Acuerdo de Encargo de Tratamiento de Datos

1. Objeto, duración y finalidad

Cobriva trata los Datos del Cliente durante la vigencia del espacio y el periodo de devolución, supresión o conservación aplicable para prestar funciones de gestión de cuentas a cobrar, priorización, conciliación, seguimiento, integraciones, Payer Hub, seguridad, soporte y funcionalidades de inteligencia asistida solicitadas por el cliente.

2. Datos e interesados

El tratamiento puede incluir datos de usuarios del cliente, clientes y pagadores, representantes, contactos de administración o cuentas a pagar, proveedores y otras personas incluidas legítimamente por el cliente. Las categorías pueden incluir nombre, datos profesionales de contacto, identificadores fiscales cuando proceda, referencias de factura, importes, vencimientos, estado de pago, comunicaciones relevantes, incidencias, promesas, documentación aportada, datos de transacciones bancarias limitados a la función contratada y señales o resultados derivados de esas fuentes.

El cliente no debe introducir categorías especiales de datos del artículo 9 RGPD ni datos que no sean necesarios para la gestión de cobros, salvo que exista una configuración y base jurídica expresamente acordadas.

3. Instrucciones y límites

Cobriva tratará los Datos del Cliente únicamente para prestar, proteger y mantener el servicio conforme a las instrucciones documentadas del cliente, estas condiciones y la configuración del producto. Si una instrucción infringe la normativa aplicable, Cobriva lo comunicará cuando legalmente pueda hacerlo.

Cobriva no vende los Datos del Cliente, no los utiliza para publicidad comportamental y no los utiliza para entrenar modelos compartidos entre clientes. El aprendizaje operativo de Cobriva debe permanecer aislado por empresa y vinculado a evidencias autorizadas del propio cliente.

4. Confidencialidad y acceso

El acceso a Datos del Cliente se limita a personal y proveedores que lo necesiten para prestar o proteger el servicio y estén sujetos a obligaciones de confidencialidad. Cobriva aplica controles de acceso por empresa, mínimos privilegios, registros técnicos y separación entre datos de clientes.

5. Medidas de seguridad

Cobriva mantiene medidas técnicas y organizativas adecuadas al riesgo, incluyendo cifrado de credenciales de integración, conexiones cifradas, controles de autorización, aislamiento por tenant, registros de seguridad, minimización de comunicaciones, enlaces de capacidad con caducidad, almacenamiento privado de documentos y procesos de recuperación y gestión de incidentes. Las medidas evolucionarán con el riesgo y el estado del arte.

6. Subencargados

El cliente autoriza con carácter general el uso de subencargados necesarios para prestar Cobriva, sujetos a obligaciones de protección de datos sustancialmente equivalentes. La lista vigente se publica en Subencargados. Los proveedores opcionales solo intervienen cuando la funcionalidad correspondiente se activa.

Cuando se incorpore un nuevo subencargado material se mantendrá un mecanismo razonable de información y, cuando resulte exigible, de oposición por motivos legítimos relacionados con protección de datos.

7. Transferencias internacionales

Cuando un subencargado implique una transferencia internacional de datos personales fuera del EEE, Cobriva exigirá un mecanismo válido conforme al capítulo V RGPD, como una decisión de adecuación, el EU-US Data Privacy Framework cuando sea aplicable o cláusulas contractuales tipo acompañadas de las medidas necesarias. La base concreta debe mantenerse documentada en el registro de proveedores.

8. Derechos de los interesados

Si Cobriva recibe una solicitud relativa a Datos del Cliente, la remitirá al cliente responsable salvo obligación legal distinta. Teniendo en cuenta la naturaleza del tratamiento, Cobriva prestará asistencia razonable para localizar, exportar, rectificar, limitar o suprimir datos cuando sea técnicamente posible.

9. Brechas y asistencia

Cobriva notificará al cliente sin dilación indebida cuando tenga conocimiento de una violación de seguridad de los Datos del Cliente y facilitará la información razonablemente disponible para que el cliente evalúe sus obligaciones de notificación. También prestará asistencia razonable en evaluaciones de impacto, consultas con autoridades y demostración del cumplimiento.

10. Conservación, devolución y supresión

Durante la relación, Cobriva aplica los periodos de conservación descritos en su documentación y configuración. Al terminar el servicio, el cliente podrá solicitar una exportación razonable antes de la supresión. Finalizado el periodo aplicable, Cobriva eliminará o anonimizará los Datos del Cliente salvo que una obligación legal exija conservar información concreta. Los datos almacenados en copias de seguridad seguirán su ciclo seguro de rotación y no volverán al entorno operativo salvo restauración necesaria.

11. Auditoría y evidencias

Cobriva pondrá a disposición del cliente información razonable para demostrar el cumplimiento de este acuerdo. Las auditorías adicionales deberán ser proporcionadas, proteger la seguridad y confidencialidad de otros clientes y evitar interrupciones innecesarias; cuando exista certificación o informe independiente adecuado podrá utilizarse como primera evidencia.

12. Roles propios de Cobriva

Cobriva actúa como responsable independiente para tratamientos estrictamente propios como gestión de la cuenta de Cobriva, facturación de la suscripción, prevención de fraude y abuso, seguridad del servicio, cumplimiento legal y solicitudes comerciales, según la Política de Privacidad.

13. Prevalencia y cambios

Si existe contradicción entre este DPA y otras condiciones sobre el tratamiento de Datos del Cliente, prevalecerá este DPA para esa materia. Los cambios materiales se versionarán. La identidad legal definitiva del prestador deberá completarse antes del lanzamiento comercial general.