Encargo del tratamiento — preguntas frecuentes
Versión: 9 de septiembre de 2026 (2026-09-09).
Esta página resume el Contrato de Encargo del Tratamiento de FactuTPV, prestado por VERISYS DIGITAL LABS, S.L., NIF B05582556. No sustituye al DPA completo ni limita sus obligaciones. Contacto: [email protected].
1. ¿FactuTPV actúa como encargado?
Sí, respecto de los datos personales que el Cliente introduce o gestiona para su actividad, VERISYS actúa por sus instrucciones conforme al artículo 28 RGPD. Si el Cliente es a su vez encargado de un tercero, debe contar con autorización suficiente y VERISYS actuará como subencargado en esa cadena.
En la gestión de la contratación, sus propias facturas, seguridad corporativa y comunicaciones propias, VERISYS puede actuar como responsable. El acceso de soporte a una factura o base de datos del Cliente sigue formando parte del encargo: no se convierte en una finalidad propia por intervenir el soporte técnico.
2. ¿Dónde está el contrato?
El DPA completo se publica y se incorpora a los Términos del Servicio. Sus anexos describen el tratamiento, las medidas y los subencargados. El Cliente puede conservar una copia de la versión aceptada.
3. ¿Hay que firmarlo a mano?
No es necesario un documento en papel. El DPA puede formalizarse por escrito en formato electrónico. FactuTPV registra la aceptación, versión, fecha, usuario y evidencia técnica correspondiente. Esa constancia no se presenta como firma electrónica cualificada ni avanzada.
La aceptación del contrato y del DPA se distingue de la información de privacidad y de los consentimientos opcionales de publicidad o cookies.
La forma electrónica puede ser válida y servir de prueba. Lo que no se afirma es que un clic tenga automáticamente el efecto jurídico específico de una firma electrónica cualificada, que es la que el Reglamento eIDAS equipara expresamente a la manuscrita. La eficacia de la aceptación depende también de poder acreditar quién actuó, sus facultades y qué texto aceptó.
4. ¿Puede el Cliente enviar su plantilla?
VERISYS utiliza un DPA estándar para su servicio SaaS multi-cliente. Las plantillas, pedidos o anexos externos no se incorporan automáticamente y requieren aceptación expresa.
Esta regla no permite rechazar derechos de auditoría, instrucciones lícitas, requerimientos de una autoridad ni otras obligaciones legales. Si una petición no puede atenderse en los términos solicitados, se explicarán los motivos y se buscará una solución compatible con el RGPD.
5. ¿Qué subencargados se utilizan?
La relación vigente está en la lista de subencargados. Incluye función, datos, ubicación jurídica y garantías. Las nuevas incorporaciones o sustituciones se notifican ordinariamente con 30 días naturales de antelación; el Cliente puede formular oposición motivada en los 15 días siguientes conforme al DPA.
La autorización general no es una autorización en blanco. Las urgencias se gestionan con información y garantías sin eliminar el derecho legal de oposición. Stripe, por cobrar la suscripción de FactuTPV, no se convierte automáticamente en subencargado de los datos del TPV del Cliente.
Si una oposición objetiva de protección de datos no tiene una solución razonable y lícita, puede finalizarse la función afectada o el contrato cuando sea esencial, sin penalización. La liquidación y las posibles restituciones se rigen por la cláusula 11.4 de los Términos y el DPA: no hay un reembolso automático por objetar, pero se mantienen los remedios legales si no puede prestarse lo contratado. Una mera preferencia comercial no equivale a una objeción fundada.
6. ¿Dónde se alojan datos y copias?
La configuración declarada de alojamiento principal y copias utiliza infraestructura en España. Ello no significa que todos los servicios auxiliares o accesos se limiten al EEE: Cloudflare y las funciones opcionales de IA pueden implicar tratamiento internacional, como se detalla en la lista.
No se publican rutas internas, credenciales, direcciones de nodos ni otros detalles sensibles. Esta reserva no impide facilitar al Cliente información necesaria sobre países, entidades, garantías y medidas ni cumplir sus derechos de auditoría.
7. ¿Hay transferencias internacionales?
Pueden existir cuando se utilicen los proveedores identificados o integraciones autorizadas. Deben ampararse en el mecanismo vigente que corresponda, como una decisión de adecuación aplicable o cláusulas contractuales tipo con las evaluaciones y medidas necesarias. No se utiliza una excepción del artículo 49 RGPD como cobertura ordinaria de una transferencia estructural.
8. ¿Cómo obtengo justificante de aceptación?
Puede solicitarse a [email protected] y, cuando esté habilitada la función, descargarse desde Ajustes → Legal y privacidad. Se facilitará información sobre la versión y la aceptación atribuida a la cuenta, preservando datos de terceros y seguridad.
9. ¿Cómo se atienden los derechos?
El Cliente atiende los derechos respecto de los datos que gestiona y VERISYS le presta asistencia. Si un interesado contacta directamente con VERISYS sobre datos del encargo, se canaliza la petición sin demora. Respecto de tratamientos propios de VERISYS, el interesado puede ejercer directamente sus derechos conforme a la Política de Privacidad.
10. ¿Cómo se notifican incidentes?
Las brechas que afecten a datos tratados por cuenta del Cliente se notifican sin dilación indebida desde su conocimiento. Se envía una comunicación inicial útil y se completa la información a medida que se investiga. No se espera a terminar toda la investigación ni se confunde el plazo del encargado con el que corresponda al responsable frente a la autoridad.
11. ¿Qué ocurre al cancelar o cambiar de proveedor?
La baja voluntaria ordinaria impide la siguiente renovación, sin reembolso ni prorrateo de la cuota del período ya iniciado, y mantiene el acceso hasta el vencimiento. Un cambio de proveedor sujeto a un régimen obligatorio sigue sus propios plazos y liquidación. Las excepciones económicas están en la cláusula 11.4 de los Términos; no se confunde devolución de datos con devolución de dinero.
Cancelar la renovación no equivale a pedir una supresión inmediata. Se mantienen los derechos de exportación y una ventana mínima de recuperación de 30 días en los términos del contrato. Tras una instrucción válida de supresión y los períodos aplicables, se eliminan las copias operativas y se agotan las copias de seguridad conforme a los plazos del DPA.
No se conserva indiscriminadamente toda la base de datos durante seis años por invocar obligaciones fiscales de VERISYS. Su documentación fiscal propia y los datos tratados por encargo tienen regímenes distintos. El Cliente debe conservar sus exportaciones y archivos legalmente exigibles.
12. ¿Puede el asesor acceder a mis datos?
Solo con habilitación del Cliente y dentro de sus permisos. La condición jurídica del asesor depende del servicio que presta: puede ser responsable independiente, encargado del Cliente o personal autorizado. El acceso al portal no resuelve por sí solo esa calificación ni autoriza usos ajenos al encargo profesional.
13. ¿Qué ocurre si no se acepta el contrato y el DPA?
No se habilita el uso operativo del servicio hasta que el titular o un administrador con facultades suficientes los acepte de forma expresa. Permanecen disponibles las vías de información legal, soporte, baja, ejercicio de derechos y devolución o exportación de datos exigibles. Aceptar el DPA no obliga a consentir publicidad ni cookies opcionales.