suprime los datos al caducar el enlace, conforme a las reglas de esta sección.

La supresión sigue estas reglas:

• Copia previa: antes de eliminar nada, el Encargado pone a disposición del Responsable, descargable desde la plataforma durante todo el periodo de gracia, una copia completa de sus datos: facturas en PDF, libros registro en el formato normalizado de la AEAT, listados, justificantes y demás ficheros. La copia cubre también la portabilidad del Art. 20 RGPD. Conservar las facturas y los libros registro es obligación del Responsable (Arts. 29.2 y 70 de la Ley 58/2003, General Tributaria, durante el plazo de prescripción de su Art. 66; Art. 19 del Real Decreto 1619/2012; y, si lleva contabilidad mercantil, seis años conforme al Art. 30 del Código de Comercio), que la cumple con esa copia: el Encargado no los conserva por su cuenta.
• Periodos de gracia: en la supresión voluntaria, la que solicita el Responsable, el periodo de gracia es de 14 días: la supresión se ejecuta no antes de 14 días desde la solicitud y, salvo que el Responsable la programe a su petición para el final de un periodo ya pagado, dentro del mes que fija el Art. 12.3 RGPD. Durante ese plazo la cuenta queda en modo lectura, la fecha de la eliminación es visible y el Responsable puede descargar la copia o cancelar la solicitud. En la supresión al finalizar la prestación sin que el Responsable elija, el periodo de gracia son los 30 días del enlace. Transcurrido el periodo de gracia que corresponda, la supresión es irreversible.
• Estadísticas anónimas: tras la eliminación, el Encargado no conserva ningún dato del Responsable salvo estadísticas agregadas y anónimas (cuántos apuntes hay y cuánto suman por concepto y periodo), sin vínculo con la cuenta ni con la empresa, sin numeración de facturas y sin texto libre, el registro de la supresión, las copias de seguridad y las facturas del servicio de los puntos siguientes.
• Registro de la supresión: para acreditar el cumplimiento (Art. 5.2 RGPD), el Encargado conserva el email de quien la solicitó, la fecha de la petición y la fecha de ejecución.
• Copias de seguridad: los datos en backups automatizados de AWS se eliminarán conforme al ciclo de retención configurado (máximo 90 días). Las copias no se restauran salvo para la recuperación ante un desastre y, si se restauraran, los datos ya suprimidos se vuelven a suprimir.
• Facturas del servicio: las facturas que FactuLynx emite al Responsable por la suscripción quedan fuera de este DPA: en ellas FactuLynx no es Encargado sino quien factura, y las conserva por su propia obligación legal durante el plazo fiscal (Art. 29 de la Ley 58/2003, General Tributaria, y Art. 19 del Real Decreto 1619/2012) y el mercantil de seis años (Art. 30 del Código de Comercio). Esos plazos se aplican solo a estas facturas.

11. Auditoría

El Responsable tiene derecho a realizar auditorías o inspecciones para verificar el cumplimiento de este DPA, previo aviso razonable (mínimo 15 días laborables). El Encargado facilitará el acceso a la información necesaria y cooperará con el auditor designado.

12. Legislación aplicable

Este DPA se rige por el Derecho español y el RGPD (UE) 2016/679. Cualquier controversia se someterá a los juzgados y tribunales de León (España), domicilio fiscal del titular de FactuLynx.