Contrato de encargado del tratamiento

Actualizado el 3 de octubre de 2026. Este documento es el acuerdo que exige el artículo 28 del Reglamento General de Protección de Datos. Se aplica a todas las entidades que usan Tesora y forma parte de las condiciones del servicio.

Quién es quién

• Responsable del tratamiento: la asociación que usa Tesora. Es quien decide qué datos pone y para qué.
• Encargado del tratamiento: Joan Pérez Ribot (77633658x), Sant Pere 10. Contacto: info@tesora.es.

Qué tratamos y para qué

Tratamos los datos que la entidad introduce en la plataforma —socios y tutores legales (nombre, contacto, fecha de nacimiento, documento de identidad, dirección), mandatos y cuentas bancarias, cuotas y recibos, gastos y documentos— únicamente para prestar el servicio: gestionar socios, generar remesas SEPA, justificar subvenciones y producir los documentos legales de la entidad.

Duración: mientras la entidad tenga la cuenta abierta.

Nuestros compromisos

1. Tratar los datos solo siguiendo las instrucciones de la entidad. Si una instrucción nos parece contraria a la normativa, lo advertiremos.
2. No usarlos para nada más. No entrenamos modelos, no hacemos publicidad, no los vendemos ni los cedemos.
3. Confidencialidad. Quien tiene acceso por nuestra parte está obligado por escrito.
4. Seguridad. Cifrado de las cuentas bancarias en la base de datos, aislamiento entre entidades aplicado por el propio motor de base de datos, control de acceso por roles, registro de todo acceso a datos personales, copias de seguridad diarias y cifradas.
5. Soporte con rastro. Si para ayudaros tenemos que entrar en vuestra cuenta, lo hacemos con un motivo escrito, un máximo de 60 minutos y un aviso permanente en vuestra pantalla. Podemos corregir datos si es lo que hace falta para resolver lo que nos habéis pedido, y cada cambio queda anotado en vuestro registro de actividad con el nombre de quien lo hizo. No hacemos nunca nada que no venga de lo que nos habéis planteado, y el registro es vuestro para comprobarlo.
6. Los ficheros que nos enviéis, solo para resolver la consulta. Si adjuntáis un fichero a una consulta —por ejemplo, una hoja de socios que no se importa—, lo usamos solo para resolverla. Lo ve solo el equipo de soporte, cada vez que alguien del equipo lo abre queda anotado en vuestro registro de actividad, no lo recibe nunca el asistente virtual, y se borra automáticamente 90 días después de cerrar la consulta. Os recomendamos enviar solo los datos que hagan falta para entender el problema.
7. Ayudaros con los derechos de las personas. Si un socio nos escribe a nosotros, os trasladamos la petición. La plataforma ya permite exportar y borrar la ficha de un socio en dos clics.
8. Avisaros de una brecha sin dilación indebida desde que tengamos conocimiento, con la información que necesitéis para notificarla a la autoridad.
9. Ayudaros con la evaluación de impacto y con las consultas a la autoridad, si alguna vez hiciera falta alguna.
10. Devolver o borrar los datos cuando acabe el servicio, a vuestra elección. Mientras tanto, la exportación completa está siempre disponible desde la propia aplicación, también si la suscripción está suspendida.

Subencargados

Para prestar el servicio usamos estos proveedores, todos con contrato y con garantías equivalentes:

• OVH SAS — servidores, base de datos y copia local — Francia
• Google Ireland Ltd — copia de seguridad fuera del servidor, cifrada con restic antes de salir (la clave la tenemos nosotros, ellos no) — Irlanda
• Resend — envío de correos — Unión Europea
• Mistral AI SAS — asistente de ayuda: solo recibe la pregunta y el texto de los artículos de ayuda, nunca datos de la entidad ni de los socios — Francia

Os avisaremos antes de añadir o cambiar alguno, y podréis oponeros.

Transferencias internacionales

Todos los proveedores de la lista de arriba tratan los datos dentro del Espacio Económico Europeo, y es el criterio con el que los elegimos. Aun así, alguno forma parte de un grupo con sede fuera del Espacio y puede tratar datos en sus centros: cuando ocurre, se hace con las cláusulas contractuales tipo que aprueba la Comisión Europea, que es la garantía que exige el Reglamento.

La copia de seguridad que guardamos fuera del servidor es un caso aparte y conviene decirlo claro: sale ya cifrada y la clave no la tiene el destino, así que quien la custodia no puede leer su contenido.

Si algún día cambiamos un proveedor por otro con un régimen distinto, os lo diremos antes y podréis oponeros, como con cualquier subencargado.

Auditoría

Podéis pedirnos la información necesaria para demostrar que cumplimos este contrato. Escribid a info@tesora.es y os la enviaremos.