Acuerdo de encargo de tratamiento

Entre Invoid Vision B.V., una sociedad belga de responsabilidad limitada registrada con el número KBO/BCE 0777.887.045, con domicilio social en Balegemstraat 17/7, 9860 Oosterzele, Bélgica, que opera bajo el nombre comercial Dokus («nosotros»), y la empresa o persona titular del espacio de trabajo («usted»).

Respecto a los datos personales de los documentos y registros que usted introduce en Dokus, usted es el responsable del tratamiento y nosotros el encargado del tratamiento. Respecto a los datos que recopilamos para gestionar su cuenta y este sitio web, el responsable del tratamiento somos nosotros, y la política de privacidad se ocupa de ello.

Si da acceso a su espacio de trabajo a su contable o a la persona que le lleva los libros, nos está instruyendo para que les mostremos sus registros. Los ven en modo de solo lectura y no pueden modificarlos. Esa comunicación es una instrucción suya, y de lo que hagan después con los registros responden ellos como responsables del tratamiento independientes.

El Anexo 1 establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, las categorías de datos personales y las categorías de interesados. En resumen:

• Objeto: los datos personales contenidos en los documentos, registros y mensajes que usted introduce en Dokus, y los datos necesarios para gestionar su cuenta.
• Duración: mientras usted tenga un espacio de trabajo y hasta que la eliminación se complete conforme a la sección 9.
• Finalidad: almacenamiento, extracción, clasificación, emparejamiento, recuperación, emisión de facturas y transmisión Peppol, sincronización bancaria, notificaciones, soporte, seguridad y facturación.
• Interesados: usted, su personal, sus clientes y proveedores, y cualquier persona nombrada en un documento que suba.
• Datos: identificación y datos de contacto, registros financieros, datos de transacciones bancarias, contenido de facturas y contratos, y cualquier otro dato personal que contenga un documento.

Tratamos los datos únicamente siguiendo sus instrucciones documentadas. Esas instrucciones son los Términos del Servicio, este acuerdo y las decisiones que usted toma en el producto, como conectar un banco, activar la exportación por correo electrónico o dar acceso a un contable.

No utilizamos sus datos para fines propios y no los vendemos.

Si una instrucción parece infringir la normativa de protección de datos, se lo decimos antes de ejecutarla, salvo que la ley nos lo prohíba.

Todas las personas que pueden acceder a datos de clientes están sujetas a confidencialidad, sean personal propio o colaboradores externos. El acceso se limita a quienes lo necesitan para soporte, seguridad o una obligación legal, y cada acceso de este tipo queda registrado en su historial de actividad.

Aplicamos las medidas técnicas y organizativas del Anexo 2. Cubren el control de acceso, el cifrado en tránsito, las copias de seguridad cifradas, la separación entre espacios de trabajo, el registro de actividad, la supervisión y la respuesta ante incidentes.

No nos atribuimos certificaciones que no tenemos. No contamos con certificación ISO 27001 ni SOC 2, y la página de continuidad lo indica.

Usted nos autoriza a utilizar los subencargados que figuran en la sección 4 de la política de privacidad. Cada uno está vinculado por un acuerdo de encargo de tratamiento con nosotros y solo trata datos personales siguiendo nuestras instrucciones.

Esa sección también nombra a los destinatarios que no son subencargados. La conexión bancaria la proporciona Ponto, un servicio de Isabel NV/SA. Isabel NV/SA y el banco que usted conecte actúan como responsables del tratamiento independientes en virtud de la PSD2, y no les resulta aplicable ningún acuerdo de encargo de tratamiento.

Publicamos cada nuevo subencargado en esa página antes de que empiece a tratar datos para usted, y la fecha que figura al principio de esta página cambia con esa publicación. Si se opone por motivos razonables de protección de datos, puede dejar de utilizar la función afectada o poner fin al acuerdo. No consideraremos una objeción como un incumplimiento.

La versión alojada de Dokus guarda sus documentos y los registros derivados de ellos en Bélgica. Algunos subencargados están fuera del Espacio Económico Europeo, y la política de privacidad los nombra. Esas transferencias están cubiertas por las cláusulas contractuales tipo (2021/914) y las garantías adicionales que exige el RGPD.

Un despliegue privado se ejecuta en su propio entorno. Esta sección solo se aplica a los datos que usted decida enviarnos para soporte.

El asistente opcional Ask envía a Anthropic PBC (Estados Unidos) su pregunta y los registros necesarios para responderla, bajo un acuerdo de encargo de tratamiento, y nunca se usan para entrenamiento.

Cuando el procesamiento de documentos en la nube está configurado, la extracción y la clasificación también las realiza Anthropic. Cuando no lo está, se ejecutan en infraestructura que operamos en Bélgica. Anthropic figura como subencargado para ambas finalidades en la política de privacidad.

Ninguna otra parte de Dokus envía contenido de documentos a un proveedor de modelos.

Sus documentos permanecen en su espacio de trabajo mientras esté activo.

Cuando elimina un espacio de trabajo desde el producto, la solicitud queda registrada y puede anularse durante 30 días. Pasado ese plazo, el espacio de trabajo se elimina: los documentos, los registros derivados de ellos, las conexiones bancarias, la inscripción en Peppol y los datos de la cuenta. La eliminación la realiza nuestro equipo y no es automática; se completa en los 30 días siguientes al final de ese período. Confirmamos por escrito cuando está hecha.

Cuando nos pide por correo electrónico que eliminemos su cuenta, verificamos la solicitud y completamos la eliminación en un plazo de 30 días.

Algunos registros se conservan tras la eliminación cuando la legislación belga lo exige. Las facturas y los documentos contables pueden conservarse hasta 10 años, limitados únicamente a esa finalidad legal.

El historial operativo se conserva durante 24 meses: el registro de actividad y el historial de conversaciones del asistente. Las copias de seguridad se mantienen en una rotación de 30 copias diarias y 12 mensuales, y se eliminan a medida que salen de la rotación.

Si alguien le solicita acceso, rectificación o supresión de datos que conservamos por cuenta suya, díganoslo y, en un plazo de 10 días hábiles, le facilitaremos lo necesario para responder. No respondemos directamente a esa persona salvo que usted nos lo pida.

Le ayudamos con una evaluación de impacto relativa a la protección de datos o con una consulta previa cuando el tratamiento lo haga necesario.

Le notificamos sin demora indebida en cuanto tenemos constancia de una violación de datos personales que afecte a sus datos, y en todo caso en un plazo de 72 horas. La notificación describe qué ocurrió, los datos afectados, las consecuencias probables y lo que hemos hecho al respecto.

Mantenemos un registro de la violación y le informamos de lo que hemos hecho para contenerla.

Puede solicitarnos lo que necesite para demostrar que el tratamiento es conforme: este acuerdo, la lista de subencargados, las medidas del Anexo 2 y las respuestas a un cuestionario de seguridad. Respondemos a las preguntas de seguridad y de compras en un plazo de un día hábil.

Una visita a nuestras instalaciones o sistemas requiere una solicitud por escrito, un preaviso de al menos 30 días y un acuerdo de confidencialidad. Acordamos el alcance, el calendario y quién corre con los gastos antes de la visita. Como alternativa, podemos atender la solicitud con un informe de un auditor independiente.

La responsabilidad derivada de este acuerdo está sujeta a la limitación de responsabilidad prevista en los Términos del Servicio. Nada de lo aquí dispuesto limita una responsabilidad que la ley no permita limitar.

Este acuerdo está vigente mientras tratemos datos para usted y termina cuando la eliminación se completa.

Podemos modificarlo para reflejar un cambio en el servicio, en la ley o en un subencargado. La versión y la fecha que figuran al principio de la página cambian con la modificación, y publicamos el cambio antes de que entre en vigor. Si un cambio reduce sustancialmente sus derechos, puede oponerse y poner fin al acuerdo.

Se rige por la ley belga. Las controversias se someten a la cláusula de ley aplicable y jurisdicción de los Términos del Servicio.

Este acuerdo está redactado en inglés. Las demás versiones lingüísticas se facilitan para que pueda leerlo en su propio idioma; si difieren, prevalece la versión en inglés.

Este anexo detalla el tratamiento descrito en la sección 2.

• Categorías de datos personales: datos de identificación y de contacto; registros financieros como facturas, recibos, extractos bancarios y contratos; identificadores de cuentas bancarias, saldos y transacciones; correspondencia y mensajes de soporte; y cualquier dato personal contenido en un documento que suba.
• Categorías de interesados: usted y su personal; sus clientes; sus proveedores y otras contrapartes; y las personas nombradas en sus documentos.
• Naturaleza del tratamiento: recogida, almacenamiento, extracción, clasificación, emparejamiento, recuperación, estructuración, transmisión y eliminación.
• Finalidad: mantener sus registros al día, preparar y enviar facturas por Peppol, emparejar transacciones bancarias, informar de la situación del IVA, responder a preguntas mediante Ask, exportar registros a su contable y gestionar la cuenta.
• Duración: la vigencia del acuerdo y, después, los plazos de conservación de la sección 9.
• Categorías especiales: Dokus no está diseñado para datos de categorías especiales. Si un documento que usted sube los contiene, se tratan siguiendo su instrucción como cualquier otro contenido.

Las medidas que aplicamos a los datos descritos en el Anexo 1.

• Control de acceso: autenticación mediante enlace por correo electrónico o contraseña, permisos basados en roles y sesiones de soporte con límite de tiempo, registradas en su historial de actividad.
• Cifrado en tránsito: TLS en todos los puntos de conexión públicos y TLS entre la aplicación y su base de datos.
• Cifrado en reposo: las copias de seguridad se cifran con restic antes de salir del host. El almacenamiento de documentos y la base de datos residen en volúmenes con control de acceso en infraestructura que operamos.
• Separación: cada consulta se limita a un único espacio de trabajo y no existe ninguna vía de lectura entre espacios de trabajo.
• Registro: un registro de actividad de cada cambio, conservado durante 24 meses, y alertas sobre inicios de sesión fallidos y accesos inusuales.
• Copias de seguridad: 30 copias diarias y 12 mensuales, cifradas, eliminadas a medida que salen de la rotación.
• Supervisión: las alertas de disponibilidad y de errores llegan a las personas que construyen y operan el servicio.
• Respuesta ante incidentes: un único punto de contacto, la notificación de la sección 11 y un registro escrito del incidente.
• Eliminación: según lo descrito en la sección 9, confirmada por escrito.
• Personas: acceso limitado a quienes lo necesitan, bajo confidencialidad.