CONTRATO DE ENCARGO DE TRATAMIENTO DE DATOS PERSONALES DE FACTUNO Versión: 1.0 Fecha de entrada en vigor: 9 de octubre de 2026 Este contrato forma parte de las Condiciones de uso de Factuno. El comercio lo acepta al activar la facturación real en la aplicación. La aceptación queda registrada con la fecha, la persona que la realiza y la versión aceptada. 1. PARTES Responsable del tratamiento: el comercio titular de la tienda Shopify que usa Factuno, identificado por la razón social y el NIF que constan en su configuración (el «Responsable»). Encargado del tratamiento: Tugni, con domicilio de contacto en Santo Domingo (República Dominicana) («Tugni» o el «Encargado»). Contacto: privacy@tugni.com. 2. OBJETO El Encargado trata, por cuenta del Responsable, los datos personales necesarios para prestar el servicio Factuno: a) Recibir de Shopify los pedidos, reembolsos y datos de los compradores de la tienda. b) Preparar, revisar, numerar y emitir facturas completas, simplificadas, rectificativas y sustitutivas, de forma automática al confirmarse el cobro o a petición del Responsable. c) Generar los registros de facturación y remitirlos a la Agencia Estatal de Administración Tributaria (AEAT) mediante VERI*FACTU, en nombre del Responsable y con su certificado digital; consultar su estado y conciliar los envíos inciertos. d) Generar el PDF de cada factura y entregarlo al comprador por correo electrónico, por el portal de facturas o mediante las extensiones de Shopify que el Responsable active. e) Atender las solicitudes de los compradores, como pedir una factura completa, y registrar la respuesta del Responsable. f) Conservar las facturas y sus registros y permitir su consulta, exportación y corrección. 3. DURACIÓN Este contrato dura mientras el Responsable use Factuno. Al terminar se aplica el apartado 10. 4. DATOS Y PERSONAS AFECTADAS Personas afectadas: compradores y clientes del Responsable y, en las facturas manuales, cualquier destinatario que el Responsable indique. Datos tratados: - Identificación y contacto: nombre o razón social, correo electrónico del pedido, identificador de cliente de Shopify. - Datos fiscales: NIF o NIE, país del documento y domicilio de facturación. - Datos de la operación: productos, cantidades, precios, descuentos, impuestos, forma y estado del pago, reembolsos y devoluciones, país de envío. - Facturas y registros de facturación, con las respuestas de la AEAT. - Entrega y accesos: destinatario, resultado de los envíos de correo y accesos al portal de facturas. - Solicitudes del comprador y respuestas del Responsable. No se tratan categorías especiales de datos. 5. OBLIGACIONES DEL ENCARGADO 5.1 Instrucciones. El Encargado trata los datos únicamente siguiendo las instrucciones documentadas del Responsable. Son instrucciones la configuración de Factuno, las acciones que el Responsable realiza en la aplicación y este contrato. Si una instrucción infringe a su juicio la normativa de protección de datos, el Encargado lo comunicará al Responsable. Si el Derecho de la Unión o de un Estado miembro le obliga a otro tratamiento, informará al Responsable antes de realizarlo, salvo que ese Derecho lo prohíba. 5.2 Confidencialidad. Las personas autorizadas por el Encargado para tratar los datos están sujetas a un deber de confidencialidad, contractual o legal, que se mantiene después de terminar su relación. 5.3 Seguridad. El Encargado aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo conforme al artículo 32 del RGPD. 5.4 Subencargados. El Responsable autoriza de forma general la intervención de los subencargados del Anexo I. El Encargado informará de cualquier alta o sustitución con al menos 30 días de antelación, mediante aviso en la aplicación o por correo electrónico. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se alcanza una solución, podrá dejar de usar el servicio. El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos y responderá ante el Responsable de su cumplimiento. 5.5 Transferencias internacionales. Las transferencias de datos fuera del Espacio Económico Europeo se realizan con las garantías del Anexo III. 5.6 Derechos de los interesados. El Encargado ayuda al Responsable a atender las solicitudes de los interesados. Factuno procesa las solicitudes de acceso y supresión que Shopify transmite en nombre de los compradores y permite al Responsable consultar su estado. Si un interesado se dirige directamente al Encargado, este le remitirá la solicitud al Responsable sin dilación. 5.7 Asistencia. El Encargado ayuda al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad, de evaluación de impacto y de consulta previa. 5.8 Violaciones de seguridad. El Encargado notificará al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos. La notificación incluirá la información disponible para que el Responsable pueda cumplir el artículo 33 del RGPD. 5.9 Información y auditorías. El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permite y contribuye a las auditorías del Responsable o de un auditor autorizado por él. Las auditorías se solicitan con un preaviso de 30 días, como máximo una vez al año salvo que se haya producido una violación de seguridad, corren a cargo del Responsable y se sujetan a un compromiso de confidencialidad. El Encargado podrá atenderlas en primer lugar con la documentación de sus medidas. 5.10 Registro de actividades. El Encargado mantiene el registro de actividades de tratamiento previsto en el artículo 30.2 del RGPD. 6. OBLIGACIONES DEL RESPONSABLE El Responsable: a) Garantiza que tiene una base jurídica para el tratamiento y que informa a sus compradores de que sus facturas se emiten con Factuno y se remiten a la AEAT. b) Facilita datos exactos y mantiene correcta la configuración de su tienda y de Factuno. c) Da instrucciones conformes con la normativa. d) Supervisa el tratamiento y atiende las solicitudes de los interesados con la ayuda del Encargado. 7. COMUNICACIÓN DE DATOS A LA AEAT La remisión de los registros de facturación a la AEAT es una obligación legal del Responsable, que este cumple a través de Factuno. El Encargado envía los registros en nombre del Responsable y con el certificado digital que este aporta. La AEAT trata los datos como destinataria por obligación legal, no como subencargada del Encargado. 8. CERTIFICADO DIGITAL DEL RESPONSABLE El Encargado usa el certificado digital y la contraseña del Responsable exclusivamente para comprobar la conexión con la AEAT y para remitir y consultar los registros de facturación del Responsable. Los guarda cifrados, no los muestra ni los comunica a terceros y los borra cuando el Responsable los elimina o sustituye, o tras la desinstalación, según el apartado 10. 9. CONSERVACIÓN Las facturas, sus registros de facturación y las evidencias de su envío se conservan durante seis años desde la fecha de expedición de cada factura, plazo que cubre las obligaciones de conservación tributarias y mercantiles del Responsable. Los demás datos se conservan mientras sean necesarios para prestar el servicio. 10. FIN DEL ENCARGO a) Antes de desinstalar, el Responsable puede descargar la exportación completa de sus facturas desde la aplicación. b) Cuando el Responsable desinstala Factuno y Shopify comunica la solicitud de supresión de la tienda (48 horas después de la desinstalación), el Encargado suprime el certificado digital, la configuración, las sesiones, los borradores, los perfiles de comprador, los accesos al portal y los datos operativos de entrega. c) Las facturas emitidas, sus registros y evidencias se conservan bloqueados, por cuenta del Responsable, hasta el final del plazo del apartado 9, porque la normativa obliga a conservarlos. Durante ese plazo el Responsable puede pedir una copia a privacy@tugni.com o reinstalar la aplicación para consultarlos. Al terminar el plazo, el Encargado los suprime. d) Las copias de seguridad cifradas se renuevan en un ciclo de 7 días. 11. RESPONSABILIDAD Cada parte responde de sus obligaciones conforme al artículo 82 del RGPD. El límite de responsabilidad de las Condiciones de uso se aplica también a este contrato en la medida en que la ley lo permita. 12. LEY APLICABLE Este contrato se rige por el RGPD, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales y la ley aplicable a las Condiciones de uso. ANEXO I. SUBENCARGADOS 1. Hetzner Online GmbH (Alemania). Alojamiento de la aplicación, la base de datos y las copias de seguridad, en servidores situados en Estados Unidos. 2. SMTP2GO (Christchurch, Nueva Zelanda). Envío de correos transaccionales: facturas al comprador, códigos de acceso y avisos. El Responsable también usa Shopify, del que Factuno recibe los datos. Shopify es proveedor del Responsable, no subencargado del Encargado. ANEXO II. MEDIDAS DE SEGURIDAD - Cifrado del certificado digital, su contraseña y las demás credenciales, con claves versionadas y separadas por tienda y entorno. Nunca se devuelven al navegador. - Separación de los datos por tienda en todas las consultas y acciones. - Acceso del equipo del Responsable mediante sesión autenticada de Shopify y permisos por persona, con registro de las acciones. - Envío de registros a la AEAT desde un proceso independiente de la aplicación web, con su propio usuario del sistema y sin volcados de memoria. - Facturas y registros inalterables una vez emitidos, con huella encadenada y comprobación de integridad de los archivos antes de cada descarga. - Comunicaciones cifradas con Shopify, la AEAT y los proveedores. - Copias de seguridad diarias, cifradas antes de guardarse. - Supervisión del servicio, de la cola de envíos a la AEAT y de los errores, sin incluir datos de los compradores en los registros técnicos. - Acceso del personal de Tugni limitado a lo necesario para operar el servicio y atender el soporte. ANEXO III. TRANSFERENCIAS INTERNACIONALES 1. Encargado. Tugni presta el servicio desde República Dominicana. 2. Alojamiento. La aplicación, la base de datos y las copias de seguridad están en servidores de Hetzner Online GmbH situados en Estados Unidos. 3. Correo. SMTP2GO tiene su sede en Nueva Zelanda, país con decisión de adecuación de la Comisión Europea, y puede tratar los correos en otros países según su infraestructura. Para las transferencias a países sin decisión de adecuación se aplican las cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, en el módulo que corresponda a cada relación (responsable a encargado o encargado a subencargado), que se incorporan a este contrato por referencia. Se completan con cifrado, control de accesos y minimización de los datos transferidos. El Responsable puede pedir una copia en privacy@tugni.com.