Este texto todavía no está en vigor. Es la redacción propuesta, pendiente de revisión jurídica, y se publica para que puedas leerla con antelación —especialmente si eres una gestoría y necesitas valorarla antes de contratar—.
Entrará en vigor el 1 de septiembre de 2026. Hasta entonces no se solicita su aceptación y el tratamiento se rige por lo descrito en la política de privacidad. Si algo cambia en la revisión, esta página lo recogerá antes de esa fecha.
Contenido
- Partes y objeto
- Duración
- Naturaleza, finalidad y alcance
- Obligaciones del encargado
- Subencargados
- Transferencias internacionales
- Instrucciones del cliente
- Al terminar: qué se devuelve y qué no se puede borrar
- Responsabilidad
- Anexo I · Subencargados
- Anexo II · Medidas de seguridad
- Anexo III · Contacto
1. Partes y objeto
De una parte, el Cliente, cuyos datos identificativos constan en su cuenta de Factuza, en su condición de responsable del tratamiento.
De otra, Eduardo Ortega Busutil, NIF 50744036X, con domicilio en Avenida del Talgo 86, 1.º B, 28023 Madrid, titular del servicio Factuza, en su condición de encargado del tratamiento.
El objeto es habilitar al Encargado para tratar, por cuenta del Cliente, los datos personales necesarios para prestar el servicio de facturación Factuza.
El Cliente es el dueño de sus datos. Los de sus clientes, sus proveedores y sus facturas son suyos: decide qué se hace con ellos, y el Encargado solo los trata siguiendo sus instrucciones.
2. Duración
Mientras dure la relación contractual. Al terminar, se aplica el apartado 8.
3. Naturaleza, finalidad y alcance
El Encargado tratará los datos únicamente para:
- Emitir, rectificar y anular facturas por cuenta del Cliente, con el encadenamiento de huellas que exige el Real Decreto 1007/2023.
- Remitir a la Agencia Tributaria los registros de facturación (VERI*FACTU).
- Enviar por correo electrónico las facturas a los destinatarios que el Cliente indique, y registrar si ese correo se entregó y se abrió.
- Leer automáticamente (OCR) las facturas de gasto que el Cliente suba.
- Calcular borradores de modelos tributarios a partir de los datos del Cliente.
- Conservar y poner a disposición del Cliente su histórico.
- Atender las peticiones de soporte que el Cliente envíe.
Categorías de datos: identificativos (nombre o razón social, NIF, domicilio), de contacto (correo, teléfono), económicos y de facturación, y los que el propio Cliente incorpore a las descripciones de sus facturas.
Categorías de interesados: clientes y proveedores del Cliente, y las personas de su organización que usen Factuza.
4. Obligaciones del encargado
Conforme al artículo 28.3 del RGPD, el Encargado se obliga a:
- Tratar los datos solo siguiendo instrucciones documentadas del Cliente, incluidas las que se derivan del uso normal del servicio. Si el Encargado entiende que una instrucción infringe la normativa, lo advertirá.
- Confidencialidad. Quien acceda a los datos estará sujeto a deber de secreto, que subsiste después de terminar la relación.
- Seguridad. Aplicar las medidas del artículo 32, descritas en el Anexo II.
- Subencargados. Solo los del Anexo I, en las condiciones del apartado 5.
- Asistir al Cliente para atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de los interesados. El servicio incluye la exportación completa de los datos del Cliente, que en la práctica resuelve la portabilidad sin intervención.
- Asistir al Cliente en el cumplimiento de los artículos 32 a 36: seguridad, notificación de brechas y evaluaciones de impacto.
- Notificar cualquier brecha de seguridad que afecte a datos del Cliente sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a tener constancia, con la información del artículo 33.3.
- Poner a disposición del Cliente la información necesaria para acreditar el cumplimiento, y permitir auditorías con preaviso razonable.
5. Subencargados
El Cliente autoriza de forma general al Encargado a recurrir a los subencargados del Anexo I. El Encargado les impone por contrato las mismas obligaciones que asume aquí, y responde de su actuación.
Cualquier alta o cambio se comunicará con al menos 30 días de antelación. Durante ese plazo el Cliente puede oponerse; si lo hace y no hay alternativa razonable, cualquiera de las partes puede resolver el contrato sin penalización.
6. Transferencias internacionales
El tratamiento se realiza en la Unión Europea, y el alojamiento principal en la región de Azure en España. Si algún subencargado tratara datos fuera del Espacio Económico Europeo, será con las garantías del Capítulo V del RGPD, indicándose en el Anexo I.
7. Instrucciones del cliente
El Cliente se obliga a:
- Haber informado a los interesados y contar con base jurídica para el tratamiento que encarga.
- No incorporar a las descripciones de sus facturas categorías especiales de datos (salud, ideología, afiliación sindical y demás del artículo 9). El servicio no está diseñado para tratarlas.
- Mantener sus datos de contacto al día, porque es la vía por la que se notifican las brechas y los cambios de subencargados.
8. Al terminar: qué se devuelve y qué no se puede borrar
Al terminar, el Cliente puede exportar todos sus datos, y el Encargado los suprimirá salvo aquellos cuya conservación imponga la ley.
Y aquí hay dos cosas que no se pueden borrar aunque se pidan:
- Los registros de facturación son inalterables por diseño. La cadena de huellas de VERI*FACTU encadena cada factura con la anterior: borrar una rompe la cadena de todas las siguientes, y eso es exactamente lo que la norma prohíbe. Una factura emitida se rectifica o se anula —dejando constancia— pero no desaparece.
- Hay obligación legal de conservación. Las facturas y sus registros deben conservarse durante los plazos que fija la normativa tributaria.
Por tanto, el derecho de supresión no alcanza a una factura ya emitida, ni frente al Cliente ni frente a un interesado que lo pida. Sí alcanza a todo lo demás: agenda de clientes, borradores, ajustes y datos de la cuenta.
Transcurridos los plazos legales de conservación, se suprime también lo anterior.
9. Responsabilidad
Cada parte responde de los incumplimientos que le sean imputables, conforme al artículo 82 del RGPD.
Anexo I · Subencargados
| Subencargado | Para qué | Dónde |
|---|---|---|
| Microsoft Azure | Alojamiento de la aplicación, base de datos y copias | España (spaincentral) |
| Azure Communication Services | Envío de correo: facturas, avisos y boletín | Unión Europea |
| Azure Document Intelligence | Lectura (OCR) de las facturas de gasto | Unión Europea |
| Azure OpenAI | Redacción de las respuestas del centro de soporte, a partir del contenido del mensaje recibido. Microsoft no usa estos datos para entrenar sus modelos | Unión Europea |
| Microsoft Entra External ID | Registro e inicio de sesión | Unión Europea |
| Stripe | Cobro de la licencia. Los datos de tarjeta se tratan íntegramente en su entorno; Factuza no los almacena | UE / EE. UU. con garantías adecuadas |
La Agencia Tributaria no es subencargada. Es destinataria de los registros de facturación por imperativo legal: una cesión impuesta por ley, no un encargo.
Anexo II · Medidas de seguridad
- Cifrado en tránsito (HTTPS) y en reposo.
- Autenticación mediante proveedor de identidad; no se almacenan contraseñas.
- Control de acceso por roles, comprobado en el servidor y no solo en pantalla.
- Aislamiento entre clientes: cada petición resuelve a qué emisor pertenece a partir de quién eres, nunca de lo que pidas.
- Registro de facturación inalterable, en tabla de tipo ledger con verificación criptográfica y publicación periódica de resúmenes.
- Copias de seguridad automáticas con retención.
- Secretos en almacén de claves gestionado, nunca en configuración ni en código.
- Registro de accesos y trazas de aplicación.
Anexo III · Contacto
Para cualquier asunto relativo a este contrato: soporte@factuza.com.