Acuerdo de encargado del tratamiento (DPA)
Última actualización: agosto de 2026. Este acuerdo forma parte de las condiciones del servicio y se aplica automáticamente desde que contratas.
1. Partes y objeto
El Responsable es el cliente que contrata verifactu.co. El Encargado es KraakVC OÜ, NIF EE102662812, con domicilio en Sepapaja tn 6, Lasnamäe linnaosa, 15551 Tallin, Harjumaa (Estonia).
Este acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable al prestar el servicio, conforme al artículo 28 del RGPD.
2. Alcance del tratamiento
| Concepto | Detalle |
|---|---|
| Objeto | Generación, conservación y remisión a la AEAT de registros de facturación |
| Duración | Mientras esté vigente el contrato de servicio |
| Naturaleza | Recogida, registro, estructuración, conservación, comunicación a la AEAT y supresión |
| Categorías de interesados | Clientes y destinatarios de las facturas del Responsable |
| Categorías de datos | Identificativos y fiscales (nombre o razón social, NIF, domicilio) e información económica de la operación |
| Datos especiales | No se prevé el tratamiento de categorías especiales del art. 9 RGPD |
3. Obligaciones del Encargado
- Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, incluida la prestación misma del servicio.
- Garantizar la confidencialidad del personal autorizado.
- Aplicar las medidas técnicas y organizativas del apartado 6.
- Asistir al Responsable en la atención de los derechos de los interesados.
- Asistirle en las evaluaciones de impacto y consultas previas que procedan.
- Notificar sin dilación indebida cualquier violación de seguridad.
- A la terminación, devolver o suprimir los datos, salvo obligación legal de conservación.
- Poner a disposición la información necesaria para acreditar el cumplimiento y permitir auditorías razonables.
4. Obligaciones del Responsable
- Disponer de base jurídica para el tratamiento de los datos que aporta.
- Haber informado a los interesados conforme a los artículos 13 y 14 del RGPD.
- Facilitar instrucciones lícitas y datos exactos.
5. Subencargados
El Responsable autoriza de forma general la subcontratación de los proveedores necesarios para prestar el servicio. El Encargado impondrá a cada subencargado obligaciones equivalentes a las de este acuerdo y responderá de su actuación.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Hostinger | Alojamiento e infraestructura | Unión Europea |
| Hostinger | Envío de correo transaccional | Unión Europea |
| Stripe (Stripe Payments Europe, Ltd.) | Procesamiento de pagos | Irlanda (UE) |
El tratamiento de datos de pago por Stripe puede implicar comunicaciones a entidades del mismo grupo fuera del Espacio Económico Europeo. Dichas transferencias se amparan en las garantías previstas en el Capítulo V del RGPD, en particular cláusulas contractuales tipo.
Los datos de las tarjetas de pago no llegan a nuestros sistemas: los recoge y trata directamente el proveedor de pagos.
Los cambios en esta lista se comunicarán con antelación razonable, y el Responsable podrá oponerse por motivos fundados.
6. Medidas de seguridad
- Cifrado en tránsito (TLS) y cifrado en reposo de la información sensible.
- Certificados digitales cifrados y almacenados fuera del directorio público, con permisos restrictivos y verificación de titularidad.
- Control de acceso basado en roles y principio de mínimo privilegio.
- Registro de eventos y trazabilidad de las operaciones.
- Separación de entornos de pruebas y producción.
- Copias de seguridad y procedimientos de restauración.
7. Transferencias internacionales
El Encargado está establecido en Estonia y el tratamiento se realiza dentro de la Unión Europea. Cualquier transferencia fuera del EEE se amparará en decisión de adecuación o en cláusulas contractuales tipo.
8. Notificación de brechas
El Encargado notificará al Responsable, sin dilación indebida desde que tenga conocimiento, cualquier violación de la seguridad, con la información disponible sobre su naturaleza, categorías afectadas, consecuencias probables y medidas adoptadas.