Acuerdo de tratamiento de datos (DPA)

El presente acuerdo de tratamiento de datos (el «acuerdo») se celebra entre su empresa, el cliente, como responsable del tratamiento, y VELM, sociedad por acciones simplificada unipersonal de derecho francés (SASU) con un capital social de 5000 €, inscrita en el Registro Mercantil de París (RCS) con el número 104 221 841, con domicilio social en 229 rue Saint-Honoré, 75001 Paris, France, que opera Truviate, como encargado del tratamiento. Constituye el acuerdo exigido por el artículo 28, apartado 3, del Reglamento (UE) 2016/679 (RGPD) y se aplica a los datos personales contenidos en los documentos que usted sube y en los registros derivados de ellos (los «datos del cliente»).

El acuerdo forma parte integrante de los términos del servicio y se acepta junto con ellos al crear la cuenta, por la persona facultada para obligar a su empresa. Su versión y su fecha figuran en la parte superior de esta página; cada versión sustituye a la anterior para los tratamientos posteriores a su fecha. En caso de contradicción entre el acuerdo y los términos del servicio sobre una cuestión de protección de datos, se aplica el acuerdo con preferencia. Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les da el RGPD.

Como responsable del tratamiento, usted:

• determina por sí solo los fines y los medios del tratamiento de los datos del cliente, y garantiza que se basa en una base jurídica válida;
• está legitimado para subir los documentos que sube, incluidos los datos personales que contienen, y ha facilitado a los interesados la información exigida por los artículos 13 y 14 del RGPD;
• no sube categorías especiales de datos (artículo 9 del RGPD) ni datos relativos a condenas e infracciones penales, ya que el servicio no está diseñado para ellos;
• da sus instrucciones mediante el uso del servicio descrito en el artículo 4, fija el periodo de retención de su espacio de trabajo y realiza por sí mismo las eliminaciones que considere necesarias;
• responde a las solicitudes de los interesados que recibe, y VELM le remite las que recibe directamente;
• lleva sus propios registros y, en su caso, realiza sus evaluaciones de impacto y consultas previas, con la asistencia prevista en el artículo 9.

Usted tiene los siguientes derechos: dar instrucciones y ser informado cuando una instrucción parezca contraria a la ley (artículo 4), ser notificado de una violación de datos (artículo 7), oponerse a un nuevo subencargado (artículo 8), obtener la supresión o la devolución de los datos del cliente al final del servicio (artículo 10) y verificar el cumplimiento de este acuerdo (artículo 11).

• Objeto: almacenamiento y análisis de los documentos que usted sube para verificar facturas borrador frente a los contratos y el trabajo aprobado.
• Duración: mientras exista su espacio de trabajo; el tratamiento termina con su eliminación, sin perjuicio de los periodos de retención indicados en la política de privacidad.
• Naturaleza: almacenamiento, extracción de texto, extracción asistida por IA de las condiciones de facturación a partir del texto del contrato, comparación determinista del trabajo aprobado y las facturas borrador, presentación de hallazgos y evidencia, y registro de auditoría.
• Finalidad: permitirle verificar sus facturas antes de enviarlas. VELM no trata los datos del cliente con ninguna otra finalidad, y nunca para entrenar modelos.
• Tipos de datos: datos identificativos y profesionales tal como figuran en los contratos y en las exportaciones de tiempos, gastos y facturas — nombres, cargos, direcciones de correo, tarifas, horas, importes y condiciones contractuales.
• Categorías de interesados: su personal y sus colaboradores externos, el personal y los contactos de sus clientes, y cualquier otra persona nombrada en esos documentos.

VELM trata los datos del cliente únicamente siguiendo sus instrucciones documentadas. El presente acuerdo, los términos del servicio y su uso del servicio — incluidos el periodo de retención que fija y las eliminaciones que realiza — constituyen esas instrucciones. Cualquier instrucción adicional se da por escrito a support@truviate.com; VELM le indica si puede atenderla y en qué condiciones.

Estas instrucciones cubren las transferencias de datos del cliente fuera de la Unión Europea, limitadas a los subencargados del anexo 1, para las funciones y con la garantía allí indicadas. Si, en opinión de VELM, una instrucción infringe el RGPD u otra norma de protección de datos de la Unión o de un Estado miembro, VELM le informa sin demora y puede suspender la ejecución de esa instrucción hasta que usted la confirme o la modifique. VELM solo trata los datos del cliente fuera de sus instrucciones cuando lo exige el Derecho de la Unión o de un Estado miembro, en cuyo caso le informa previamente, salvo que ese Derecho lo prohíba por razones importantes de interés público.

Solo tienen acceso a los datos del cliente las personas que lo necesitan para operar el servicio, y cada una está sujeta a un deber contractual o legal de confidencialidad. Los datos del cliente nunca se comparten con otros clientes.

VELM aplica las medidas técnicas y organizativas descritas en el anexo 2 y en el resumen de seguridad, y las mantiene en un nivel adecuado al riesgo, teniendo en cuenta el estado de la técnica y la naturaleza de los datos del cliente. El anexo 2 solo contiene medidas en vigor: una medida retirada del servicio se retira del anexo mediante una nueva versión de esta página, y una medida nueva solo se añade una vez en servicio.

VELM le notifica cualquier violación de la seguridad de los datos personales que afecte a los datos del cliente en un plazo de 48 horas desde que tiene conocimiento de ella, por correo electrónico a los propietarios del espacio de trabajo afectado. La notificación contiene, o se completa por etapas en cuanto los elementos están disponibles:

• la naturaleza de la violación, con las categorías y el número aproximado de interesados afectados y las categorías y el número aproximado de registros afectados;
• el nombre y los datos de contacto del punto de contacto en el que puede obtenerse más información;
• las posibles consecuencias de la violación;
• las medidas adoptadas o propuestas para poner remedio a la violación, incluidas, si procede, las medidas para mitigar sus posibles efectos negativos.

VELM documenta la violación y le asiste en sus propias notificaciones a la autoridad de control y a los interesados (artículos 33 y 34 del RGPD). No notifica a la autoridad ni a los interesados en su lugar, salvo instrucción escrita de su parte.

Usted otorga una autorización general para los subencargados enumerados en el anexo 1, para las funciones allí indicadas. VELM impone a cada uno de ellos, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo y sigue siendo plenamente responsable ante usted de su cumplimiento. Antes de que un nuevo subencargado trate datos del cliente, VELM actualiza el anexo 1 y notifica por correo a los propietarios de los espacios de trabajo con un preaviso escrito de al menos 30 días; usted puede oponerse por motivos razonables de protección de datos, en cuyo caso VELM propone una solución o usted puede resolver el servicio conforme a los términos del servicio.

Teniendo en cuenta la naturaleza del tratamiento, VELM le ayuda, con medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los interesados relativas a los datos del cliente y, según la información de que dispone, a cumplir sus obligaciones en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control.

Usted puede eliminar archivos, y el espacio de trabajo entero, en cualquier momento; nada es recuperable tras la eliminación. Al final del servicio — eliminación del espacio de trabajo, cierre de la cuenta o resolución de los términos del servicio —, usted elige entre la supresión y la devolución de los datos del cliente aún conservados.

Devolución: previa solicitud por escrito enviada a support@truviate.com en los 30 días siguientes al final del servicio, VELM le entrega una copia de los datos del cliente aún conservados, en un formato habitual y legible por máquina. Esta devolución la realiza VELM, a petición; no es una función de la aplicación. A falta de solicitud en ese plazo, y tras cualquier devolución, VELM elimina los datos del cliente aún conservados: los archivos sin procesar mediante el proceso de retención, los demás registros con la eliminación del espacio de trabajo, y cualquier dato restante previa solicitud por escrito. Solo se conservan copias cuando lo exige el Derecho de la Unión o de un Estado miembro, y únicamente con ese fin.

VELM pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, empezando por esta página, sus anexos y el resumen de seguridad. Previa solicitud por escrito, y como máximo una vez al año, VELM responde primero facilitando documentación y, si no es suficiente, permite y contribuye a una auditoría, incluida una inspección, realizada por usted o por un auditor que usted designe, a su cargo, con un preaviso razonable por escrito y de un modo que no comprometa la seguridad de los demás clientes. VELM le informa si, en su opinión, una instrucción dada en ese contexto infringe la normativa de protección de datos.

El presente acuerdo entra en vigor con la aceptación de los términos del servicio y permanece en vigor mientras VELM trate datos del cliente por su cuenta, incluso después del fin de los términos del servicio, hasta la supresión o devolución prevista en el artículo 10. Su duración y su resolución siguen las de los términos del servicio (artículo 11 de los términos). La responsabilidad de cada parte en virtud de este acuerdo se rige por el artículo 10 de los términos del servicio, que se aplica al acuerdo igual que a los términos.

Una copia en PDF fechada y firmada por VELM está disponible previa solicitud en david@truviate.com.

Lista vigente en la fecha indicada en la parte superior de la página. Para cada encargado: la finalidad para la que interviene, la ubicación donde conserva los datos para esa función y la garantía en la que se basa una transferencia fuera de la Unión Europea. Los encargados que solo tratan datos de cuenta o de facturación, de los que VELM es responsable del tratamiento, también se enumeran, para mayor completitud, con indicación de lo que reciben.

• Vercel Inc., Estados Unidos — alojamiento de la aplicación y de sus funciones de servidor, tareas programadas, distribución de contenido y registros de la aplicación; las solicitudes, incluidos los archivos subidos mientras se procesan, pasan por sus servidores. Ubicación: Estados Unidos, con las funciones de servidor ejecutadas en la región de Fráncfort. Garantía de transferencia: certificado en el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework)
• Supabase, Inc., Estados Unidos — base de datos, almacenamiento de archivos y autenticación, incluidas las sesiones, los segundos factores y el inicio de sesión con Google. Ubicación: proyecto alojado en la Unión Europea (Fráncfort, Alemania). Garantía de transferencia: cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), incorporadas a su contrato; los datos se alojan en Fráncfort.
• Google (Google Workspace), Irlanda — el buzón de soporte detrás de support@truviate.com, donde se guardan los mensajes que nos envía; solo recibe datos del cliente si usted los adjunta a un mensaje. Ubicación: Irlanda, con tratamiento en Estados Unidos. Garantía de transferencia: Google LLC está certificada en el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework); las cláusulas contractuales tipo de la Comisión Europea se incorporan a los contratos de Google Workspace cuando es necesario.
• Anthropic, PBC, Estados Unidos — proveedor de IA, para la extracción de condiciones de facturación a partir del texto del contrato. El texto del contrato se envía en cada solicitud; según las condiciones estándar de API del proveedor, puede conservarse, junto con la respuesta, hasta 30 días (más tiempo si un intercambio se marca por infringir sus normas). No existe un acuerdo de retención cero de datos. Ubicación: Estados Unidos. Garantía de transferencia: cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914, módulos 2 y 3), incorporadas a sus condiciones comerciales.
• Stripe Payments Europe, Ltd., Irlanda, y Stripe, Inc., Estados Unidos — procesamiento de pagos, facturación y determinación del IVA; recibe sus datos de facturación y su método de pago, nunca datos del cliente. Ubicación: Irlanda y Estados Unidos. Garantía de transferencia: certificado en el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework); de forma complementaria, las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914) están incorporadas a su adenda sobre transferencias de datos.
• Resend, Inc., Estados Unidos — correo transaccional: mensajes de cuenta (verificación, inicio de sesión, cambios de contraseña y de dirección, avisos de seguridad), invitaciones y avisos de suscripción; recibe direcciones de correo y el contenido de esos mensajes, nunca datos del cliente. Ubicación: Estados Unidos. Garantía de transferencia: certificado en el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework)
• Cloudflare, Inc., Estados Unidos — protección contra bots (Turnstile) en el inicio de sesión, el registro y los formularios públicos, que recibe señales de conexión y del navegador, no el contenido de los documentos, y el DNS de nuestro dominio. Ubicación: Estados Unidos. Garantía de transferencia: certificado en el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework); cláusulas contractuales tipo de la Comisión Europea como respaldo.

Medidas en vigor en la fecha de esta versión. Cada una existe en el código o en la configuración del servicio; ninguna es un proyecto. Las medidas aseguradas por un proveedor se indican como tales.

• Todo el tráfico se cifra en tránsito (TLS); en producción, la cabecera HSTS impone HTTPS durante dos años, subdominios incluidos.
• Una política de seguridad de contenido (CSP) con un nonce generado en cada solicitud solo permite los scripts del servicio, y la aplicación prohíbe su inserción en un marco de terceros.
• Cifrado en reposo de la base de datos y del almacenamiento de archivos: asegurado por el proveedor de base de datos y almacenamiento (Supabase), para un proyecto alojado en Fráncfort.

• Cada registro de negocio lleva el identificador de su espacio de trabajo; la seguridad a nivel de fila de la base de datos solo devuelve las filas de los espacios de los que el usuario conectado es miembro, sea cual sea la consulta.
• Los archivos se almacenan en un espacio privado — ningún objeto es público — y las reglas del almacenamiento limitan la lectura, la subida y la eliminación a los miembros del espacio de trabajo cuyo prefijo contiene el archivo.
• La pertenencia a un espacio y el rol (propietario o miembro) determinan lo que un usuario puede ver y hacer; solo los propietarios gestionan a los miembros, y retirar a un miembro revoca su acceso de inmediato.
• Las credenciales de servicio con privilegios elevados solo se cargan en módulos reservados al servidor, nunca en el navegador.
• Los hallazgos y las ejecuciones del motor solo los escribe el servidor, y las decisiones son de solo adición: ninguno de ellos puede modificarse desde el cliente.

• La autenticación la proporciona el proveedor de identidad; VELM nunca almacena contraseñas en claro. La protección contra bots se aplica al inicio de sesión, al registro y a los formularios públicos.
• Se exige un segundo factor TOTP registrado antes de la primera subida de un documento: las subidas de contratos y de exportaciones se rechazan sin un autenticador registrado.
• Las acciones sensibles — gestión de miembros e invitaciones, ajustes de seguridad, eliminación de archivos y del espacio de trabajo — exigen una verificación reciente del segundo factor (AAL2); la propia base de datos aplica esa exigencia mediante políticas restrictivas en las tablas y el almacenamiento afectados.
• Desde los ajustes de seguridad, un usuario puede cerrar sus otras sesiones; un cambio de contraseña también cierra las demás sesiones.

• Registro de auditoría de solo adición: las confirmaciones de reglas, las decisiones sobre hallazgos, los cambios de miembros y las eliminaciones se registran con el autor y la marca de tiempo; los miembros del espacio pueden leerlo, nadie puede modificarlo ni borrarlo desde la aplicación.
• Los archivos sin procesar que no se hayan eliminado se purgan automáticamente en el pase diario posterior al final del periodo de retención del espacio de trabajo (30 días por defecto, ajustable entre 7 y 90 días por el propietario); el pase está protegido por un secreto compartido y cada eliminación se consigna en el registro de auditoría.
• Eliminar un espacio de trabajo elimina en cascada todos sus registros.
• Los registros de la aplicación solo aceptan campos escalares; los campos que podrían contener contenido o identificadores (texto, extractos, prompts, correos, tokens) se rechazan, y toda cadena derivada de un error pasa por una redacción de secretos antes de registrarse.

• Los cambios en el esquema de la base de datos solo se realizan mediante migraciones aditivas e inmutables, comprobadas por una salvaguarda en integración continua antes de cualquier puesta en producción.
• Las medidas de este anexo se ejercitan mediante pruebas automatizadas ejecutadas en cada cambio del servicio, y las páginas públicas que las describen se verifican mediante pruebas contra el código.