Anexo de Tratamiento de Datos

1. Objeto de este Anexo

Este Anexo forma parte inseparable de las Condiciones del Servicio y constituye el contrato de encargo de tratamiento exigido por el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) entre el Cliente, como RESPONSABLE del tratamiento, y LDM Business Consulting, con NIF/CIF Y1254126L y domicilio en Calle Conchitina, 29730 Rincón de la Victoria, Málaga, como ENCARGADO del tratamiento.

Se aplica a los datos personales contenidos en los documentos que el Cliente y su personal capturan y conservan en el servicio. En caso de contradicción con las Condiciones del Servicio en materia de protección de datos, prevalece este Anexo.

No se aplica a los datos de la cuenta y de facturación del Cliente (identificación del negocio y datos de contacto de su responsable): respecto de esos datos Captabar actúa como responsable, según se describe en la Política de Privacidad.

2. Objeto, duración, naturaleza y finalidad del tratamiento

• Objeto: la captura, la lectura automática, el almacenamiento, la organización, la consulta y la puesta a disposición de los documentos recibidos por el Cliente, así como su exportación y su envío a la gestoría que el Cliente designe.
• Duración: mientras esté vigente la licencia y, después, durante el plazo de conservación previsto en la cláusula 9 de este Anexo.
• Naturaleza: tratamiento automatizado por cuenta del Responsable.
• Finalidad: prestar el servicio contratado y ninguna otra. Captabar no trata los datos para finalidades propias, no los cede a terceros con fines comerciales y no los utiliza para entrenar modelos de inteligencia artificial.

3. Tipos de datos personales y categorías de interesados

Tipos de datos personales tratados:

• Datos identificativos y de contacto que figuren en los documentos capturados: nombre o razón social, NIF/CIF, domicilio y, en su caso, teléfono o correo electrónico del proveedor.
• Datos económicos y de transacción: importes, bases imponibles, tipos y cuotas de IVA, retenciones de IRPF, números de documento, fechas de emisión y de pago, y forma de pago.
• El nombre de pila que la persona que escanea introduce en el dispositivo, junto con la fecha y la hora de la captura.
• La imagen completa del documento, que puede contener cualquier otro dato que el proveedor haya hecho constar en él.

Categorías de interesados: los proveedores del Cliente y las personas de contacto que aparezcan en los documentos, y el personal del Cliente que realiza las capturas.

No está previsto el tratamiento de categorías especiales de datos (artículo 9 RGPD) ni de datos relativos a condenas e infracciones penales (artículo 10 RGPD). El Cliente se compromete a no incorporar al servicio documentos que los contengan cuando no resulten necesarios para la finalidad del tratamiento.

4. Obligaciones de Captabar como Encargado

Conforme al artículo 28.3 RGPD, Captabar se obliga a:

• a) Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Constituyen instrucciones documentadas las Condiciones del Servicio, este Anexo y las opciones de configuración que el Cliente activa en el servicio. Captabar informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.
• b) Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria.
• c) Adoptar las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 RGPD, que se describen en el Anexo II.
• d) Respetar las condiciones para recurrir a otro encargado establecidas en los apartados 2 y 4 del artículo 28 RGPD, conforme a la cláusula 6 de este Anexo.
• e) Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
• f) Ayudar al Responsable a cumplir las obligaciones de los artículos 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
• g) A elección del Responsable, suprimir o devolver los datos personales una vez finalice la prestación del servicio, conforme a la cláusula 9 de este Anexo.
• h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías, conforme a la cláusula 8 de este Anexo.

5. Obligaciones del Cliente como Responsable

• Garantizar que dispone de una base jurídica válida para el tratamiento de los datos que incorpora al servicio y que ha cumplido, cuando proceda, el deber de información frente a los interesados.
• Impartir instrucciones lícitas y no incorporar al servicio datos que no sean necesarios para la finalidad descrita.
• Gestionar sus propios accesos: decidir a qué personas entrega el código y el PIN de cada local, a qué gestoría invita, y revocar unos y otra cuando proceda.
• Atender las solicitudes de ejercicio de derechos que le dirijan los interesados, con la asistencia de Captabar prevista en este Anexo.

6. Subencargados

El Cliente autoriza de forma general a Captabar a recurrir a los subencargados que se relacionan a continuación, para la prestación del servicio y con las finalidades indicadas junto a cada uno. Captabar ha suscrito con cada uno de ellos las obligaciones de protección de datos exigidas por el artículo 28 RGPD y responde de su actuación.

• Google Cloud / Firebase — Alojamiento, autenticación y base de datos (UE)
• Anthropic (Claude) — Lectura automática de las facturas (fuera de la UE)
• Google Document AI — Lectura automática de documentos / OCR (sistema de respaldo) (UE)
• Resend — Envío de correos transaccionales (UE)

Captabar comunicará al Cliente cualquier incorporación o sustitución de subencargados con una antelación razonable y, en todo caso, no inferior a treinta (30) días naturales. El Cliente podrá oponerse por motivos razonables y justificados en materia de protección de datos; si no fuera posible alcanzar una solución, el Cliente podrá resolver el contrato sin penalización, conservando el derecho a exportar la totalidad de su información.

La lista actualizada de subencargados se publica en esta misma página, que es la fuente de referencia a estos efectos.

7. Transferencias internacionales

Los documentos y los datos de la cuenta se almacenan en servidores situados en la Unión Europea, y el documento original nunca sale de la UE.

Existe una única excepción, que declaramos expresamente: la lectura automática de cada documento la realiza Anthropic (Claude), cuya infraestructura se sitúa fuera del Espacio Económico Europeo. Para realizar la lectura se le envía una copia de la imagen; el proveedor no conserva su contenido una vez devuelta la lectura ni lo utiliza para entrenar sus modelos.

Esa transferencia internacional está amparada por las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, incorporadas al acuerdo de tratamiento de datos que el proveedor aplica a sus clientes comerciales.

El Cliente, al aceptar este Anexo, imparte a Captabar la instrucción documentada de realizar esa transferencia con la finalidad exclusiva de leer los documentos.

8. Auditoría

Captabar pondrá a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento de las obligaciones de este Anexo.

El Cliente podrá realizar, por sí o mediante un auditor independiente sujeto a confidencialidad, una auditoría al año, con un preaviso mínimo de treinta (30) días naturales, en horario laboral y sin interrumpir la actividad ordinaria del servicio. Los costes serán a cargo del Cliente, salvo que la auditoría revele un incumplimiento sustancial imputable a Captabar.

Las auditorías no podrán comprometer la seguridad ni la confidencialidad de la información de otros clientes. Cuando exista un informe o una certificación de un tercero independiente que cubra el objeto de la auditoría, su entrega podrá satisfacer esta obligación.

9. Devolución y supresión de los datos

El servicio pone a disposición del Cliente, de forma permanente y sin coste, herramientas de exportación que le permiten descargar la totalidad de sus documentos y de los datos asociados en formatos de uso común (PDF, CSV y Excel).

Finalizada la prestación del servicio, Captabar suprimirá los datos personales o los devolverá al Cliente, a elección de este. No obstante, conservará bloqueados aquellos datos que sea necesario retener para atender eventuales responsabilidades legales y durante el plazo de prescripción correspondiente; el servicio está diseñado para conservar los documentos durante 6 años (artículo 30 del Código de Comercio), sin perjuicio de los plazos de prescripción tributaria.

10. Violaciones de la seguridad de los datos

Captabar notificará al Cliente, sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a la información tratada por su cuenta, facilitando la información de que disponga para que el Cliente pueda cumplir, en su caso, sus obligaciones de notificación conforme a los artículos 33 y 34 RGPD.

La notificación se dirigirá a la dirección de correo electrónico asociada a la cuenta del Cliente.

11. Responsabilidad

La responsabilidad de las partes por el incumplimiento de las obligaciones de este Anexo se rige por el artículo 82 RGPD y por la normativa aplicable en materia de protección de datos.

Las limitaciones de responsabilidad de las Condiciones del Servicio no resultan de aplicación a las responsabilidades que la normativa de protección de datos impone directamente a cada parte frente a los interesados o a las autoridades de control.

Anexo I · Subencargados autorizados

Relación de subencargados a los que Captabar recurre, la finalidad para la que trata los datos cada uno y el lugar donde los trata:

• Google Cloud / Firebase — Alojamiento, autenticación y base de datos (UE)
• Anthropic (Claude) — Lectura automática de las facturas (fuera de la UE)
• Google Document AI — Lectura automática de documentos / OCR (sistema de respaldo) (UE)
• Resend — Envío de correos transaccionales (UE)

Anexo II · Medidas técnicas y organizativas

Medidas adoptadas conforme al artículo 32 RGPD, atendiendo al estado de la técnica, los costes de aplicación y la naturaleza y el riesgo del tratamiento:

• Cifrado de las comunicaciones en tránsito (HTTPS/TLS) entre los dispositivos y el servicio.
• Cifrado de los datos en reposo, proporcionado por la infraestructura gestionada en la que residen.
• Las imágenes de los documentos no son accesibles desde internet: se sirven exclusivamente mediante enlaces firmados que caducan en el plazo de una hora y que solo se generan para quien tiene derecho a verlas.
• Las contraseñas de los responsables y los PIN del personal se almacenan cifrados mediante funciones hash, nunca en claro.
• Segmentación de la información por cuenta y por local mediante reglas de seguridad aplicadas en servidor, de modo que ningún cliente puede acceder a la información de otro.
• Control de acceso por roles: el responsable administra, el personal únicamente captura y la gestoría accede en modo de solo lectura y solo a los negocios que la han invitado.
• Alojamiento de la información en centros de datos situados en la Unión Europea.
• Acceso a los sistemas de producción limitado a las personas autorizadas y sujetas a deber de confidencialidad.
• Los originales capturados se conservan intactos; las correcciones del responsable se guardan junto al original y nunca lo sobrescriben, lo que permite reconstruir el dato de partida.