BORRADOR: documento pendiente de revisión jurídica.

Contrato de encargo del tratamiento de datos personales (VeriListo)

El presente contrato se celebra entre el vendedor que utiliza la aplicación VeriListo en su tienda Shopify (el responsable del tratamiento) y Never Zero Lab S.L., NIF B05756119 (el encargado del tratamiento), y forma parte de las condiciones del servicio de VeriListo. El vendedor lo acepta por vía electrónica durante la configuración inicial de la aplicación, antes de la activación de la facturación; VeriListo conserva la fecha, la versión aceptada y la identidad de quien acepta.

Cláusulas contractuales tipo

SECCIÓN I

Cláusula 1. Finalidad y ámbito de aplicación

a) La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.

d) Los anexos I a IV forman parte del pliego.

e) El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

f) El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2. Invariabilidad del pliego de cláusulas

a) Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.

b) Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 3. Interpretación

a) Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, se entiende que tienen el mismo significado que en el Reglamento correspondiente.

b) El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 4. Jerarquía

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

Cláusula 5. Cláusula de incorporación

No se incluye (cláusula opcional).

SECCIÓN II. Obligaciones de las partes

Cláusula 6. Descripción del tratamiento o tratamientos

En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.

Cláusula 7. Obligaciones de las partes

7.1. Instrucciones

a) El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.

b) El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.

7.3. Duración del tratamiento de datos personales

El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.

b) El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

7.5. Datos sensibles

Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento

a) Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.

b) El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

c) El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.

d) El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.

e) Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.

7.7. Recurso a subencargados

a) El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos treinta (30) días naturales de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

d) El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.

e) El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.

7.8. Transferencias internacionales

a) Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.

Cláusula 8. Ayuda al responsable del tratamiento

a) El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

b) El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.

c) Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:

1) la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;

2) la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;

3) la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;

4) las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.

Cláusula 9. Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679 o los artículos 34 y 35 del Reglamento (UE) 2018/1725, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.

9.1. Violación de la seguridad de datos personales tratados por el responsable

En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.

a) Notificar la violación de la seguridad de los datos personales a las autoridades de control competentes sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).

b) Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:

1) la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

2) las consecuencias probables de la violación de la seguridad de los datos personales;

3) las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

c) Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de datos personales tratados por el encargado

En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:

a) una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);

b) los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.

SECCIÓN III. Disposiciones finales

Cláusula 10. Incumplimiento de las cláusulas y resolución del contrato

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b) El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

1) el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;

2) el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725;

3) el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.

d) Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.

Cláusulas adicionales

Estas cláusulas se añaden conforme a la cláusula 2, letra b), y no contradicen el pliego de cláusulas.

A.1. Objeto del servicio. El encargado pone a disposición del responsable un sistema informático de facturación en la nube con el que el responsable expide sus facturas, y le presta el servicio de remisión de los registros de facturación a la Agencia Estatal de Administración Tributaria (AEAT) conforme al Real Decreto 1007/2023 (VERI*FACTU) y al Real Decreto 1619/2012, a partir de los pedidos de la tienda Shopify del responsable. La remisión a la AEAT se realiza en nombre del responsable en virtud de la representación que este otorga por separado (modelo de representación del anexo I de la Resolución de la AEAT aplicable). La AEAT es destinataria de los datos por obligación legal y no tiene la condición de subencargado.

A.2. Instrucciones documentadas. Constituyen instrucciones documentadas del responsable, a efectos de la cláusula 7.1: el presente contrato, la configuración que el responsable fija en la aplicación (por ejemplo, el momento de expedición de la factura, el modo de entrega de la factura al comprador o el tratamiento de determinadas líneas del pedido) y las solicitudes que el responsable dirija al encargado por escrito.

A.3. Conservación de las facturas. La obligación legal de conservar las facturas y la documentación fiscal corresponde al responsable. El encargado conserva los datos durante el plazo indicado en el anexo II y pone a disposición del responsable, durante todo ese plazo, la exportación de sus facturas. El encargado no asume la conservación más allá de ese plazo salvo acuerdo expreso.

A.4. Solicitudes de los interesados recibidas a través de Shopify. Las solicitudes de acceso y supresión que Shopify transmite al encargado en nombre del responsable (avisos customers/data_request, customers/redact y shop/redact) se tratan conforme a la cláusula 8 y a las instrucciones del responsable. Los datos que formen parte de facturas expedidas y de registros de facturación remitidos a la AEAT no se suprimen mientras exista obligación legal de conservarlos; el encargado limita su tratamiento a esa finalidad.

A.5. Plazo de notificación de violaciones de seguridad. La notificación prevista en la cláusula 9.2 se realizará sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a que el encargado tenga constancia de la violación, a la dirección de contacto que el responsable haya indicado en la aplicación.

A.6. Auditorías. Las auditorías previstas en la cláusula 7.6 se realizarán con un preaviso mínimo de treinta (30) días, en horario laboral y sin acceso a datos de otros clientes del encargado, salvo que exista un indicio fundado de incumplimiento o lo exija una autoridad de control.

A.7. Ley aplicable. El presente contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de [Valencia].

ANEXO I. Lista de partes

Responsable del tratamiento

El vendedor titular de la tienda Shopify en la que se instala VeriListo, con los datos que declara en la configuración inicial de la aplicación:

Nombre o razón social y NIF: los datos fiscales del vendedor registrados en la aplicación.
Dirección: el domicilio fiscal registrado en la aplicación.
Persona de contacto: la persona firmante y las direcciones de correo de contacto registradas en la aplicación.
Firma y fecha de adhesión: la aceptación electrónica registrada por la aplicación.

Encargado del tratamiento

Nombre: Never Zero Lab S.L., NIF B05756119.
Dirección: Calle Ángel Villena 36, piso 7, puerta B, 46013 Valencia (España).
Persona de contacto: Roman Priadein, administrador, privacidad@verilisto.com. Delegado de protección de datos: [si se designa].
Firma y fecha de adhesión: la del representante legal al publicar esta versión, [fecha].

ANEXO II. Descripción del tratamiento

Categorías de interesados

Compradores de la tienda del responsable (personas físicas, y personas de contacto de compradores que son empresas).
Personas vinculadas al responsable cuyos datos se introducen en la aplicación: personas de contacto y la persona que firma en nombre del responsable.

Categorías de datos personales

De los compradores:
- Datos identificativos y de contacto: nombre y apellidos o razón social, NIF/NIE o número de IVA, dirección de facturación y de envío, correo electrónico y teléfono cuando figuran en el pedido.
- Datos de la transacción: número de pedido, productos, cantidades, precios, descuentos, impuestos, gastos de envío, fechas de pago y de envío, devoluciones, cancelaciones y modificaciones del pedido.
- De los datos que Shopify incluye en el pedido, la aplicación guarda solo los que usa: de los atributos del pedido, únicamente el que contiene el NIF del comprador. No guarda la nota del pedido, el resto de atributos, las etiquetas ni los datos técnicos del navegador del comprador (dirección IP, agente de usuario).
- Datos derivados: facturas (documento PDF), registros de facturación y respuestas de la AEAT, y la evidencia del consentimiento del comprador para recibir la factura por medios electrónicos cuando la aplicación la envía.
De las personas vinculadas al responsable: nombre, NIF y correo electrónico de la persona firmante; direcciones de correo de contacto.

Datos sensibles

No se tratan. La aplicación no solicita datos sensibles. Si un comprador los incluyera en un campo de texto libre del pedido, se tratarían únicamente como parte de ese pedido, sin uso propio, y se suprimirían con él.

Naturaleza del tratamiento

Recepción de los pedidos desde Shopify (avisos y consultas a la API de Shopify), registro, conservación, cálculo de la factura, expedición de facturas completas, simplificadas, rectificativas y sustitutivas, generación y remisión de los registros de facturación a la AEAT en nombre del responsable, consulta de su estado, entrega de la factura al comprador (por correo electrónico o mediante un enlace que la aplicación escribe en el pedido de la tienda del responsable), exportación a petición del responsable y supresión.

Finalidades

Permitir al responsable expedir las facturas de sus ventas y remitir en su nombre los registros de facturación a la AEAT (RD 1007/2023, RD 1619/2012).
Poner la factura a disposición del comprador.
Permitir al responsable consultar y exportar sus facturas, y prestarle soporte técnico.

Duración del tratamiento

Mientras la aplicación esté instalada y, tras su desinstalación, durante trescientos sesenta y cinco (365) días o el plazo superior que las partes acuerden expresamente, para que el responsable pueda descargar sus facturas. Transcurrido ese plazo, el encargado suprime los datos de sus sistemas, salvo los que deba conservar por obligación legal, y los elimina de las copias de seguridad en el plazo de rotación indicado en el anexo III.

Tratamiento por subencargados

Alojamiento, copias de seguridad y envío de correo electrónico, durante la vigencia del contrato, con el objeto y la naturaleza indicados en el anexo IV.

ANEXO III. Medidas técnicas y organizativas

Ubicación. Los datos se alojan en centros de datos de Amazon Web Services en la región UE (Irlanda, eu-west-1) [o UE (España, eu-south-2), según la revisión jurídica]. No se transfieren datos fuera del Espacio Económico Europeo.
Cifrado en tránsito. Todas las comunicaciones externas usan HTTPS (TLS). La comunicación con la AEAT usa TLS con autenticación mutua mediante certificado.
Cifrado en reposo. El disco del servidor de producción, que contiene la base de datos, y las copias de seguridad están cifrados con una clave propia del encargado gestionada en AWS KMS, que se rota cada año. Los tokens de acceso a Shopify se cifran además en la aplicación con AES-256-GCM, con una clave que no se guarda en la base de datos.
Control de acceso de los usuarios. El responsable accede a la aplicación únicamente desde la administración de su tienda Shopify, con un token de sesión firmado que la aplicación verifica (firma, emisor, destinatario y caducidad). Los avisos de Shopify se aceptan solo con una firma HMAC válida.
Control de acceso interno. Acceso del personal del encargado limitado a las personas que lo necesitan para operar el servicio, con autenticación por clave y restringido por dirección IP. Las funciones internas de operación no son accesibles desde Internet. La aplicación se conecta a la base de datos con un usuario que solo puede leer y añadir en las tablas fiscales y en el registro de actividad, sin modificar ni borrar facturas, registros ni entradas del registro de actividad.
Confidencialidad. El personal con acceso está sujeto a un compromiso de confidencialidad.
Integridad de los registros. Los registros de facturación se encadenan con huella (hash) conforme a la especificación de la AEAT y se comprueban periódicamente.
Disponibilidad y recuperación. Copia de seguridad diaria de la base de datos, y otra antes de cada actualización de la aplicación, en un almacenamiento separado del servidor (Amazon S3, en la misma región), cifrado, sin acceso público y sin permiso de borrado para el servidor. Las copias se conservan treinta (30) días y se eliminan automáticamente después. La restauración se prueba automáticamente cada semana en una base de datos aislada, que se compara con la base de datos en uso. Las alertas por fallo de una copia, falta de espacio o caída del servicio llegan al personal del encargado.
Registro de actividad. La aplicación registra, en un registro que no puede modificar ni borrar, las operaciones relevantes (instalación, desinstalación, cambios de configuración, solicitudes de los interesados, cada descarga de los datos de un comprador, avisos de conservación y supresiones). Los registros técnicos no contienen direcciones IP completas, enlaces de acceso a facturas, direcciones de correo ni NIF; se conservan treinta (30) días y se eliminan automáticamente después. Los accesos del personal al servidor y a la base de datos (inicios de sesión, comandos con privilegios y conexiones a la base de datos) se registran fuera del servidor y se conservan un (1) año.
Minimización. La aplicación solo usa los datos del pedido necesarios para la factura y descarta al recibirlo el resto de campos del pedido. Cada campo con datos personales de la base de datos está inventariado con su finalidad y su plazo de conservación.
Enlaces a facturas. Las facturas que se ponen a disposición del comprador mediante enlace se sirven con un identificador firmado de 128 bits y no son indexables por los buscadores. [Hoy los enlaces no caducan ni pueden revocarse uno a uno: nota 7.]
Retención limitada. Fecha de supresión calculada para cada tienda tras la desinstalación, avisos al responsable antes de esa fecha y supresión al vencer (anexo II), una vez enviados a la AEAT todos los registros. No se suprimen, por ser datos de la relación propia del encargado con el responsable, de los que el encargado es responsable del tratamiento: la cuenta y los datos fiscales del responsable, la representación firmada, las series con su numeración, el registro de actividad y la identificación y la huella del último registro de facturación, para que una reinstalación continúe la misma cadena (nota 9). Las respuestas técnicas guardadas se eliminan a las 48 horas y las exportaciones a los [7] días.
Portabilidad y supresión. El responsable puede exportar en cualquier momento sus facturas (listado y documentos PDF); tras la desinstalación, mediante el enlace de descarga que recibe por correo.
Ayuda al responsable. Atención de las solicitudes de los interesados recibidas a través de Shopify (cláusula adicional A.4): ante una solicitud de acceso, el responsable recibe un aviso y descarga en la aplicación los datos que el encargado guarda del comprador; ante una solicitud de supresión, el encargado suprime los datos del comprador fuera de las facturas y los registros de facturación y deja constancia de lo conservado y de su base legal. Notificación de violaciones de seguridad según la cláusula 9 y la cláusula adicional A.5, conforme a un procedimiento interno de gestión de incidentes.
Gobernanza. Revisión de la seguridad en cada versión de la aplicación (pruebas automatizadas, control de dependencias y revisión del código) y declaración responsable del sistema informático de facturación conforme al RD 1007/2023.

ANEXO IV. Lista de subencargados del tratamiento

El responsable autoriza los subencargados siguientes (cláusula 7.7, autorización general). La lista vigente se publica en verilisto.com/subencargados:

Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburgo. Alojamiento de la aplicación y de la base de datos, copias de seguridad y envío de correo electrónico (Amazon SES) en la región UE (Irlanda). Durante la vigencia del contrato.

No tienen la condición de subencargados: la AEAT (destinataria por obligación legal) ni Shopify (plataforma del propio responsable desde la que se reciben los pedidos y en la que se escribe el enlace a la factura).