Anexo de encargo del tratamiento

Responsable del tratamiento: el titular de la cuenta de Elaira (el autónomo o el negocio), respecto de los datos personales de sus clientes, proveedores, empleados y contactos que guarda en Elaira.

Encargado del tratamiento: Zonexa, prestadora de Elaira (sus datos están en el aviso legal).

Este anexo regula cómo trata Zonexa esos datos por cuenta del responsable. Los datos de las personas que usan Elaira (cuenta, suscripción) los trata Zonexa como responsable, según la declaración de privacidad.

Zonexa trata los datos solo para prestar el servicio de Elaira: guardarlos y mostrarlos, preparar y emitir presupuestos, facturas y demás documentos, gestionar gastos, histórico, impuestos y equipo, hacer copias de seguridad, permitir el acceso de la gestoría y de las personas que el responsable autorice, y responder a lo que el responsable pide al asistente.

El encargo dura lo que dure la cuenta y termina con los plazos de eliminación de las condiciones de uso (apartado 9 de este anexo).

• Interesados: clientes, proveedores, empleados y contactos del responsable.
• Datos identificativos y de contacto: nombre o razón social, NIF/DNI, dirección, teléfono y correo.
• Datos económicos y comerciales: presupuestos, facturas, cobros, gastos y sus justificantes.
• Datos laborales (plan Pro): puesto, nóminas, contratos, registro de jornada, vacaciones y ausencias.

Algunos documentos laborales (por ejemplo, una nómina con una baja) pueden contener datos de categorías especiales. El responsable solo guardará los necesarios; se tratan con las mismas medidas de seguridad.

• Tratar los datos solo siguiendo las instrucciones del responsable, que son este anexo, las condiciones de uso y lo que el responsable hace en Elaira, y nunca para fines propios. Si una instrucción le pareciera contraria a la normativa, avisará al responsable.
• Garantizar que las personas autorizadas a tratarlos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del apartado 5.
• Recurrir a subencargados solo en las condiciones del apartado 6.
• Ayudar al responsable, con las herramientas de Elaira y cuando lo pida, a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Ayudar al responsable a cumplir sus obligaciones de seguridad, notificación de brechas y, si procede, evaluaciones de impacto.
• Notificar al responsable sin dilación indebida, y en cuanto tenga conocimiento, cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que pueda notificarla a la autoridad en plazo.
• Poner a disposición del responsable la información necesaria para demostrar que cumple este anexo y permitir revisiones razonables, previo aviso.

• Conexión cifrada (HTTPS) y contraseñas guardadas con cifrado irreversible.
• Separación estricta entre negocios: cada cuenta solo accede a sus datos; la gestoría y el equipo, solo a lo que el responsable permite.
• Copias de seguridad cifradas dos veces al día, comprobadas y guardadas en la Unión Europea.
• Análisis antivirus de los archivos subidos en el propio servidor.
• Doble factor de acceso para la administración de la plataforma y registro de las acciones importantes.
• Acceso del personal de Zonexa a los datos solo cuando sea necesario para prestar o mantener el servicio.

El responsable autoriza de forma general a Zonexa a recurrir a estos subencargados, con quienes Zonexa tiene contratos que les imponen obligaciones de protección de datos equivalentes:

• IONOS: servidor, base de datos, archivos y copias de seguridad, en la Unión Europea.
• Anthropic (modelo Claude): el asistente y la lectura de tiques, cuando el responsable los usa. Puede tratar datos en Estados Unidos, al amparo de su acuerdo de tratamiento de datos con las cláusulas contractuales tipo de la Comisión Europea.
• Brevo: envío de los correos de aviso de Elaira.

Zonexa avisará al responsable de cualquier cambio en esta lista con al menos 15 días de antelación; si el responsable no está de acuerdo, puede oponerse o dar de baja su cuenta.

El dictado por voz no lo presta Zonexa: lo hace el navegador del usuario cuando decide usarlo (Google en Chrome, Apple en Safari).

• Contar con una base legal para tratar los datos que guarda en Elaira e informar a sus interesados.
• Guardar solo los datos necesarios y mantenerlos actualizados.
• Decidir quién accede a su cuenta: las personas de su equipo y su gestoría. La relación entre el responsable y su gestoría es propia de ambos.

Los datos se guardan en la Unión Europea. Solo salen de ella cuando el responsable usa el asistente o la lectura de tiques (Anthropic, apartado 6), con las garantías del capítulo V del RGPD.

El responsable puede descargar todos sus datos en cualquier momento desde Ajustes. Al terminar el encargo, Zonexa suprime los datos con los plazos de las condiciones de uso: 90 días de solo lectura para descargarlos, una copia especial durante 20 días (15 si la eliminación la pidió el titular) y, después, supresión total, salvo que la ley obligue a conservar algo.

Este anexo se rige por la normativa española y europea de protección de datos. Si cambia, Zonexa avisará con antelación y pedirá aceptar la nueva versión.