Este acuerdo forma parte de las Condiciones de prestación de servicios Finomo (en adelante, «el Contrato») y regula el tratamiento de datos personales que el Prestador realiza por cuenta del Cliente. Cliente (responsable del tratamiento): la persona física o jurídica identificada en la contratación. Prestador: Evgenii Ustinov, NIF Z2074293C, Juan Caturla Gosalvez 2, 03005 Alicante; gdpr@finomo.es. El Prestador actúa como encargado del tratamiento respecto de los datos de terceros de la actividad del Cliente y de la preparación y transmisión de sus declaraciones (cláusula 3.1), y como responsable del tratamiento respecto de los datos de cuenta, contratación, facturación, cobro y seguridad del Cliente y de la comprobación de identidad del poderdante (cláusula 3.2). Normativa aplicable: Reglamento (UE) 2016/679 (RGPD), Ley Orgánica 3/2018 (LOPDGDD) y la normativa que las desarrolle o sustituya. Los términos «datos personales», «tratamiento», «responsable», «encargado», «interesado» y «violación de la seguridad» tienen el significado del artículo 4 del RGPD.
1.1 El Cliente encarga al Prestador el tratamiento de los datos personales necesarios para prestar el servicio Finomo descrito en el Contrato, en los términos de este acuerdo y de su Anexo I.
1.2 Este acuerdo prevalece sobre cualquier otra estipulación del Contrato en materia de protección de datos.
2.1 El encargo tiene la misma duración que el Contrato y se extiende al período de consulta y descarga posterior al cierre previsto en el Contrato, durante el cual el Prestador únicamente conserva, muestra y exporta los datos por instrucción del Cliente.
2.2 Al finalizar ese período se aplica la cláusula 12.
3.1 El Prestador actúa como encargado del tratamiento respecto de los datos personales de terceros (compradores, proveedores, trabajadores, colaboradores u otros) que el Cliente aporta o genera en la plataforma en el ejercicio de su actividad económica, y respecto de la preparación automática de las declaraciones relativas a esa actividad y, tras la aprobación de cada una por el Cliente, de su transmisión a la AEAT o de la entrega del fichero para que el Cliente la presente, conforme a sus instrucciones. A estos tratamientos se aplica este acuerdo.
3.2 El Prestador actúa como responsable del tratamiento respecto de: (a) los datos de identificación, contratación, facturación, cobro y seguridad del Cliente; (b) la copia del documento de identidad (DNI, NIE o TIE) que carga el Cliente y el resultado de la comprobación de que el titular de la cuenta es el poderdante, que se conservan durante la vigencia del Contrato y cinco años después de su terminación y se utilizan solo para esa finalidad (cláusula 6.1 del Contrato). A estos tratamientos se aplica la Política de privacidad, no este acuerdo.
3.3 La aprobación de una declaración por el Cliente y el apoderamiento otorgado ante la AEAT no modifican esta distribución de roles.
4.1 El tratamiento comprende la recogida, registro, estructuración, conservación, consulta, cálculo, extracción, comunicación a la Agencia Estatal de Administración Tributaria (AEAT) por cuenta del Cliente, exportación, bloqueo y supresión de los datos.
4.2 Las finalidades son exclusivamente las necesarias para: emitir y conservar facturas; registrar ingresos y gastos; comprobar en el sistema VIES los NIF-IVA de las contrapartes intracomunitarias; preparar automáticamente, conforme a las reglas codificadas en el software, los borradores de las declaraciones tributarias y de sus correcciones; comprobar, en su caso, antes de poner un borrador a disposición del Cliente, que el cálculo sigue las reglas codificadas y los documentos cargados, como control de calidad del software previsto en la cláusula 2.4 del Contrato y sin modificar los datos del Cliente; tras la aprobación de cada declaración por el Cliente, transmitir a la AEAT exactamente la versión aprobada, cuando exista apoderamiento inscrito y suficiente, o facilitar al Cliente el fichero para su presentación; remitir registros de facturación cuando el Cliente active la modalidad correspondiente; conservar y exportar la documentación.
4.3 Los tipos de datos, las categorías de interesados y las operaciones se describen en el Anexo I.
5.1 Instrucciones. Tratar los datos únicamente conforme a las instrucciones documentadas del Cliente. Se consideran instrucciones documentadas: el Contrato, este acuerdo, la configuración que el Cliente realiza en la plataforma, la aportación de documentos, la solicitud de exportación y la aprobación de cada declaración conforme al Anexo IV. Si el Prestador considera que una instrucción infringe la normativa de protección de datos, informará inmediatamente al Cliente y podrá suspender su ejecución hasta recibir instrucciones lícitas. La mera confirmación no legitima una instrucción contraria a la normativa.
5.2 Registro de actividades. Mantener por escrito el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente conforme al artículo 30.2 del RGPD.
5.3 Confidencialidad. Garantizar que las personas autorizadas para tratar los datos (actualmente, únicamente el propio Prestador; no hay personal ni sustituto designado) están sujetas al deber de confidencialidad, también después de terminar su relación con el Prestador. Cualquier incorporación futura de personal requerirá compromiso escrito de confidencialidad y formación previa.
5.4 Seguridad. Aplicar las medidas técnicas y organizativas del Anexo II, revisarlas al menos una vez al año y adaptarlas cuando cambien los riesgos, sin reducir el nivel de protección durante la vigencia del Contrato.
5.5 Subencargados. Recurrir únicamente a los subencargados autorizados conforme a la cláusula 6.
5.6 Derechos de los interesados. Asistir al Cliente, mediante las funciones de la plataforma y, cuando sea necesario, mediante actuación directa, en la atención de las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si un interesado se dirige directamente al Prestador, este le informará de que debe dirigirse al Cliente y remitirá la solicitud al Cliente en un plazo máximo de dos días laborables.
5.7 Violaciones de la seguridad. Notificar al Cliente cualquier violación de la seguridad que afecte a los datos objeto del encargo sin dilación indebida desde que tenga conocimiento de ella, sin esperar a reunir toda la información y completándola por fases, con la información y el procedimiento del Anexo III, y colaborar en las notificaciones que el Cliente deba realizar a la Agencia Española de Protección de Datos y a los interesados.
5.8 Evaluaciones de impacto y consulta previa. Poner a disposición del Cliente la información sobre el tratamiento y las medidas de seguridad necesaria para realizar, en su caso, evaluaciones de impacto y consultas previas a la autoridad de control.
5.9 Cumplimiento y auditoría. Facilitar al Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitir y contribuir a las auditorías e inspecciones que el Cliente o un auditor por él designado realicen, previa coordinación razonable de fecha, alcance y confidencialidad, protegiendo los datos de otros clientes y los secretos del Prestador. No se imponen límites de frecuencia que impidan una verificación necesaria.
5.10 Ubicación y acceso. Documentar destinatarios, roles, países y operaciones conforme al Anexo I. El Prestador accede a los datos objeto del encargo únicamente a través de una conexión VPN, también durante los viajes y fuera del Espacio Económico Europeo, sin un régimen distinto para los viajes; el acceso del propio operador no constituye una transferencia a un tercero. Cualquier acceso de un tercero desde fuera del EEE se examina con los criterios del capítulo V del RGPD y las garantías correspondientes.
5.11 Finalidades propias. No utilizar los datos objeto del encargo para finalidades propias, ni para entrenar sistemas de inteligencia artificial, ni comunicarlos a terceros salvo obligación legal, en cuyo caso informará al Cliente antes de la comunicación cuando la ley lo permita.
6.1 El Cliente autoriza de forma general al Prestador a recurrir a los subencargados identificados en el Anexo I para las funciones allí descritas.
6.2 El Prestador comunica al Cliente, por correo electrónico y en la plataforma, cualquier incorporación o sustitución de subencargados con no menos de quince días de antelación a su efectividad. El Cliente puede oponerse por escrito a gdpr@finomo.es antes de esa fecha, indicando motivos razonables relativos a la protección de datos. El Prestador examina la oposición y, si no puede ofrecer una alternativa que la atienda, el Cliente puede poner fin al encargo y al Contrato sin penalización y obtener la devolución de sus datos conforme a la cláusula 12. Si el proveedor no concede al Prestador el preaviso suficiente, el Prestador informa al Cliente en cuanto tenga conocimiento del cambio.
6.3 El Prestador impone a cada subencargado, mediante contrato, obligaciones equivalentes a las de este acuerdo, en particular garantías suficientes de medidas técnicas y organizativas, y sigue siendo responsable ante el Cliente del cumplimiento de sus subencargados. Se distingue un subencargado real de un destinatario que actúa como responsable independiente, como la AEAT o el proveedor de servicios de pago respecto de los cobros propios del Prestador.
6.4 No existe personal ni sustituto profesional incorporado al tratamiento. Cualquier incorporación futura requiere determinar su función, autorización y garantías antes de darle acceso.
7.1 Garantizar que los datos que aporta han sido obtenidos lícitamente, que dispone de base jurídica para su tratamiento y que ha informado a sus propios interesados conforme a los artículos 13 y 14 del RGPD.
7.2 Impartir instrucciones lícitas y decidir sobre la inclusión de datos de categorías especiales en los documentos que aporta.
7.3 Atender las solicitudes de derechos de sus interesados, utilizando las funciones de la plataforma y la asistencia del Prestador.
7.4 Cumplir sus propias obligaciones de conservación de facturas, libros y justificantes durante los plazos legales, con independencia de la conservación que realice el Prestador.
7.5 Mantener la confidencialidad de sus credenciales de acceso y utilizar las medidas de protección de la cuenta que la plataforma ponga a su disposición.
8.1 El servicio no está diseñado para tratar datos de categorías especiales de terceros. Si el Cliente incluye en facturas o documentos datos de salud, afiliación sindical, religión, orientación sexual, origen étnico, opiniones políticas o datos biométricos o genéticos de terceros, lo hace bajo su responsabilidad, disponiendo de la habilitación del artículo 9.2 del RGPD, y lo comunica al Prestador para aplicar las medidas de seguridad adicionales que procedan.
9.1 La plataforma permite al Cliente localizar, rectificar, exportar y suprimir los datos de terceros que ha registrado, dentro de los límites de las obligaciones legales de conservación de facturas y libros.
9.2 Cuando la supresión solicitada por un interesado del Cliente afecte a datos que el Cliente deba conservar por obligación legal, el Prestador facilitará la limitación del tratamiento y el bloqueo, y el Cliente informará al interesado del motivo de la conservación.
9.3 El Prestador ejecuta las supresiones, rectificaciones y limitaciones en la base de datos, en las exportaciones generadas con posterioridad y en los registros, y garantiza mediante el registro de supresiones que los datos suprimidos no vuelven a activarse tras una restauración de copias de seguridad.
10.1 El Prestador conserva los datos objeto del encargo durante la vigencia del Contrato y el período de consulta y descarga posterior, conforme a los plazos por categoría de la Política de privacidad.
10.2 Los datos técnicos temporales (diagnósticos, exportaciones temporales, cargas incompletas, borradores ordinarios de formularios en el navegador sin actividad) se eliminan en los plazos indicados en la Política de privacidad, sin afectar a la evidencia de las declaraciones presentadas.
11.1 Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el RGPD y este acuerdo le imponen en su condición de responsable o de encargado, conforme al artículo 82 del RGPD.
11.2 El Prestador responde de los incumplimientos de sus subencargados como si fueran propios.
11.3 El Contrato no establece un límite contractual cuantitativo de responsabilidad (cláusula 10.4 del Contrato). En ningún caso se limita la responsabilidad por las sanciones impuestas por la autoridad de control a una parte por incumplimientos imputables a la otra ni por los daños causados a los interesados.
12.1 A elección del Cliente responsable, el Prestador devolverá o suprimirá los datos por su cuenta y eliminará las copias, salvo conservación exigible por una obligación legal. La instrucción de devolución o supresión se documenta; no se infiere del silencio. El servicio de consulta y descarga posterior al cierre constituye una instrucción limitada de conservación y transición, no una obligación de conservar todo el expediente indefinidamente.
12.2 Tras finalizar efectivamente la prestación, el Cliente conserva gratuitamente la consulta y descarga de su expediente durante seis meses naturales si no consta la recepción completa del archivo. Cuando quede acreditada la primera descarga completa tras el cierre, el acceso termina tres meses naturales después, aunque la fecha sea posterior al límite inicial de seis meses. El Prestador comunica la fecha concreta de fin de acceso y supresión prevista y la actualiza al verificarse la descarga. Las descargas posteriores no reinician el plazo; una entrega incompleta o defectuosa imputable al Prestador se corrige y no acorta el derecho de acceso. Un clic, una exportación parcial o una transmisión fallida no acreditan la recepción completa.
12.3 Al cierre se envía un aviso inicial; después, recordatorios cada catorce días durante los tres primeros meses y cada siete días a continuación; durante el último mes natural anterior a la fecha de supresión prevista, cada tres días. Todos los correos indican la fecha concreta. El cierre se produce al finalizar realmente la prestación; cancelar la renovación no lo anticipa. Los meses se calculan en Europe/Madrid y el acceso dura hasta el final del día comunicado. El ZIP temporal caduca a los siete días y puede regenerarse mientras esté abierto el acceso. No se exige pagar una deuda, renovar ni revocar un poder para consultar, descargar o ejercer derechos.
12.4 Al finalizar el acceso se suprimen los datos que ya no deban conservarse. Las evidencias necesarias por una obligación aplicable o para atender responsabilidades se separan por categoría, finalidad, acceso y plazo, con restricción y bloqueo cuando corresponda. No se conserva indiscriminadamente todo el expediente. Las copias de seguridad siguen su ciclo específico y una restauración reaplica supresiones y restricciones antes de volver a habilitar datos. El plazo del archivo no sustituye los plazos legales.
12.5 La devolución comprende un formato estructurado y los documentos originales disponibles, con inventario y comprobación de integridad. Se registra el resultado de cada supresión o restricción y se facilita evidencia al Cliente a su solicitud, con las excepciones motivadas. Los derechos de los interesados no dependen del vencimiento del archivo.
13.1 Este acuerdo se modifica conforme al procedimiento de modificación del Contrato. Las modificaciones exigidas por cambios normativos o por requerimientos de la autoridad de control se comunican y aplican en el plazo que la norma o el requerimiento establezcan.
13.2 Se rige por la ley española; la jurisdicción es la prevista en el Contrato.
Objeto: prestación del servicio Finomo: facturación, registro de ingresos y gastos, preparación automática de declaraciones y transmisión a la AEAT de las aprobadas por el Cliente o entrega del fichero para su presentación, remisión de registros de facturación cuando esté activada, conservación y exportación.
Duración: vigencia del encargo y transición limitada posterior al cierre (seis meses sin recepción completa del archivo o tres meses desde la primera recepción completa, incluso más allá del límite inicial), conforme a la cláusula 12.
Naturaleza: recogida, registro, estructuración, conservación, consulta, cálculo, extracción, comunicación a la AEAT, exportación, bloqueo y supresión.
Finalidades: las de la cláusula 4.2.
Categorías de interesados: compradores y clientes del Cliente; proveedores y acreedores; trabajadores y colaboradores del Cliente, en su caso; representantes y personas de contacto de los anteriores; arrendadores o arrendatarios, en su caso.
Categorías de datos: identificativos (nombre, NIF, dirección); de contacto (correo, teléfono); económicos y de facturación (importes, conceptos, medios y fechas de cobro y pago, IBAN cuando figure en la factura); datos de la operación necesarios para la factura y los libros; NIF-IVA de las contrapartes intracomunitarias y resultado de su comprobación en VIES; importes y retenciones de las facturas recibidas de profesionales cuando el Cliente practique retenciones (modelos 111 y 190).
Categorías especiales: no previstas; en su caso, cláusula 8.
Personas autorizadas: actualmente, únicamente el titular del Prestador. No existe personal ni sustituto contratado.
Subencargado de alojamiento: IONOS SE (Alemania) y las entidades de su grupo, para el servidor virtual (VPS) en el que se alojan la base de datos, los documentos y las copias de seguridad locales. Ubicación del servidor: España.
Subencargado de correo electrónico: IONOS SE y las entidades de su grupo, para los buzones y el envío y recepción de correo de Finomo (avisos, soporte y comunicaciones con el Cliente). El Prestador no afirma que la totalidad de la cadena de IONOS (soporte, filtrado, copias del proveedor) se realice exclusivamente en España; se apoya en el contrato de encargo del tratamiento de IONOS y en sus garantías dentro del EEE. Los documentos recibidos por correo no se incorporan al cálculo sin su carga por el Cliente en la plataforma.
Subencargado de copia de seguridad externa (previsto, no operativo): IONOS Object Storage, región de Berlín (Alemania, EEE), como destino previsto de una copia diaria cifrada con conservación de treinta días y bloqueo de objetos que impida su supresión en ese plazo. Esta copia externa no está operativa: su contratación y su prueba de restauración están pendientes, y este subencargado no trata actualmente datos del Cliente. Hoy las copias se realizan únicamente en la infraestructura del servidor en España. El Prestador comunicará al Cliente su puesta en funcionamiento conforme a la cláusula 6.2.
Destinatarios que no son subencargados: la AEAT, como autoridad destinataria de las declaraciones aprobadas transmitidas con apoderamiento, de los registros de facturación cuando estén activados y de las consultas VIES; y Stripe Payments Europe, Limited (Irlanda), proveedor de servicios de pago de las cuotas propias del Prestador, que no trata los datos de los terceros del Cliente y se identifica en la Política de privacidad.
Transferencias internacionales: el Prestador no realiza transferencias propias fuera del EEE. El acceso del titular mediante VPN desde fuera del EEE durante viajes es un acceso del propio operador, no una comunicación a un tercero. El Prestador no afirma la ausencia absoluta de accesos de soporte desde terceros países por parte de sus proveedores; en tal caso se aplican las garantías del capítulo V previstas en los contratos de dichos proveedores.
El Prestador aplica y documenta las medidas siguientes, proporcionadas al riesgo del tratamiento. El Prestador no dispone de certificaciones de seguridad de terceros y no las invoca; las medidas se revisan al menos una vez al año y tras cada incidente. Las medidas identificadas expresamente como previstas no están operativas y no se computan entre las aplicadas.
Gobierno: inventario de activos y datos, asignación de responsabilidades (actualmente, únicamente el titular), gestión de cambios y credenciales individuales.
Control de acceso: principio de mínimo privilegio, autenticación reforzada del operador, gestión de sesiones, protección de credenciales, revocación de accesos y separación lógica entre clientes, con pruebas de aislamiento.
Cifrado: cifrado de las comunicaciones (TLS), protección de los documentos y de las copias de seguridad, gestión de claves separada del código. El alcance real del cifrado en reposo se documenta por recurso.
Certificado electrónico del Prestador: custodia restringida, control de caducidad, registro de uso y rotación.
Trazabilidad: registro protegido de contratos, declaraciones, poderes, accesos, exportaciones, ejercicio de derechos y operaciones externas. Los eventos de seguridad ordinarios se conservan seis meses; los vinculados a una investigación, mientras dure y se documente.
Copias de seguridad. Aplicadas: copias locales cifradas en la infraestructura del servidor en España, con restauración probada; una restauración reaplica supresiones y restricciones antes de volver a habilitar datos. Prevista, no operativa: copia externa diaria cifrada en IONOS Object Storage (Berlín) con conservación de treinta días y bloqueo de objetos; su contratación y su prueba de restauración están pendientes y no se computa entre las medidas aplicadas.
Derechos y borrado: ejecución por categoría y servicio, bloqueo y registro de supresiones y restricciones reaplicado al restaurar; archivo de tres o seis meses con avisos cada catorce, siete y tres días.
Entornos: separación entre los entornos de desarrollo, pruebas y producción; los entornos de prueba no comunican con la AEAT real y utilizan datos sintéticos.
Actualizaciones: evaluación y corrección de vulnerabilidades según su severidad, exposición y capacidad, con registro de las decisiones.
Dispositivos del operador: trabajo dentro de la plataforma, sin archivos fiscales persistentes de clientes en los dispositivos personales del operador; acceso a los datos únicamente mediante VPN, también en viajes y fuera del EEE.
Correo: canal de comunicaciones y soporte protegido con autenticación de dominio y control de errores de entrega; los documentos recibidos por correo no se incorporan al cálculo sin su carga por el Cliente en la plataforma.
Incidentes: contención, evaluación, registro, aviso al Cliente responsable y colaboración conforme al Anexo III.
Proveedores: identificación de cada proveedor, su función, países, accesos, contrato, cambios y salida, conforme al Anexo I.
La configuración y los documentos internos no se comunican indiscriminadamente si revelan secretos o datos de otros clientes; se facilita al Cliente evidencia suficiente para su control.
1. Detección y registro. Toda anomalía que pueda constituir una violación de la seguridad (acceso no autorizado, pérdida, alteración, divulgación o indisponibilidad de datos) se registra con fecha y hora de detección, origen y descripción inicial.
2. Contención. El Prestador adopta de inmediato las medidas de contención (revocación de credenciales, aislamiento de sistemas, bloqueo de accesos) y preserva la evidencia.
3. Evaluación. Se evalúan sin dilación las categorías, los interesados, los datos afectados, las consecuencias probables y las medidas. Un incidente técnico no se convierte automáticamente en violación notificable. Se documentan los hechos y el momento de conocimiento; la comunicación al Cliente no se retrasa por completar la investigación.
4. Notificación al Cliente. Sin dilación indebida desde que el Prestador tenga conocimiento de la violación y sin esperar a disponer de toda la información, completándola por fases, el Prestador comunica al Cliente por correo electrónico y en la plataforma: fecha y hora de detección y fecha estimada de inicio; descripción de la violación; categorías de datos e interesados afectados y número aproximado; consecuencias probables; medidas adoptadas y propuestas; punto de contacto (gdpr@finomo.es); e información adicional que se facilitará en fases.
5. Colaboración. El Prestador asiste al Cliente en la notificación a la Agencia Española de Protección de Datos (plazo de 72 horas desde que el Cliente tenga conocimiento) y en la comunicación a los interesados cuando exista alto riesgo, facilitando la información adicional a medida que esté disponible.
6. Tratamientos propios. Si el Prestador es responsable, aplica el artículo 33 del RGPD: notificación a la autoridad sin dilación indebida y, si es posible, dentro de las 72 horas desde el conocimiento, salvo que sea improbable el riesgo; una demora se motiva. El artículo 34 exige comunicación sin dilación al interesado en caso de alto riesgo, con sus excepciones. Se documenta también la decisión de no notificar.
7. Registro y revisión. Toda violación, notificada o no, se documenta en el registro de incidentes con sus hechos, efectos y medidas correctivas. Se revisan el análisis de riesgos y el Anexo II tras cada incidente.
Se consideran instrucciones documentadas del Cliente, a los efectos de la cláusula 5.1, las siguientes actuaciones realizadas en la plataforma desde su cuenta autenticada:
1. La configuración de su perfil fiscal, régimen, períodos y preferencias de cálculo.
2. La aportación, sustitución o supresión de documentos y el registro de operaciones.
3. La marca de los datos de un período como preparados («todos los datos preparados»), que inicia la preparación del borrador y no constituye su aprobación.
4. La aprobación de cada borrador de declaración o corrección, que constituye la orden de su transmisión o, sin apoderamiento, de la entrega del fichero para su presentación por el Cliente, con el registro de fecha, hora, dirección IP y huella digital del borrador aprobado, sin que la aceptación de un aviso automático permita la transmisión ni la entrega del fichero con datos sustanciales pendientes.
5. La activación de la modalidad de remisión de registros de facturación a la AEAT.
6. La solicitud de exportación, rectificación, limitación o supresión de datos.
7. La aceptación de la incorporación de un subencargado o la oposición a ella.
Cualquier instrucción distinta de las anteriores se formula por escrito a gdpr@finomo.es y se incorpora al registro de instrucciones con fecha.
Evgenii Ustinov · NIF Z2074293C
Juan Caturla Gosalvez 2, Alicante
Contacto: support@finomo.es
Datos personales: gdpr@finomo.es