Legal
Tratamiento de datos por cuenta de terceros — art. 28 del Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD). Última actualización: 15 de julio de 2026.
Este contrato regula el tratamiento de los datos personales que el Cliente (en adelante, el RESPONSABLE DEL TRATAMIENTO) incorpora a la plataforma Cuadrare, y que MFS 21 S.L. (en adelante, CUADRARE o el ENCARGADO DEL TRATAMIENTO) trata por cuenta de aquel para prestarle el servicio. Se formaliza y remite al Cliente por correo electrónico en el momento del alta en la aplicación, con copia a protecciondedatos@cuadrare.es, y se entiende aceptado por el Cliente con el uso del servicio.
De una parte, MFS 21 S.L., con CIF B21800495 y domicilio a efectos de notificaciones en Avda. Río Guadalquivir, 6, 30817, Lorca (Murcia), España, titular de la marca y plataforma «Cuadrare» (el ENCARGADO DEL TRATAMIENTO).
De otra parte, la persona física o jurídica que contrata y utiliza la plataforma Cuadrare, cuyos datos identificativos (denominación/razón social, NIF/CIF, domicilio y persona de contacto) constan en su cuenta de usuario y en el correo de formalización de este contrato (el RESPONSABLE DEL TRATAMIENTO).
Ambas partes se reconocen capacidad legal suficiente para este acto y
I. Que el ENCARGADO DEL TRATAMIENTO presta, a través de la plataforma Cuadrare, un servicio en la nube (SaaS) de digitalización y extracción automática de datos (OCR con inteligencia artificial) de facturas y albaranes, gestión documental contable, emparejado de documentos, generación de libros de registro, envío a la asesoría o gestoría y avisos a proveedores.
II. Que, con motivo de dicha prestación, el ENCARGADO DEL TRATAMIENTO necesita tratar determinados datos personales por cuenta del RESPONSABLE DEL TRATAMIENTO.
III. Que, conforme al artículo 28.3 del RGPD, el tratamiento por el encargado debe regirse por un contrato que vincule al encargado respecto del responsable y establezca su objeto, duración, naturaleza y finalidad, el tipo de datos y categorías de interesados, y las obligaciones y derechos del responsable.
En su virtud, las partes acuerdan las siguientes
Regular el tratamiento de los datos personales del RESPONSABLE DEL TRATAMIENTO por el ENCARGADO DEL TRATAMIENTO con motivo de la prestación del servicio Cuadrare, dando cumplimiento al artículo 28 del RGPD y a la normativa española de protección de datos.
El ENCARGADO tratará los datos personales únicamente conforme a las instrucciones documentadas del RESPONSABLE, recogidas en el Anexo I. Se considera instrucción documentada el uso normal de las funcionalidades de la plataforma por el RESPONSABLE. Si el ENCARGADO considerase que una instrucción infringe la normativa de protección de datos, lo informará de inmediato.
El ENCARGADO tratará las categorías de datos e interesados descritas en el Anexo II.
El contrato entra en vigor con el alta del RESPONSABLE en la plataforma y permanece vigente mientras se mantenga la relación de prestación de servicios. A su finalización, el ENCARGADO dará a los datos el destino previsto en el Anexo IV.
El ENCARGADO DEL TRATAMIENTO se compromete a:
Si el ENCARGADO destina los datos a otra finalidad, los comunica o los utiliza incumpliendo este contrato, responderá frente al RESPONSABLE, los interesados y las autoridades de control. Si el ENCARGADO determinase los fines y medios del tratamiento, será considerado responsable respecto de ese tratamiento (art. 28.10 RGPD).
El RESPONSABLE autoriza al ENCARGADO a servirse de los proveedores tecnológicos (subencargados) necesarios para prestar el servicio, relacionados en el Anexo I. Dichos subencargados quedan sujetos a las mismas obligaciones de protección de datos mediante el correspondiente contrato. El ENCARGADO informará al RESPONSABLE de cualquier cambio previsto en la incorporación o sustitución de subencargados, dándole la posibilidad de oponerse. El ENCARGADO responde de que los subencargados cumplan sus obligaciones.
Ambas partes guardarán confidencialidad sobre la información a la que accedan con motivo de la relación, no pudiendo utilizarla para finalidad distinta a la ejecución del contrato. El deber de secreto subsiste tras la finalización de la relación.
Los datos de las personas firmantes serán tratados por cada parte para ejecutar el contrato y conservados durante los plazos legales de prescripción. Pueden ejercer sus derechos en las direcciones del encabezamiento y reclamar ante la Agencia Española de Protección de Datos (www.aepd.es). El Delegado de Protección de Datos del ENCARGADO es José Herrero (jose.herrero@valegalespana.com).
Conforme al artículo 82 del RGPD, cada parte responderá de los daños y perjuicios causados por el incumplimiento de la normativa, quedando exenta si demuestra que no es responsable del hecho que los originó.
El contrato se rige por la legislación española. La nulidad de una cláusula no afectará a las demás. Para las controversias, las partes se someten a los Juzgados y Tribunales de Lorca (Murcia), salvo fuero imperativo distinto que corresponda por ser el Cliente consumidor.
a) Descripción del servicio: plataforma en la nube (SaaS) de digitalización y extracción automática (OCR con IA) de facturas y albaranes, gestión documental contable y comunicaciones asociadas.
b) Forma de prestación: a través de acceso remoto a la plataforma; el tratamiento se realiza en los sistemas del ENCARGADO y de sus subencargados.
c) Operaciones sobre los datos: recogida, registro, organización, estructuración, conservación, extracción (OCR), consulta, utilización, comunicación (envío a asesoría/gestoría y avisos a proveedores, según indique el RESPONSABLE), limitación, supresión y destrucción.
d) Subencargados autorizados (proveedores tecnológicos que intervienen en la prestación):
| Proveedor | Función | Ubicación |
|---|---|---|
| Hetzner Online GmbH | Alojamiento del servidor | Alemania (UE) |
| Neon Inc. | Base de datos | UE / EEUU |
| Cloudflare, Inc. | Almacenamiento de documentos (R2), CDN y seguridad | UE / EEUU |
| Google LLC (Gemini API) | Extracción de datos (OCR con IA) | EEUU |
| Stripe, Inc. | Gestión de pagos y suscripciones | EEUU |
| Resend, Inc. | Envío de correo electrónico | EEUU |
e) Transferencias internacionales: algunos subencargados (Google, Stripe, Resend y, en su caso, Cloudflare/Neon) pueden tratar datos en EEUU. Dichas transferencias se amparan en las garantías adecuadas previstas en el Capítulo V del RGPD (cláusulas contractuales tipo de la Comisión Europea y/o adhesión al Data Privacy Framework UE-EEUU).
Categorías de datos: datos identificativos y de contacto (denominación/razón social, nombre y apellidos, NIF/CIF, dirección, teléfono, email) y datos económicos y de facturación (números de documento, importes, bases, impuestos, cuentas contables) que consten en las facturas, albaranes y demás documentos que el RESPONSABLE incorpore a la plataforma, así como los datos de las cuentas de usuario del RESPONSABLE.
Categorías de interesados: clientes, proveedores, empleados y contactos del RESPONSABLE, y los usuarios que este dé de alta en la plataforma.
No se prevé el tratamiento de categorías especiales de datos (art. 9 RGPD); el RESPONSABLE se compromete a no incorporar tales datos a la plataforma salvo que sea imprescindible y lícito.
El ENCARGADO aplica medidas técnicas y organizativas apropiadas al riesgo, entre ellas:
Finalizada la prestación, y a elección del RESPONSABLE, el ENCARGADO devolverá (permitiendo su exportación) o suprimirá los datos personales tratados, así como cualquier copia. No obstante, podrá conservar los datos debidamente bloqueados durante el tiempo en que puedan derivarse responsabilidades de la ejecución de la prestación y hasta la prescripción de las mismas, tras lo cual procederá a su destrucción segura.