Acuerdo de encargo del tratamiento
Versión: 1.0 · Publicado: 2 de octubre de 2026
Responsable: el Cliente que contrata el Servicio («Responsable»)
Encargado: Tiquento («Encargado»)
1. Objeto e interpretación
Este Acuerdo de encargo del tratamiento («DPA») forma parte del acuerdo por el que el Encargado presta el servicio de gestión de gastos Tiquento («Acuerdo»). Se aplica cuando el Encargado trata Datos Personales por cuenta del Responsable. «Datos Personales», «Tratamiento», «Responsable», «Encargado», «Interesado», «Violación de la seguridad de los datos personales» y «Autoridad de control» tienen el significado del Reglamento (UE) 2016/679 («RGPD»).
2. Instrucciones del Responsable
El Encargado solo tratará Datos Personales siguiendo instrucciones documentadas del Responsable, incluidas las transferencias a un tercer país u organización internacional, salvo que lo exija el Derecho de la UE o de un Estado miembro; en tal caso informará al Responsable salvo que la ley lo prohíba. El Acuerdo, el uso del Servicio, los permisos configurados y las solicitudes de soporte por escrito constituyen instrucciones documentadas del Responsable. El Encargado avisará sin demora al Responsable si una instrucción parece infringir la normativa de protección de datos.
3. Confidencialidad y seguridad
El Encargado garantizará que las personas autorizadas para tratar Datos Personales estén sujetas a obligaciones de confidencialidad. El Encargado aplicará medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto y los fines del tratamiento y los riesgos para las personas. Las medidas actuales se describen en el Anexo 2.
4. Subencargados
El Responsable concede al Encargado una autorización general por escrito para recurrir a los subencargados del Anexo 3. El Encargado avisará al Responsable con al menos 30 días de antelación de cualquier incorporación o sustitución, para que pueda oponerse por motivos razonables de protección de datos. El Encargado impondrá a cada subencargado obligaciones por escrito no menos protectoras que las de este DPA y seguirá respondiendo de su cumplimiento en la medida exigida por la ley.
5. Asistencia
Teniendo en cuenta la naturaleza del tratamiento, el Encargado prestará asistencia razonable mediante medidas técnicas y organizativas apropiadas para que el Responsable atienda las solicitudes de los Interesados. Teniendo en cuenta la naturaleza del tratamiento y la información disponible, el Encargado asistirá razonablemente al Responsable en relación con los artículos 32 a 36 del RGPD, incluidos seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa. El Encargado podrá cobrar tarifas razonables por la asistencia que exceda la funcionalidad estándar del Servicio cuando el Acuerdo lo permita.
6. Violaciones de la seguridad de los datos personales
El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad que afecte a Datos Personales del Responsable y facilitará la información disponible razonablemente necesaria para que este cumpla sus obligaciones legales. El Encargado no notificará a los Interesados ni a una Autoridad de control salvo instrucción o exigencia legal.
7. Auditorías e información
El Encargado pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor independiente designado por él, con preaviso razonable y sujetas a restricciones de confidencialidad, continuidad del negocio, seguridad y frecuencia. Las solicitudes de auditoría deben hacerse por escrito con al menos 30 días de antelación. El Encargado responderá primero con información y documentación escrita; podrá realizarse una inspección presencial o remota cuando dicha información sea razonablemente insuficiente. Las auditorías se limitan a una al año salvo que lo exija una Autoridad de control o tras una violación de la seguridad. Cada parte asume sus propios costes de auditoría.
8. Transferencias internacionales
El Encargado no transferirá Datos Personales del Responsable fuera del EEE salvo por instrucción del Responsable o mediante un mecanismo de transferencia válido conforme al capítulo V del RGPD. Los datos del Servicio se alojan en regiones de Google Cloud en la UE. Pueden producirse transferencias a EE. UU. a través de los subencargados del Anexo 3, al amparo del Marco de Privacidad de Datos UE-EE. UU. y/o de las cláusulas contractuales tipo de la UE incluidas en sus condiciones de tratamiento de datos.
9. Devolución y eliminación
A elección del Responsable, al finalizar el Acuerdo el Encargado eliminará o devolverá los Datos Personales, salvo que el Derecho de la UE o de un Estado miembro exija conservarlos. La devolución se realiza mediante una exportación de los registros de gastos (CSV) y de los justificantes. Los Datos Personales se eliminan en un plazo de 90 días tras la finalización del Acuerdo, salvo los datos de facturación que deban conservarse hasta seis años conforme a la normativa mercantil y fiscal española.
10. Prelación y duración
Este DPA estará vigente mientras el Encargado trate Datos Personales por cuenta del Responsable. En caso de conflicto, este DPA prevalece sobre el Acuerdo en materia de protección de datos. Los cambios exigidos por la normativa aplicable podrán realizarse mediante modificación por escrito.
Aceptación
El Responsable acepta este DPA al aceptar el Acuerdo o contratar el Servicio. El Responsable puede solicitar una copia firmada escribiendo a admin@tiquento.com.
Anexo 1 — Detalles del tratamiento
| Elemento | Descripción |
|---|---|
| Objeto | Prestación, alojamiento, seguridad, soporte y mantenimiento del Servicio web y móvil de gestión de gastos Tiquento. |
| Duración | Durante la vigencia del Acuerdo y cualquier periodo acordado de devolución/eliminación. |
| Naturaleza y finalidad | Recibir, almacenar, organizar, recuperar, transmitir y tratar de otro modo registros de gastos y justificantes; administración de cuentas; aprobaciones; informes/exportaciones; notificaciones; seguridad; y soporte. La extracción opcional de justificantes puede usar Document AI en la UE para sugerir campos del gasto. |
| Categorías de Interesados | Empleados, colaboradores, administradores, aprobadores y personal financiero del Responsable y, cuando aparezcan datos personales en un justificante, comercios, proveedores u otras personas identificadas en él. |
| Categorías de Datos Personales | Nombre, correo profesional, ID de usuario, función y organización; datos de autenticación/sesión; imagen/archivo del justificante y su contenido; gasto, comercio, importe, moneda, categoría, descripción, estado y marcas temporales; decisiones/comentarios de aprobación; datos de notificaciones e informes/exportaciones; registros técnicos y de seguridad. El Responsable no debe facilitar categorías especiales de datos salvo acuerdo específico por escrito con garantías adecuadas. |
| Derechos y obligaciones del Responsable | Determinar fines y medios lícitos; garantizar la información transparente y la base jurídica; gestionar accesos e instrucciones; atender solicitudes de los Interesados; garantizar la exactitud y conservación de los datos; valorar si es necesaria una evaluación de impacto. |
Anexo 2 — Medidas técnicas y organizativas
- Acceso basado en funciones y separación por organización.
- Comunicación autenticada entre servicios y transporte cifrado.
- Almacenamiento privado en la nube para justificantes; el acceso lo autoriza el Servicio y la visualización usa enlaces firmados de duración limitada.
- Validación de tipo y tamaño de justificantes; formatos permitidos PDF, PNG, JPEG y HEIC, con un límite de 10 MB.
- Infraestructura gestionada en regiones de Google Cloud en la UE (Bélgica y España); registros de acceso y supervisión operativa.
- Credenciales gestionadas mediante un gestor de secretos y controles de acceso de mínimo privilegio.
- Las correcciones de seguridad se aplican a medida que se identifican; los incidentes sospechosos se investigan y se notifican al Responsable conforme a la sección 6; los datos eliminados se borran de la base de datos y del almacenamiento de producción.
Anexo 3 — Subencargados autorizados
| Subencargado | Servicio/finalidad | Ubicación/garantía de transferencia |
|---|---|---|
| Google Cloud | Alojamiento, base de datos, almacenamiento privado de justificantes, servicios operativos; OCR opcional con Document AI. | Regiones de la UE (Bélgica y España); condiciones de tratamiento de datos de Google Cloud. |
| Stripe | Pagos de suscripción y facturación. | UE, con posibles transferencias a EE. UU. al amparo del Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo de la UE. |
| Postmark | Correo transaccional (verificación, restablecimiento de contraseña, notificaciones). | EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo de la UE. |