Contrato de encargo de tratamiento

Versión 4. Redacción de 21 de octubre de 2026, con la revisión letrada de octubre de 2026 incorporada. Sustituye a la versión 3 (28 de septiembre de 2026). Se acepta en el alta de la aplicación junto con los Términos y Condiciones.

Este contrato regula el tratamiento que Deva hace, por cuenta tuya, de los datos personales de tus clientes y de los demás terceros cuyos datos gestionas con Deva. Lo aceptas en el alta, marcando su casilla junto con la de los Términos y Condiciones (soydeva.es/terminos): sin marcar las dos casillas no puedes continuar. Forma parte de tu relación con Deva.

1. PARTES Y PAPELES

1.1. Tú (el profesional o empresa titular de la cuenta) eres el responsable del tratamiento de los datos personales que gestionas con Deva de tus clientes y contactos, de tus proveedores y arrendadores y de las demás personas que figuren en tus documentos y gastos. En este contrato, las referencias a los datos de tus clientes comprenden los de todos ellos.

1.2. Deva (SBI DIGITAL, S.L.U., NIF B05669569, calle Capitán Blanco Argibay 21, portal D, 1.º B, 28029 Madrid, soporte@soydeva.es) es tu encargado del tratamiento: trata esos datos únicamente por cuenta tuya y para prestarte el servicio.

1.3. De tus datos personales como usuario, Deva es responsable: eso se regula en la Política de Privacidad (soydeva.es/privacidad-app), no en este contrato. Esa política se te muestra en el alta para que la leas antes de continuar; no es un contrato que firmas: te informa de cómo tratamos tus datos.

2. OBJETO, DURACIÓN Y NATURALEZA DEL TRATAMIENTO

2.1. Objeto: la prestación del servicio Deva descrito en los Términos y Condiciones (soydeva.es/terminos). Comprende, en particular:

• la elaboración de facturas y la gestión de la facturación;
• los presupuestos y demás documentos;
• la gestión de tus clientes y de tu agenda;
• los cobros;
• el registro de gastos, incluida la lectura de tickets y extractos bancarios por foto;
• las comunicaciones con tus clientes;
• las funciones de voz e inteligencia artificial; y
• el acceso de tu gestoría, si la vinculas.

2.2. Duración: mientras tu cuenta esté activa. Al terminar o extinguirse la relación contractual, se aplica la cláusula 8.

2.3. Operaciones de tratamiento:

• recogida, registro, estructuración, conservación y consulta de los datos;
• comunicación de los datos:
  • envío de documentos a tus clientes y de los avisos previos de sus cobros recurrentes;
  • envío de los datos de cobro a la pasarela que uses;
  • validación del NIF de tus clientes con la Agencia Tributaria y con el sistema VIES;
  • remisión a la Agencia Tributaria de los registros de facturación (VeriFactu), que incluyen el nombre y el NIF de tu cliente;
  • consulta, descarga y registro de cobros por tu gestoría, en el nivel de acceso que le concedas;
  • cuando Deva active estas funciones (no están disponibles en el lanzamiento): emisión de facturas en tu nombre por tu gestoría, si la apoderas, y entrega de datos a las aplicaciones de terceros que autorices;
• supresión.

2.4. El detalle de datos e interesados está en el Anexo I.

3. INSTRUCCIONES

3.1. Deva tratará los datos únicamente conforme a tus instrucciones documentadas, también en lo relativo a las transferencias internacionales (cláusula 7). Tus instrucciones son las funciones que ejecutas en la aplicación (crear una factura, enviar un presupuesto, programar un cobro, vincular a tu gestoría, borrar un borrador, entre otras) y las de este contrato. Si una norma de la Unión Europea o de un Estado miembro obligara a Deva a tratar los datos de otro modo, te lo comunicará antes de hacerlo, salvo que esa norma lo prohíba por razones importantes de interés público.

3.2. Si Deva considera que una instrucción tuya infringe el Reglamento General de Protección de Datos u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros, te informará inmediatamente. La licitud de tus instrucciones es responsabilidad tuya; lo que hace Deva si una instrucción es ilícita está en la cláusula 9.2.

3.3. Deva no usará los datos de tus clientes para fines propios ni los comunicará a terceros para fines ajenos a este contrato, salvo que una norma lo exija o lo ordene un juzgado o tribunal; en ese caso, se aplica la cláusula 3.1.

3.4. Enlaces de los documentos que envías a tus clientes. Nos instruyes para que el enlace con el que envías un documento a un cliente le permita seguir consultándolo sin límite de tiempo, aunque ya no pueda firmarlo ni pagarlo, de modo que conserve la prueba de lo que firmó. Esta instrucción implica que los datos que figuran en ese documento seguirán siendo accesibles para quien tenga el enlace mientras tu cuenta exista.

3.5. Borradores. Cuando eliminas un borrador, o la aplicación lo descarta, nos instruyes para suprimirlo también en nuestros servidores, con sus fotografías. Los borradores que dejas de usar sin eliminarlos se suprimen a los 30 días de su última sincronización, salvo que estén ligados a un documento, un bono, una cuota o una cita.

3.6. Tu gestoría. Si vinculas tu cuenta a una gestoría, nos instruyes para que, desde su portal, mientras el vínculo esté activo y en el nivel de acceso que le concedas (Términos, cláusula 9.2), pueda:

• consultar y descargar los datos de tus clientes que figuran en tus documentos y libros;
• registrar por ti los cobros de tus facturas, si ese nivel lo permite; y
• usar sobre esos datos el asistente de inteligencia artificial de Deva.

Además, cuando Deva active esta función (Términos, cláusula 9.3; no está disponible en el lanzamiento), si apoderas a tu gestoría nos instruyes para que emita facturas en tu nombre con los datos de tus clientes que incluyan, mientras el vínculo esté activo.

La gestoría no es un subencargado de Deva: es tu encargada del tratamiento (o actúa en el papel que fijéis en vuestra relación), a la que tú das acceso y que responde ante ti de lo que hace con esos datos.

3.7. Aplicaciones de terceros. Esta función (Términos, cláusula 10) no está disponible en el lanzamiento. Cuando Deva la active, si autorizas una aplicación de terceros, nos instruyes para entregarle los datos de tus clientes que cubran los permisos que le concedas, mientras no revoques la autorización. Esa aplicación no es un subencargado de Deva: responde ella de lo que haga con esos datos.

3.8. Registro de apertura de los enlaces. Nos instruyes para registrar la primera vez que un cliente abre el enlace de un documento, y cada acto que hace desde él (firmar o dar la conformidad, pedir cambios, pedir una copia por correo o una factura proforma, cortar el enlace o autorizar un cobro), la fecha, la hora, su dirección IP y su navegador, para poder acreditar que lo recibió, lo vio y lo que hizo; esos registros se conservan 12 meses, salvo los de la firma y los de la autorización de un cobro, que se conservan con el documento o con esa autorización.

3.9. Diagnóstico del dictado y del asistente. Nos instruyes para conservar 90 días, sin el audio ni la frase completa, el concepto reconocido en cada dictado o en cada petición al asistente para preparar un documento, y las opciones con las que se comparó, que pueden incluir el nombre de un cliente, con el único fin de corregir errores de reconocimiento. Se suprimen automáticamente al cumplirse el plazo.

3.10. Rutas en Google Maps. Si pulsas «Ruta» en una cita, o abres en el mapa la dirección de un cliente desde su ficha, la aplicación abre Google Maps en tu móvil con esa dirección (el lugar de la cita o la dirección de tu cliente); es tu móvil, y no Deva, quien se la comunica a Google, que la trata como responsable propio, conforme a sus condiciones, y puede hacerlo en Estados Unidos. En la página en la que tu cliente lee, firma y paga no se carga ningún servicio de Google.

4. OBLIGACIONES DE DEVA COMO ENCARGADO

4.1. Confidencialidad: Deva y las personas autorizadas a tratar los datos se han comprometido por escrito a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.

4.2. Seguridad (art. 32 RGPD): Deva aplica, entre otras, estas medidas técnicas y organizativas de seguridad: cifrado de la base de datos local del dispositivo, comunicaciones cifradas y, entre la aplicación y los servidores de Deva, con autenticación mutua, cifrado de las credenciales de cobro, control de accesos y sesiones, acceso del personal de Deva a los datos de tus clientes solo cuando lo requiere el soporte o la seguridad y con registro de cada acceso, registros de auditoría de solo añadir, que la base de datos protege contra su modificación y borrado, y minimización del dato compartido con cada proveedor. Deva revisará periódicamente la eficacia de estas medidas y las adaptará a la evolución de los riesgos (art. 32.1.d RGPD), sin reducir su nivel de protección mientras dure este contrato.

4.3. Asistencia con los derechos: la aplicación te da las herramientas para atender por tu cuenta los derechos de tus clientes (consultar, rectificar, exportar y suprimir sus datos, con el límite legal de las facturas emitidas). Si un cliente tuyo se dirige directamente a Deva, le indicaremos sin dilación que se dirija a ti y te avisaremos.

4.4. Asistencia en seguridad: si Deva sufre una violación de seguridad que afecte a datos de tus clientes, te lo notificará sin dilación indebida desde que tenga conocimiento, con la información disponible sobre su alcance, para que puedas cumplir tus propias obligaciones de notificación (arts. 33 y 34 RGPD). Si la violación afecta también a datos de los que Deva es responsable, Deva la notificará a la Agencia Española de Protección de Datos en el plazo del artículo 33.

4.5. Asistencia en evaluaciones: Deva te facilitará la información razonablemente necesaria si debes hacer una evaluación de impacto o una consulta previa relativas al servicio.

4.6. Información y auditoría: Deva pondrá a tu disposición la información necesaria para demostrar el cumplimiento de este contrato (incluida la descripción de medidas de seguridad y la lista de subencargados) y permitirá auditorías razonables, previo aviso, con la periodicidad y el alcance proporcionados a un servicio prestado de forma idéntica a muchos clientes.

4.7. Registro de actividades (art. 30.2 RGPD): Deva lleva por escrito un registro de las categorías de actividades de tratamiento que hace por cuenta de cada responsable. Contiene:

• los datos de contacto de Deva y los tuyos y, en su caso, los de los representantes y los del delegado de protección de datos;
• las categorías de tratamientos que Deva hace por tu cuenta;
• en su caso, las transferencias de datos personales a un tercer país o a una organización internacional, con sus garantías; y
• una descripción general de las medidas técnicas y organizativas de seguridad (cláusula 4.2).

4.8. Formación: Deva garantiza que las personas autorizadas a tratar los datos reciben la formación necesaria en protección de datos personales.

5. TUS OBLIGACIONES COMO RESPONSABLE

5.1. Garantizas que los datos de tus clientes que introduces en Deva los tratas lícitamente, con una base jurídica válida (normalmente, la relación que mantienes con ellos y tu obligación de facturar), y que puedes encargarnos su tratamiento.

5.2. Te corresponde informar a tus clientes del tratamiento de sus datos (arts. 13 y 14 RGPD). Deva te ayuda: cuando tu cliente abre el enlace de un documento o de un pago, la página incluye un aviso de privacidad que identifica quién trata sus datos y con qué papel. Ese aviso se le muestra para que lo lea; no se le pide consentimiento para seguir, porque es información y no un contrato. Lo que tu cliente acepta de forma expresa es el documento que firma.

5.3. Eres responsable de la exactitud de los datos y de atender los derechos de tus clientes con las herramientas de la aplicación.

5.4. Si usas tu propio TPV virtual (Redsys), los datos del pago de tus clientes los trata Redsys por tu contrato con tu banco: esa relación es tuya, y Deva no es parte de ella.

6. SUBENCARGADOS

6.1. Cuando contratas Deva, nos autorizas de forma general a contratar los subencargados necesarios para prestar el servicio. La lista vigente está en el Anexo II y publicada en soydeva.es/subencargados.

6.2. Si incorporamos o sustituimos un subencargado, actualizaremos la lista y te lo comunicaremos en la aplicación con al menos 15 días de antelación. En ese plazo puedes oponerte por motivos razonables de protección de datos (art. 28.2 RGPD). Si te opones y no podemos ofrecerte una alternativa, este contrato termina y cierras tu cuenta conforme a los Términos (cláusula 16). Si no te opones en esos 15 días, el cambio se aplica.

6.3. Deva impone a cada subencargado obligaciones equivalentes a las de este contrato y responde ante ti de su cumplimiento.

7. TRANSFERENCIAS INTERNACIONALES

El tratamiento se realiza en la Unión Europea con carácter general. Cuando un subencargado trate datos fuera del Espacio Económico Europeo, o acceda a ellos desde fuera por estar establecido allí (Anexo II), la transferencia se ampara en una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo. Puedes pedir copia de esas garantías en soporte@soydeva.es.

8. FIN DEL SERVICIO: DEVOLUCIÓN Y SUPRESIÓN

8.1. Antes de que se cierre tu cuenta, la cierres tú o la cierre Deva (Términos, cláusula 16), puedes exportar los datos de tus clientes («Descargar mis datos»).

8.2. Al cerrarse la cuenta, Deva suprimirá en el plazo de un mes los datos personales de tus clientes, con dos excepciones: a) los incorporados a facturas emitidas y a sus registros de facturación, que deben conservarse bloqueados e inmutables durante los plazos de la normativa tributaria y mercantil (Reglamento aprobado por el RD 1007/2023; art. 30 del Código de Comercio); y b) los documentos de los que salió una de esas facturas o un cobro —el presupuesto, la hoja de encargo o el parte de trabajo, con sus versiones y la prueba de su aceptación (declaración del cliente, dirección IP, navegador, fecha y hora), y el borrador del que salieron, con sus fotografías— y el mandato de cobro de un plan de pagos a plazos, con la prueba del consentimiento, que se conservan bloqueados durante el mismo plazo. Unos y otros solo se usarán para atender las obligaciones ligadas a esas facturas.

8.3. Devolución o supresión, a tu elección. Puedes recuperar los datos de tus clientes antes del cierre de la cuenta (cláusula 8.1, «Descargar mis datos») o no recuperarlos. Elijas lo que elijas, Deva los suprime después en el plazo y con las excepciones de la cláusula 8.2. Si lo pides en soporte@soydeva.es, te entregamos un certificado de la supresión. Lo que la ley obliga a conservar (cláusula 8.2) queda bloqueado, y el certificado lo indica.

9. RESPONSABILIDAD

9.1. Cada parte responde de sus incumplimientos conforme al art. 82 RGPD y a los Términos y Condiciones. Deva responde de los daños causados por tratar datos incumpliendo este contrato o tus instrucciones lícitas; tú respondes de la licitud del tratamiento que nos encargas.

9.2. Instrucciones ilícitas. Si Deva considera que una instrucción tuya es ilícita o contraria a derecho, no la ejecutará y te lo dirá, con el motivo. Si insistes en ella, Deva podrá suspender el servicio conforme a los Términos (cláusulas 6.3 y 16.3).

9.3. Fuerza mayor. Ninguna de las partes responde del retraso o de la falta de ejecución de sus obligaciones cuando se deban a fuerza mayor o a caso fortuito, tal como los admite la jurisprudencia. La parte afectada avisará a la otra y reanudará el cumplimiento en cuanto cese.

10. MODIFICACIONES

10.1. Los cambios sustanciales de este contrato se te comunicarán en la aplicación y requerirán tu aceptación de la nueva versión, de la que se conserva registro. Los cambios en la lista de subencargados siguen el régimen de la cláusula 6.2.

10.2. Si no aceptas la nueva versión, puedes descargar tus datos y cerrar tu cuenta (Términos, cláusula 16), y te devolvemos la parte no consumida del periodo ya pagado (Términos, cláusula 12.5). Mientras no la aceptes, la aplicación solo te permite descargar tus datos y cerrar tu cuenta.

ANEXO I — DESCRIPCIÓN DEL TRATAMIENTO

• Interesados: tus clientes, también los potenciales, y tus contactos (particulares —pacientes, si tu actividad es sanitaria— o representantes de empresas); tus proveedores y arrendadores que figuran en tus gastos; y las personas que aparezcan en los documentos que fotografías (tickets, extractos bancarios, listas de precios).
• Categorías de datos: identificativos (nombre o razón social, NIF u otro documento de identificación, dirección, correo, teléfono, idioma); comerciales (documentos emitidos, historial de cobros y deuda, precios pactados, forma y plazo de pago habituales, bonos y sus consumos, citas con su fecha, hora, título, lugar y estado, garantías, etiquetas y fase comercial, registro de llamadas, correos, reuniones y mensajes, notas —incluidas las dictadas por voz—, fotografías del trabajo y, si la añades, la foto de la ficha del cliente); lo que tu cliente escribe al pedir cambios en un documento; evidencias de apertura, firma y consentimiento (declaración de aceptación o conformidad, dirección IP, navegador, fecha y hora); datos de mandato de cobro (referencias del mandato y del medio de pago en la pasarela; marca, últimos dígitos y mes y año de caducidad de la tarjeta; y evidencia del consentimiento: fecha, hora, dirección IP y navegador; los datos completos de pago los trata la pasarela); de tus proveedores y arrendadores: nombre o razón social, NIF e importes y, en los alquileres, la referencia catastral y la situación del inmueble y tus respuestas sobre la retención que les aplicas.
• Datos de salud: Deva no es un programa de historia clínica y no tiene campos pensados para datos clínicos. Pero si tu actividad es sanitaria (por ejemplo, fisioterapia, psicología o medicina), tus documentos, tus citas y tus bonos de sesiones muestran que tus clientes reciben asistencia sanitaria, y tus facturas exentas lo indican con la mención de la exención del IVA por asistencia sanitaria: son datos relativos a la salud (arts. 4.15 y 9.1 RGPD), que Deva trata por cuenta tuya conforme a este contrato. Como responsable, te corresponde disponer de una base del art. 9.2 RGPD (por ejemplo, la de su letra h, con el secreto profesional del art. 9.3) y no introducir diagnósticos, tratamientos ni evolución clínica en conceptos, notas, títulos de citas ni fotografías. Si tu actividad implica otras categorías especiales de datos, se aplica la misma regla.
• Finalidad: exclusivamente prestarte las funciones del servicio.

ANEXO II — SUBENCARGADOS AUTORIZADOS

• Mistral AI (Francia, UE) — procesamiento de voz e inteligencia artificial (transcripción de dictados y notas, que pueden incluir nombres de tus clientes; junto con cada dictado de un documento, para reconocerlos, los nombres de algunos de tus clientes y tus conceptos; asistente, que para responder le envía los datos de tu cuenta que consulta —entre ellos la ficha de tus clientes (nombre, NIF, correo y teléfono) y tus documentos e importes—, también cuando lo usa tu gestoría; lectura de tickets, extractos bancarios y listas de precios; y cálculo periódico de la representación de los conceptos de tus facturas, que pueden incluir el nombre de un cliente). Con un contrato de servicio de pago que incluye un acuerdo de tratamiento de datos y le prohíbe usar los datos para entrenar sus modelos. Para vigilar usos abusivos de su servicio conserva las peticiones un máximo de 30 días, como responsable propio conforme a sus condiciones, y después las borra. Excepcionalmente puede apoyarse en subencargados propios fuera de la UE, con cláusulas contractuales tipo.
• Brevo (Francia, UE) — envío de tus documentos a tus clientes y de los avisos previos de sus cobros recurrentes por correo electrónico.
• Google (Google Workspace) — buzones de correo de Deva, donde se guardan los mensajes de tus clientes que escriben a soporte@soydeva.es o responden a un documento que les has enviado (cláusula 4.3). Puede tratar datos en EE. UU. (Marco de Privacidad de Datos).
• Stripe — cuenta de cobros, procesamiento de cobros y mandatos de tus clientes. Puede tratar datos en EE. UU. (Marco de Privacidad de Datos / cláusulas tipo).
• Google (Firebase) — notificaciones a tu dispositivo, cuyo texto puede incluir el nombre de un cliente, un importe, el título y el lugar de una cita o el motivo con el que un cliente te pide cambios en un documento. Puede tratar datos en EE. UU. (Marco de Privacidad de Datos).
• Apple — solo en iPhone: notificaciones a tu dispositivo, cuyo texto puede incluir el nombre de un cliente, un importe, el título y el lugar de una cita o el motivo con el que un cliente te pide cambios en un documento. Puede tratar datos en EE. UU. (cláusulas contractuales tipo).
• Supabase (Supabase Pte. Ltd., Singapur; servidores en Francia, UE) — base de datos y archivos. Puede acceder a los datos desde fuera de la UE (cláusulas contractuales tipo).
• Fly.io (Fly.io, Inc., EE. UU.; servidores en Francia, UE) — servidores donde se ejecuta el servicio. Puede acceder a los datos desde EE. UU. (Marco de Privacidad de Datos).
• Vercel — alojamiento del portal de gestorías y de las páginas en las que tus clientes leen, firman y pagan tus documentos; por su red pasan, camino de nuestros servidores, el contenido de los documentos, los datos que tu cliente escribe al firmar y lo que consulta tu gestoría, salvo los datos de tarjeta o de cuenta bancaria, que van directamente a la pasarela de pago. Puede tratar datos en EE. UU. (Marco de Privacidad de Datos / cláusulas tipo).

No son subencargados de Deva: Redsys (tu propio TPV, por tu contrato con tu banco), tu gestoría (cláusula 3.6), las aplicaciones de terceros que autorices (cláusula 3.7), Google en las rutas que abres en Google Maps (cláusula 3.10), y la Agencia Tributaria y la Comisión Europea (VIES), que tratan los datos como responsables propias: la Agencia Tributaria recibe todos los registros de facturación porque Deva es un sistema VeriFactu (artículo 16 del Reglamento aprobado por el Real Decreto 1007/2023), y ambas contrastan los NIF y los números de IVA que se les consultan.

Lista vigente y actualizada: soydeva.es/subencargados.