Contrato de encargo del tratamiento
Última actualización: 10 de septiembre de 2026.
Cuando usas Veyra introduces datos personales de terceros: tus clientes, sus contactos, tus proveedores. Sobre esos datos tú eres el responsable del tratamiento y nosotros actuamos como encargado, tratándolos únicamente por cuenta tuya.
El artículo 28 del RGPD exige que esa relación se documente en un contrato. Este documento lo es, y forma parte de los términos y condiciones: al contratar Veyra, queda aceptado sin que tengas que firmar nada aparte. Si tu empresa necesita una copia firmada, escríbenos y te la facilitamos.
1. Objeto, duración y naturaleza
El encargo consiste en tratar los datos personales que el responsable introduce en Veyra, con la única finalidad de prestarle el servicio contratado: almacenarlos, organizarlos, consultarlos, generar documentos a partir de ellos y comunicarlos a los destinatarios que el propio responsable indique.
Tiene la misma duración que el contrato de servicio y termina con él, sin perjuicio de las obligaciones de devolución o supresión previstas más abajo.
2. Datos y personas afectadas
| Categorías de datos | Categorías de interesados |
|---|---|
| Identificativos (nombre, apellidos), de contacto (email, teléfono, dirección), datos fiscales (NIF/CIF) e información comercial y económica (presupuestos, facturas, importes) | Clientes y potenciales clientes del responsable, sus personas de contacto, proveedores y empleados del responsable |
| El contenido de los documentos que el responsable suba a la plataforma | Las personas que aparezcan en dichos documentos |
No está previsto el tratamiento de categorías especiales de datos (art. 9 RGPD: salud, ideología, biometría…). Veyra no está diseñada para ello, y el responsable se abstendrá de introducirlos.
3. Obligaciones del encargado
Veyra, como encargado, se compromete a:
- Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las transferencias internacionales. El uso normal de la aplicación constituye esa instrucción.
- No utilizar los datos para finalidades propias, ni cederlos, ni emplearlos para entrenar modelos de inteligencia artificial.
- Garantizar que las personas autorizadas a tratarlos se han comprometido a respetar la confidencialidad.
- Aplicar las medidas de seguridad del artículo 32 del RGPD (detalladas en el anexo).
- Asistir al responsable para que pueda atender las solicitudes de ejercicio de derechos de los interesados, en la medida de lo posible mediante las funciones de la propia aplicación.
- Asistirle también en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto, teniendo en cuenta la información disponible.
- Notificar sin dilación indebida, y en todo caso dentro de las 48 horas siguientes a tener conocimiento, cualquier violación de la seguridad que afecte a los datos del responsable, con la información necesaria para que este pueda cumplir su deber de notificación.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías, en los términos del apartado 6.
4. Obligaciones del responsable
El responsable se compromete a:
- Disponer de una base legal válida para tratar los datos que introduce y haber informado debidamente a los interesados.
- Cumplir la normativa aplicable en el uso que haga de la plataforma, incluidas las restricciones sobre comunicaciones comerciales.
- No introducir categorías especiales de datos ni más datos de los necesarios para su finalidad.
- Gestionar los accesos de su equipo y revocarlos cuando corresponda.
5. Subencargados
El responsable autoriza con carácter general la contratación de los subencargados necesarios para prestar el servicio, que son los recogidos en la política de privacidad.
Antes de incorporar o sustituir a un subencargado, Veyra lo comunicará con al menos 30 días de antelación. Si el responsable se opone por motivos razonables de protección de datos, podrá resolver el contrato de servicio sin penalización antes de que el cambio surta efecto.
Veyra impone a cada subencargado, por contrato, las mismas obligaciones que asume aquí, y responde frente al responsable de su cumplimiento.
6. Auditorías
El responsable puede solicitar, una vez al año y con un preaviso de 30 días, la información necesaria para verificar el cumplimiento de este contrato. Veyra atenderá la solicitud facilitando la documentación de que disponga.
Si el responsable exige una auditoría presencial o a través de un tercero, correrá con su coste y deberá acordarse previamente su alcance, de modo que no comprometa la seguridad ni la confidencialidad de otros clientes.
7. Al terminar el contrato
A la finalización, el responsable puede exportar sus datos desde la propia aplicación. Transcurridos 30 días desde la baja, Veyra suprimirá los datos personales tratados por cuenta del responsable, incluidas las copias de seguridad conforme a su ciclo de rotación.
Se exceptúa lo que deba conservarse por obligación legal, que permanecerá bloqueado y únicamente a disposición de las autoridades competentes durante los plazos de prescripción aplicables.
Anexo — Medidas de seguridad (art. 32 RGPD)
- Cifrado de las comunicaciones mediante TLS.
- Contraseñas almacenadas con funciones de derivación de clave (argon2), nunca en claro ni reversibles.
- Cifrado (AES-256-GCM) de los tokens de acceso de las cuentas de correo y calendario que el responsable conecte.
- Aislamiento lógico entre empresas: cada consulta se filtra por la empresa del usuario autenticado, obtenida del token de sesión y nunca de un parámetro de la petición.
- Control de acceso por roles y permisos configurables por el responsable.
- Registro de actividad con quién crea, modifica o elimina cada dato, y cuándo.
- Autenticación con tokens de corta duración y rotación de los de refresco.
- Copias de seguridad periódicas de la base de datos.
- Servidores ubicados en la Unión Europea (Alemania).
- Actualización periódica de dependencias y revisión de las alertas de seguridad.