Encargo del tratamiento (DPA)

Versión VESTA-SaaS-2026-11-v2.4 · 26/10/2026 · Anexo IV del Contrato SaaS de VESTA Intelligence.

Es el mismo texto del Anexo IV del contrato SaaS, que se acepta en el alta. Contrato completo: versión v2.4 · Huella SHA-256 del contrato: 6641585bbfe89c154383aa7bfa5ee3483d40636f0a6ea659dac1dd294624f49d.

Es el mismo texto que se publica en vesta-intelligence.com/dpa, con su versión y huella, y se acepta en el alta (cláusula 22.2).

1. Partes y objeto. El Cliente y cada Sociedad adicional (responsables) encargan a NANWEL Servicios Corporativos, S.L. (encargado) el tratamiento necesario para prestar el Servicio durante la vigencia del Contrato y el plazo de salida de la cláusula 19.4.

2. Naturaleza y finalidades:

   • recepción y procesamiento de saldos y movimientos bancarios leídos del ERP del responsable o contenidos en los extractos que el responsable envía por WhatsApp o email;
   • recepción y procesamiento de informes CIRBE y otros documentos que el responsable envía por WhatsApp o email;
   • lectura del ERP y de los ficheros contables;
   • cálculo de tesorería, previsiones y alertas;
   • generación de respuestas, audios e informes mediante IA, con aviso y marcado de contenido generado por IA;
   • consulta de fuentes públicas sobre las personas jurídicas con las que opera el responsable (cláusula 4.9);
   • preparación y envío, por instrucción expresa del responsable en cada caso, de comunicaciones a sus clientes, proveedores, bancos o asesores (cláusulas 4.5 y 4.8);
   • comunicación de los Resultados al responsable por WhatsApp y email;
   • soporte, incluida la sesión opcional de puesta en marcha;
   • copias de seguridad.

3. Datos e interesados.

   • Datos: nombres, NIF, IBAN, importes y conceptos de terceros que aparezcan en movimientos y facturas; saldos, movimientos e IBAN de las cuentas del responsable; datos identificativos y de riesgo de cotitulares, avalistas o garantes personas físicas que consten en los informes CIRBE aportados; nombre, email y datos de la deuda de los destinatarios de las comunicaciones enviadas por mandato; datos de contacto, número de WhatsApp, mensajes y notas de voz de los Usuarios autorizados; datos de trabajadores que consten en el ERP (coste, horas, asignación a trabajos).
   • Interesados: empleados, clientes, proveedores, socios, avalistas, garantes y representantes del responsable.
   • Categorías especiales: no se tratan de forma deliberada. Si aparecen de forma incidental en conceptos, se tratan solo en la medida necesaria y con las mismas medidas.

4. Instrucciones. El encargado trata los datos solo siguiendo las instrucciones documentadas del responsable (este Contrato, la configuración de la cuenta acordada con el Cliente y las instrucciones escritas posteriores), también en cuanto a transferencias internacionales, salvo obligación legal, que comunicará previamente si la ley lo permite. Informará de inmediato si considera que una instrucción infringe la normativa. La anonimización de la cláusula 17.3 y, para los Clientes adheridos, el uso de cifras agregadas de la cláusula 4.7 bis son instrucciones del responsable.

5. Confidencialidad. Las personas autorizadas están sujetas a un deber de confidencialidad y han recibido formación en protección de datos y en IA (art. 4 RIA).

6. Seguridad (art. 32 RGPD):

   • cifrado TLS en tránsito y cifrado en reposo;
   • alojamiento principal en la UE (Irlanda y Alemania);
   • control de acceso por filas (RLS) y mínimo privilegio, con doble barrera de acceso en las funciones de datos;
   • doble factor para el personal;
   • credenciales en un gestor seguro;
   • acceso de solo lectura al ERP; ningún acceso a la banca electrónica del responsable;
   • eliminación sin uso de cualquier credencial bancaria recibida por error;
   • verificación de la firma de cada mensaje recibido de WhatsApp (Meta);
   • validación interna que impide que un mismo número de teléfono identifique a dos clientes distintos;
   • filtro automático de NIF de personas físicas antes de cualquier consulta de contrapartes;
   • minimización y seudonimización antes del envío a la IA cuando sea posible;
   • registros de actividad;
   • copias diarias con prueba de restauración al menos semestral;
   • revisión anual de las medidas.

7. Subencargados. El responsable da una autorización general para los subencargados del Apéndice 1. El encargado:

   • 1. impondrá a cada uno, por contrato, las mismas obligaciones de protección de datos que este Anexo;
   • 2. responderá frente al responsable de sus incumplimientos;
   • 3. avisará de cualquier alta o sustitución con 30 días naturales de antelación, por email y en vesta-intelligence.com/subencargados, salvo urgencia por seguridad o por cese del proveedor, en cuyo caso avisará lo antes posible.

   El responsable podrá oponerse de forma motivada en ese plazo, por email a info@vesta-intelligence.com. Si no hay alternativa razonable, podrá resolver el Contrato sin penalización y con reembolso de la parte no disfrutada.

8. Transferencias: solo a los destinos y con las garantías del Apéndice 1 y de la cláusula 21.3. El encargado mantiene una evaluación documentada de cada transferencia a disposición del responsable.

9. Asistencia. El encargado ayudará al responsable, con medidas técnicas y organizativas apropiadas:

   • 1. a atender los derechos de los interesados, reenviándole en 5 días laborables las solicitudes que reciba;
   • 2. a cumplir los arts. 32 a 36 RGPD, incluidas las evaluaciones de impacto y las consultas previas, facilitándole la información de que disponga.

10. Brechas. El encargado notificará al responsable, sin dilación indebida y como máximo en 36 horas desde que tenga conocimiento, toda violación de seguridad que afecte a los datos del encargo. Incluirá la información del art. 33.3 RGPD de que disponga y la completará por fases. No notificará a la autoridad ni a los interesados por cuenta del responsable sin su instrucción.

11. Fin del encargo. Terminados el Contrato y el plazo de la cláusula 19.4, el encargado suprimirá los datos o, a elección del responsable, los devolverá y suprimirá las copias. Se exceptúan los datos que deba conservar por ley, que quedarán bloqueados. Lo certificará si se le pide. Los informes CIRBE originales se suprimen en el plazo de la cláusula 7.5.

12. Información y auditoría. El encargado pondrá a disposición la información necesaria para demostrar el cumplimiento: registro de actividades del art. 30.2, políticas y certificaciones de los subencargados. Permitirá auditorías del responsable o de un auditor obligado a confidencialidad, con 30 días de preaviso, una vez al año salvo brecha o requerimiento de una autoridad, a cargo del responsable.

13. Uso propio. El encargado no usa los datos para fines propios ni para entrenar modelos, salvo lo previsto en el punto 4.

14. Contacto. Las comunicaciones sobre este encargo se dirigen a info@vesta-intelligence.com.

15. Responsabilidad: la de la cláusula 20.4.

Apéndice 1 · Subencargados

La identificación completa de cada subencargado está disponible para los clientes en info@vesta-intelligence.com.

Plazos de retención de cada subencargado: - Supabase: durante el Contrato y hasta el fin del proceso de la cláusula 19.4; las copias de seguridad, en su ciclo ordinario (máximo 35 días más). - Cogniten (n8n): registros de ejecución, máximo 30 días. - Meta: el plazo que fijen las condiciones de WhatsApp Business. El Prestador suprime de sus sistemas los archivos originales recibidos por WhatsApp una vez procesados. - Anthropic y Google: el plazo que fijen sus condiciones empresariales de API, sin uso de los datos para entrenamiento. - Hostinger: los emails se conservan durante el Contrato y se suprimen con los Datos del Cliente al terminar el proceso de la cláusula 19.4.

Hetzner Online GmbH actúa como subencargado de Cogniten, y Amazon Web Services como subencargado de Supabase, con las mismas obligaciones (punto 7.a). Las transferencias se rigen por la cláusula 21.3 y por la garantía indicada en cada fila. Perplexity AI, Inc. figura en esta lista por transparencia: el encargado se obliga a no enviarle datos de personas físicas; si eso cambiara, lo comunicará conforme al punto 7.c.

No son subencargados de este encargo: - el ERP del responsable (Odoo, Holded u otro) y el proveedor que ese ERP utilice para la sincronización bancaria, que prestan su servicio al responsable en virtud de su propio contrato; - Stripe Payments Europe, Limited, que trata los datos de pago de la relación entre el Cliente y el Prestador y gestiona el Portal de facturación (cláusula 21.2); - Dropbox International Unlimited Company (Irlanda), que solo almacena los contratos aceptados y sus registros de prueba, datos que el Prestador trata como responsable (cláusula 21.2). Si llegara a almacenar Datos del Cliente, pasará a este Apéndice conforme al punto 7.c.