Darrera actualització: 31 d’agost de 2026
1. Objecte i integració contractual
El present Contracte d’Encàrrec de Tractament (d’ara endavant, el “Contracte d’Encàrrec”) regula el tractament de dades personals que Conductiva Online Services, S.L. (NIF B65152100, C/ de la Llotja, sn, VIT, 08500 Vic, Barcelona, Espanya; d’ara endavant, l’“Encarregat” o “Conductiva”) realitza per compte de l’Usuari del servei FacturaDirecta (d’ara endavant, el “Responsable”), de conformitat amb el Reglament (UE) 2016/679 (“RGPD”) i la Llei Orgànica 3/2018 (“LOPDGDD”).
Aquest Contracte d’Encàrrec forma part integrant de l’Acord de servei i queda formalitzat amb la seva acceptació en crear el compte o en continuar utilitzant el servei. En matèria de protecció de dades, el que disposa aquest Contracte d’Encàrrec preval sobre qualsevol altra clàusula de l’Acord de servei.
2. Identificació de les parts i rols
- Responsable del tractament: la persona física o jurídica titular del compte de FacturaDirecta, identificada amb les dades declarades al mateix compte.
- Encarregat del tractament: Conductiva Online Services, S.L.
Aquest Contracte d’Encàrrec s’aplica a les dades personals que el Responsable introdueix al servei o que es generen pel seu ús (dades dels seus clients, proveïdors, empleats i altres tercers). No s’aplica a les dades que Conductiva tracta com a responsable (dades de registre, contacte i facturació del propi Usuari), que es regeixen per la Política de privacitat.
3. Descripció del tractament
Objecte. L’Encarregat tractarà per compte del Responsable les dades personals necessàries per a la prestació dels serveis de FacturaDirecta contractats, incloent-hi: l’allotjament, emmagatzematge, organització i tractament de la informació introduïda al servei; la generació, gestió, enviament i conservació de documents de facturació, comptables i laborals; l’escaneig i extracció automàtica de dades de documents; l’agregació d’informació bancària i la conciliació; la generació de registres de facturació i, quan correspongui, la seva signatura, encadenament i remissió a l’Agència Estatal d’Administració Tributària o altres administracions (VeriFactu, TicketBAI, Facturae/FACe); el cobrament de factures a través de proveïdors de pagament; i qualssevol altres operacions de tractament necessàries per a la prestació de les funcionalitats contractades.
Naturalesa. El tractament comprèn les operacions de recollida, registre, estructuració, conservació, modificació, extracció, consulta, utilització, comunicació (quan el Responsable l’ordeni o la llei l’exigeixi), acarament, bloqueig i supressió.
Finalitat. La prestació al Responsable dels serveis contractats, conforme a l’Acord de servei.
Durada. La de l’Acord de servei. Després de la seva terminació s’aplicarà el que preveu la clàusula 13.
Categories d’interessats. Clients i potencials clients del Responsable, proveïdors, empleats i col·laboradors, contactes professionals i, si escau, destinataris dels documents compartits a través del portal.
Categories de dades. Dades identificatives i de contacte (nom, NIF, adreça, email, telèfon), dades econòmiques, financeres i bancàries (imports, IBAN, moviments bancaris, mitjans de cobrament i pagament), dades de facturació i comptables i, si el Responsable utilitza les funcionalitats corresponents, dades laborals i de nòmina dels seus empleats. El servei no està dissenyat per tractar categories especials de dades (art. 9 RGPD); el Responsable es compromet a no introduir-les llevat que resultin imprescindibles i disposi de base jurídica per fer-ho (per exemple, dades incidentals contingudes en nòmines o justificants).
4. Instruccions del Responsable
L’Encarregat tractarà les dades únicament seguint instruccions documentades del Responsable. Les instruccions es deriven de l’Acord de servei, de la configuració i utilització del servei pel Responsable i els seus usuaris (incloses les operacions realitzades a través de l’API o d’integracions activades pel Responsable) i d’altres instruccions escrites comunicades a l’Encarregat. Si l’Encarregat considera que una instrucció infringeix el RGPD o una altra normativa de protecció de dades, n’informarà immediatament el Responsable.
5. Confidencialitat
L’Encarregat mantindrà el deure de secret respecte de les dades personals tractades, fins i tot després de finalitzar l’encàrrec, i garantirà que les persones autoritzades per tractar dades s’hagin compromès a respectar la confidencialitat, rebin la formació necessària i coneguin les mesures de seguretat aplicables.
6. Mesures de seguretat
L’Encarregat aplicarà les mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc (art. 32 RGPD), incloent-hi, entre d’altres: xifratge de les comunicacions (TLS); emmagatzematge irreversible de credencials d’accés i xifratge de les claus i secrets sensibles (incloses les claus de només lectura d’agregació bancària); control d’accés basat en rols i principi de mínim privilegi; separació d’entorns; còpies de seguretat periòdiques; registre d’activitat; allotjament en centres de dades de la Unió Europea amb certificacions de seguretat reconegudes; i procediments de gestió d’incidents i de verificació regular de l’eficàcia de les mesures.
7. Subencarregats
El Responsable atorga a l’Encarregat una autorització general per recórrer a altres encarregats del tractament (subencarregats) quan resulti necessari per a la prestació del servei.
L’Encarregat manté una llista pública i actualitzada de subencarregats, amb la seva identitat, finalitat, ubicació i, quan correspongui, el mecanisme aplicable a les transferències internacionals. L’Encarregat informarà de qualsevol incorporació o substitució prevista actualitzant aquesta llista amb almenys 30 dies d’antelació i, en el cas de canvis rellevants, mitjançant avís al propi servei o per email, donant al Responsable l’oportunitat de formular objeccions raonables abans que el nou subencarregat comenci a tractar dades. Si el Responsable formula una objecció raonable i no hi ha alternativa viable, podrà resoldre l’Acord de servei sense penalització.
L’Encarregat imposarà a cada subencarregat, mitjançant contracte, obligacions de protecció de dades equivalents a les d’aquest Contracte d’Encàrrec, i respondrà davant el Responsable del compliment dels seus subencarregats.
8. Transferències internacionals
Amb caràcter general, les dades es tracten a la Unió Europea. Quan la prestació d’un servei requereixi el tractament per subencarregats situats fora de l’Espai Econòmic Europeu (identificats a la llista de subencarregats), la transferència s’empara en les garanties del Capítol V del RGPD: decisions d’adequació de la Comissió Europea (inclòs, si escau, el Marc de Privacitat de Dades UE–EUA) o clàusules contractuals tipus aprovades per la Comissió Europea, complementades quan escaigui amb mesures addicionals.
9. Drets dels interessats
L’Encarregat assistirà el Responsable, tenint en compte la naturalesa del tractament i mitjançant les funcionalitats del propi servei o els canals de suport, en el compliment de la seva obligació de respondre a l’exercici dels drets d’accés, rectificació, supressió, oposició, limitació del tractament, portabilitat i a no ser objecte de decisions individualitzades automatitzades. Si un interessat exerceix els seus drets directament davant l’Encarregat, aquest ho comunicarà al Responsable sense dilació indeguda.
10. Assistència al Responsable
L’Encarregat assistirà el Responsable, tenint en compte la naturalesa del tractament i la informació de què disposi, en el compliment de les seves obligacions en matèria de seguretat del tractament, notificació de violacions de seguretat, avaluacions d’impacte i consultes prèvies a l’autoritat de control (arts. 32 a 36 RGPD).
11. Violacions de la seguretat de les dades
L’Encarregat notificarà al Responsable, sense dilació indeguda des que en tingui coneixement, qualsevol violació de la seguretat de les dades personals tractades per compte seu, a través dels canals de contacte del compte. La notificació inclourà, com a mínim i en la mesura que es disposi de la informació: la naturalesa de la violació; les categories i el nombre aproximat d’interessats i registres afectats; el punt de contacte on obtenir més informació; les possibles conseqüències; i les mesures adoptades o proposades per l’Encarregat per posar remei a la violació o mitigar-ne els efectes.
12. Informació i auditories
L’Encarregat posarà a disposició del Responsable la informació necessària per demostrar el compliment de les obligacions d’aquest Contracte d’Encàrrec, i permetrà i contribuirà a la realització d’auditories o inspeccions per part del Responsable o d’un auditor independent autoritzat per ell, en condicions raonables: amb un preavís mínim de 30 dies, en horari laboral, sense accés a informació d’altres clients ni a secrets empresarials de l’Encarregat i, com a màxim, una vegada l’any llevat que hi hagi un incident que ho justifiqui. Els costos de l’auditoria aniran a càrrec del Responsable.
13. Finalització de l’encàrrec: devolució, bloqueig i supressió
Durant la vigència del servei, el Responsable pot exportar les seves dades en qualsevol moment conforme a l’Acord de servei.
A la finalització del servei (eliminació del compte o extinció de l’Acord), l’Encarregat conservarà les dades bloquejades durant un termini màxim de 18 mesos, durant el qual el Responsable podrà sol·licitar-ne l’exportació gratuïta en un format estructurat i d’ús comú, o la seva supressió anticipada. Transcorregut aquest termini, l’Encarregat suprimirà les dades de forma definitiva.
Com a excepció, l’Encarregat podrà conservar bloquejades: (a) les dades necessàries mentre puguin derivar-se responsabilitats de l’execució de la prestació; i (b) aquelles dades subjectes a una obligació legal de conservació (en particular, els registres de facturació generats pels sistemes VeriFactu o TicketBAI i altra informació amb rellevància fiscal, durant els terminis previstos per la normativa tributària), únicament a disposició de les administracions i òrgans competents.
14. Obligacions del Responsable
Correspon al Responsable: facilitar a l’Encarregat únicament les dades necessàries per a la prestació del servei; garantir que disposa de base jurídica per al seu tractament i que ha complert el seu deure d’informació davant els interessats; atendre les consultes prèvies que corresponguin; i supervisar el tractament, inclosa la realització de les auditories previstes en aquest Contracte d’Encàrrec.
15. Responsabilitat, legislació i fur
Cada part respondrà dels danys que causi per l’incompliment de les obligacions que el RGPD li imposa específicament segons el seu rol. La interpretació i execució del present Contracte d’Encàrrec es regeixen per la legislació espanyola, amb el mateix règim de fur previst a l’Acord de servei.
Necessites un exemplar d’aquest contracte per a la teva documentació de compliment? Pots imprimir o desar aquesta pàgina en PDF. El contracte queda formalitzat amb l’acceptació de l’Acord de servei en crear el teu compte, sense necessitat de signatura addicional.