Contrato de encargo del tratamiento (DPA)

• Responsable del tratamiento («el Cliente»): la farmacia, gestoría o entidad que contrata FarmaFactu.
• Encargado del tratamiento («VIONYX»): VIONYX Solutions S.L., CIF B88855929, con domicilio en Madrid (España). Contacto: legal@vionyx.es.

Cuando el Cliente sea una gestoría o asesoría que trata los datos por cuenta de sus propios clientes (por ejemplo, sus farmacias), el Cliente actúa a su vez como encargado de esos responsables y VIONYX actúa como subencargado. En ese caso el Cliente garantiza que sus clientes le han autorizado a recurrir a otros encargados (art. 28.2 RGPD), que les informa de que usa FarmaFactu y que les traslada las obligaciones de este contrato que les correspondan.

VIONYX trata los datos únicamente para prestar el servicio FarmaFactu: recoger las facturas de proveedor que llegan a los buzones o se suben a la plataforma, leerlas, comprobar sus importes, ponerlas a disposición del Cliente para su revisión y aprobación, generar los ficheros de exportación y conservarlas mientras dure el servicio. El detalle de los datos, los interesados y las operaciones está en el Anexo I.

Este contrato está vigente mientras el Cliente tenga una cuenta activa en FarmaFactu, incluido el periodo de prueba, y después durante el tiempo necesario para devolver y suprimir los datos según la cláusula 12.

VIONYX trata los datos siguiendo las instrucciones documentadas del Cliente. Son instrucciones documentadas este contrato, los Términos de Servicio y la configuración que el Cliente elige en la plataforma (buzones conectados, reglas por remitente, aprobaciones, exportaciones y baja). Cualquier otra instrucción se dará por escrito a legal@vionyx.es.

Si VIONYX considera que una instrucción infringe el RGPD u otra norma de protección de datos, se lo comunicará al Cliente de inmediato. VIONYX no trata los datos para fines propios ni los comunica a terceros salvo a los subencargados de la cláusula 7 o por obligación legal, en cuyo caso informará antes al Cliente salvo que la ley lo prohíba.

Las personas autorizadas por VIONYX para tratar los datos están obligadas por escrito a guardar confidencialidad, también después de terminar su relación con VIONYX. El personal de VIONYX solo accede a la cuenta de un Cliente cuando el propio Cliente concede el acceso de soporte desde la plataforma, en modo de solo lectura o completo; cada sesión dura un máximo de 30 minutos y queda registrada. El Cliente puede retirar ese permiso en cualquier momento.

VIONYX aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo según el artículo 32 del RGPD, y las revisará cuando cambie la tecnología o el riesgo. Podrá cambiarlas siempre que el nivel de seguridad no disminuya.

El Cliente concede a VIONYX una autorización general para recurrir a los subencargados que figuran en el Anexo III y en la página Subencargados.

• VIONYX avisará por correo al administrador de la cuenta con al menos 30 días de antelación antes de añadir o sustituir un subencargado.
• El Cliente podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si no se encuentra una solución, podrá darse de baja sin penalización antes de que el cambio se aplique.
• VIONYX impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y seguirá siendo responsable ante el Cliente de su cumplimiento.

• FarmaFactu lee las facturas con Azure AI Document Intelligence y, cuando algún importe no cuadra, con un modelo GPT-4o de Azure OpenAI desplegado en Data Zone UE, dentro de la suscripción de Azure de VIONYX.
• Según los términos de Microsoft para Azure OpenAI, las entradas y salidas no se usan para entrenar ni mejorar los modelos. Microsoft puede conservar temporalmente datos para detectar abusos; en despliegues de Data Zone se guardan en la zona geográfica del recurso, y la revisión humana, que solo se produce si el sistema ha marcado un posible abuso, la realiza personal de Microsoft situado en el Espacio Económico Europeo. VIONYX no ha solicitado la exclusión de esa monitorización.
• La IA no decide: propone los datos de cada factura, marca lo que no cuadra y nada se exporta sin la aprobación de una persona del Cliente.
• VIONYX no usa los datos del Cliente para entrenar modelos propios ni de terceros.

La plataforma permite al Cliente consultar, corregir, exportar y eliminar facturas y usuarios. Si un interesado se dirige a VIONYX para ejercer sus derechos, VIONYX trasladará la solicitud al Cliente sin dilación y, como máximo, en 5 días hábiles, y le ayudará a responderla en lo que no pueda hacer desde la plataforma.

VIONYX notificará al Cliente cualquier violación de la seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella, para que el Cliente pueda cumplir el plazo de 72 horas ante la autoridad de control. La notificación incluirá, en la medida en que se conozca, la información del artículo 33.3 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y registros, posibles consecuencias, medidas adoptadas o propuestas y un punto de contacto. Si no se dispone de toda la información a la vez, se facilitará de forma gradual.

VIONYX facilitará al Cliente la información de que disponga para que pueda realizar, si le corresponde, una evaluación de impacto y, en su caso, la consulta previa a la autoridad de control (artículos 35 y 36 del RGPD).

• Mientras la cuenta esté activa, el Cliente puede exportar sus facturas en Excel, CSV o en el formato de importación de A3 y de Sage, y descargar los PDF.
• Al darse de baja (confirmación «CONFIRMAR BAJA» en la plataforma), el Cliente puede elegir la supresión inmediata. Si no lo hace, los datos se suprimen de forma programada a los 90 días. Durante ese plazo la cuenta no se usa para nada más que para permitir la exportación.
• Al completarse la baja se genera un certificado de baja y borrado.
• Las copias de seguridad de la base de datos se renuevan de forma continua y conservan como máximo 7 días; los datos suprimidos desaparecen de ellas en ese plazo. Los PDF eliminados quedan en la papelera del almacenamiento un máximo de 30 días antes de su borrado definitivo.
• El registro de auditoría se conserva 12 meses para la seguridad del servicio y se suprime después.
• VIONYX solo conservará los datos que una ley le obligue a conservar (por ejemplo, las facturas que VIONYX emite al Cliente), y únicamente para esa finalidad.

VIONYX pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. El Cliente puede solicitar una auditoría, por sí mismo o por un auditor independiente obligado a confidencialidad, con 30 días de preaviso, como máximo una vez al año salvo violación de seguridad o requerimiento de una autoridad. La auditoría se hará en horario laboral, sin afectar al servicio ni a otros clientes. Para la infraestructura de Azure, VIONYX facilitará la documentación y las certificaciones publicadas por Microsoft, que son de Microsoft y no de VIONYX. Cada parte asume sus propios costes.

VIONYX no transfiere los datos del servicio fuera del Espacio Económico Europeo. El alojamiento, el almacenamiento y la lectura con IA se realizan en regiones de Azure de la Unión Europea (Anexo III). Microsoft y Stripe pertenecen a grupos con matriz en Estados Unidos; si alguno de ellos accediera a datos desde fuera del EEE, ese acceso queda cubierto por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo de la Comisión Europea, según sus contratos de tratamiento.

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. La limitación de responsabilidad de los Términos de Servicio se aplica en la medida en que lo permita la ley. En materia de protección de datos, este contrato prevalece sobre los Términos de Servicio. Se rige por la ley española; para cualquier controversia, ambas partes se someten a los juzgados de Madrid.

Otros proveedores que no son subencargados

• Google (Gmail) y Microsoft 365 (Outlook) del propio cliente: cuando el cliente conecta su buzón, FarmaFactu lee su bandeja de entrada a través de la API de su proveedor de correo (en Gmail, con permiso de solo lectura). Ese proveedor lo ha elegido y contratado el cliente; no es un subencargado de VIONYX.
• GoDaddy: gestiona los registros DNS del dominio farmafactu.es. No tiene acceso a los datos del servicio.