Acuerdo de encargo del tratamiento

1. Partes

• Responsable del tratamiento: el asesor o despacho que contrata Lumero.
• Encargado del tratamiento: Argamo Consulting, S.L., NIF B86787389, con domicilio en Calle Príncipe de Vergara, 203, escalera izquierda, planta 7.ª, puerta derecha, 28002 Madrid y contacto clientes@lumero.es.

2. Objeto, naturaleza y finalidad

El encargado tratará los datos personales que el responsable incorpore a Lumero con la única finalidad de prestarle el servicio de revisión contable: almacenamiento, análisis automático del libro mayor, investigación de hallazgos con apoyo de inteligencia artificial, conservación de los criterios del responsable por cliente y exportación.

3. Duración

Mientras esté vigente la suscripción y, tras su fin, durante el plazo de devolución y supresión de la cláusula 9.

4. Datos e interesados

• Tipos de datos: datos identificativos y económicos incluidos en los movimientos contables (nombres de cuenta, conceptos, referencias de factura, importes y fechas) y comentarios del responsable.
• Categorías de interesados: clientes, proveedores, empleados y otras personas que figuren en la contabilidad de los clientes del responsable.
• Categorías especiales: el responsable se compromete a no incorporar categorías especiales de datos.

5. Obligaciones del encargado

El encargado se obliga a:

1. Tratar los datos solo conforme a las instrucciones documentadas del responsable, que son estos términos y el uso que haga del servicio. Informará al responsable si una instrucción infringe, a su juicio, la normativa.
2. No usar los datos para fines propios ni para entrenar modelos.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del art. 32 RGPD descritas en la cláusula 7.
5. Asistir al responsable para atender los derechos de los interesados y para cumplir las obligaciones de los arts. 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento.
6. Notificar al responsable, sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que pueda cumplir los arts. 33 y 34 RGPD.
7. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables, con preaviso y a cargo del responsable.

6. Subencargados

El responsable autoriza de forma general al encargado a recurrir a los subencargados de la tabla. El encargado informará por email de cualquier alta o sustitución con al menos 30 días de antelación, y el responsable podrá oponerse cancelando la suscripción antes de que el cambio se aplique. El encargado impondrá a cada subencargado las mismas obligaciones de protección de datos de este acuerdo.

7. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS) y cifrado en reposo por parte del proveedor de almacenamiento.
• Aislamiento de los datos por despacho en la base de datos y en el almacenamiento.
• Control de acceso por rol y autenticación de los usuarios.
• Eliminación del fichero original del libro mayor tras su análisis.
• Copias de seguridad gestionadas por el proveedor de base de datos.

8. Transferencias internacionales

El envío de extractos al proveedor de IA, y el de emails del servicio, implican una transferencia a Estados Unidos. Se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea incluidas en los contratos del encargado con esos proveedores.

9. Fin del encargo

Al terminar la suscripción, el encargado conservará los datos durante 30 días para que el responsable pueda pedir su exportación. Después los suprimirá, avisando por email 7 días antes, salvo obligación legal de conservarlos.

10. Obligaciones del responsable

El responsable garantiza la licitud del tratamiento y de la comunicación de los datos al encargado, informa a los interesados y supervisa el tratamiento.