Contrato de encargo del tratamiento

Última actualización: 23 de octubre de 2026

Versión 1 · 23 de octubre de 2026

Este es el clausulado del contrato de encargo del tratamiento de datos personales (art. 28 del Reglamento (UE) 2016/679, RGPD, y Ley Orgánica 3/2018, LOPDGDD) que LPS firma con cada gestoría o despacho cliente antes de tratar ningún dato real. Se completa con una hoja de firma en la que constan los datos de la gestoría, la fecha y las firmas (apartado 20). Cómo trata LPS los datos propios se explica en la política de privacidad; las condiciones de contratación, en los términos y condiciones.

1. Las partes

El encargado del tratamiento es LPS (en adelante, «LPS»):

Titular: LPS Agency (proyecto en constitución)
Correo electrónico: contacto@lps-agency.com
Web: lps-agency.com

Los datos fiscales completos del titular se publicarán aquí en cuanto finalice su alta; mientras tanto, para cualquier consulta o ejercicio de derechos: contacto@lps-agency.com.

La gestoría o despacho cliente (en adelante, «la Gestoría») es quien contrata el servicio y firma este contrato. Sus datos de identificación, y el papel con el que firma (apartado 2), constan en la hoja de firma.

2. Los dos casos: LPS como encargado o como subencargado

Los datos que la Gestoría mete en el portal suelen ser de sus propios clientes, y la Gestoría puede ocupar dos posiciones. Este contrato sirve para las dos:

Caso A · la Gestoría es responsable del tratamiento. Decide para qué y cómo se tratan los datos (por ejemplo, los de su propio personal, su cartera comercial o sus proveedores). LPS es su encargado.
Caso B · la Gestoría es encargada de su propio cliente. Lo habitual en los datos de contabilidad, fiscalidad y laboral de los clientes de la Gestoría: el responsable es el cliente de la Gestoría y esta lo trata por su cuenta. LPS es entonces subencargado de la Gestoría.

En el caso B, la Gestoría declara que el responsable ha autorizado, en los términos de los apartados 2 y 4 del art. 28 RGPD, que ella recurra a LPS y a los subencargados de este contrato, y que las instrucciones que da a LPS son las que ha recibido de ese responsable o compatibles con ellas. LPS asume frente a la Gestoría las mismas obligaciones de protección de datos que la Gestoría tiene frente al responsable. En adelante, «el Responsable» es quien decide sobre los datos: la propia Gestoría en el caso A, o el cliente de la Gestoría en el caso B. En la hoja de firma la Gestoría indica en cuál de los dos casos está respecto de cada tipo de datos; si no lo indica, se entiende el caso B para los datos de sus clientes y el caso A para los demás.

3. Objeto

LPS trata los datos personales necesarios para prestar a la Gestoría el servicio contratado: el portal de documentos y sus módulos (entre ellos, facturas, bandeja de correo, reclamación de documentación y cobro), con la configuración, el soporte y el mantenimiento que conlleva. LPS solo trata los datos para esto y siguiendo las instrucciones de la Gestoría; no los usa para fines propios, no los vende, no los cede y no los usa para entrenar modelos de inteligencia artificial.

4. Duración

El contrato dura lo que dure el servicio y termina cuando termina este (por cancelación, resolución o fin del contrato de servicio). Después se aplica el apartado 14 (devolución o supresión). Las obligaciones de confidencialidad y las de ese apartado siguen vigentes mientras LPS conserve datos de la Gestoría.

5. Naturaleza y finalidad del tratamiento

Naturaleza: recogida (subida de archivos, correos que llegan al buzón conectado o a la dirección de entrada), registro, organización y almacenamiento; lectura y extracción de campos de los documentos, clasificación y resumen de correos y propuesta de borradores con ayuda de un modelo de inteligencia artificial —siempre revisados y aprobados por una persona de la Gestoría—; consulta por las personas autorizadas de la Gestoría; envío de comunicaciones en nombre de la Gestoría cuando esta lo ordena (por ejemplo, recordatorios a sus clientes); y devolución o supresión.

Finalidad: prestar a la Gestoría el servicio contratado, y solo eso.

6. Tipos de datos

Datos identificativos y de contacto: nombre y apellidos o razón social, NIF, domicilio, correo electrónico y teléfono.
Datos fiscales: los que constan en facturas, declaraciones, requerimientos y demás documentación tributaria.
Datos económicos y de facturación: importes, bases, impuestos, fechas, números y conceptos de facturas y tickets, así como los de cobros y reclamaciones de pago.
Datos bancarios que aparecen en los documentos (IBAN, movimientos de los extractos bancarios que la Gestoría sube).
El contenido de los correos del buzón que la Gestoría conecta o que llegan a su dirección de entrada: asunto, cuerpo, remitente, destinatarios y adjuntos.
Datos de las personas usuarias del portal (el personal de la Gestoría): nombre, correo, rol y permisos, credenciales de acceso y registro de su actividad.

El servicio no está pensado para tratar categorías especiales de datos (art. 9 RGPD: salud, afiliación sindical, ideología, etc.) ni datos de condenas e infracciones penales. Si la documentación de la Gestoría los contiene de forma incidental, por ejemplo en una nómina o una baja laboral, la Gestoría se lo comunicará a LPS antes de subirla para acordar las medidas adicionales que procedan.

7. Categorías de interesados

Los clientes de la Gestoría, sean personas físicas (autónomos, profesionales, particulares) o las personas de contacto, representantes y socios de las empresas.
Los proveedores, clientes y otras personas que aparecen en los documentos y correos que la Gestoría procesa (emisores y receptores de facturas, titulares de cuentas, remitentes de correos).
El personal de la Gestoría que usa el portal.

8. Obligaciones de LPS: instrucciones documentadas

LPS tratará los datos únicamente siguiendo las instrucciones documentadas de la Gestoría, también respecto de las transferencias de datos a un tercer país o a una organización internacional (art. 28.3.a RGPD). Son instrucciones documentadas este contrato, el contrato de servicio, la configuración que la Gestoría elige en el portal y lo que pida por escrito.

Transferencias internacionales. LPS no transferirá datos fuera del Espacio Económico Europeo salvo lo que resulte de los subencargados del apartado 11, que la Gestoría autoriza con la firma. De ellos, según la información publicada por cada proveedor, pueden tratar parte de los datos en Estados Unidos u otros países fuera del Espacio Económico Europeo: Vercel, Anthropic, Resend. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU., si el proveedor está adherido a él, o en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, como explica la política de privacidad. De Cloudflare y Google no se ha confirmado todavía en qué país tratan los datos: LPS no afirma que estén dentro del Espacio Económico Europeo y se lo comunicará a la Gestoría cuando lo confirme. LPS informará a la Gestoría, antes del tratamiento, de cualquier otra transferencia a la que le obligue el Derecho de la Unión o de un Estado miembro, salvo que esa norma lo prohíba por razones importantes de interés público.

Si LPS considera que una instrucción infringe el RGPD u otra norma de protección de datos, se lo comunicará de inmediato a la Gestoría (art. 28.3, último párrafo).

9. Confidencialidad del personal

LPS garantiza que las personas autorizadas a tratar los datos se han comprometido, expresamente y por escrito, a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria (art. 28.3.b). El acceso se da por roles y solo a quien lo necesita para prestar el servicio; el soporte consulta datos de los clientes de la Gestoría únicamente en lo imprescindible para resolver una incidencia. Estos deberes siguen vigentes cuando acaba la relación.

10. Medidas de seguridad (art. 32 RGPD)

LPS aplica medidas técnicas y organizativas adecuadas al riesgo (art. 28.3.c y art. 32 RGPD), entre ellas:

conexión cifrada;
separación de los datos de cada gestoría en la base de datos, de modo que ninguna puede ver los de otra;
acceso por roles y solo a lo necesario;
comprobación anti-robots en los accesos;
claves de los buzones conectados guardadas cifradas;
registro de actividad del portal (quién aprueba, rechaza o cambia qué, y cuándo);
copias de seguridad cifradas en dos proveedores distintos, con prueba de restauración;
la revisión por una persona de toda decisión que proponga la IA: nada se envía ni se da por bueno sin su aprobación.

LPS revisa estas medidas cuando cambian los riesgos o la tecnología y no las rebajará durante la vigencia del contrato. Qué hace la IA y con qué controles, en Cómo usamos la IA.

11. Subencargados

Autorización general. Con la firma, la Gestoría autoriza por escrito a LPS a recurrir a los subencargados de esta lista (art. 28.2 RGPD). Son los proveedores que pueden tratar datos de los clientes de la Gestoría; los demás proveedores de LPS solo intervienen en tratamientos propios de LPS y se describen en la política de privacidad.

Supabase — base de datos y autenticación de usuarios (región de Fráncfort, Unión Europea).
Vercel — alojamiento y ejecución del portal (región de Fráncfort) y medición agregada de visitas.
Cloudflare — almacenamiento de los archivos que se suben al portal, una copia de seguridad y la comprobación anti-robots de los accesos.
Backblaze — segunda copia de seguridad, cifrada antes de enviarla, en una región europea.
Anthropic — modelo de IA que lee facturas y documentos y clasifica y resume correos; siempre revisa una persona.
Resend — envío de los correos del servicio y de los recordatorios de la gestoría y, si la gestoría lo activa, recepción del correo de su dirección de entrada.
Google — solo si la gestoría conecta un buzón de Gmail: lectura de ese correo con el permiso que la gestoría concede y puede retirar.

Cambios con aviso previo y derecho de oposición. LPS avisará a la Gestoría por escrito de cualquier incorporación o sustitución de un subencargado con al menos 30 días de antelación, por correo a la dirección de contacto de la hoja de firma, y actualizará esta página y la política de privacidad. Durante ese plazo la Gestoría puede oponerse por motivos razonables relacionados con la protección de datos. Si no se encuentra una solución, la Gestoría podrá resolver el servicio, solo respecto de la parte afectada y sin penalización. Si no se opone en plazo, se entiende que autoriza el cambio.

Condiciones. LPS firma con cada subencargado un contrato que le impone las mismas obligaciones de protección de datos que este, en particular la de ofrecer garantías suficientes de medidas técnicas y organizativas apropiadas. Si un subencargado incumple, LPS sigue siendo plenamente responsable ante la Gestoría (art. 28.4 RGPD).

12. Derechos de las personas interesadas

LPS no responde por sí misma a quien ejerza sus derechos sobre estos datos: es la Gestoría o, en el caso B, el Responsable quien lo hace. Si una persona se dirige a LPS, esta se lo trasladará a la Gestoría sin dilación indebida. Además, teniendo en cuenta la naturaleza del tratamiento, LPS asistirá a la Gestoría con medidas técnicas y organizativas apropiadas para que pueda responder a las solicitudes de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones individuales automatizadas (art. 28.3.e).

13. Asistencia en seguridad, brechas y evaluaciones (arts. 32 a 36 RGPD)

LPS ayudará a la Gestoría a cumplir sus obligaciones de seguridad (art. 32), de notificación de violaciones de seguridad (arts. 33 y 34), de evaluación de impacto (art. 35) y de consulta previa a la autoridad de control (art. 36), teniendo en cuenta la información a su alcance (art. 28.3.f).

Brechas. LPS notificará a la Gestoría, sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales. La notificación, por correo a la dirección de contacto de la hoja de firma, describirá la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas, y se completará por fases si no se dispone de todo a la vez. LPS colaborará con la Gestoría para que esta pueda cumplir sus plazos, incluida la notificación al Responsable en el caso B, y no comunicará la brecha a terceros sin acordarlo con la Gestoría, salvo obligación legal.

14. Devolución o supresión al terminar

Al terminar el servicio, y a elección de la Gestoría, LPS le devolverá los datos en un formato de uso común o los suprimirá, y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos (art. 28.3.g). La Gestoría puede pedir la devolución durante los 30 días siguientes a la terminación; pasado ese plazo sin que lo haya hecho, LPS suprime los datos. Las copias de seguridad se eliminan al cumplirse su ciclo de rotación y, mientras tanto, no se restauran ni se usan para ningún otro fin. A petición de la Gestoría, LPS le confirmará por escrito la supresión. Lo que LPS deba conservar por obligación legal queda bloqueado y solo se usa para eso.

15. Información y auditorías

LPS pondrá a disposición de la Gestoría toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá y contribuirá a que se hagan auditorías, incluidas inspecciones, por parte de la Gestoría o de un auditor que ella autorice (art. 28.3.h). Para que no afecten al servicio ni a la confidencialidad de los demás clientes de LPS, se pedirán por escrito con un preaviso razonable, se harán en horario laboral, el auditor firmará un compromiso de confidencialidad y no se darán accesos a datos de otras gestorías. LPS podrá cumplir primero con la documentación, los informes y las certificaciones disponibles, y la auditoría presencial o remota quedará para lo que estos no resuelvan. Cada parte asume sus costes, salvo que la auditoría revele un incumplimiento de LPS.

LPS llevará un registro de las actividades de tratamiento que realiza por cuenta de la Gestoría (art. 30.2 RGPD) y lo pondrá a su disposición o de la autoridad de control si lo pide.

16. Obligaciones de la Gestoría

La Gestoría:

garantiza que los datos que sube al portal se han obtenido lícitamente y que tiene base para encargar su tratamiento; informar a las personas interesadas le corresponde a ella o al Responsable;
da instrucciones lícitas y por escrito, y avisa a LPS de cualquier cambio que le afecte;
en el caso B, mantiene al día la autorización del Responsable para recurrir a LPS y a sus subencargados;
gestiona los accesos de su personal (altas, bajas y roles) y mantiene la confidencialidad de sus credenciales;
comunica a LPS cualquier incidencia de seguridad de la que tenga noticia.

17. Responsabilidad

Cada parte responde de los daños y perjuicios que cause a la otra por incumplir este contrato o el RGPD, sin perjuicio de lo que las personas interesadas puedan reclamar a cada una conforme al art. 82 RGPD. LPS responde de los actos de sus subencargados como si fueran propios (apartado 11). Los límites económicos de responsabilidad, si los hubiera, son los pactados en el contrato de servicio y no afectan a los derechos de las personas interesadas ni a las sanciones administrativas.

18. Prelación e interpretación

En lo relativo a protección de datos personales, este contrato prevalece sobre cualquier otro documento contractual entre las partes. Las referencias al RGPD y a la LOPDGDD incluyen las normas que las modifiquen o sustituyan.

19. Ley aplicable y jurisdicción

El contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales que correspondan conforme a la normativa aplicable, como se indica en los términos y condiciones.

20. Hoja de firma y contacto

La hoja de firma recoge: razón social, NIF y domicilio de la Gestoría; nombre y cargo de la persona que firma; el caso (A o B) de cada tipo de datos; la dirección de correo para los avisos (subencargados y brechas); y la fecha. Se firma junto con el contrato de servicio y con la versión de este clausulado vigente ese día (arriba: versión y fecha). Si cambia el clausulado, la Gestoría recibe la nueva versión antes de que se aplique.

Para firmar este contrato o para cualquier duda sobre el tratamiento de los datos, escribe a contacto@lps-agency.com.

Este texto se ha redactado con cuidado, pero conviene que lo revise un profesional del derecho antes de la apertura comercial definitiva.