Encargo del tratamiento

Responsable del tratamiento: el cliente que contrata Prontara, que decide qué datos guarda en su ERP y para qué.

Encargado del tratamiento: SISPYME, S.L., CIF B-33047580, Edificio multiusos, calle Ildefonso Sánchez del Río nº 10, 33510 Pola de Siero, Asturias. Contacto: hola@prontara.com.

El encargado trata los datos sólo para prestar el servicio contratado: guardarlos, enseñarlos, calcular con ellos, generar los documentos que pidas (facturas, presupuestos, informes) y mandar los correos que configures. Dura lo que dure el contrato, más los 30 días posteriores para que puedas exportarlos.

Los que el cliente decida guardar. Habitualmente: datos identificativos y de contacto de sus clientes, proveedores, empleados y alumnos o pacientes según el oficio; datos económicos (presupuestos, facturas, cobros); y los de los propios usuarios del ERP. Si el cliente guarda categorías especiales de datos —por ejemplo, de salud en una clínica—, es él quien debe tener una base legal para tratarlas.

• Tratar los datos sólo siguiendo las instrucciones del cliente, que son este contrato y lo que haga en su ERP.
• Que quien acceda a ellos esté obligado a guardar secreto.
• Aplicar las medidas de seguridad del artículo 32: cifrado en tránsito, contraseñas guardadas con scrypt, sesiones firmadas, separación de los datos de cada cliente, copias de seguridad y acceso de personal limitado.
• Ayudar al cliente a atender los derechos de las personas (acceso, rectificación, supresión, portabilidad…).
• Avisar al cliente sin dilación, y en todo caso en menos de 72 horas, si sufre una brecha que afecte a sus datos.
• Dar al cliente la información necesaria para demostrar que se cumple este encargo.

El cliente autoriza de forma general a estos subencargados. Si se añade o cambia alguno, se avisa por correo con al menos 30 días de antelación, y el cliente puede oponerse dándose de baja.

Los datos que el cliente introduce en su ERP se guardan en la base de datos de la plataforma (Neon, en la lista de arriba), separados por cliente; nadie más que el prestador y sus subencargados los trata.

• Vercel Inc. — Aloja la aplicación web y los ficheros que el cliente adjunta en su ERP (Vercel Blob). Por ella pasan todas las peticiones. Estados Unidos, con cláusulas contractuales tipo de la UE.
• Neon Inc. — Base de datos de la plataforma y del ERP de cada cliente: cuentas de usuario, suscripciones, sesiones, avisos, errores capturados y los datos que el cliente introduce en su ERP, separados por cliente. Estados Unidos, con cláusulas contractuales tipo de la UE.
• Stripe Payments Europe, Ltd. — Cobros con tarjeta y suscripciones: datos de facturación y de pago. Irlanda (UE).
• Resend — Envío de los correos del servicio: entrega, avisos, recuperación de contraseña. Estados Unidos, con cláusulas contractuales tipo de la UE.
• Anthropic, PBC — El asistente de IA, sólo cuando un usuario lo usa: los mensajes y los datos que pida consultar se envían a sus modelos, que no se entrenan con ellos. Estados Unidos, con cláusulas contractuales tipo de la UE.
• Google Ireland Limited — Inicio de sesión con Google; y, sólo si el visitante de la web lo acepta en el aviso de cookies, medición de visitas (Google Analytics 4) y medición de conversiones de los anuncios (Google Ads, con el modo de consentimiento v2). Dentro del ERP de un cliente no se mide nada. Irlanda (UE); Google LLC en Estados Unidos, con cláusulas contractuales tipo de la UE.
• Microsoft Ireland Operations Limited — Inicio de sesión con Microsoft: el correo y el nombre de quien entra. Irlanda (UE).
• Apple Distribution International Ltd. — Inicio de sesión con Apple: el correo y el nombre de quien entra. Irlanda (UE).

Durante los 30 días siguientes a la baja, el ERP queda en solo lectura para que el cliente exporte sus datos. Pasados esos 30 días se suprimen: un proceso diario borra las cuentas y los datos de la plataforma, y la empresa del cliente dentro del ERP se da de baja. Las copias de seguridad que los contengan desaparecen en su ciclo de rotación. Sólo se conservan, bloqueados, los datos que la ley obliga a guardar —las facturas que el prestador emitió al cliente, seis años—.