Contrato de encargo del tratamiento

Última actualización: 31 de octubre de 2026

Este contrato regula el tratamiento de datos personales que Factuneo realiza por cuenta de sus clientes. Cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), y forma parte de los Términos y condiciones. El cliente lo acepta al aceptar los términos. Si lo necesitáis firmado, escribid a soporte@factuneo.es y os enviamos una copia con los datos de las dos partes.

Partes

• Responsable (el Cliente): la persona física o jurídica titular de la cuenta de Factuneo que acepta este contrato.
• Encargado (Factuneo): Manuel Sisto Fontáns, con NIF 46291823E y domicilio en Lugar Xesta nº 38, 15866 Teo (A Coruña), titular del servicio Factuneo.

El Servicio es el sistema en la nube que genera y remite los registros de facturación conforme al Real Decreto 1007/2023 y a la Orden HAC/1177/2024 (VERI*FACTU), genera las facturas en PDF y en formato Facturae y, a petición del Cliente, las presenta en FACe.

Cuando el Cliente presta a su vez servicios a terceros y actúa como encargado del tratamiento de esos terceros (por ejemplo, una plataforma que da servicio a restaurantes), Factuneo actúa como subencargado. En ese caso, las referencias al «Responsable» se entienden hechas al Cliente en su condición de encargado. El Cliente garantiza que cuenta con la autorización de sus responsables para recurrir a Factuneo y que les trasladará las obligaciones de este contrato.

1. Objeto

Este contrato regula el tratamiento de datos personales que Factuneo realiza por cuenta del Cliente para prestarle el Servicio. El Anexo I describe el tratamiento: su naturaleza y finalidad, los tipos de datos y las categorías de interesados.

Quedan fuera de este contrato los tratamientos en los que Factuneo decide por sí mismo los fines y los medios y actúa, por tanto, como responsable independiente. Entre otros:

• la gestión de la relación con el Cliente: su cuenta de usuario, su facturación y sus pagos;
• la seguridad de sus propios sistemas y la prevención del fraude y del uso indebido del Servicio, incluidos los registros de acceso y de las peticiones recibidas;
• el cumplimiento de sus propias obligaciones legales, fiscales y mercantiles, y la atención de requerimientos de las autoridades;
• la formulación, el ejercicio o la defensa de reclamaciones, para lo que podrá conservar la información necesaria para acreditar lo que el Cliente envió al Servicio y lo que el Servicio hizo con ello, durante el plazo de prescripción de las acciones correspondientes.

Esos tratamientos se rigen por la Política de privacidad.

2. Duración

Este contrato tiene la misma duración que la relación de servicio entre las partes. Las obligaciones de confidencialidad, las del destino de los datos (cláusula 6) y las demás que por su naturaleza deban subsistir se mantienen tras su finalización.

3. Obligaciones de Factuneo

Factuneo se obliga a:

1. Instrucciones. Tratar los datos solo siguiendo las instrucciones documentadas del Cliente. Son instrucciones documentadas este contrato y las que el Cliente da a través de la API y del panel del Servicio. Si una instrucción infringe, a su juicio, el RGPD u otra norma de protección de datos, lo comunicará de inmediato al Cliente. Las instrucciones que exijan funciones que el Servicio no ofrece se tratarán como una solicitud de cambio: Factuneo podrá aceptarla, presupuestarla o rechazarla, y en este último caso el Cliente podrá resolver el contrato de servicio.
2. Finalidad. No utilizar los datos para fines propios ni distintos del Servicio.
3. No comunicación. No comunicar los datos a terceros, ni siquiera para su conservación, salvo a los subencargados autorizados (cláusula 5), a las Administraciones por instrucción del Cliente (cláusula 4) o cuando lo exija la ley.
4. Confidencialidad y personal autorizado.
   • Mantener la confidencialidad de los datos, también después de finalizar el contrato.
   • Llevar un listado de las personas autorizadas para tratarlos.
   • Garantizar que esas personas se han comprometido por escrito a respetar la confidencialidad y las medidas de seguridad, de las que se les informará.
   • Garantizar que reciben la formación necesaria en protección de datos.
5. Seguridad. Aplicar las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo (art. 32 RGPD).
6. Ubicación. Tratar los datos solo en los sistemas del Servicio, dentro del Espacio Económico Europeo. No realizar transferencias internacionales sin la autorización previa y por escrito del Cliente y las garantías del capítulo V del RGPD. Si una norma de la Unión o de un Estado miembro le obligara a hacer una transferencia, informará al Cliente antes de hacerla, salvo que esa norma lo prohíba.
7. Derechos de los interesados.
   • Si un interesado ejerce ante Factuneo sus derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad, o no ser objeto de decisiones individualizadas automatizadas), Factuneo lo comunicará al Cliente de inmediato y, en ningún caso, más tarde del día laborable siguiente al de su recepción. Acompañará la información de que disponga y no responderá directamente salvo instrucción del Cliente.
   • Factuneo ayudará al Cliente a responder, teniendo en cuenta la naturaleza del tratamiento.
8. Violaciones de seguridad.
   • Factuneo notificará al Cliente, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales a su cargo.
   • La notificación incluirá la información disponible a que se refiere el artículo 33.3 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, posibles consecuencias, medidas adoptadas o propuestas, y un punto de contacto. Si no se dispone de toda la información a la vez, se facilitará de forma gradual.
9. Asistencia. Ayudar al Cliente a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones a la autoridad y a los interesados, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
10. Registro de actividades. Llevar por escrito, también en formato electrónico, el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente (art. 30.2 RGPD).
11. Delegado de protección de datos y contacto. Factuneo no está obligado a designar un delegado de protección de datos (art. 37 RGPD y art. 34 LOPDGDD). La persona de contacto designada por Factuneo para todo lo relativo a este contrato es Alejandro Rodríguez Gómez, en soporte@factuneo.es.

4. Comunicaciones a las Administraciones

La remisión de los registros de facturación a la Agencia Tributaria y la presentación de facturas en FACe y ante el organismo destinatario son comunicaciones que Factuneo realiza por instrucción del Cliente y en cumplimiento de las obligaciones tributarias de los emisores. Las Administraciones destinatarias no son subencargados de Factuneo.

5. Subencargados

1. El Cliente otorga una autorización general para que Factuneo recurra a otros encargados. Los subencargados actuales figuran en el Anexo III.
2. Factuneo informará al Cliente, con al menos 15 días de antelación, de cualquier incorporación o sustitución de subencargados, por correo electrónico o en el panel del Servicio. Dentro de ese plazo, el Cliente podrá oponerse por escrito y de forma motivada, por razones justificadas relacionadas con la protección de datos. Si no se opone en ese plazo, se entenderá que autoriza el cambio. Si se opone y las partes no alcanzan una solución, el Cliente podrá resolver el contrato de servicio, sin penalización y sin derecho a reembolso de los periodos ya facturados.
3. Factuneo impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que este contrato le impone a él, y seguirá siendo plenamente responsable ante el Cliente de su cumplimiento.

6. Destino de los datos al finalizar

1. Acceso y devolución. Al terminar la prestación del Servicio, los datos seguirán a disposición del Cliente para su consulta y exportación desde el panel. La exportación contiene los registros enviados, las respuestas de las Administraciones, las facturas en PDF y un listado en formato CSV, y equivale a la devolución de los datos.
2. Conservación legal. Los registros de facturación y las facturas son documentación con obligación legal de conservación. Factuneo los conservará bloqueados (art. 32 LOPDGDD), sin tratarlos para ningún otro fin, durante el plazo de prescripción de las obligaciones tributarias (cuatro años, art. 66 de la Ley 58/2003, General Tributaria) y mientras puedan derivarse responsabilidades de la prestación del Servicio.
3. Supresión. Transcurridos esos plazos, Factuneo suprimirá los datos de sus sistemas de forma segura y definitiva.
4. Copias de seguridad. Los datos que queden en copias de seguridad se eliminarán según el ciclo ordinario de retención y rotación de esas copias. Mientras tanto, permanecerán protegidos frente a cualquier tratamiento ordinario y solo se recuperarán para la continuidad del Servicio o la recuperación ante incidentes.
5. Certificados electrónicos. El Cliente puede borrar los certificados que haya aportado en cualquier momento, desde el panel o por la API. Los que queden al finalizar el Servicio los suprimirá Factuneo en un plazo máximo de 30 días.

7. Demostración del cumplimiento y auditorías

1. Factuneo pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. En primer lugar, mediante la documentación de este contrato y sus anexos y las respuestas por escrito a los cuestionarios razonables que el Cliente le envíe.
2. Si esa información no basta, el Cliente o un auditor autorizado por él, sujeto a confidencialidad, podrá realizar una auditoría o inspección, con las siguientes condiciones:
   • se avisará por escrito con al menos 30 días de antelación, indicando su alcance;
   • el auditor no podrá ser competidor de Factuneo y deberá firmar un compromiso de confidencialidad;
   • se hará en horario laboral y sin comprometer la seguridad ni los datos de otros clientes;
   • se hará como máximo una vez al año, salvo que exista una violación de seguridad que afecte a los datos del Cliente o lo requiera una autoridad de control;
   • su coste correrá a cargo del Cliente, salvo que revele un incumplimiento relevante de Factuneo.

8. Obligaciones del Cliente

El Cliente se obliga a:

• facilitar a Factuneo solo los datos necesarios para el Servicio y tratarlos de forma lícita;
• informar a los interesados y contar con base jurídica para el tratamiento;
• disponer de la autorización de los titulares de los certificados que aporte;
• dar instrucciones conformes con la normativa de protección de datos;
• velar, antes y durante el tratamiento, por que Factuneo cumpla el RGPD;
• supervisar el tratamiento en los términos de la cláusula 7.

9. Responsabilidad

1. Cada parte responde del incumplimiento de las obligaciones que le imponen este contrato y la normativa de protección de datos.
2. Si Factuneo determina los fines y medios del tratamiento, o trata, comunica o utiliza los datos incumpliendo este contrato, será considerado responsable del tratamiento y responderá de las infracciones en que haya incurrido personalmente (art. 28.10 RGPD).
3. El Cliente mantendrá indemne a Factuneo frente a las reclamaciones y sanciones que se deriven de instrucciones ilícitas del Cliente o de datos que este haya facilitado sin base jurídica o sin informar a los interesados.
4. En las relaciones entre las partes, la responsabilidad derivada de este contrato se sujeta a los límites de los Términos y condiciones. Esos límites no se aplican a los derechos de indemnización de los interesados reconocidos en el artículo 82 del RGPD.

10. Asistencia adicional

La asistencia que exceda de lo que el Servicio ofrece de forma ordinaria (por ejemplo, la elaboración de informes a medida o la participación en evaluaciones de impacto del Cliente) se presupuestará previamente y se facturará a una tarifa razonable. Se exceptúa la asistencia necesaria por una violación de seguridad imputable a Factuneo, que no tendrá coste.

11. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Santiago de Compostela, con renuncia a cualquier otro fuero que pudiera corresponderles.

Anexo I. Descripción del tratamiento

Naturaleza y finalidad. Prestar el Servicio:

• recibir los datos de las facturas que el Cliente envía por la API o el panel;
• generar los registros de facturación, su huella encadenada y el código QR;
• remitir los registros a la Agencia Tributaria y consultar su estado;
• generar las facturas en PDF y en formato Facturae;
• presentarlas en FACe y consultar su estado, cuando el Cliente lo solicite;
• conservar los registros, las facturas y las respuestas de las Administraciones, y ponerlos a disposición del Cliente para su consulta y exportación;
• usar los certificados electrónicos que aporte el Cliente para las finalidades anteriores;
• enviar al Cliente las notificaciones del Servicio (avisos de estado, alertas y webhooks).

Operaciones. Recogida, registro, estructuración, conservación, consulta, utilización, comunicación por transmisión a las Administraciones indicadas, bloqueo y supresión.

Tipos de datos.

• Nombre o razón social, NIF o identificador fiscal y domicilio de los emisores y de los destinatarios de las facturas.
• Datos de las operaciones facturadas: conceptos, importes y fechas.
• Datos de los certificados electrónicos aportados: titular y NIF.
• En su caso, datos de contacto incluidos en las facturas.

No se tratan categorías especiales de datos (art. 9 RGPD) ni datos relativos a condenas e infracciones penales (art. 10 RGPD).

Categorías de interesados.

• Emisores de las facturas, cuando son personas físicas (empresarios y profesionales).
• Clientes destinatarios de las facturas.
• Representantes de unos y otros.
• Titulares de los certificados electrónicos aportados.

Ubicación. Servidores y base de datos en Alemania (Unión Europea).

Anexo II. Medidas técnicas y organizativas de seguridad

• Cifrado en reposo (AES-256-GCM) de los certificados electrónicos y de sus contraseñas. Solo se descifran en el momento de usarlos, y nunca se muestran ni se devuelven.
• Cifrado de las comunicaciones (TLS) y autenticación mutua con certificado (mTLS) en la remisión a la Agencia Tributaria.
• Contraseñas de usuario y claves de API guardadas de forma que no pueden recuperarse en claro.
• Separación lógica de los datos de cada cliente y control de acceso por clave de API o sesión de usuario.
• Integridad de los registros de facturación mediante huella SHA-256 encadenada.
• Registro de auditoría de las operaciones relevantes.
• Copias de seguridad diarias y cifradas de la base de datos, con pruebas de restauración.
• Alojamiento en centros de datos situados en la Unión Europea.
• Acceso a los sistemas limitado al personal autorizado, con compromiso de confidencialidad.

Factuneo revisará estas medidas periódicamente y podrá sustituirlas por otras equivalentes o superiores, sin rebajar el nivel de seguridad.

Anexo III. Subencargados