Contrato de encargado del tratamiento

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, la gestoría que crea una cuenta en ContaPilot (el responsable) y Javier Martínez Periche, NIF 47862704A (el encargado), acuerdan lo siguiente al aceptar este contrato en el registro.

1. Objeto y duración

El encargado trata, por cuenta del responsable, los datos contenidos en los extractos bancarios que el responsable sube a ContaPilot, con la única finalidad de transcribirlos, comprobarlos y generar los ficheros de exportación. El contrato dura mientras exista la cuenta.

2. Datos y personas afectadas

Datos identificativos y económicos (titular de la cuenta, IBAN, movimientos, conceptos, importes y saldos) de los clientes del responsable y de terceros que aparecen en los movimientos.

3. Obligaciones del encargado

• Tratar los datos solo según estas instrucciones y para la finalidad indicada; no usarlos para fines propios ni para entrenar modelos.
• Garantizar la confidencialidad: solo el titular del servicio accede a los sistemas, con autenticación y registro de accesos.
• Aplicar medidas de seguridad: cifrado en tránsito y en reposo, control de acceso por cuenta (cada gestoría solo ve lo suyo), copias de seguridad del proveedor de base de datos, borrado automático en los plazos del apartado 5.
• Asistir al responsable en la atención de los derechos de los interesados y en las obligaciones de seguridad y notificación de brechas: cualquier violación de seguridad se comunicará al responsable sin dilación y como máximo en 48 horas desde que se conozca.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento.

4. Subencargados autorizados

El responsable autoriza a los siguientes subencargados, con los que el encargado mantiene acuerdos de tratamiento: Supabase (base de datos, archivos y autenticación; UE, París), Vercel (ejecución de la aplicación), Anthropic (lectura del documento mediante modelos de lenguaje; el texto o la imagen del extracto se envía para su lectura y no se usa para entrenamiento), Stripe (pagos) y Resend (correo). Cualquier cambio se comunicará con 30 días de antelación; el responsable podrá oponerse y, en ese caso, cancelar la cuenta.

5. Conservación y supresión

• PDF original: 24 horas desde la conversión; en estado «Revisar», hasta que el responsable lo marque como revisado y como máximo 7 días. El responsable puede borrarlo antes.
• Tabla de movimientos: 90 días.
• Al borrar la cuenta se eliminan todos los datos del responsable de forma inmediata, salvo los que deban conservarse por obligación legal (facturación).

6. Transferencias internacionales

Los datos se alojan en la Unión Europea. El proveedor de lectura (Anthropic) y el de alojamiento (Vercel) pueden tratar datos desde fuera del Espacio Económico Europeo al amparo de cláusulas contractuales tipo y del Marco de Privacidad de Datos UE-EE. UU., según corresponda.

7. Obligaciones del responsable

Disponer de base legítima para tratar los datos de sus clientes, informarles cuando proceda, y revisar los resultados antes de utilizarlos.

Última actualización: 24 de octubre de 2026. Contacto: hola@contapilot.es.