Contrato de encargo del tratamiento

(artículo 28 del Reglamento (UE) 2016/679 — RGPD)

Fecha de última actualización de la plantilla: 19 de octubre de 2026

*Versión publicada con antelación; en vigor desde el 19 de octubre de 2026.*

Cómo usar esta plantilla. Este contrato regula el tratamiento de datos personales que GestoFlou realiza por cuenta de la asesoría o gestoría que utiliza el Servicio. Antes de la firma deben completarse los campos entre corchetes referidos al RESPONSABLE ([RAZÓN SOCIAL DEL RESPONSABLE], [NIF], [DOMICILIO], [REPRESENTANTE]) y el fuero ([LUGAR]). La aceptación del Servicio para subir documentos reales implica la adhesión a este contrato; no obstante, se recomienda su firma por ambas partes.

REUNIDOS

De una parte, el RESPONSABLE DEL TRATAMIENTO:

[RAZÓN SOCIAL DEL RESPONSABLE], con NIF [NIF] y domicilio en [DOMICILIO], representada por [REPRESENTANTE] (en adelante, el "Responsable").

De otra parte, el ENCARGADO DEL TRATAMIENTO:

RS Soluciones de Inteligencia Artificial, S.L. (GestoFlou by RS Agents), titular del servicio GestoFlou, con NIF B26705749 y domicilio en Avenida Rey Don Jaime, número 74, piso 7 puerta D, 12001 Castellón de la Plana (Castellón), inscrita en el Registro Mercantil de Castellón, hoja CS-50785, inscripción 1.ª, representada por su administrador único D. Alejandro Roselló Palmer (en adelante, el "Encargado").

Ambas partes se reconocen capacidad legal suficiente para obligarse y, a tal efecto,

EXPONEN

I. Que el Responsable ha contratado o utiliza el servicio GestoFlou (en adelante, el "Servicio"), una herramienta que, mediante inteligencia artificial y comprobaciones automáticas, lee, clasifica y extrae datos de los documentos fiscales y contables que el Responsable sube al Servicio, y genera ficheros de importación contable (entre otros, para A3) e informes. El Servicio incluye además, como funcionalidades opcionales: un portal del cliente final (y un buzón de recepción por correo electrónico) para que los clientes del Responsable aporten sus documentos, un archivo documental sellado de los originales que el Responsable decida archivar, y un registro de exportaciones y validaciones (trazabilidad).

II. Que la prestación del Servicio implica que el Encargado acceda y trate datos personales cuya responsabilidad corresponde al Responsable (o, en su caso, a los clientes del Responsable, respecto de los que este actúa a su vez como encargado).

III. Que las partes desean regular dicho tratamiento conforme al artículo 28 del RGPD y a la Ley Orgánica 3/2018 (LOPDGDD), mediante las siguientes

CLÁUSULAS

1. Objeto

El presente contrato regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable con ocasión de la prestación del Servicio, así como las condiciones y garantías exigidas por el artículo 28 del RGPD. El detalle del tratamiento (objeto, naturaleza, finalidad, tipos de datos y categorías de interesados) figura en el Anexo I.

2. Duración

Este contrato estará vigente mientras el Responsable utilice el Servicio y, en todo caso, mientras el Encargado trate datos por cuenta del Responsable. La terminación de la relación de servicio determinará la extinción del encargo, sin perjuicio de las obligaciones de devolución o supresión y de las que por su naturaleza deban subsistir (confidencialidad, responsabilidad).

3. Naturaleza, finalidad y objeto del tratamiento

El Encargado tratará los datos personales únicamente con la finalidad de prestar el Servicio descrito (lectura, clasificación y extracción de datos de los documentos, y generación de los ficheros e informes contables), conforme a lo detallado en el Anexo I y siguiendo las instrucciones documentadas del Responsable.

4. Tipos de datos personales y categorías de interesados

Los tipos de datos personales y las categorías de interesados afectados se describen en el Anexo I. Las partes reconocen que, por la naturaleza de los documentos tratados (en particular, nóminas y documentos laborales), estos pueden contener categorías especiales de datos del artículo 9 del RGPD (por ejemplo, datos de salud derivados de bajas, o de afiliación sindical inferibles de cuotas).

El Responsable garantiza que dispone de la base jurídica y de la legitimación necesarias (artículos 6 y 9 del RGPD) para tratar dichos datos y para encomendar su tratamiento al Encargado, así como que ha cumplido su deber de información frente a los interesados. El Encargado no recaba ni solicita deliberadamente categorías especiales de datos: se limita a procesar el contenido de los documentos que el Responsable decide subir.

5. Obligaciones del Encargado (artículo 28.3 RGPD)

El Encargado y todo su personal se obligan a:

a) Instrucciones. Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluso en lo relativo a las transferencias internacionales, salvo que esté obligado por el Derecho de la Unión o de los Estados miembros, en cuyo caso informará previamente al Responsable, salvo prohibición legal. La utilización del Servicio conforme a su configuración y documentación constituye una instrucción del Responsable. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato.

b) Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria, con carácter indefinido y subsistente tras la terminación.

c) Seguridad. Aplicar las medidas técnicas y organizativas apropiadas previstas en el artículo 32 del RGPD para garantizar un nivel de seguridad adecuado al riesgo, según se detalla en el Anexo II.

d) Subencargados. Cumplir el régimen de subcontratación de la cláusula 6.

e) Asistencia en derechos de los interesados. Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento y a través de medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas). La atención de estos derechos corresponde materialmente al Responsable, que dispone en el propio Servicio de los medios para localizar, exportar, rectificar y suprimir los datos que el Encargado conserva por su cuenta (originales del portal del cliente y del archivo documental, y metadatos contables del registro de exportaciones y validaciones); el Encargado prestará además la colaboración razonable que se le requiera. El trabajo en curso que reside en el equipo del usuario está bajo el control exclusivo del Responsable.

f) Asistencia en seguridad, brechas y evaluaciones. Ayudar al Responsable a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

g) Supresión o devolución. A elección del Responsable, suprimir o devolver todos los datos personales una vez finalizada la prestación del Servicio, y suprimir las copias existentes, salvo que se requiera su conservación por imperativo legal. El régimen concreto es el de la cláusula 5 bis, que distingue lo transitorio de lo duradero y fija el plazo en el que el Responsable ejerce esa elección. Las copias de seguridad cifradas del Servicio no se suprimen una a una: caducan en el plazo de la letra (v) de esa misma cláusula.

h) Información y auditorías. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor por él autorizado, con preaviso razonable y sin comprometer la seguridad o la confidencialidad de la información de otros clientes.

5 bis. Conservación: qué es transitorio, qué es el archivo y qué plazo hay tras la baja

Las partes reconocen que conservar los documentos forma parte de la prestación contratada: el archivo documental del Servicio está concebido para sustituir al archivo en papel del Responsable, y solo cumple esa función si es fiable y consultable en cualquier momento, tanto por el Responsable como por su cliente final desde el portal. Con esa premisa, el alcance de lo que el Encargado conserva (detallado en el Anexo I) es el siguiente:

(i) Documentos en tratamiento — transitorio. En la herramienta del gestor, los ficheros originales de cada lote se conservan en almacenamiento privado en la Unión Europea mientras exista el lote, y se suprimen al eliminarlo o a instancia del Responsable. Los datos extraídos se conservan junto al trabajo únicamente hasta que el Responsable los recoge. Nada de esto forma parte del archivo, y el Encargado lo elimina.

(ii) Archivo — duradero. Los originales aportados a través del portal del cliente o del buzón de correo electrónico, los originales archivados expresamente en el archivo documental y los metadatos contables (identificación de las facturas procesadas, importes, ficheros de enlace contable generados, plan de cuentas, y registros de lotes y validaciones) se conservan de forma indefinida mientras el Responsable sea cliente del Servicio. No se suprime nada por antigüedad.

(ii bis) Capacidad del archivo. El plan contratado lleva asociada una capacidad de archivo, expresada en volumen y recogida en la información de precios del Servicio. Es un límite de espacio y no de tiempo, y por tanto no constituye un plazo de conservación a efectos del artículo 5.1.e) del RGPD ni altera lo dispuesto en la letra (ii): alcanzarla no supone la supresión de dato alguno, no acorta el plazo de la letra (iii) y no afecta a la capacidad del Responsable de acceder, exportar, descargar ni recuperar lo ya archivado —incluidos los medios con que atiende los derechos de los interesados conforme a la cláusula 5.e)—. El único efecto es que el Encargado deja de admitir la incorporación de documentos nuevos al archivo hasta que la capacidad se amplíe, y el Encargado avisa al Responsable antes de que ello ocurra.

(iii) Terminación. Extinguido el encargo, el Responsable dispone de 60 días naturales para recuperar su archivo completo mediante la descarga masiva en ZIP con manifiesto que ofrece el propio Servicio, además de las funciones de exportación y copia de seguridad. El Encargado avisa de este plazo al causarse la baja y lo recuerda cuando falten 15 días para su vencimiento. Transcurrido el plazo sin instrucción distinta del Responsable, el Encargado suprime los datos y sus copias; los datos contenidos en las copias de seguridad cifradas del Servicio desaparecen en el plazo de la letra (v). Esta ventana de 60 días es el modo en que se articula la elección entre devolución y supresión del artículo 28.3.g) del RGPD.

(iv) Plazos propios del Responsable. El Responsable es el único obligado a conservar su documentación conforme a su propia normativa —entre otras, el plazo de prescripción tributaria de cuatro años del artículo 66 de la Ley 58/2003, General Tributaria, y el de seis años del artículo 30 del Código de Comercio—. El Servicio no sustituye esa obligación una vez causada la baja: corresponde al Responsable descargar su archivo dentro del plazo de la letra (iii).

(v) Copias de seguridad cifradas del Servicio. Desde el 19 de octubre de 2026, el Encargado realiza cada día una copia de seguridad de la base de datos del Servicio y de los originales almacenados, cifrada en origen —antes de salir de su infraestructura— con una clave que no se entrega al subencargado de almacenamiento, y la guarda en un subencargado establecido en la Unión Europea (Anexo III) que no tiene acceso a su contenido; la copia no se conserva en el servidor de la aplicación. Las copias diarias se conservan 7 días y las semanales hasta 35 días, a lo que se suman hasta 10 días de instantáneas automáticas del propio almacenamiento. En consecuencia, lo que se suprime en el Servicio, por cualquier vía —entre otras, al eliminar un lote conforme a la letra (i), al borrar un cliente, al eliminar la cuenta, al suprimir los datos de un tercero o al vencer el plazo de la letra (iii)—, desaparece de todas las copias como máximo 45 días después. Estas copias no forman parte del archivo, no son una vía de devolución de los datos al Responsable y solo se utilizan para restaurar el Servicio tras un incidente y para comprobar periódicamente, en un entorno aislado de la Unión Europea que se suprime al terminar, que esa restauración es posible (Anexo II). Si hubiera que restaurar el Servicio a partir de una copia, el Encargado volverá a aplicar, antes de reabrirlo, las supresiones realizadas después de la fecha de esa copia de las que quede constancia.

6. Subencargados (artículos 28.2 y 28.4 RGPD)

El Responsable autoriza con carácter general al Encargado a recurrir a otros encargados (subencargados) para la prestación del Servicio. La relación actualizada de subencargados, con indicación de su identidad, finalidad, ubicación del tratamiento y garantías de transferencia, figura en el Anexo III y se mantiene publicada y actualizada en https://gestoflou.com/legal/subencargados.

El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las estipuladas en este contrato (en particular, suficientes garantías del artículo 28). El Encargado seguirá siendo plenamente responsable frente al Responsable del cumplimiento por parte del subencargado.

El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados por correo electrónico a la dirección de contacto designada (cláusula 11) y con una antelación mínima de 15 días naturales antes de que el nuevo subencargado comience a tratar datos, dando al Responsable la oportunidad de oponerse a dichos cambios por motivos razonables relacionados con la protección de datos. Aceptar durante ese plazo una versión actualizada de los textos del Servicio no supone renunciar a este derecho de oposición. El cómputo del plazo se inicia con el envío de esa notificación. En caso de oposición fundada que no pueda resolverse, el Responsable podrá resolver el uso del Servicio.

Este plazo es el mismo que figura en el apartado 4 de la relación de subencargados publicada en https://gestoflou.com/legal/subencargados, que forma parte de este contrato por remisión.

7. Transferencias internacionales de datos

Cuando la prestación del Servicio implique una transferencia internacional de datos a un tercer país u organización internacional, el Encargado garantiza que dicha transferencia se ampara en alguno de los mecanismos del Capítulo V del RGPD (decisión de adecuación, cláusulas contractuales tipo u otras garantías adecuadas del artículo 46).

En particular, en el tratamiento de los documentos mediante inteligencia artificial, el Encargado:

• Dirige el tratamiento únicamente a proveedores de inferencia que tratan los datos en la Unión Europea o en Estados Unidos, amparados en el Marco de Privacidad de Datos UE-EE. UU. y/o en cláusulas contractuales tipo, y nunca a proveedores establecidos en China.
• Exige que los proveedores no utilicen los datos para entrenar modelos y aplica la retención cero de datos en la extracción.

Estas garantías se refieren a la extracción documental, única vía por la que circula el contenido de los documentos. Los asistentes de texto del Servicio no siguen esa vía: funcionan con OpenAI, no se les envían documentos ni datos extraídos de ellos, y reciben únicamente la conversación y, en el asistente de la herramienta, el nombre del usuario, el de su asesoría y la pantalla en la que se encuentra.

Tampoco sigue esa vía el subencargado que se incorpora el 19 de octubre de 2026, Hetzner Online GmbH, que custodia en la Unión Europea las copias de seguridad cifradas del Servicio (cláusula 5 bis, letra v) y no genera transferencia internacional.

El detalle por subencargado figura en el Anexo III. El Encargado se compromete a mantener actualizada la verificación documental de dichas garantías.

8. Notificación de violaciones de seguridad

El Encargado notificará al Responsable, sin dilación indebida y, siempre que sea posible, en un plazo máximo de 48 horas desde que tenga constancia de ellas, las violaciones de la seguridad de los datos personales que afecten a datos tratados por cuenta del Responsable, facilitándole la información necesaria (naturaleza de la violación, categorías y número aproximado de interesados afectados, posibles consecuencias y medidas adoptadas o propuestas) para que el Responsable pueda, en su caso, cumplir con las obligaciones de notificación de los artículos 33 y 34 del RGPD.

9. Responsabilidad

Cada parte responderá frente a la otra y frente a los interesados y autoridades de los daños y perjuicios que cause por el incumplimiento de sus respectivas obligaciones conforme al RGPD y a este contrato, en los términos del artículo 82 del RGPD. El Responsable responde de la licitud del tratamiento y de la base jurídica de los datos que encomienda; el Encargado, del cumplimiento de las obligaciones que la normativa impone a los encargados.

10. Legislación aplicable y jurisdicción

Este contrato se rige por la legislación española y de la Unión Europea en materia de protección de datos. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de [LUGAR], salvo que una norma imperativa disponga otro fuero.

11. Dirección de contacto para notificaciones

A los efectos de este contrato, de la relación de subencargados y de la notificación de violaciones de seguridad de la cláusula 8, se considera dirección de contacto designada por el Responsable la del correo electrónico de la cuenta de su administrador en el Servicio.

El Responsable puede designar una dirección distinta —por ejemplo la de su Delegado de Protección de Datos o la de su asesoría jurídica— desde Ajustes › Tu nombre y el de tu asesoría, dentro del propio Servicio. La designación surte efecto desde que se guarda y puede cambiarse en cualquier momento; mantenerla al día es responsabilidad del Responsable.

El Encargado conserva registro del envío de cada notificación —a qué dirección, de qué aviso y en qué fecha— por ser esa fecha la que inicia el cómputo de los plazos de preaviso. Ese registro se conserva con independencia de que el Responsable cause baja.

En prueba de conformidad, las partes firman el presente contrato.

ANEXO I — Descripción del tratamiento

• Objeto del tratamiento: lectura, clasificación y extracción de datos de los documentos fiscales y contables que el Responsable (o su cliente final, a través del portal o del buzón de correo electrónico) sube al Servicio; generación de ficheros de importación contable e informes; recepción y custodia temporal de los originales aportados por el cliente final hasta su aceptación y procesamiento por el Responsable; archivo sellado de los originales que el Responsable decida archivar; y mantenimiento del registro de exportaciones y validaciones del Responsable.
• Naturaleza del tratamiento: operaciones automatizadas de lectura y extracción de texto, análisis mediante inteligencia artificial y comprobaciones automáticas, clasificación, extracción estructurada de datos y generación de ficheros de salida; y operaciones de almacenamiento: los ficheros originales —de los lotes de la herramienta del gestor, del portal del cliente, del buzón de correo electrónico y del archivo documental— se conservan en almacenamiento privado en la Unión Europea, y los del lote se suprimen al eliminarlo; los datos extraídos de cada trabajo se conservan temporalmente hasta que el Responsable los recoge; y se conservan además metadatos contables (identificación de las facturas procesadas —NIF del emisor y número—, importes y descripciones breves, ficheros de enlace contable generados, plan de cuentas, registro de lotes y registro de validaciones). Desde el 19 de octubre de 2026 se añade la copia de seguridad diaria cifrada de la base de datos y de los originales, custodiada en la Unión Europea por un subencargado distinto (cláusula 5 bis, letra v).
• Finalidad: asistir al Responsable en el triaje y la preparación contable del lote mensual de documentos de sus clientes, con garantías de no duplicación de asientos y trazabilidad, y facilitarle la recepción y el archivo de los originales.
• Tipos de datos personales:
• Datos identificativos: nombre, NIF/DNI y dirección de terceros (proveedores, clientes, empleados del cliente del Responsable).
• Datos económico-financieros: importes, números de factura, IBAN y movimientos de extractos bancarios.
• Datos laborales y de nómina, que pueden incorporar categorías especiales (art. 9 RGPD): datos de salud (bajas/incapacidad temporal) o de afiliación sindical inferibles de las cuotas.
• Categorías de interesados: terceros que figuran en los documentos del Responsable (proveedores, clientes, empleados, autónomos y demás personas físicas identificadas o identificables en facturas, nóminas, extractos y documentos análogos), así como las personas de contacto del cliente final invitadas al portal (nombre y correo electrónico de acceso).
• Duración: la del uso del Servicio. Los originales de los lotes de la herramienta del gestor y los datos extraídos de cada trabajo son copias de trabajo transitorias; los originales del portal, del buzón de correo electrónico y del archivo documental, y los metadatos contables descritos, se conservan de forma indefinida mientras el Responsable sea cliente, con la ventana de 60 días naturales para devolución o supresión a la terminación. Las copias de seguridad cifradas del Servicio caducan como máximo 45 días después de que el dato se suprima (cláusula 5 bis, letra v). El régimen completo es el de la cláusula 5 bis.

ANEXO II — Medidas de seguridad (artículo 32 RGPD)

El Encargado aplica, entre otras, las siguientes medidas técnicas y organizativas:

• Minimización: solo se trata el contenido necesario para prestar el Servicio; los datos extraídos de cada trabajo se conservan solo hasta que el Responsable los recoge (cláusula 5 bis, letra i), y se limita la información que se envía a los proveedores de inteligencia artificial.
• Almacenamiento privado y control de acceso por asesoría: los originales que se conservan (lotes del gestor, portal, buzón y archivo documental) reposan en almacenamiento privado en la Unión Europea, sin acceso público, y solo se descargan mediante enlaces de corta duración, emitidos tras la autenticación del usuario. Cada asesoría solo accede a sus propios datos; el portal del cliente final aplica además un flujo de aprobación por la asesoría.
• Integridad y trazabilidad: los originales archivados quedan sellados y registrados de forma que puede comprobarse que no se han alterado, en un registro que no admite modificación ni borrado desde la aplicación del usuario; las validaciones humanas quedan en un registro de auditoría que solo admite nuevas anotaciones.
• Autenticación y control de acceso: acceso al Servicio por invitación y sin registro público, sea cual sea el método de entrada: sin invitación previa, ningún intento de acceso crea una cuenta. El cliente final accede al portal con su propia cuenta, creada por invitación de la asesoría y vinculada a su cliente. Acceso del personal según el principio de mínimo privilegio, restringido y sujeto a deber de confidencialidad.
• Cifrado: las comunicaciones se cifran en tránsito, y la base de datos, los ficheros almacenados y las copias de seguridad se cifran en reposo.
• Gestión de secretos: las credenciales de acceso a los proveedores residen exclusivamente en el servidor y nunca se exponen al navegador del usuario.
• Garantías frente a los proveedores de IA: prohibición de uso de los datos para entrenar modelos, retención cero de datos en la extracción, tratamiento solo en la Unión Europea o en Estados Unidos, amparado en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo, y nunca proveedores establecidos en China.
• Minimización en registros y monitorización de errores: no se registra el contenido de los documentos. La monitorización de errores, con los datos en la Unión Europea, recibe únicamente mensajes de error y trazas técnicas, depuradas de datos personales antes del envío.
• Copias de seguridad y capacidad de restaurar (art. 32.1.c RGPD): desde el 19 de octubre de 2026, copia diaria de la base de datos y de los originales, cifrada en origen con una clave que no se entrega al proveedor de almacenamiento, custodiada en la Unión Europea, con aviso automático cuando una copia no llega a completarse y con la conservación de la cláusula 5 bis, letra (v). El Encargado se compromete a comprobar que el Servicio puede restaurarse a partir de esas copias —la primera vez en las semanas siguientes a la primera copia y después al menos una vez al año—, en un entorno aislado situado en la Unión Europea que se suprime al terminar, y a dejar constancia fechada del resultado; y, si hubiera que restaurar el Servicio, a volver a aplicar antes de reabrirlo las supresiones posteriores a la copia utilizada de las que quede constancia (cláusula 5 bis, letra v).
• Resiliencia y mejora continua: revisión periódica de las medidas, de la relación de subencargados y sus garantías, y de la vigencia y la conservación de las copias de seguridad.

ANEXO III — Relación de subencargados

La relación actualizada se mantiene publicada en https://gestoflou.com/legal/subencargados. A título informativo, a la fecha de esta plantilla incluye:

Stripe no tiene acceso a los documentos tratados en el Servicio. Los accesos que cualquier subencargado realice desde fuera del Espacio Económico Europeo se amparan en las garantías de la cláusula 7.