Este acuerdo forma parte de las condiciones de uso entre el cliente identificado en la cuenta o el pedido («Cliente») y Self Software Systems SIA, número de registro 40203713044, Anniņmuižas bulvāris 19–38, Rīga, LV-1067, Letonia («SelfSIA»). Se aplica cuando SelfSIA trata datos personales por cuenta del Cliente para prestar el servicio acordado («Datos del cliente»). Los términos del RGPD tienen el significado del Reglamento (UE) 2016/679.

El Cliente es el responsable, o un encargado que actúa con la autoridad de su responsable; SelfSIA es, respectivamente, encargado o subencargado. El Cliente determina sus finalidades, la base jurídica, los avisos necesarios y las instrucciones autorizadas. SelfSIA actúa como responsable separado para su propia administración de cuentas, facturación, seguridad y cumplimiento legal descritos en la política de privacidad. Las finalidades reales determinan cada rol.

Este acuerdo prevalece sobre condiciones generales contradictorias acerca del tratamiento de los Datos del cliente. Las cláusulas de transferencia aplicables y la ley imperativa prevalecen sobre él. Las reglas de responsabilidad de las condiciones se aplican entre las partes solo en la medida lícita. No restringen la indemnización legal ni otros derechos de los interesados, las facultades de las autoridades ni una responsabilidad que el apartado 13 de las condiciones conserve expresamente.

El objeto es el servicio de administración financiera que elige el Cliente. El tratamiento dura la relación de servicio y el periodo necesario de devolución o supresión, con conservación restringida solo cuando la ley lo exige. Las operaciones incluyen recogida, almacenamiento, organización, recuperación, extracción, clasificación, cálculo, transmisión, soporte, exportación y supresión de los registros necesarios para las funciones activadas.

Los interesados pueden incluir usuarios, empleados, administradores, titulares reales, contratistas, clientes, proveedores y contrapartes de pago del Cliente. Los datos pueden incluir nombres y datos de contacto, identificadores de sociedad e identidad, referencias de cuenta y de movimientos, contenido de facturas y recibos, registros de nómina y fiscales, documentos, indicaciones, resultados y registros de actividad. El Cliente controla los registros y las integraciones que aporta. No envíes categorías especiales de datos ni datos de infracciones penales salvo acuerdo separado con garantías adecuadas y una base lícita.

El contrato, los ajustes activados, el uso autorizado de funciones y las instrucciones escritas de soporte documentan las instrucciones del Cliente. SelfSIA tratará solo conforme a esas instrucciones, también en las transferencias, salvo que el Derecho de la Unión o de un Estado miembro exija otra cosa; informaremos al Cliente de ese requisito de antemano salvo prohibición legal. Señalaremos sin demora una instrucción que consideremos contraria a la normativa de protección de datos y podremos suspenderla mientras las partes la resuelven.

Las instrucciones de servicio del Cliente no autorizan la venta de los Datos del cliente, un uso publicitario ni el entrenamiento de modelos de IA de propósito general para fines ajenos. Cualquier finalidad nueva exige su propia base lícita y un acuerdo adecuado; no puede introducirse solo cambiando un ajuste interno o nombrando a un proveedor.

SelfSIA limitará el acceso a personas autorizadas que lo necesiten para el servicio y estén sujetas a deberes de confidencialidad. Aplicaremos medidas adecuadas a la naturaleza del tratamiento y al riesgo para las personas y revisaremos su eficacia. Nuestros compromisos incluyen:

• Acceso autenticado, controles a nivel de espacio y permisos por rol para los registros del cliente.
• Almacenamiento cifrado de credenciales de integración admitidas y de campos sensibles de autenticación; transporte cifrado de las conexiones del servicio.
• Disponibilidad de autenticación de dos factores con app y de códigos de recuperación; los Clientes gestionan la activación y el acceso de los usuarios.
• Validación y controles de acceso en subidas, vistas previas de documentos y solicitudes de integración admitidas.
• Registro operativo e investigación de incidentes de seguridad, con acceso a los registros limitado al personal autorizado.
• Copias y restauración adecuadas al servicio desplegado, y revisión y pruebas de las medidas de seguridad y recuperación proporcionadas al riesgo.

Si se nos pide, facilitaremos información sobre las medidas y la recuperación relevantes para el servicio del Cliente, protegiendo la información de seguridad confidencial. Los cambios no deben reducir de forma material el nivel global de protección acordado.

El Cliente da una autorización escrita general para los subencargados divulgados que se usen en el servicio acordado, con sujeción a este apartado. La información de proveedores identifica las funciones. Antes de que un subencargado reciba Datos del cliente, SelfSIA divulgará su identidad contractual, función, lugares de tratamiento y garantías de transferencia aplicables, y se asegurará de garantías suficientes y de un acuerdo escrito que imponga las obligaciones pertinentes. El nombre de una biblioteca o de una pasarela no autoriza por sí solo a proveedores posteriores no divulgados.

Avisaremos al contacto de la cuenta del Cliente de una adición o sustitución propuesta al menos 30 días antes de que reciba Datos del cliente, dando ocasión de oponerse por motivos razonables de protección de datos. Trabajaremos para resolver una objeción con garantías o una alternativa adecuada. Si no se resuelve antes del uso propuesto, el tratamiento afectado no se transferirá contra esa objeción; cualquiera de las partes puede terminar el servicio afectado, y reembolsaremos las cuotas prepagadas no usadas. Una sustitución urgente necesita una autorización específica si no puede respetarse el plazo de aviso.

SelfSIA sigue siendo responsable frente al Cliente del cumplimiento por sus subencargados de sus obligaciones de protección de datos. Los servicios independientes con los que el Cliente contrata directamente no son automáticamente nuestros subencargados; su rol real y el flujo de datos determinan las obligaciones.

Teniendo en cuenta el tratamiento y la información disponible, ayudaremos al Cliente con las solicitudes de los interesados, las obligaciones de seguridad, las notificaciones de violaciones, las evaluaciones de impacto y la consulta previa a las autoridades. Reenviaremos sin demora una solicitud relativa a los Datos del cliente y no la decidiremos en lugar del Cliente salvo instrucción u obligación legal.

Notificaremos al Cliente sin dilación indebida después de conocer una violación que afecte a los Datos del cliente. El aviso inicial dará la información disponible sobre el incidente, los registros y personas afectados, las consecuencias probables, las medidas tomadas o propuestas y un contacto de seguimiento. Facilitaremos más información cuando esté disponible, conservaremos las pruebas relevantes y cooperaremos en la contención y la corrección. El Cliente decide sus notificaciones como responsable; eso no elimina nuestras obligaciones legales independientes.

Las transferencias y el acceso remoto que exijan garantías según el capítulo V del RGPD solo tendrán lugar con instrucciones documentadas y con una decisión de adecuación, garantías contractuales adecuadas como las cláusulas contractuales tipo pertinentes de la Comisión Europea, u otro mecanismo lícito. Valoraremos y adoptaremos medidas adicionales cuando haga falta. El Cliente puede pedir detalles y una copia de las garantías, con la información confidencial debidamente protegida. Este acuerdo no afirma por sí mismo que un despliegue o proveedor concreto esté limitado al EEE.

Al final del tratamiento, el Cliente puede elegir la devolución o la supresión de los Datos del cliente, con sujeción al almacenamiento exigido por la ley. Las condiciones dan 30 días para pedir una devolución asistida tras la terminación, sin reducir derechos imperativos de recuperación. Conservaremos los datos para una solicitud de devolución hecha a tiempo y después suprimiremos las copias restantes salvo que el Cliente instruya lícitamente otra cosa o el almacenamiento sea legalmente exigido. Una instrucción de supresión anterior se atenderá sin dilación indebida tras verificar la autoridad y las obligaciones de conservación.

El alcance de la supresión incluye registros activos, documentos almacenados y la supresión instruida a los subencargados. Las solicitudes se gestionan por soporte y pueden exigir pasos manuales y coordinación con proveedores. Las copias de seguridad aisladas se protegerán, se excluirán del uso ordinario y se retirarán según su ciclo; si se restauran, deben reaplicarse las instrucciones de supresión pendientes. Explicaremos cualquier conservación legalmente exigida, su base y su duración o criterios, y limitaremos el tratamiento a esa finalidad. Si se nos pide, informaremos del alcance y el estado reales, distinguiendo la supresión completada, las acciones pendientes de proveedores, las copias protegidas a la espera de caducar y la conservación legal exigida.

Las propias pruebas de facturación y de contrato de SelfSIA pueden conservarse según sus obligaciones como responsable y la política de privacidad. El deber de un Cliente de conservar sus registros contables no es automáticamente una obligación legal que exija a SelfSIA conservar todos los Datos del cliente después de una instrucción de supresión.

Facilitaremos la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo y permitiremos y contribuiremos a auditorías, incluidas inspecciones, del Cliente o de un auditor independiente que designe. Las partes organizarán un preaviso, un alcance, una confidencialidad y una protección de otros clientes razonables; esos arreglos no deben obstaculizar una auditoría necesaria tras un incidente, ante indicios razonables de incumplimiento o por una autoridad competente. La documentación disponible puede revisarse primero cuando sea adecuado.

Cualquier cargo razonable por asistencia adicional debe acordarse por adelantado y no debe obstaculizar derechos legales ni cobrar al Cliente la subsanación de nuestro propio incumplimiento. Las partes llevarán los registros de tratamiento exigidos y cooperarán con las autoridades competentes. Envía instrucciones, solicitudes de auditoría, objeciones o preguntas de privacidad a [email protected].

Los servicios de abajo apoyan funciones de SelfSIA. Qué servicios reciben datos depende de las funciones y conexiones usadas. Los nombres identifican el producto o el proveedor; no establecen una persona jurídica contratante, un lugar de tratamiento, un ajuste de conservación ni un mecanismo de transferencia. Los detalles deben fijarse para el despliegue aplicable según el acuerdo de tratamiento.

Esta página no autoriza proveedores de IA posteriores no nombrados ni afirma que cada servicio de la lista sea un subencargado. Un proveedor puede tratar datos para nuestras propias finalidades como responsables, actuar por instrucciones del cliente o ser un servicio independiente que conectas. Escribe a [email protected] para la información aplicable a tu servicio.

Las solicitudes de IA pueden enrutarse por la pasarela operada por SelfSIA hacia un proveedor de modelo. LiteLLM es software de pasarela; su nombre no identifica al proveedor de modelo que recibe los datos. Cualquier proveedor posterior que reciba Datos del cliente debe identificarse y quedar cubierto por los requisitos de subencargados y de transferencia del acuerdo antes de ese tratamiento.

Las funciones admitidas pueden conectar con Stripe para la facturación o cuentas de comercio; con Catego o Aiia para datos bancarios; con Google o Microsoft para el acceso o buzones conectados; con Shopify para registros de comercio; y con Telegram, WhatsApp o Slack para mensajería. Las conexiones de identidad y autoridad pueden incluir eParaksts, Smart-ID y el servicio estatal de ingresos de Letonia (VID). Los datos enviados dependen de la autorización y de la operación. Los avisos y condiciones propios de esos proveedores pueden aplicarse cuando actúan de forma independiente.

La analítica opcional del sitio y los proveedores de campañas se describen en la política de cookies. Ese proceso de consentimiento es distinto de las instrucciones para tratar registros contables.

El tratamiento por instrucciones exige divulgar la entidad contratante, la función, los lugares y las garantías de transferencia, y las condiciones escritas de tratamiento exigidas. El inventario de nombres de arriba no establece por sí solo que esos detalles contractuales o de despliegue se hayan verificado. Las adiciones o sustituciones propuestas de subencargados siguen el procedimiento de aviso y objeción del acuerdo de tratamiento. Una mención aquí no es una certificación, una garantía de tratamiento solo en el EEE ni una afirmación de que se haya verificado un ajuste concreto de entrenamiento o de supresión de un proveedor.