Contrato de encargo del tratamiento

Última actualización: 18 de octubre de 2026

Este contrato forma parte de las condiciones de contratación de Gestusi y regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), el tratamiento de los datos personales que el cliente introduce en la plataforma.

1. Partes y objeto

• Responsable del tratamiento: el cliente que contrata Gestusi (en adelante, «el Cliente»).
• Encargado del tratamiento: Drasda Soluciones Tecnológicas SL, NIF B05720818, Ctra. Barcelona, 28 - 4, 46530 Puçol, Valencia (en adelante, «Gestusi»).

Gestusi tratará por cuenta del Cliente los datos personales necesarios para prestarle el servicio de plataforma de gestión empresarial en la nube, durante el tiempo que dure el contrato.

2. Naturaleza, datos y personas afectadas

• Tratamientos: alojamiento, almacenamiento, organización, consulta, conservación, copia de seguridad, procesamiento automatizado (incluida la lectura de documentos mediante inteligencia artificial cuando el Cliente usa esa función), comunicación a los servicios que el Cliente conecte y supresión.
• Tipos de datos: identificativos y de contacto; económicos, financieros y de facturación; movimientos bancarios; datos laborales y de nóminas si el Cliente los incorpora; contenido de documentos y correos; firmas electrónicas.
• Personas afectadas: clientes, proveedores, empleados, socios, contactos y otros terceros del Cliente, así como sus propios usuarios.

El Cliente no debe introducir categorías especiales de datos (salud, ideología, etc.) salvo que sea imprescindible para su actividad y bajo su responsabilidad.

3. Obligaciones de Gestusi

Gestusi se compromete a:

1. Tratar los datos únicamente siguiendo las instrucciones documentadas del Cliente, que son las que se derivan del uso de la plataforma y de estas condiciones. Si alguna instrucción infringe la normativa, lo comunicará al Cliente.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados indicados en el anexo o cuando lo exija la ley.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del apartado 6.
5. En el soporte, usar las capturas de pantalla y los datos técnicos que un usuario adjunta a una incidencia solo para resolverla; que solo los vea el equipo de soporte, y suprimir las capturas a los 90 días de cerrarse la incidencia.
6. Ayudar al Cliente a atender las solicitudes de ejercicio de derechos de los interesados y a cumplir sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas, teniendo en cuenta la naturaleza del tratamiento.
7. Notificar al Cliente sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información disponible para que el Cliente pueda cumplir sus obligaciones.
8. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir las auditorías razonables que el Cliente solicite, con preaviso suficiente y sin comprometer la seguridad de otros clientes.

4. Subencargados

El Cliente autoriza a Gestusi a recurrir a los subencargados del anexo. Gestusi les impone por contrato las mismas obligaciones de protección de datos y responde de su cumplimiento. Informará al Cliente de cualquier cambio previsto en la lista, con al menos 15 días de antelación, para que pueda oponerse; si la oposición no pudiera resolverse, el Cliente podrá resolver el contrato sin penalización.

Los servicios de terceros que el Cliente conecta por decisión propia a su cuenta (su banco, su almacenamiento en la nube, su servidor de correo, la Agencia Tributaria…) no son subencargados de Gestusi: el intercambio de datos con ellos se hace por instrucción del Cliente y se rige por su propia relación con esos proveedores.

5. Transferencias internacionales

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU. para los proveedores adheridos) o en las cláusulas contractuales tipo de la Comisión, con las medidas adicionales que procedan.

6. Medidas de seguridad

• Servidores y base de datos alojados en la Unión Europea o Reino Unido (país con decisión de adecuación de la Comisión Europea).
• Comunicaciones cifradas (HTTPS) y protección de red frente a ataques.
• Contraseñas guardadas con algoritmos de hash y credenciales de terceros cifradas.
• Separación lógica de los datos de cada cliente y control de acceso por roles y permisos.
• Registro de operaciones contables, de accesos de usuarios y de uso de la inteligencia artificial.
• Copias de seguridad diarias y una copia externa cifrada antes de salir del servidor, con el compromiso de recuperar el servicio en un máximo de 24 horas con los datos de la última copia si hubiera que restaurarla (en el peor caso, se perdería lo registrado desde esa copia, como máximo un día).
• Acceso administrativo a los servidores restringido, con autenticación por clave.

7. Fin del encargo

Conforme al artículo 28.3.g del RGPD, al terminar la prestación Gestusi suprime los datos del Cliente, después de que este haya podido descargarlos:

• Prueba no convertida: los datos se conservan 90 días desde el fin de la prueba, con aviso al Cliente a los 75 (15 días antes), y después se suprimen.
• Baja: al terminar el periodo pagado, la cuenta queda 30 días en solo lectura para que el Cliente descargue sus datos; se le avisa 15 días antes y después se suprime todo su contenido.
• Copias de seguridad: los datos suprimidos desaparecen de las copias de seguridad según su ciclo de rotación (copias diarias de 14 días, semanales de 8 semanas y mensuales de 12 meses), es decir, en un máximo de 12 meses. Mientras tanto se conservan cifradas y solo se usan para restaurar el servicio.

El Cliente puede descargar en cualquier momento todos sus datos en formatos abiertos desde la plataforma («Mis servicios» → «Tus datos»). La conservación de su documentación durante los plazos mercantiles y tributarios corresponde al Cliente. Gestusi conserva únicamente los datos que trata como responsable (facturación y contrato). Las copias de seguridad se eliminan conforme a su ciclo de rotación.

8. Obligaciones del Cliente

El Cliente garantiza que los datos que introduce se han obtenido lícitamente y que cuenta con la base legal adecuada para tratarlos y encargar su tratamiento a Gestusi, y que informa a los interesados en los términos exigidos por la normativa.

Anexo · Subencargados