Términos y Condiciones

Anexo I. Contrato de encargo del tratamiento de datos personales

Versión de 27 de septiembre de 2026. Para guardarlo, use la opción de imprimir del navegador (Imprimir → Guardar como PDF).

1. Partes y objeto

El presente anexo forma parte de los Términos y Condiciones de SaluFact y regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que NG Servicios Médicos S.L. (CIF B53855409, Calle Beethoven 20, 03203 Elche, Alicante), en adelante «el Encargado», realiza por cuenta del cliente que contrata o utiliza SaluFact (la empresa o profesional identificado en el alta), en adelante «el Responsable». El Encargado presta al Responsable un servicio en la nube de facturación y gestión de cobros y pagos, conciliación bancaria, recepción y reconocimiento de facturas y un portal para su asesoría, y para ello trata datos personales por cuenta del Responsable. Este anexo se acepta con los Términos; en el alta desde la web de SaluFact, la aceptación queda registrada con fecha, versión y dirección IP.

2. Duración

El presente contrato tiene la misma duración que la relación de servicio (plan Gratuito y, en su caso, suscripción Pro), y las obligaciones de confidencialidad, devolución y supresión subsisten hasta su completo cumplimiento tras la finalización del servicio.

3. Naturaleza y finalidad del tratamiento

Recogida, registro, estructuración, conservación, consulta, cotejo con movimientos bancarios, generación de facturas, libros registro y otros documentos, extracción de datos de documentos mediante inteligencia artificial cuando el Responsable usa esas funciones, remisión de registros de facturación a la Agencia Tributaria cuando el Responsable activa VERI*FACTU, comunicación por transmisión al propio Responsable, a su asesoría y a las personas que este autorice, envío de facturas y comunicaciones a instancia del Responsable, y supresión. La finalidad exclusiva es la prestación del servicio SaluFact al Responsable para la gestión de su facturación y su tesorería. El Encargado no trata los datos para fines propios ni los utiliza para entrenar modelos de inteligencia artificial.

4. Categorías de interesados y de datos

Interesados: clientes (incluidos, en su caso, pacientes), proveedores y sus personas de contacto; profesionales y personal del Responsable; personas que figuren en los movimientos bancarios y documentos que el Responsable incorpore; usuarios de SaluFact y de la asesoría a la que el Responsable dé acceso.

Datos: identificativos y de contacto (nombre, apellidos, razón social, NIF/CIF u otro documento, domicilio, teléfono, correo electrónico), datos fiscales y económicos (facturas, conceptos, importes, impuestos, formas de pago, cobros y pagos, liquidaciones a profesionales), datos bancarios (IBAN, titular, saldos y movimientos) y documentos que el Responsable incorpore (facturas de proveedores, tickets, justificantes). Cuando el Responsable es un profesional o centro sanitario, las facturas de sus servicios pueden revelar de forma implícita que una persona ha recibido asistencia sanitaria, e incluso el tipo de asistencia a través de los conceptos facturados: son datos relativos a la salud, categoría especial del artículo 9 RGPD, tratados bajo la responsabilidad del Responsable al amparo del artículo 9.2.h) RGPD. El Encargado ofrece para ello una descripción fiscal genérica separada de la descripción interna del concepto; el Responsable decide lo que escribe en cada factura.

5. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, que se entienden contenidas en los Términos, en este anexo y en la configuración y uso que el Responsable haga de SaluFact. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informará inmediatamente al Responsable.
2. No utilizar los datos para fines distintos de la prestación del servicio, ni comunicarlos a terceros salvo a los subencargados autorizados en la cláusula 7, por obligación legal o por instrucción del Responsable (por ejemplo, el envío de facturas a sus clientes, la remisión de registros a la Agencia Tributaria o el acceso de la asesoría que el Responsable designe).
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, de forma expresa y por escrito, y han recibido la formación necesaria en protección de datos.
4. Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, conforme al artículo 30.2 RGPD.
5. Aplicar las medidas técnicas y organizativas de seguridad descritas en la cláusula 8.
6. Asistir al Responsable, mediante las funciones de SaluFact y, cuando no sea posible, mediante los medios que este le facilite, para que pueda responder a las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de los interesados. Si un interesado se dirige directamente al Encargado, este lo comunicará al Responsable sin dilación y, en todo caso, en el plazo de dos días hábiles.
7. Notificar al Responsable, sin dilación indebida y a más tardar en las cuarenta y ocho horas siguientes a tener constancia de ella, cualquier violación de la seguridad de los datos personales, facilitando la información disponible sobre su naturaleza, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas o propuestas, para que el Responsable pueda cumplir, en su caso, con la notificación a la Agencia Española de Protección de Datos en el plazo de setenta y dos horas y con la comunicación a los interesados.
8. Asistir al Responsable en la realización de evaluaciones de impacto y de consultas previas a la autoridad de control, en lo que se refiera al servicio prestado.
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de sus obligaciones y permitir y contribuir a la realización de auditorías o inspecciones por el Responsable o por un auditor autorizado por este, con un preaviso razonable, sin perjudicar la seguridad y la confidencialidad de los datos de otros responsables alojados en el mismo servicio.
10. Alojar los datos en centros de datos situados en la Unión Europea y no realizar transferencias internacionales de datos salvo las previstas en la cláusula 7, con las garantías del capítulo V del RGPD.
11. No conservar los datos una vez finalizado el servicio, en los términos de la cláusula 9.

6. Obligaciones del Responsable

Corresponde al Responsable:

1. Disponer de base jurídica para el tratamiento y, en particular, cuando proceda, para el tratamiento de datos de salud en el marco de su actividad.
2. Informar a los interesados conforme a los artículos 13 y 14 RGPD.
3. Realizar, cuando proceda, la evaluación de impacto y las consultas previas.
4. Velar por el cumplimiento de la normativa por parte del propio Responsable, de su personal, de su asesoría y de los usuarios a los que dé acceso a SaluFact, gestionando con diligencia las credenciales, los roles y los accesos que concede.
5. Atender los derechos de los interesados.
6. Cumplir sus obligaciones de conservación de facturas y registros de facturación durante el plazo legal (actualmente 6 años), teniendo en cuenta lo previsto en la cláusula 9 para el fin del servicio.
7. Decidir sobre la activación de funciones opcionales (VERI*FACTU y remisión a la Agencia Tributaria, conexión bancaria, recepción de facturas por correo electrónico, reconocimiento de documentos con inteligencia artificial, asistente Facti, acceso de su asesoría) y sobre los envíos que ordene desde SaluFact, asumiendo la responsabilidad de esas instrucciones.

7. Subencargados

El Responsable autoriza con carácter general al Encargado a recurrir a los siguientes subencargados, necesarios para la prestación del servicio, con los que el Encargado mantiene contratos que imponen obligaciones equivalentes a las de este anexo:

• Google Cloud EMEA Limited (plataforma Firebase y Google Cloud: base de datos, almacenamiento de ficheros, funciones en la nube y autenticación), con los datos alojados y procesados en regiones de la Unión Europea (multirregión eur3 y regiones europe-west1, Bélgica, y europe-west3, Alemania). Los avisos push a los dispositivos de los usuarios del Responsable se entregan mediante Firebase Cloud Messaging, que funciona sobre la infraestructura global de Google.
• Google Cloud EMEA Limited (Vertex AI, modelos Gemini): extracción de datos de facturas y documentos con inteligencia artificial (escáner, bandeja de facturas recibidas y punteo) y asistente Facti. Solo interviene cuando el Responsable usa esas funciones. Los datos se tratan en la multirregión de la Unión Europea de Vertex AI (eu), bajo las condiciones de tratamiento de datos de Google Cloud, y Google no los utiliza para entrenar sus modelos.
• Resend (Plus Five Five, Inc., Estados Unidos): envío de correos electrónicos transaccionales (facturas y comunicaciones que el Responsable ordena enviar, invitaciones y avisos del servicio).
• EmailConnect (Unión Europea): recepción de las facturas que los proveedores del Responsable envían a la dirección de correo de su bandeja en SaluFact, cuando el Responsable utiliza esa función.
• Stripe Payments Europe, Ltd.: gestión de los cobros de la suscripción y de los bonos del Responsable (no trata datos de los clientes del Responsable).

Las transferencias fuera del Espacio Económico Europeo que puedan implicar los servicios anteriores se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo aprobadas por la Comisión Europea.

Además, actuarán por instrucción directa del Responsable, y no como subencargados del Encargado: Enable Banking OÜ, a través de la aplicación que el propio Responsable registra y configura para conectar sus cuentas bancarias; la Agencia Tributaria, destinataria de los registros de facturación por obligación legal cuando el Responsable activa VERI*FACTU; la asesoría a la que el Responsable dé acceso al portal; y los destinatarios a los que el Responsable ordene enviar facturas u otros documentos.

El Encargado informará al Responsable de cualquier cambio en la lista de subencargados, publicándolo en esta página con al menos treinta días de antelación, para que el Responsable pueda oponerse; la oposición, si no puede resolverse, facultará al Responsable para resolver el servicio.

8. Medidas de seguridad

El Encargado aplica, entre otras, las siguientes medidas: cifrado de las comunicaciones (TLS) y de los datos en reposo en la infraestructura del proveedor en la nube; cifrado adicional de credenciales y secretos, que se guardan en un gestor de secretos; aislamiento de los datos de cada Responsable mediante reglas de acceso por empresa y por usuario; autenticación de usuarios con contraseña de longitud mínima, verificación de la dirección de correo y comprobación anti-robots en el alta, y cierre automático de sesión por inactividad; control de acceso basado en los roles que asigna el Responsable; registro encadenado de eventos del sistema y de facturación; almacenamiento replicado de forma redundante en varias ubicaciones de la Unión Europea por el proveedor en la nube, con copias de seguridad diarias de la base de datos (catorce días de retención) almacenadas en la Unión Europea; procedimientos de gestión y notificación de incidentes; y revisión periódica de las medidas. El Encargado podrá actualizar estas medidas siempre que no reduzcan el nivel de seguridad.

9. Fin del servicio: devolución y supresión

Al finalizar el servicio por cualquier causa, el Responsable dispondrá de treinta días para exportar sus datos desde AEAT → Exportación (facturas emitidas, facturas recibidas y autofacturas en formatos estructurados y PDF) o solicitar la devolución del conjunto de sus datos, incluidos los documentos, en un formato estructurado y de uso común. Transcurrido ese plazo, el Encargado suprimirá los datos personales y las copias existentes en un plazo máximo de noventa días, salvo que una norma exija su conservación, en cuyo caso los mantendrá bloqueados y con acceso restringido exclusivamente al cumplimiento de esa obligación. La conservación de las facturas y de los registros de facturación durante el plazo legal (actualmente 6 años) corresponde al Responsable, que deberá exportarlos antes de la supresión. La cancelación de la suscripción Pro no es el fin del servicio: la cuenta continúa en el plan Gratuito.

10. Responsabilidad y contacto

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que le impone el RGPD y este anexo. Las comunicaciones en materia de protección de datos se dirigirán al Encargado a info@saluhold.com, y al Responsable a la dirección de correo del administrador de la empresa registrada en SaluFact.

11. Prevalencia e idioma

En caso de contradicción entre este anexo y el resto de los Términos en materia de protección de datos, prevalecerá este anexo. El texto en castellano es el auténtico; las traducciones se facilitan solo a efectos informativos.