Protección de datos
Contrato de Encargo del Tratamiento
Naturaleza de este documento
Cuando usas Kobralo para emitir facturas o generar cobros, introduces datos personales de tus clientes (su nombre, NIF, email, teléfono, dirección). Sobre esos datos tú eres el Responsable del tratamiento y Jortan Labs, S.L. (Kobralo) es el Encargado del tratamiento, porque trata esos datos por cuenta tuya y siguiendo tus instrucciones.
El artículo 28 del RGPD exige que esta relación se regule por un contrato. Dado que Kobralo presta el servicio a muchos profesionales, este contrato se articula como condiciones de adhesión que aceptas al registrarte (marcando la casilla correspondiente). Su aceptación es obligatoria para usar las funciones de facturación y cobro.
Cláusulas
1. Partes y objeto
- Responsable: tú, el usuario titular de la cuenta de Kobralo (autónomo o empresa).
- Encargado: Jortan Labs, S.L. (CIF B27626530), titular de Kobralo.
- Objeto: el Encargado tratará, por cuenta del Responsable, los datos personales de los clientes del Responsable necesarios para prestar el servicio de facturación y cobro de Kobralo.
2. Duración
Este encargo dura lo que dure la relación de servicio (mientras tengas cuenta activa en Kobralo). A su finalización se aplica la cláusula 9.
3. Descripción del tratamiento
La naturaleza, finalidad, tipo de datos y categorías de interesados se describen en el Anexo I.
4. Obligaciones del Encargado (Kobralo) — art. 28.3 RGPD
El Encargado se obliga a:
- a) Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable (incorporadas en el uso normal de la Plataforma y en estas cláusulas). Si una instrucción infringe la normativa, lo informará.
- b) Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- c) Adoptar las medidas de seguridad del art. 32 RGPD (Anexo III).
- d) No recurrir a otro sub-encargado sin la autorización del Responsable (cláusula 5).
- e) Asistir al Responsable para responder a las solicitudes de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad).
- f) Ayudar al Responsable a cumplir los arts. 32-36 RGPD; en particular, notificarle sin dilación indebida las violaciones de seguridad de las que tenga conocimiento que afecten a sus datos.
- g) A elección del Responsable, suprimir o devolver los datos al finalizar la prestación, salvo obligación legal de conservarlos.
- h) Poner a disposición la información para demostrar el cumplimiento y permitir auditorías en términos razonables y previa notificación.
5. Sub-encargados — art. 28.2 y 28.4 RGPD
- El Responsable autoriza con carácter general al Encargado a recurrir a los sub-encargados del Anexo II.
- El Encargado informará de cualquier cambio de sub-encargados, dando la oportunidad de oponerse por motivos justificados.
- El Encargado impondrá a cada sub-encargado las mismas obligaciones de protección de datos y seguirá siendo plenamente responsable ante el Responsable.
6. Transferencias internacionales
Algunos sub-encargados pueden tratar datos fuera del EEE; en tal caso, el Encargado garantiza garantías adecuadas (Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EEUU). Ver Anexo II y la Política de Privacidad.
7. Derechos de los interesados
Si un cliente del Responsable se dirige a Kobralo ejerciendo sus derechos, Kobralo lo trasladará al Responsable sin atender directamente la solicitud (salvo instrucción en contrario) y le asistirá con las funciones técnicas disponibles.
8. Violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida, las brechas que afecten a los datos tratados por su cuenta, con la información del art. 33.3 RGPD de la que disponga, para que el Responsable pueda notificar a la AEPD en 72 horas si procede.
9. Destino de los datos al finalizar
Finalizado el servicio, el Encargado, a elección del Responsable, devolverá o suprimirá los datos y las copias. No obstante, podrá conservar bloqueados los datos durante los plazos legales (p. ej. los necesarios por la normativa fiscal aplicable a las facturas) y mientras puedan derivarse responsabilidades.
10. Responsabilidad
Cada parte responde de los incumplimientos que le sean imputables conforme al RGPD y a la legislación aplicable.
Anexo I — Descripción del tratamiento
- Finalidad: permitir al Responsable emitir facturas y generar/gestionar cobros a sus clientes a través de Kobralo.
- Naturaleza de las operaciones: recogida, registro, almacenamiento, estructuración, consulta, comunicación (al cliente final y, en su caso, a la AEAT al emitir VeriFactu por instrucción del Responsable), conservación y supresión.
- Tipos de datos: identificativos y de contacto de los clientes (nombre/razón social, NIF/NIE, dirección, email, teléfono) y datos de las operaciones (importes, conceptos, facturas).
- Categorías de interesados: los clientes (personas físicas) del Responsable y, en su caso, los representantes/contactos de sus clientes empresa.
- No se tratan categorías especiales del art. 9 RGPD. El Responsable se compromete a no introducir tales datos.
Anexo II — Sub-encargados autorizados
| Sub-encargado | Finalidad | Ubicación | Garantía |
|---|---|---|---|
| Supabase | Base de datos y almacenamiento | UE (Frankfurt) | No aplica (UE) |
| Vercel | Alojamiento de app, servidor y web | EEUU/edge | SCC / DPF |
| Inicio de sesión con Google | EEUU | SCC / DPF | |
| Resend | Email transaccional | EEUU | SCC / DPF |
El proveedor del servicio de pago (Zerti Payments, S.L. / Zertiban, S.L.U. — "PagaFactu") y la AEAT no son sub-encargados de Kobralo respecto de estos datos: actúan como responsables de su propia actividad (servicio de pago regulado / Administración tributaria).
Anexo III — Medidas de seguridad
Las medidas técnicas y organizativas aplicadas incluyen cifrado en tránsito y en reposo de los datos sensibles, control de acceso, registro de auditoría, copias de seguridad, gestión de brechas, minimización y conservación.