Anexo de encargo del tratamiento (DPA)

1. Partes y objeto

Responsable del tratamiento: la empresa cliente que contrata Evofact. Encargado: Evoteg (Evoteg). Objeto: prestación del servicio SaaS Evofact (alojamiento, procesamiento, copia de seguridad, soporte y, en su caso, remisión VeriFactu a la AEAT y envío de correos en nombre del cliente).

Este anexo forma parte del contrato o pedido y prevalece sobre cualquier cláusula contraria en materia de protección de datos.

2. Detalle del tratamiento

3. Obligaciones del encargado

• Tratar los datos únicamente según las instrucciones documentadas del responsable, que se materializan en la configuración y uso del panel, y solo para prestar el servicio.
• Informar al responsable si una instrucción infringe la normativa de protección de datos.
• Garantizar que el personal autorizado se ha comprometido a la confidencialidad y recibe formación adecuada.
• Aplicar las medidas de seguridad del apartado 5 y mantener un registro de las categorías de actividades de tratamiento realizadas por cuenta del responsable.
• Asistir al responsable en la atención de derechos de los interesados, en evaluaciones de impacto y en consultas previas a la autoridad, con la información disponible.
• Notificar al responsable las violaciones de seguridad sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento, con la información del artículo 33.3 del RGPD.
• Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso de 15 días y, como máximo, una vez al año, salvo incidente o requerimiento de autoridad.
• No comunicar los datos a terceros salvo autorización del responsable, obligación legal o los subencargados del apartado 4.

4. Subencargados autorizados

El responsable autoriza de forma general los siguientes subencargados. Evoteg informará de cualquier cambio con al menos 30 días de antelación para que el responsable pueda oponerse por motivos razonables.

5. Medidas de seguridad

• Base de datos dedicada por empresa cliente en el SaaS; segregación por sede y roles dentro de cada espacio.
• Cifrado en tránsito (TLS 1.2+); contraseñas con hash; certificados VeriFactu cifrados en reposo.
• Autenticación con sesiones y dispositivos revocables; SSO con la cuenta Evoteg; políticas de contraseña.
• Registro de auditoría de acciones relevantes y de accesos.
• Copias de seguridad automáticas con retención configurable y restauración desde el panel de mantenimiento.
• Control de acceso del personal de Evoteg bajo principio de mínimo privilegio; acceso a datos del cliente solo para soporte solicitado.
• Gestión de vulnerabilidades y actualizaciones centralizadas.

6. Obligaciones del responsable

• Disponer de base jurídica e informar a los interesados de los tratamientos que realiza con el servicio.
• Configurar usuarios, roles, sedes, retención de copias y opciones de remisión de forma adecuada.
• No introducir categorías especiales de datos sin las garantías exigidas por el RGPD.
• Atender los derechos de los interesados y las obligaciones de conservación (fiscal, laboral, mercantil).

7. Fin del encargo

Al terminar el contrato, el responsable puede exportar sus datos y copias durante 30 días. Transcurrido ese plazo, Evoteg suprime los datos y las copias de seguridad en los ciclos de rotación (máximo 90 días), salvo que deba conservar información por obligación legal, en cuyo caso permanecerá bloqueada.

8. Responsabilidad y contacto

Cada parte responde de los daños causados por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. Comunicaciones sobre este anexo, notificación de brechas y solicitudes de auditoría: info@evoteg.com.