Última actualización: 31 de agosto de 2026
1. Objeto e integración contractual
El presente Contrato de Encargo de Tratamiento (en adelante, el “Contrato de Encargo”) regula el tratamiento de datos personales que Conductiva Online Services, S.L. (NIF B65152100, C/ de la Llotja, sn, VIT, 08500 Vic, Barcelona, España; en adelante, el “Encargado” o “Conductiva”) realiza por cuenta del Usuario del servicio FacturaDirecta (en adelante, el “Responsable”), de conformidad con el Reglamento (UE) 2016/679 (“RGPD”) y la Ley Orgánica 3/2018 (“LOPDGDD”).
Este Contrato de Encargo forma parte integrante del Acuerdo de servicio y queda formalizado con su aceptación al crear la cuenta o al continuar utilizando el servicio. En materia de protección de datos, lo dispuesto en este Contrato de Encargo prevalece sobre cualquier otra cláusula del Acuerdo de servicio.
2. Identificación de las partes y roles
- Responsable del tratamiento: la persona física o jurídica titular de la cuenta de FacturaDirecta, identificada con los datos declarados en la propia cuenta.
- Encargado del tratamiento: Conductiva Online Services, S.L.
Este Contrato de Encargo se aplica a los datos personales que el Responsable introduce en el servicio o que se generan por su uso (datos de sus clientes, proveedores, empleados y otros terceros). No se aplica a los datos que Conductiva trata como responsable (datos de registro, contacto y facturación del propio Usuario), que se rigen por la Política de privacidad.
3. Descripción del tratamiento
Objeto. El Encargado tratará por cuenta del Responsable los datos personales necesarios para la prestación de los servicios de FacturaDirecta contratados, incluyendo: el alojamiento, almacenamiento, organización y tratamiento de la información introducida en el servicio; la generación, gestión, envío y conservación de documentos de facturación, contables y laborales; el escaneo y extracción automática de datos de documentos; la agregación de información bancaria y la conciliación; la generación de registros de facturación y, cuando corresponda, su firma, encadenamiento y remisión a la Agencia Estatal de Administración Tributaria u otras administraciones (VeriFactu, TicketBAI, Facturae/FACe); el cobro de facturas a través de proveedores de pago; y cualesquiera otras operaciones de tratamiento necesarias para la prestación de las funcionalidades contratadas.
Naturaleza. El tratamiento comprende las operaciones de recogida, registro, estructuración, conservación, modificación, extracción, consulta, utilización, comunicación (cuando el Responsable la ordene o la ley la exija), cotejo, bloqueo y supresión.
Finalidad. La prestación al Responsable de los servicios contratados, conforme al Acuerdo de servicio.
Duración. La del Acuerdo de servicio. Tras su terminación se aplicará lo previsto en la cláusula 13.
Categorías de interesados. Clientes y potenciales clientes del Responsable, proveedores, empleados y colaboradores, contactos profesionales y, en su caso, destinatarios de los documentos compartidos a través del portal.
Categorías de datos. Datos identificativos y de contacto (nombre, NIF, dirección, email, teléfono), datos económicos, financieros y bancarios (importes, IBAN, movimientos bancarios, medios de cobro y pago), datos de facturación y contables y, si el Responsable utiliza las funcionalidades correspondientes, datos laborales y de nómina de sus empleados. El servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD); el Responsable se compromete a no introducirlas salvo que resulten imprescindibles y cuente con base jurídica para ello (por ejemplo, datos incidentales contenidos en nóminas o justificantes).
4. Instrucciones del Responsable
El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable. Las instrucciones se derivan del Acuerdo de servicio, de la configuración y utilización del servicio por el Responsable y sus usuarios (incluidas las operaciones realizadas a través de la API o de integraciones activadas por el Responsable) y de otras instrucciones escritas comunicadas al Encargado. Si el Encargado considera que una instrucción infringe el RGPD u otra normativa de protección de datos, informará de inmediato al Responsable.
5. Confidencialidad
El Encargado mantendrá el deber de secreto respecto de los datos personales tratados, incluso después de finalizar el encargo, y garantizará que las personas autorizadas para tratar datos se hayan comprometido a respetar la confidencialidad, reciban la formación necesaria y conozcan las medidas de seguridad aplicables.
6. Medidas de seguridad
El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD), incluyendo, entre otras: cifrado de las comunicaciones (TLS); almacenamiento irreversible de credenciales de acceso y cifrado de las claves y secretos sensibles (incluidas las claves de solo lectura de agregación bancaria); control de acceso basado en roles y principio de mínimo privilegio; separación de entornos; copias de seguridad periódicas; registro de actividad; alojamiento en centros de datos de la Unión Europea con certificaciones de seguridad reconocidas; y procedimientos de gestión de incidentes y de verificación regular de la eficacia de las medidas.
7. Subencargados
El Responsable otorga al Encargado una autorización general para recurrir a otros encargados del tratamiento (subencargados) cuando resulte necesario para la prestación del servicio.
El Encargado mantiene una lista pública y actualizada de subencargados, con su identidad, finalidad, ubicación y, cuando corresponda, el mecanismo aplicable a las transferencias internacionales. El Encargado informará de cualquier incorporación o sustitución prevista actualizando dicha lista con al menos 30 días de antelación y, en el caso de cambios relevantes, mediante aviso en el propio servicio o por email, dando al Responsable la oportunidad de formular objeciones razonables antes de que el nuevo subencargado comience a tratar datos. Si el Responsable formula una objeción razonable y no existe alternativa viable, podrá resolver el Acuerdo de servicio sin penalización.
El Encargado impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este Contrato de Encargo, y responderá frente al Responsable del cumplimiento de sus subencargados.
8. Transferencias internacionales
Con carácter general, los datos se tratan en la Unión Europea. Cuando la prestación de un servicio requiera el tratamiento por subencargados situados fuera del Espacio Económico Europeo (identificados en la lista de subencargados), la transferencia se ampara en las garantías del Capítulo V del RGPD: decisiones de adecuación de la Comisión Europea (incluido, en su caso, el Marco de Privacidad de Datos UE–EE. UU.) o cláusulas contractuales tipo aprobadas por la Comisión Europea, complementadas cuando proceda con medidas adicionales.
9. Derechos de los interesados
El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y mediante las funcionalidades del propio servicio o los canales de soporte, en el cumplimiento de su obligación de responder al ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individualizadas automatizadas. Si un interesado ejerce sus derechos directamente ante el Encargado, este lo comunicará al Responsable sin dilación indebida.
10. Asistencia al Responsable
El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en el cumplimiento de sus obligaciones en materia de seguridad del tratamiento, notificación de violaciones de seguridad, evaluaciones de impacto y consultas previas a la autoridad de control (arts. 32 a 36 RGPD).
11. Violaciones de la seguridad de los datos
El Encargado notificará al Responsable, sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por su cuenta, a través de los canales de contacto de la cuenta. La notificación incluirá, como mínimo y en la medida en que se disponga de la información: la naturaleza de la violación; las categorías y número aproximado de interesados y registros afectados; el punto de contacto donde obtener más información; las posibles consecuencias; y las medidas adoptadas o propuestas por el Encargado para poner remedio a la violación o mitigar sus efectos.
12. Información y auditorías
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones de este Contrato de Encargo, y permitirá y contribuirá a la realización de auditorías o inspecciones por parte del Responsable o de un auditor independiente autorizado por él, en condiciones razonables: con un preaviso mínimo de 30 días, en horario laboral, sin acceso a información de otros clientes ni secretos empresariales del Encargado y, como máximo, una vez al año salvo que exista un incidente que lo justifique. Los costes de la auditoría correrán a cargo del Responsable.
13. Finalización del encargo: devolución, bloqueo y supresión
Durante la vigencia del servicio, el Responsable puede exportar sus datos en cualquier momento conforme al Acuerdo de servicio.
A la finalización del servicio (eliminación de la cuenta o extinción del Acuerdo), el Encargado conservará los datos bloqueados durante un plazo máximo de 18 meses, durante el cual el Responsable podrá solicitar su exportación gratuita en un formato estructurado y de uso común, o su supresión anticipada. Transcurrido dicho plazo, el Encargado suprimirá los datos de forma definitiva.
Como excepción, el Encargado podrá conservar bloqueados: (a) los datos necesarios mientras puedan derivarse responsabilidades de la ejecución de la prestación; y (b) aquellos datos sujetos a una obligación legal de conservación (en particular, los registros de facturación generados por los sistemas VeriFactu o TicketBAI y demás información con relevancia fiscal, durante los plazos previstos por la normativa tributaria), únicamente a disposición de las administraciones y órganos competentes.
14. Obligaciones del Responsable
Corresponde al Responsable: facilitar al Encargado únicamente los datos necesarios para la prestación del servicio; garantizar que dispone de base jurídica para su tratamiento y que ha cumplido su deber de información frente a los interesados; atender las consultas previas que correspondan; y supervisar el tratamiento, incluida la realización de las auditorías previstas en este Contrato de Encargo.
15. Responsabilidad, legislación y fuero
Cada parte responderá de los daños que cause por el incumplimiento de las obligaciones que el RGPD le impone específicamente según su rol. La interpretación y ejecución del presente Contrato de Encargo se rigen por la legislación española, con el mismo régimen de fuero previsto en el Acuerdo de servicio.
¿Necesitas un ejemplar de este contrato para tu documentación de cumplimiento? Puedes imprimir o guardar esta página en PDF. El contrato queda formalizado con la aceptación del Acuerdo de servicio al crear tu cuenta, sin necesidad de firma adicional.