Acuerdo de encargo de tratamiento de Orduno

ACUERDO DE ENCARGO DEL TRATAMIENTO DE ORDUNO Edición aprobada: orduno-2026-10-19 1. Partes, objeto y duración La empresa o profesional que contrata Orduno es responsable de los datos personales que incorpora a su ERP. FORE99 2024 S.L., NIF B55443188, con domicilio en Calle Alcalá 202, 28028 Madrid, España, actúa como encargado para prestar las funciones de Orduno. Contacto: yunxutech@gmail.com. El encargo comprende alojamiento, organización, consulta, modificación, exportación, transmisión autorizada para las funciones solicitadas, copias y recuperación, durante la prestación y la devolución o supresión posterior. No habilita al encargado para decidir nuevas finalidades. 2. Datos e interesados Pueden tratarse identificación y contacto profesional, usuarios y permisos, información de clientes y proveedores, pedidos, movimientos de existencias, importes y registros de operaciones, documentos y notas incorporados por el responsable. Los interesados pueden ser empleados, colaboradores, contactos de clientes y proveedores y otras personas relacionadas con las operaciones del responsable. Orduno no se ofrece para almacenar categorías especiales de datos ni datos penales; si una necesidad concreta exige ese tratamiento debe revisarse y acordarse previamente. 3. Instrucciones y obligaciones del responsable Son instrucciones documentadas la contratación, la configuración y las actuaciones de sus usuarios autorizados dentro de las funciones del producto, así como solicitudes verificadas de soporte, devolución o supresión. El responsable determina la legitimación, exactitud, información a los interesados y permisos de sus usuarios. No debe introducir datos innecesarios. Mantiene la responsabilidad por sus obligaciones contables, fiscales y sectoriales. Si una instrucción parece contraria a la normativa de protección de datos, FORE99 lo comunicará y solicitará aclaración antes de ejecutarla. Si una obligación legal exige un tratamiento distinto, informará al responsable cuando esté permitido. 4. Confidencialidad y seguridad FORE99 limita el acceso a quienes lo necesiten para prestar o mantener el servicio, con deber de confidencialidad, autorización y registro de actuaciones. No usa los datos para marketing ni los comunica por iniciativa propia a otras empresas usuarias. Las medidas implantadas incluyen HTTPS, autenticación de servidor, roles y separación lógica por empresa, controles de permiso en API, rol limitado de base de datos, secretos fuera del código, auditoría de operaciones y comprobaciones de integridad e idempotencia. Se mantienen copias cifradas y pruebas de recuperación. La copia periódica actual se encuentra en el servidor; no se afirma que exista copia externa automática. No se promete riesgo cero, disponibilidad permanente ni una certificación de seguridad no obtenida. Las medidas se revisan según los riesgos y evolución del servicio. No pueden rebajarse de forma que se vacíen las obligaciones asumidas. 5. Subencargados y transferencias El responsable autoriza, para las funciones descritas, AWS para infraestructura y almacenamiento del servicio y Resend (PLUS FIVE FIVE, INC.) para los mensajes transaccionales solicitados. Se utilizarán acuerdos de protección de datos que impongan obligaciones adecuadas a la función encomendada. La aplicación y PostgreSQL se alojan actualmente en AWS Lightsail, París. Resend declara almacenamiento en Estados Unidos. Se aplicarán las garantías exigibles a las transferencias, incluidas cláusulas contractuales y medidas adicionales cuando proceda; la región del servidor no se presenta como garantía de ausencia de transferencias. Stripe participa en la contratación y pagos del servicio y en sus obligaciones propias como proveedor de pagos; no recibe por ello una copia general de los datos operativos del ERP. El monitor externo recibe URL de salud y contactos de alertas. FORE99 informará con antelación razonable de la incorporación o sustitución de subencargados que afecte a datos del responsable, facilitando un medio para objetar por motivos de protección de datos y acordar una solución o la salida del servicio. La autorización no permite comunicar datos a cualquier proveedor para cualquier finalidad. 6. Asistencia, incidentes y evidencia FORE99 asistirá al responsable, en función de la naturaleza del tratamiento y de la información disponible, para atender derechos, incidentes y evaluaciones que correspondan. Una solicitud directa de un interesado sobre datos del ERP se comunicará al responsable; no se decidirá por él su finalidad. Al conocer una violación de seguridad que afecte a los datos del encargo, FORE99 avisará al responsable sin dilación indebida, facilitando la información disponible sobre alcance, consecuencias, medidas y punto de contacto, y la ampliará cuando sea necesario. No esperará a disponer de todos los detalles para comunicar lo conocido. FORE99 facilitará información razonable para demostrar el cumplimiento de este encargo y permitirá las comprobaciones procedentes, protegiendo los secretos y datos de otras empresas. No sustituirá esa evidencia por afirmaciones de certificación inexistentes. 7. Devolución y supresión Al finalizar la prestación, el responsable podrá elegir devolución o supresión de sus datos personales mediante una instrucción documentada y verificación de representación. Se acordará un formato utilizable y un procedimiento seguro. La cancelación de renovación por sí sola no se interpreta como orden de borrado inmediato. Se eliminarán o devolverán los datos del tratamiento activo conforme a esa instrucción, salvo conservación exigida por norma aplicable, que se limitará a la finalidad y al tiempo correspondientes y se mantendrá con acceso restringido. Las copias y la evidencia que no puedan alterarse de forma inmediata se aislarán de usos ordinarios, se someterán a su ciclo de conservación y a las obligaciones de confidencialidad y no se utilizarán para reactivar datos suprimidos. Si una restauración recupera datos ya sujetos a una supresión, se reaplicará la instrucción antes de volver a usarlos. La evidencia propia de contratación y facturación del prestador se distingue de los datos operativos del responsable y queda sujeta a sus obligaciones legales propias. 8. Relación con el contrato Este encargo forma parte de la contratación y se conserva con su versión aceptada. En materia de tratamiento por cuenta de la empresa prevalecen sus instrucciones y este anexo sobre usos genéricos no acordados. Se aplican las obligaciones imperativas del Reglamento (UE) 2016/679 y de la normativa que corresponda, sin renuncias generales de derechos.