Acuerdo de encargo del tratamiento de datos personales
Versión: 1.0
Fecha prevista de entrada en vigor: 1 de octubre de 2026
1. Partes y aceptación
Actúa como Encargado del tratamiento Ramón Verdú García, con NIF 73766365Y, domicilio en calle Mayor, número 26, 03440 Ibi, Alicante, que desarrolla su actividad bajo el nombre comercial Servicios Informáticos Integrales (S.I.I.), titular de Facturando.info. Contacto: hola@facturando.info.
Actúa como Responsable del tratamiento la empresa o profesional identificado por su nombre o razón social y NIF en la cuenta de Facturando.info. La persona que acepta este acuerdo declara disponer de facultades para representarlo.
Este acuerdo y sus anexos forman parte de las Condiciones de uso. Su aceptación electrónica vincula a ambas partes y regula el tratamiento por cuenta del Responsable conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). El Encargado conservará evidencia de la aceptación y de la versión aceptada, incluidos sus anexos, y facilitará una copia al Responsable.
2. Objeto, naturaleza y finalidad
El Responsable encomienda al Encargado los tratamientos necesarios para prestar el servicio de facturación online: gestión de clientes; creación y gestión de facturas ordinarias, simplificadas y rectificativas; generación de PDF e informes; envío de documentos a los destinatarios indicados; control del estado de cobro; y generación, conservación y remisión de registros de facturación mediante Veri*Factu.
El encargo incluye alojamiento, mantenimiento, soporte, seguridad, copias, recuperación, devolución y eliminación de la información. Puede implicar recogida, registro, organización, conservación, consulta, modificación, extracción, comunicación, limitación y supresión de datos.
Los envíos de facturas se realizarán mediante el correo del servicio alojado en IONOS o mediante el servidor SMTP configurado por el Responsable. Este deberá estar facultado para utilizar el servidor que configure y proporcionar instrucciones y destinatarios adecuados.
La AEAT recibe los registros de facturación en el ejercicio de sus competencias y no actúa como subencargada de Facturando.info. Este acuerdo no sustituye las autorizaciones o requisitos de representación tributaria que resulten aplicables.
3. Personas y datos afectados
Las personas afectadas podrán ser clientes personas físicas, empresarios individuales, representantes y contactos de empresas, destinatarios de facturas y usuarios autorizados del Responsable.
Los datos podrán comprender nombres, apellidos, identificadores fiscales, domicilios, teléfonos, correos electrónicos, datos profesionales y datos económicos y transaccionales contenidos en facturas, conceptos, impuestos, importes y estados de cobro. También se tratarán los datos personales presentes en certificados, registros de envío y respuestas asociados a la prestación del servicio.
El servicio no está destinado a almacenar categorías especiales de datos ni información sobre condenas o infracciones penales. El Responsable evitará incorporarlas en conceptos, observaciones u otros campos. Cuando su actividad requiera dicho tratamiento, deberá comunicarlo previamente para evaluar y acordar las garantías necesarias.
4. Duración e instrucciones
El acuerdo se aplica desde la aceptación, incluida la prueba gratuita, y permanece vigente durante el servicio y los periodos de conservación y devolución aquí establecidos. La confidencialidad subsiste tras la finalización.
Son instrucciones documentadas este acuerdo, las configuraciones y actuaciones de los usuarios autorizados y las instrucciones adicionales comunicadas por escrito dentro de su objeto. El Encargado tratará los datos únicamente conforme a dichas instrucciones, también respecto de las transferencias internacionales.
Si una obligación del Derecho de la Unión o de un Estado miembro exige otro tratamiento, informará previamente al Responsable, salvo prohibición legal. Si considera que una instrucción infringe la normativa de protección de datos, lo comunicará inmediatamente.
5. Obligaciones del Responsable
El Responsable deberá disponer de base jurídica para sus tratamientos, informar a los afectados, atender sus derechos, introducir solo información necesaria y mantenerla actualizada. Gestionará sus usuarios, protegerá sus credenciales y mantendrá actualizado el correo de contacto de su cuenta.
Le corresponde comunicar instrucciones lícitas, evaluar las garantías del servicio y supervisar este encargo. Deberá recuperar la documentación necesaria para cumplir sus obligaciones fiscales y contables dentro de los periodos disponibles. La contratación no traslada esas obligaciones al Encargado.
6. Confidencialidad y obligaciones del Encargado
El Encargado no utilizará los datos confiados para publicidad propia, venta de información ni otras finalidades ajenas al encargo. Limitará el acceso al personal autorizado que lo necesite para prestar el servicio, sujeto a compromisos de confidencialidad e instrucciones adecuadas.
Aplicará medidas técnicas y organizativas apropiadas al riesgo conforme al artículo 32 del RGPD, descritas en el Anexo I, y evaluará regularmente su eficacia. Las actualizaciones de estas medidas no reducirán el nivel de protección acordado. Mantendrá los registros de actividades exigibles y cooperará con las autoridades de control.
7. Asistencia y derechos
El Encargado ayudará al Responsable a atender solicitudes de derechos mediante las funciones disponibles y la asistencia técnica u organizativa necesaria. Si recibe directamente una solicitud relativa al encargo, la trasladará sin dilación indebida al correo designado por el Responsable y no decidirá sobre ella por su cuenta, salvo instrucción u obligación legal.
Prestará asistencia, según la naturaleza del tratamiento y la información disponible, en materia de seguridad, notificación de incidentes, comunicaciones a afectados, evaluaciones de impacto y consultas previas de los artículos 32 a 36 del RGPD.
8. Incidentes de seguridad
El Encargado comunicará al Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a los datos del encargo. Utilizará el correo de contacto de la cuenta y facilitará la naturaleza del incidente, las categorías y cantidades aproximadas de personas y registros afectados, las posibles consecuencias, las medidas adoptadas o propuestas y un contacto de seguimiento.
La información se ampliará progresivamente cuando no esté completa al comunicar el incidente. El Encargado colaborará en su contención y en las obligaciones de notificación que correspondan al Responsable.
9. Subencargados y transferencias internacionales
El Responsable autoriza a IONOS Cloud S.L.U. para el alojamiento y el correo prestados por este proveedor, conforme al Anexo II. El Encargado ha formalizado con IONOS el correspondiente acuerdo de tratamiento.
Se concede autorización general para incorporar o sustituir subencargados, previa comunicación escrita que identifique al proveedor, la función, las ubicaciones y las garantías pertinentes. La comunicación se realizará con antelación suficiente para permitir una oposición motivada antes de que el cambio afecte a los datos. Este procedimiento también se aplicará a cambios relevantes comunicados por los proveedores en su cadena de subcontratación.
Ante una oposición fundada en protección de datos, las partes estudiarán una alternativa. Si no fuera viable, el Responsable podrá finalizar el servicio afectado y obtener sus datos antes del cambio.
El Encargado impondrá a los subencargados obligaciones equivalentes y continuará respondiendo ante el Responsable por su cumplimiento. Las transferencias internacionales deberán ajustarse a instrucciones documentadas y al capítulo V del RGPD; se facilitará información sobre los países y garantías aplicables antes de realizarlas.
10. Información y auditorías
El Encargado facilitará información para demostrar el cumplimiento y permitirá y contribuirá a auditorías, incluidas inspecciones, del Responsable o de un auditor autorizado. Las partes coordinarán su realización protegiendo la seguridad y los datos de otros clientes, sin impedir el control efectivo ni las facultades de las autoridades.
11. Fin de la prueba gratuita
La prueba dura 14 días. Al finalizar sin contratación se bloquea el acceso, sin habilitar un modo de consulta.
Por instrucción del Responsable incorporada a este acuerdo, los datos se conservan 30 días naturales desde la finalización de la prueba, únicamente para permitir la contratación con recuperación de datos o atender su devolución. Durante ese plazo puede solicitar devolución o supresión anticipada a hola@facturando.info.
Si no se contrata, al cumplirse los 30 días se eliminan los datos de los sistemas activos conforme al apartado 14.
12. Fin de la suscripción
Si finaliza la suscripción sin renovación se conceden 7 días naturales adicionales de acceso completo y gratuito. El Responsable puede seguir utilizando las funciones contratadas, emitir facturas y descargar documentos. Las operaciones realizadas mantienen sus efectos ordinarios.
Al finalizar los siete días se bloquea el acceso. Por instrucción del Responsable incorporada a este acuerdo, los datos se conservan 90 días naturales desde ese bloqueo, únicamente para su devolución o reactivación. Puede solicitar devolución o supresión anticipada a hola@facturando.info.
Si no se reactiva el servicio, al cumplirse los 90 días se eliminan los datos de los sistemas activos conforme al apartado 14.
13. Devolución de la información
Mientras tenga acceso, el Responsable podrá descargar facturas individuales e informes resumidos en PDF. Estos informes no constituyen por sí solos una exportación completa de la información.
El Responsable podrá solicitar a hola@facturando.info la devolución de los datos de su empresa durante los periodos de conservación. Verificadas la identidad y las facultades del solicitante, el Encargado realizará una exportación manual mediante consultas SQL u otros medios, con entrega en archivos de texto estructurados, acompañados de una descripción de sus campos, u otro formato acordado, y los documentos asociados pertinentes.
La entrega se realizará por un medio seguro en un máximo de 10 días laborables desde la validación de la solicitud. Solo incluirá información de la empresa solicitante. Una solicitud recibida dentro de plazo impedirá eliminar los datos necesarios antes de completar la entrega.
El Responsable podrá elegir la devolución seguida de supresión o la supresión directa. Si no da otra instrucción se aplicará el borrado previsto. La devolución no elimina por sí sola los datos de una cuenta cuyo servicio continúe activo.
14. Supresión, copias y excepciones
La eliminación de los sistemas activos se realizará mediante un proceso automático que abarcará los datos y archivos asociados a la empresa: clientes, facturas, PDF, XML, respuestas de envío, credenciales y certificados, así como otros registros personales vinculados, salvo las excepciones justificadas de este apartado.
Las copias propias son diarias, están cifradas y se conservan durante un mes en servidores del Encargado situados en España. Los datos residuales se eliminarán por rotación, como máximo un mes después de su eliminación de los sistemas activos. Durante ese periodo las copias no se utilizarán para fines ordinarios; si se restaura una copia, se volverán a aplicar las supresiones que correspondan.
Este plazo describe las copias propias. No atribuye a IONOS un plazo de eliminación de copias que no haya sido confirmado: el alcance y ciclo de las eventuales copias del proveedor deberán quedar documentados conforme al Anexo II. Las instrucciones de supresión se trasladarán al proveedor cuando proceda.
Solo se conservarán datos del encargo después de estos plazos cuando exista una obligación legal aplicable o sea necesario mantenerlos debidamente bloqueados para atender responsabilidades de la relación contractual. Se documentarán la causa, los datos estrictamente necesarios, las restricciones de acceso y el plazo aplicable. Finalizada la causa, se destruirán. No se conservará indefinidamente toda la cuenta por esta excepción.
Las facturas de suscripción emitidas por el titular de Facturando.info, su documentación contractual y las evidencias de aceptación son documentación propia y tienen finalidades y plazos distintos, descritos en la Política de privacidad. No deben confundirse con las facturas emitidas por el Responsable a sus clientes.
15. Comunicaciones y prevalencia
Las comunicaciones al Encargado se dirigirán a hola@facturando.info y las dirigidas al Responsable al correo de contacto de su cuenta.
Las modificaciones se comunicarán y formalizarán cuando corresponda, conservando las versiones anteriores. No se ampliarán retroactivamente las finalidades del tratamiento. Este acuerdo prevalece sobre las Condiciones de uso en materia de tratamiento de datos por cuenta del Responsable.
Anexo I. Medidas técnicas y organizativas declaradas
- Cuentas individuales y permisos de acceso. No se declara implantada autenticación de doble factor para clientes ni administradores del hosting.
- Separación lógica de datos mediante filtrado de consultas por el identificador de empresa y controles de acceso correspondientes.
- Acceso de administración y soporte limitado a trabajadores de S.I.I. sujetos a acuerdos de confidencialidad.
- Comunicaciones de la plataforma mediante HTTPS.
- Contraseñas de acceso protegidas mediante hash. Credenciales SMTP almacenadas cifradas, según la configuración declarada del servicio.
- Certificados digitales almacenados en una ubicación del hosting no accesible públicamente. No se declara cifrado adicional de los archivos de certificado.
- Copias propias diarias y cifradas, conservadas un mes en servidores propios en España.
- Restauración comprobada y pruebas mensuales de recuperación de las copias.
- Actualizaciones realizadas por empleados de S.I.I. y conservación de registros de errores para mantenimiento y detección de incidencias, evitando incorporar secretos o información personal innecesaria.
- Aplicación del procedimiento de devolución y supresión de los apartados 11 a 14.
Estas medidas describen la configuración declarada por el titular. No constituyen una certificación externa ni sustituyen la evaluación de riesgos y las mejoras de seguridad necesarias.
Anexo II. Proveedores, ubicaciones y alcance pendiente de confirmar
IONOS Cloud S.L.U. presta el hosting de la plataforma y su base de datos, así como el correo de IONOS utilizado para el servicio. Se ha aceptado su acuerdo de encargo y se conserva la confirmación de aceptación. La documentación incluye el Anexo 1 de especificaciones y el Anexo 2 de subcontratistas autorizados, versión 4.0 de marzo de 2025, sin perjuicio de sus actualizaciones.
El titular no ha confirmado el país concreto de alojamiento ni el alcance, ubicación y ciclo de eliminación de las eventuales copias realizadas por IONOS. No se afirma que todo el tratamiento se realice exclusivamente en España o en el Espacio Económico Europeo. El acuerdo de IONOS contempla tratamiento en la UE o el EEE y posibles transferencias necesarias para la prestación, sujetas a garantías.
No se han declarado contratados servicios adicionales de CDN, SiteLock o HiDrive. La lista general de proveedores de IONOS no acredita que todos intervengan en Facturando.info. Debe concretarse la cadena aplicable al hosting y al correo utilizados; para Mail Basic/Mail Business, el listado aportado identifica a 1&1 Mail & Media GmbH y Open-Xchange GmbH, cuya aplicación al producto concreto deberá confirmarse.
Las copias gestionadas directamente por S.I.I. se alojan en servidores propios en España y no se ha declarado acceso de otras empresas a dichas copias.
Cuando el Responsable configure su propio SMTP, dicho proveedor será el elegido por él para esa comunicación; esta configuración no supone que S.I.I. haya contratado a ese proveedor.
Pendiente de completar antes de considerar cerrado este anexo: países y cadena de proveedores efectivamente aplicables al hosting y al correo, garantías de transferencias cuando procedan y condiciones de las eventuales copias de IONOS. Esta indicación identifica información no verificada y no equivale a una garantía ni a una autorización genérica de transferencias desconocidas.