Anexo de encargado de tratamiento

Anexo a las Condiciones generales del servicio Firmatia, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes

Responsable del tratamiento: el Cliente identificado en la orden de pedido (en adelante, «el Responsable»). Si el Cliente utiliza el Servicio por cuenta de un tercero, se aplica además el apartado 13.

Encargado del tratamiento: Álvaro Martín Benito (nombre comercial: Firmatia), NIF 50213704N, Avenida M-40, 23, 28925 Alcorcón (Madrid), España, correo para protección de datos privacidad@firmatia.es (en adelante, «el Encargado» o «Firmatia»).

2. Objeto

El Encargado trata datos personales por cuenta del Responsable para prestarle el servicio de firma electrónica Firmatia descrito en las Condiciones generales: enviar documentos a las personas firmantes, ejecutar el proceso de firma, generar y custodiar las evidencias que acreditan su integridad y autoría, y poner los documentos firmados a disposición del Responsable.

Este Anexo no se aplica a los datos de los usuarios del panel, de las personas de contacto ni de facturación del Responsable, respecto de los que Firmatia es responsable conforme a la Política de privacidad.

3. Duración

Este Anexo está en vigor mientras dure el Contrato y, después, mientras el Encargado conserve documentos firmados en custodia por instrucción del Responsable (apartado 11), hasta su eliminación definitiva.

4. Naturaleza y finalidad del tratamiento

Recogida de los datos de los firmantes facilitados por el Responsable; envío de correos electrónicos (y, si el Responsable tiene activado el canal, de SMS) con enlaces de firma y códigos de verificación; presentación del documento al firmante; registro del acto de firma y de sus evidencias; sellado de tiempo; ensamblado del documento firmado; almacenamiento; puesta a disposición del Responsable; copias de seguridad; conservación y bloqueo durante el plazo de custodia; eliminación al término del plazo; y atención de las solicitudes de las personas interesadas que el Responsable traslade. Cualquier otra finalidad requiere instrucción escrita del Responsable.

5. Categorías de interesados y de datos

Interesados: las personas a las que el Responsable envía documentos a firmar (empleados, clientes, proveedores, colaboradores u otras personas físicas) y, en su caso, las personas mencionadas en el contenido de los documentos.

Datos: datos identificativos y de contacto (nombre, correo electrónico, teléfono y, si el Responsable los facilita, tipo y número de documento de identidad); el contenido de los documentos que el Responsable envía, que solo él determina; la imagen de la firma trazada en pantalla; el código de verificación; los datos de evidencia del acto de firma (fecha y hora selladas, dirección IP, navegador y dispositivo, declaración de firma aceptada y su versión); el motivo de rechazo, si el firmante lo indica; y en el nivel de firma avanzada, los datos de identificación que el prestador de servicios de confianza requiera. No se tratan datos biométricos: la firma trazada se conserva únicamente como imagen.

Categorías especiales: el Servicio no está diseñado para tratar categorías especiales de datos (artículo 9 RGPD) ni datos relativos a condenas e infracciones penales. Si el Responsable decide incluirlos en un documento, lo hace bajo su exclusiva responsabilidad, garantizando que dispone de la condición que lo permite, y lo comunica al Encargado si requiere medidas adicionales.

6. Obligaciones del Encargado

El Encargado se obliga a:

a) Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que son las recogidas en las Condiciones generales, en este Anexo, en la orden de pedido y en la configuración y las peticiones que el Responsable realiza a través del panel o de la API. Si el Encargado considera que una instrucción infringe la normativa, informará de inmediato al Responsable. Si el Derecho de la Unión o de un Estado miembro obliga al Encargado a un tratamiento distinto, lo comunicará al Responsable antes de realizarlo, salvo que ese Derecho lo prohíba.

b) No utilizar los datos para fines propios ni comunicarlos a terceros, salvo lo previsto en el apartado 9 y en el párrafo siguiente. El Responsable autoriza al Encargado a conservar las evidencias de firma también en interés propio, como responsable, únicamente para poder acreditar el correcto funcionamiento del Servicio ante una reclamación dirigida contra Firmatia (artículo 6.1.f RGPD), sin que ello suponga datos ni operaciones adicionales ni un plazo de conservación distinto del previsto en el apartado 11.

c) Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, y limitar el acceso a quienes lo necesiten para prestar el Servicio.

d) Aplicar las medidas técnicas y organizativas del apartado 7.

e) Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (apartado 8).

f) Ayudar al Responsable a garantizar el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

g) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Anexo y permitir las auditorías del apartado 10.

h) Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (artículo 30.2 RGPD).

i) Al término del Servicio, proceder conforme al apartado 11.

7. Medidas de seguridad

El Encargado aplica, como mínimo, las siguientes medidas, que revisa y actualiza con la evolución del Servicio:

• Cifrado de las comunicaciones mediante TLS entre los firmantes, el Responsable y el Servicio, y con los proveedores.
• Control de acceso por empresa y por rol de usuario; contraseñas fijadas por cada usuario mediante invitación, nunca por terceros; tokens de API con caducidad y renovación; secretos mostrados una sola vez.
• Enlaces de firma de un solo uso y con caducidad; enlaces de descarga firmados criptográficamente y con caducidad; códigos de verificación de un solo uso y con caducidad.
• Cifrado en base de datos de los números de documento de identidad de los firmantes.
• Registro de auditoría de cada sobre con encadenamiento de hashes; huella SHA-256 y sello de tiempo cualificado del documento firmado.
• Documentos firmados, originales e imágenes de firma en un almacenamiento de objetos con versionado y bloqueo de retención frente a modificación y borrado durante su plazo de custodia; el bloqueo se aplica al cerrar cada sobre y el Encargado supervisa su aplicación y reintenta o alerta si falla.
• Copias de seguridad diarias cifradas de la base de datos y de los documentos alojados en el servidor, en la Unión Europea, con rotación automática de siete meses como máximo y acceso restringido a la restauración del Servicio; los documentos del almacenamiento de objetos no se incluyen en esa copia y quedan protegidos por su versionado y bloqueo de retención.
• Alojamiento de datos, documentos y copias en centros de datos de la Unión Europea.
• Separación total entre el entorno de producción y el entorno de pruebas.
• Eliminación automática por plazos y registro interno de las supresiones y rectificaciones atendidas, para volver a aplicarlas si se restaura una copia de seguridad.
• Supervisión del espacio, de los envíos y de los proveedores de confianza, con avisos internos ante umbrales.

El Encargado no facilita a los firmantes ni a terceros información sobre el Responsable distinta de la que este configura para que se muestre en la página de firma y en los correos.

8. Derechos de los interesados y violaciones de seguridad

8.1. Cuando un interesado ejerza un derecho directamente ante el Encargado, este lo comunicará al Responsable sin dilación y, en todo caso, en un plazo de cinco días laborables, remitiéndole la solicitud, e indicará al interesado quién es el responsable. En la parte en que el Encargado trata las evidencias en interés propio (apartado 6.b), responderá él mismo al interesado dentro del plazo legal, en particular a las solicitudes de acceso y de oposición a ese tratamiento, aplicando la ponderación documentada de su interés legítimo. A petición del Responsable, el Encargado ejecutará la supresión, rectificación por anotación, limitación o exportación que proceda técnicamente y le confirmará su ejecución. Las evidencias de una firma realizada forman parte de la prueba del acto jurídico; corresponde al Responsable valorar si concurre el artículo 17.3.e RGPD. El documento firmado y sus evidencias no se modifican en ningún caso; las rectificaciones se hacen constar en el registro de rectificaciones del Encargado, asociadas al identificador del sobre.

8.2. El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales de la que tenga constancia sin dilación indebida desde que tenga constancia de ella (el plazo máximo de cuarenta y ocho horas es un límite, no un plazo de espera), por correo a las direcciones de los administradores del Responsable, con la información de que disponga en ese momento: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, consecuencias probables, medidas adoptadas o propuestas y punto de contacto. La información que no esté disponible se facilitará de forma gradual. El Encargado documentará la violación y colaborará con el Responsable en la notificación a la autoridad de control y, en su caso, en la comunicación a los interesados, que corresponden al Responsable.

9. Subencargados

9.1. El Responsable autoriza de forma general al Encargado a recurrir a los subencargados necesarios para prestar el Servicio. Los subencargados actuales son los identificados en el apartado 4 de la Política de privacidad publicada en firmatia.es/privacidad, que en la fecha de esta versión son:

9.2. El Encargado tiene con cada subencargado un contrato que le impone obligaciones equivalentes a las de este Anexo y responde ante el Responsable del cumplimiento de los subencargados.

9.3. El Encargado comunicará a los administradores del Responsable, con al menos treinta días de antelación, la incorporación o sustitución de un subencargado, actualizando al mismo tiempo la Política de privacidad. El Responsable puede oponerse por motivos justificados relacionados con la protección de datos en ese plazo; si no es posible atender la objeción, cualquiera de las partes puede resolver el Contrato conforme a la cláusula 12 de las Condiciones generales, con el efecto previsto para la resolución por el Encargado sin incumplimiento del Cliente.

9.4. Transferencias internacionales. Los datos y documentos del Servicio se alojan en la Unión Europea. Las únicas transferencias son las derivadas de los subencargados indicados, amparadas en decisiones de adecuación o en cláusulas contractuales tipo de la Comisión Europea. El Encargado no transferirá datos fuera del Espacio Económico Europeo por otro motivo sin instrucción del Responsable o sin una garantía adecuada, informándole en ese caso.

10. Auditoría

10.1. El Encargado facilita al Responsable, a petición, la información necesaria para demostrar el cumplimiento de este Anexo: descripción actualizada de las medidas de seguridad, lista de subencargados, plazos de conservación y, en su caso, resultados de auditorías o revisiones de seguridad de que disponga.

10.2. Si esa información no fuese suficiente, el Responsable puede realizar, una vez al año como máximo y además cuando exista una violación de seguridad que le afecte, indicios fundados de incumplimiento o un requerimiento de una autoridad de control, una auditoría por sí mismo o mediante un auditor independiente sujeto a confidencialidad, avisando con treinta días de antelación, en horario laboral, sin interrumpir el Servicio ni acceder a datos de otros clientes, y asumiendo su coste. El Encargado colaborará y corregirá en un plazo razonable las deficiencias que se acrediten.

11. Conservación, devolución y eliminación

11.1. Instrucción de custodia. El Responsable instruye al Encargado para que conserve los documentos firmados y sus evidencias durante cinco años desde la fecha de la firma, con bloqueo frente a modificación y borrado, con la finalidad de que el Responsable, el firmante o el Encargado puedan acreditar la integridad y la autoría de la firma ante una reclamación o disputa. Esta instrucción se mantiene aunque el Contrato termine antes. Si el Responsable instruye por escrito la supresión anticipada de un sobre firmado, el Encargado cesa el tratamiento ordinario (retira el acceso del Responsable y del propio Encargado) y elimina el sobre, salvo que puedan derivarse responsabilidades para el Encargado de esa firma o del Servicio; en ese caso lo conserva únicamente bloqueado, en los términos del artículo 33.4 de la LOPDGDD, durante el tiempo estrictamente necesario y nunca más allá de los cinco años, y así lo comunica y documenta al Responsable. El bloqueo técnico del almacenamiento no es por sí mismo un motivo para conservar.

11.2. Sobres no completados. Los datos personales y los documentos de los sobres cancelados, rechazados, caducados o cerrados con error, incluidos los que contengan firmas de algunos de sus firmantes (que no generan documento firmado; su registro de auditoría puede descargarse mientras se conservan), se eliminan a los doce meses, o a los noventa días de la baja si esta es anterior. El Encargado conserva un registro seudonimizado del sobre (identificador técnico, empresa remitente, estado, fechas, nivel de firma y número de firmantes), sin datos identificativos, con fines estadísticos y de conciliación de los bonos, durante el plazo de conservación de la documentación contractual.

11.3. Devolución al término del Contrato. El Responsable dispone de noventa días desde la fecha de efecto de la baja para solicitar la exportación de sus documentos firmados y evidencias, que el Encargado entrega en formato reutilizable (PDF firmados, evidencias estructuradas y relación de sobres). El Responsable puede además descargar en cualquier momento durante el Contrato cada documento y sus evidencias desde el panel y la API.

11.4. Bloqueo y eliminación. Transcurridos los noventa días, los datos operativos se eliminan y los documentos firmados y sus evidencias quedan bloqueados hasta cumplirse los cinco años de custodia: sin acceso del Responsable ni del Encargado salvo para ponerlos a disposición de jueces, tribunales o autoridades competentes, o para atender una reclamación o una responsabilidad derivada de la firma o del Servicio. Al cumplirse el plazo se eliminan el documento, la imagen de la firma, las evidencias y los datos identificativos de los firmantes, conservándose el registro seudonimizado, salvo que una reclamación o un procedimiento en curso comunicado al Encargado exija conservarlos hasta su terminación.

11.5. Copias de seguridad. Los datos eliminados pueden permanecer en las copias de seguridad hasta su rotación, que no supera los siete meses. Las copias solo se utilizan para restaurar el Servicio; si se restaurase una, las eliminaciones por plazo se aplican de nuevo automáticamente y las realizadas a petición de un interesado se repiten a partir del registro interno del Encargado.

12. Obligaciones y derechos del Responsable

El Responsable tiene derecho a impartir instrucciones al Encargado (apartado 6.a), a recibir información y a auditar (apartado 10), a oponerse a la incorporación de nuevos subencargados (apartado 9.3) y a obtener la devolución de sus datos (apartado 11.3).

El Responsable se obliga a: facilitar al Encargado únicamente los datos necesarios para el envío y la firma; disponer de la base jurídica para el tratamiento de los datos de los firmantes y del contenido de los documentos; facilitar a los firmantes la información de los artículos 13 y 14 del RGPD sobre su propio tratamiento, sin perjuicio de la cláusula estándar que el Servicio muestra con la identidad del Responsable y el correo de contacto que este configura; configurar en el panel una denominación y un correo de contacto para protección de datos exactos; atender las solicitudes de los interesados; realizar, si procede, la evaluación de impacto; y no utilizar el entorno de pruebas con datos personales reales de terceros.

13. Cliente que actúa por cuenta de un tercero (subencargo)

13.1. Si el Cliente utiliza el Servicio para gestionar firmas por cuenta de sus propios clientes (por ejemplo, un integrador o un proveedor de software), el Cliente es el encargado de esos clientes finales y Firmatia su subencargado. En ese caso, el Cliente garantiza que: cuenta con la autorización de cada responsable final para subcontratar a Firmatia con las condiciones de este Anexo; le traslada por escrito obligaciones equivalentes a las que aquí asume; identifica al responsable final en la configuración del Servicio o en cada sobre, para que la página de firma y los correos muestren su identidad a los firmantes; y le comunica las violaciones de seguridad y las incorporaciones de subencargados que Firmatia le notifique.

13.2. Las instrucciones que Firmatia recibe a través del Cliente se consideran instrucciones del responsable final. Las obligaciones de devolución y eliminación del apartado 11 se cumplen frente al Cliente, que responde de trasladar los datos a cada responsable final.

14. Responsabilidad y disposiciones finales

14.1. Cada parte responde de los daños derivados de su incumplimiento de este Anexo o de la normativa de protección de datos que le sea imputable, con el límite de la cláusula 14 de las Condiciones generales, que no se aplica a las sanciones administrativas que una parte deba soportar por causa imputable a la otra.

14.2. Este Anexo prevalece sobre las Condiciones generales en materia de protección de datos. Sus modificaciones siguen el régimen de la cláusula 15 de las Condiciones generales y, cuando afecten a los subencargados, el apartado 9.3.

14.3. Se rige por la legislación española y por el RGPD, con la jurisdicción de la cláusula 16.5 de las Condiciones generales.

15. Historial de versiones

Versión 1 (29/09/2026): primera versión, coherente con la Política de privacidad versión 5 (29/09/2026).

Versión 2 (02/10/2026): el bloqueo de retención del apartado 7 alcanza también a los originales y a las imágenes de firma, no solo a los documentos firmados; coherente con la Política de privacidad versión 7 (02/10/2026).

Versión 2 · actualizado el 2/10/2026