Acuerdo de Encargo de Tratamiento (DPA)

Versión 1.0 — Última actualización: 27 de julio de 2026

Este Acuerdo de Encargo de Tratamiento (el «Acuerdo») forma parte de lasCondiciones Generales del Servicio NERO y regula, conforme al artículo 28 del RGPD, el tratamiento de datos personales que XILTEC TECHNOLOGIES S.L. («NERO», el encargado del tratamiento) realiza por cuenta del Cliente (elresponsable del tratamiento) para la prestación del Servicio. Se acepta junto con las Condiciones Generales en el alta del Servicio.

1. Descripción del tratamiento

Elemento	Descripción
Objeto	Alojamiento y tratamiento de los datos incorporados por el Cliente a la plataforma NERO
Duración	La vigencia de la suscripción, más el periodo de recuperación y supresión (cláusula 13 de las Condiciones Generales)
Naturaleza	Recogida, registro, estructuración, conservación, consulta, comunicación (envíos de email/WhatsApp/notificaciones instruidos por el Cliente), extracción automatizada de datos de documentos subidos por el Cliente (OCR con IA), consulta asistida por IA de los datos del propio negocio, copia de seguridad y supresión
Finalidad	Prestación del servicio de gestión empresarial, TPV, facturación y registro de jornada
Interesados	Clientes finales del Cliente; empleados del Cliente; contactos y clientes potenciales
Categorías de datos	Identificativos y de contacto; económicos y de transacciones (ventas, facturas, formas de pago); laborales (contrato, jornada, fichajes, ausencias); citas y servicios prestados; comunicaciones enviadas y recibidas; firmas manuscritas digitalizadas en consentimientos; en su caso, fichas asociadas al cliente final (p. ej., mascotas o vehículos)

Categorías especiales: el Servicio no está diseñado para tratar datos del artículo 9 RGPD. Si el Cliente los introduce en campos de texto libre (p. ej., motivos de salud en ausencias), lo hace bajo su exclusiva responsabilidad y debiendo contar con una base del artículo 9.2 RGPD.

2. Obligaciones de NERO como encargado

NERO se obliga a:

Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente; constituyen la instrucción principal las Condiciones Generales y el uso que el Cliente hace de la plataforma. Si NERO considera que una instrucción infringe la normativa, informará inmediatamente al Cliente.
Garantizar que las personas autorizadas a tratar datos están comprometidas a la confidencialidad.
Aplicar las medidas de seguridad del apartado 5.
Respetar las condiciones de subcontratación del apartado 6.
Asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a los ejercicios de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad). Si un interesado se dirige directamente a NERO, se lo comunicará al Cliente sin dilación indebida.
Asistir al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto), con la información de que disponga.
Notificar al Cliente sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible conforme al artículo 33.3 RGPD.
Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo y permitir auditorías conforme al apartado 7.
A elección del Cliente, suprimir o devolver los datos al finalizar el Servicio (cláusula 13 de las Condiciones Generales), y suprimir las copias salvo obligación legal de conservación.

3. Obligaciones del Cliente como responsable

El Cliente se obliga a: (i) disponer de base jurídica para los tratamientos; (ii) cumplir el deber de información frente a los interesados (empleados y clientes finales); (iii) atender los ejercicios de derechos; (iv) realizar, cuando proceda, análisis de riesgos y evaluaciones de impacto; y (v) usar la plataforma conforme a la normativa de protección de datos.

4. Transferencias internacionales

Los datos se alojan y tratan en el Espacio Económico Europeo. Si algún subencargado implica una transferencia internacional, se ampara en una decisión de adecuación de la Comisión Europea, en Cláusulas Contractuales Tipo u otro mecanismo válido del Capítulo V del RGPD, según se detalla en la Lista de Subencargados.

5. Medidas de seguridad

NERO aplica, entre otras (art. 32 RGPD):

Cifrado de las comunicaciones (TLS) y de los datos en reposo en la infraestructura de base de datos.
Aislamiento lógico de los datos por cliente (arquitectura multi-tenant con controles de acceso por empresa).
Control de acceso basado en roles; segundo factor (TOTP/passkeys) disponible para administradores; acceso de empleados al TPV mediante PIN.
Registro de auditoría de operaciones sensibles (modificaciones de fichajes, ediciones de facturas, accesos administrativos).
Copias de seguridad cifradas y periódicas, con pruebas de restauración.
Almacenamiento de credenciales con funciones de hash robustas; cifrado de tokens de terceros.
Actualización y parcheado periódicos; principio de mínimo privilegio en el acceso del personal de NERO.

6. Subencargados

6.1. El Cliente autoriza de forma general que NERO recurra a los subencargados de la Lista de Subencargados.

6.2. NERO informará de cualquier adición o sustitución con al menos 15 días de antelación (actualizando la lista y avisando por email o en la plataforma). El Cliente podrá oponerse por motivos razonables y fundados; si la oposición impide prestar el Servicio, cualquiera de las partes podrá resolver el contrato sin penalización.

6.3. NERO impone a los subencargados obligaciones equivalentes a las de este Acuerdo y permanece plenamente responsable frente al Cliente de su cumplimiento.

7. Auditoría

El Cliente puede auditar el cumplimiento de este Acuerdo una vez por año natural, previo aviso de 30 días, en horario laboral, sin acceso a datos de otros clientes y a su costa. NERO podrá satisfacer la auditoría mediante informes o certificaciones razonablemente suficientes.

Historial de versiones: v1.0 — 27 de julio de 2026 — versión inicial.