Contrato de encargo de tratamiento (AVV)

Si utiliza en regla como empresa y trata datos personales de sus clientes, proveedores o empleados, el Art. 28 DSGVO le obliga a celebrar con nosotros, como encargados del tratamiento, un acuerdo al respecto. El AVV se celebra en el momento del registro mediante la aceptación de estas condiciones; no se requiere una firma aparte.

1. Partes del contrato

Responsable del tratamiento: el cliente de en regla (usted)
Encargado del tratamiento: Mentora Technologies UG (haftungsbeschränkt), c/o Jamie Lee Faber, Schildhornstraße 73, 12163 Berlin

2. Objeto y duración

El objeto es el tratamiento de datos personales en el marco del uso del programa de contabilidad en regla. El AVV rige durante el tiempo en que usted utilice el servicio y puede cancelarse junto con la relación contractual.

3. Naturaleza y finalidad del tratamiento

• Almacenamiento y gestión de comprobantes contables (ingresos, gastos, facturas)
• Clasificación y registro automatizados mediante IA
• Envío de facturas y correos electrónicos relacionados con la contabilidad
• Puesta a disposición de informes, UStVA (declaración periódica del IVA), EÜR (cuenta de ingresos y gastos) y exportaciones fiscales
• Opcional: conexión de cuentas bancarias para el registro de movimientos

4. Tipo de datos y categorías de interesados

Categorías de datos:

• Datos de contacto y datos maestros (nombre, dirección, Steuernummer, correo electrónico)
• Datos contractuales y de facturación (importes, descripciones de las prestaciones, condiciones de pago)
• Datos bancarios (IBAN, BIC, saldos, si la conexión bancaria está activa)
• Comprobantes y adjuntos (PDF, imágenes)

Categorías de interesados:

• Clientes, proveedores y socios comerciales del responsable
• Empleados del responsable (en su caso)

5. Subencargados del tratamiento

Recurrimos a los siguientes subencargados del tratamiento. Al aceptar este AVV, usted otorga una autorización general en el sentido del Art. 28 Abs. 2 DSGVO:

Le informaremos de los cambios en esta lista antes de recurrir a nuevos subencargados del tratamiento. Usted tiene derecho a oponerse a su incorporación.

6. Medidas técnicas y organizativas (TOM)

Adoptamos las siguientes medidas conforme al Art. 32 DSGVO:

• Control de acceso al sistema: autenticación con contraseñas cifradas (bcrypt), gestión de sesiones, verificación en dos pasos opcional (TOTP) con secreto cifrado (AES-256-GCM) y códigos de recuperación
• Control de acceso a los datos: sistema de permisos basado en roles (RBAC: owner/admin/member/viewer/steuerberater)
• Separación de datos: separación estricta de clientes por organización (organizationId en cada registro)
• Seguridad de la transmisión: cifrado TLS 1.3, HSTS activo
• Cifrado en reposo: cifrado de la base de datos y de las copias de seguridad
• Control de entradas: registro de auditoría de todas las operaciones de creación, modificación y eliminación
• Disponibilidad: copias de seguridad diarias, reinicio automático del servicio mediante PM2
• Residencia de datos en la UE: tratamiento por IA exclusivamente en la UE a través de AWS Bedrock (Fráncfort, eu-central-1)
• Gestión de parches: actualizaciones de seguridad periódicas de todos los componentes

7. Obligaciones del encargado del tratamiento

• Tratamiento de los datos exclusivamente conforme a sus instrucciones documentadas
• Obligación de confidencialidad de todas las personas que intervienen en el tratamiento
• Asistencia en el cumplimiento de sus obligaciones frente a los interesados (Art. 12–22 DSGVO)
• Comunicación de las violaciones de la seguridad de los datos sin dilación indebida y, a más tardar, 72 horas después de tener conocimiento de ellas (Art. 33 DSGVO)
• Devolución o supresión de todos los datos al finalizar el contrato (a su elección)
• Acreditación del cumplimiento de estas obligaciones

8. Sus derechos de control

Usted tiene derecho a controlar el cumplimiento de este acuerdo. Previa solicitud, ponemos a su disposición pruebas (certificados, documentación de las TOM, auditorías de protección de datos). Las inspecciones in situ son posibles con un preaviso razonable.

9. Transferencia de datos a terceros países

El tratamiento de sus contenidos por la IA se realiza exclusivamente en la UE a través de Amazon Bedrock (región principal Fráncfort, eu-central-1, mediante un perfil de inferencia de la UE que puede distribuir el tratamiento dentro de la UE, pero no fuera de ella). El encargado del tratamiento es AWS; el modelo de lenguaje lo proporciona Anthropic y lo opera AWS en la UE. Anthropic no recibe sus contenidos.

La base es el contrato de cliente de AWS; las AWS Service Terms incluyen el AWS GDPR Data Processing Addendum (contrato de encargo de tratamiento en el sentido del Art. 28 DSGVO) y las cláusulas contractuales tipo de la UE (Decisión de Ejecución (UE) 2021/914), que se aplican automáticamente. AWS garantiza de forma vinculante para Amazon Bedrock: «Amazon Bedrock doesn’t store or log your prompts and completions. Amazon Bedrock doesn’t use your prompts and completions to train any AWS models and doesn’t distribute them to third parties.» El contrato de encargo de tratamiento obliga a AWS, entre otras cosas, a un tratamiento confidencial, a no revelar los datos a terceros, a tratarlos exclusivamente en la UE, a no utilizarlos para entrenar modelos y a no emplearlos para mejorar otros servicios de AWS.

10. Terminación

Tras la terminación del contrato, todos sus datos se eliminan en un plazo de 30 días, siempre que no se opongan obligaciones legales de conservación (en particular § 147 AO: 10 años para la documentación con relevancia fiscal). Si lo desea, elaboramos una exportación de los datos antes de la eliminación.

¿Preguntas sobre el AVV?

Si tiene preguntas sobre el encargo de tratamiento o desea una versión en papel firmada, escríbanos a [email protected].