Acuerdo de Encargo del Tratamiento

1. Partes

• –Responsable del tratamiento: la compraventa titular de la cuenta en FactuCar (en adelante, «el Cliente»).
• –Encargado del tratamiento: el titular de FactuCar (en adelante, «FactuCar»):

2. Objeto, naturaleza y finalidad

FactuCar trata, por cuenta del Cliente, los datos personales que este introduce en la plataforma con la única finalidad de prestarle el servicio de facturación: guardarlos, generar sus proformas, facturas e informes, remitir sus registros VERI*FACTU a la AEAT cuando lo active, analizar con inteligencia artificial los documentos que el Cliente decida y darle soporte técnico.

Si el Cliente usa el asistente de IA del chat, que es opcional, FactuCar trata también, por su cuenta, las consultas que haga y los datos de sus clientes que el asistente necesite para responderlas, con un proveedor de inteligencia artificial (OpenAI). Las conversaciones se conservan 30 días desde su último mensaje y los documentos adjuntos en el chat, 5 días. Si el Cliente no usa el asistente, no se tratan datos por esta vía.

3. Datos e interesados

• –Interesados: clientes compradores del Cliente, personas que le entregan vehículos, proveedores y, en su caso, sus empleados usuarios de la plataforma.
• –Tipos de datos: identificativos (nombre, DNI/NIE/NIF, pasaporte o documento extranjero), de contacto (dirección, teléfono, correo), económicos y de transacciones (importes, forma de pago, entidad bancaria o financiera), y datos de vehículos (matrícula, bastidor, kilometraje).
• –No se tratan categorías especiales de datos (salud, ideología, etc.).

4. Duración

Este acuerdo dura lo mismo que la cuenta del Cliente. Al terminar, se aplica el apartado 10.

5. Obligaciones de FactuCar

• –Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son las de este acuerdo y las que dé al usar la plataforma. Si una instrucción le pareciera contraria a la normativa, se lo avisará.
• –No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 7 o cuando lo exija la ley.
• –Garantizar que las personas autorizadas a tratar los datos se han comprometido a mantener la confidencialidad.
• –Aplicar las medidas de seguridad del apartado 6.
• –Ayudar al Cliente a atender las solicitudes de ejercicio de derechos de sus interesados y trasladarle sin demora las que reciba directamente.
• –Ayudar al Cliente a cumplir sus obligaciones de seguridad, notificación de brechas y, en su caso, evaluaciones de impacto.
• –Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables, avisadas con antelación y sin acceso a datos de otros clientes.

6. Medidas de seguridad

• –Conexiones cifradas (HTTPS) y autenticación de cada usuario.
• –Aislamiento lógico de los datos de cada compraventa: ninguna puede acceder a los de otra.
• –Cifrado del certificado electrónico y de su contraseña (AES-256).
• –Documentos en almacenamiento privado, accesibles solo con enlaces temporales.
• –Acceso del personal de FactuCar a los datos de un cliente solo cuando es necesario para darle soporte, y con registro de esos accesos.

7. Subencargados

El Cliente autoriza a FactuCar a recurrir a los proveedores que figuran en el apartado «Proveedores» de la Política de privacidad (alojamiento, base de datos, inteligencia artificial y correo). FactuCar les impone obligaciones de protección de datos equivalentes a las de este acuerdo. Si incorpora o sustituye alguno, lo avisará con antelación y el Cliente podrá oponerse dándose de baja.

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo de la Comisión Europea.

8. Brechas de seguridad

FactuCar avisará al Cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, de cualquier brecha que afecte a sus datos. Le dará la información disponible para que el Cliente pueda notificarla a la AEPD y, en su caso, a los interesados.

9. Obligaciones del Cliente

• –Contar con una base legal para tratar los datos de sus interesados e informarles de ello.
• –Introducir solo los datos necesarios para su facturación.
• –Custodiar las credenciales de acceso de sus usuarios.

10. Fin del encargo

Al darse de baja, el Cliente indica si quiere recibir una exportación de sus datos (facturas en PDF y listados en CSV) antes de su eliminación. FactuCar suprimirá los datos en un plazo máximo de 30 días. Solo conservará bloqueados los imprescindibles mientras puedan derivarse responsabilidades legales. Los registros VERI*FACTU ya remitidos a la AEAT quedan en poder de la Administración.