Acuerdo de encargado del tratamiento
Última actualización: 29 de agosto de 2026.
Este acuerdo se aplica automáticamente a toda cuenta de Auditalo y cumple lo exigido por el artículo 28 del Reglamento (UE) 2016/679. Regula los documentos de terceros que el cliente sube a la plataforma.
1. Partes y papeles
- Responsable del tratamiento: el cliente titular de la cuenta.
- Encargado del tratamiento: [RAZÓN SOCIAL].
2. Objeto, duración y naturaleza
Objeto: análisis técnico de documentos para detectar indicios de manipulación. Duración: mientras la cuenta esté activa. Naturaleza: recogida, conservación temporal cifrada, extracción de datos, cotejo y supresión.
3. Categorías de datos e interesados
Interesados: clientes finales del responsable y comerciales que entregan la documentación.
Datos: nombre y apellidos, número de DNI/NIE/CIF, dirección postal, código de punto de suministro (CUPS), número de cuenta bancaria (IBAN), datos de consumo e importes de facturación, imagen del documento de identidad.
No se tratan de forma deliberada categorías especiales de datos del artículo 9 del Reglamento. El responsable se abstendrá de aportar documentos que las contengan.
4. Obligaciones del encargado
El encargado se obliga a:
- Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable, que se entienden dadas mediante el uso de la plataforma.
- No utilizar los documentos ni los datos para ninguna finalidad propia, y en particular no emplearlos para entrenar modelos ni para elaborar productos derivados.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Aplicar las medidas de seguridad del artículo 32 descritas en la cláusula 6.
- Asistir al responsable en la atención de los derechos de los interesados y en las evaluaciones de impacto.
- Notificar al responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.
- Suprimir los datos al terminar la prestación, según la cláusula 7.
5. Subencargados
El responsable autoriza expresamente al siguiente subencargado:
| Subencargado | Servicio | Datos | Ubicación |
|---|---|---|---|
| Anthropic PBC | Lectura y transcripción del contenido de las páginas que requieren lectura | Imagen de la página y su capa de texto | Estados Unidos, con cláusulas contractuales tipo |
| [PROVEEDOR DE ALOJAMIENTO] | Infraestructura del servidor | Todos, cifrados en reposo | Unión Europea |
El encargado informará al responsable de cualquier incorporación o sustitución de subencargados con una antelación mínima de 30 días, plazo durante el cual el responsable podrá oponerse y, en su caso, resolver el contrato sin penalización.
6. Medidas de seguridad
- Cifrado en reposo de los ficheros con AES-256-GCM y clave derivada por cuenta.
- Cifrado en tránsito mediante TLS en todas las comunicaciones.
- Contraseñas almacenadas únicamente como derivación scrypt; claves de API únicamente como huella.
- Registro de accesos por expediente: quién, cuándo, desde qué dirección IP y qué acción.
- Aislamiento entre cuentas: cada petición se verifica contra la cuenta propietaria del expediente.
- Minimización: solo se envían al subencargado de lectura las páginas que contienen datos relevantes; el resto no sale del servidor.
- Supresión automática de los originales en el plazo configurado.
7. Supresión
Los ficheros originales se suprimen automáticamente transcurrido el plazo configurado por el responsable, entre 1 y 30 días. Al terminar la relación, el responsable puede descargar sus informes; transcurridos 30 días desde la baja, el encargado suprimirá todos los datos, salvo los que deba conservar por obligación legal, debidamente bloqueados.
8. Responsabilidad
Cada parte responde de los daños causados por el incumplimiento de las obligaciones que este Reglamento le impone específicamente.
Este acuerdo es un modelo de partida redactado para reflejar el funcionamiento real de la plataforma. Antes de usarlo con clientes reales, conviene que lo revise un profesional del derecho.