Acuerdo de Tratamiento de Datos (DPA)

Acuerdo de Tratamiento de Datos

Conforme al art. 28 del Reglamento (UE) 2016/679 ("RGPD").

1. Partes

Este Acuerdo se celebra entre el cliente que utiliza pdftoxlsx.com (el "Responsable") y Technology Pro Bono S.L., CIF B88502364, sociedad registrada en España (el "Encargado").

2. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable únicamente para prestar el servicio de conversión de PDF a Excel disponible en pdftoxlsx.com. El Acuerdo está vigente mientras el Responsable mantenga una cuenta activa con el Encargado.

3. Naturaleza, finalidad y categorías de datos

Naturaleza del tratamiento: extracción automatizada de datos estructurados de transacciones desde archivos PDF subidos por el Responsable y entrega de los datos extraídos como archivo Excel mediante URL de descarga firmada.

Categorías de interesados: los titulares de cuentas del Responsable y sus contrapartes tal y como aparecen en los PDFs subidos.

Categorías de datos personales: nombre del titular, número de cuenta (últimos 4 dígitos), descripciones de las transacciones, fechas, importes, saldos, divisas, periodo del extracto.

4. Obligaciones del Encargado

El Encargado se compromete a:

• tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias fuera del EEE, salvo obligación impuesta por el Derecho de la UE o de un Estado miembro;
• garantizar que las personas autorizadas a tratar los datos están sujetas a deber de confidencialidad;
• aplicar medidas técnicas y organizativas apropiadas (TLS en tránsito, cifrado en reposo, controles de acceso, registros de auditoría);
• no contratar a otro encargado (subencargado) sin autorización general previa del Responsable (ver Anexo I);
• asistir al Responsable en el cumplimiento de sus obligaciones respecto a los derechos de los interesados y a los incidentes de seguridad;
• notificar al Responsable sin dilación indebida (y en todo caso en 72 horas) cualquier violación de seguridad de datos personales que le afecte;
• a elección del Responsable, suprimir o devolver todos los datos personales al finalizar la prestación del servicio y eliminar las copias existentes, salvo que el Derecho de la UE o de un Estado miembro exija su conservación;
• poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permitir auditorías, incluidas inspecciones, con preaviso razonable.

5. Transferencias internacionales

Todos los datos del Responsable se tratan dentro del Espacio Económico Europeo. Los subencargados ubicados fuera del EEE (en su caso) operan bajo Cláusulas Contractuales Tipo (Decisión (UE) 2021/914) más cualesquiera medidas suplementarias exigidas por el Comité Europeo de Protección de Datos.

6. Responsabilidad

Cada parte responde de los daños causados por un tratamiento que infrinja el RGPD en los términos previstos por el art. 82 RGPD. La responsabilidad entre las partes por incumplimiento de este Acuerdo se limita conforme a los Términos del Servicio de pdftoxlsx.com.

7. Ley aplicable

Este Acuerdo se rige por la ley española. Las controversias se someten a la jurisdicción exclusiva de los tribunales de España, sin perjuicio de los derechos del Responsable como consumidor cuando proceda.

Anexo I — Subencargados autorizados

• Supabase (región UE) — autenticación, base de datos transaccional, almacenamiento de objetos
• Vercel — alojamiento y funciones edge
• Stripe — procesamiento de pagos (responsable independiente para los datos de facturación)
• Resend — entrega de emails transaccionales
• Anthropic — extracción con IA (solo extractos de texto del PDF subido; sin retención)

El Encargado mantiene la lista actualizada en pdftoxlsx.com/privacy. Los cambios sustanciales se comunican al Responsable con al menos 30 días de antelación, con posibilidad de oponerse.

Anexo II — Medidas técnicas y organizativas

• HTTPS exclusivo; CSP estricta, HSTS preload, X-Frame-Options DENY, X-Content-Type-Options nosniff
• Cifrado en reposo de toda la base de datos y del almacenamiento de objetos
• Control de acceso por rol en la infraestructura; principio de mínimo privilegio; MFA en cuentas administradoras
• Registro automatizado de cada solicitud de conversión (sin almacenar contenido de las transacciones)
• Los PDFs subidos se eliminan en el plazo de 1 hora; los Excel generados en el plazo de 24 horas
• Limitación de tasa por IP y por inquilino en los endpoints sensibles
• Idempotencia en el webhook de Stripe para evitar efectos secundarios duplicados

Firmas