Contrato de encargo de tratamiento

1. Partes

• Responsable: el titular de la licencia de Nokfi (autónomo o empresa).
• Encargado: Nokfi (nokfi.app) · [email protected].

2. Objeto, duración y finalidad

Nokfi trata los datos solo para prestarte el servicio contratado: emitir tus facturas con su registro de facturación y su factura electrónica, guardar tu libro de facturas, calcular impuestos, cobros y previsiones, generar informes, enviar los recordatorios de cobro que actives y mostrar los enlaces de solo lectura que crees.

El encargo dura lo mismo que tu licencia. Nokfi no usa estos datos para fines propios, no los vende ni los cede, y los proveedores de inteligencia artificial que intervienen no entrenan modelos con ellos.

3. Datos e interesados

• Interesados: tus clientes, proveedores y, en su caso, otras personas que aparezcan en los documentos que analizas.
• Datos: identificativos y de contacto (nombre o razón social, NIF, dirección, email) y económicos (número, fecha, conceptos, importes, impuestos y estado de pago de las facturas).
• No debes introducir categorías especiales de datos (salud, ideología, etc.). Nokfi no las necesita para funcionar.

4. Obligaciones de Nokfi como encargado

• Tratar los datos solo siguiendo tus instrucciones, que son las que das al usar la aplicación. Si alguna instrucción infringe la normativa, te lo diremos.
• Garantizar la confidencialidad: solo accede a los datos el personal que lo necesite para mantener el servicio, sujeto a deber de secreto.
• Aplicar las medidas de seguridad de la cláusula 5.
• Ayudarte a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, portabilidad…): puedes editar o borrar cualquier dato desde la aplicación, y si nos llega una solicitud te la remitiremos.
• Notificarte sin dilación indebida, y como máximo en 48 horas desde que la conozcamos, cualquier brecha de seguridad que afecte a tus datos, con la información disponible para que puedas cumplir tus obligaciones.
• Ayudarte, en lo razonable, con evaluaciones de impacto y consultas a la autoridad de control.
• Poner a tu disposición la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso y sin comprometer la seguridad ni los datos de otros usuarios.

5. Medidas de seguridad

• Cifrado HTTPS en todas las comunicaciones y protección de red por Cloudflare.
• Contraseñas guardadas con scrypt; tokens de sesión, de recuperación, claves de API y enlaces compartidos guardados solo como hash.
• Separación de datos por licencia en todas las consultas; límites de peticiones frente a abusos.
• Los archivos que analizas se leen en tu navegador y no se guardan en nuestros servidores.
• API: el registro de llamadas no guarda el contenido (90 días); los resultados de los trabajos asíncronos y el contenido de los webhooks se borran a las 24 h. Los webhooks solo envían datos a las URL que tú configuras, firmados con HMAC y solo a direcciones públicas por https.
• Las facturas emitidas, sus líneas y sus registros de facturación no se pueden modificar ni borrar (bloqueo en la base de datos y huella encadenada, Real Decreto 1007/2023).
• Copias de seguridad periódicas de la base de datos y registro de eventos de seguridad.

6. Subencargados

Autorizas a Nokfi a usar los siguientes subencargados, que han asumido obligaciones de protección de datos equivalentes a las de este contrato:

• Proveedor de servidor virtual (VPS) (servidor en Frankfurt, Alemania (UE)): aloja la aplicación y la base de datos.
• Cloudflare, Inc.: red de distribución y seguridad y generación de análisis con IA (Workers AI). Transferencias internacionales amparadas por el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
• Groq, Inc.: generación de análisis con IA, junto con Cloudflare; sin entrenamiento con los datos y con retención cero. EE. UU., con cláusulas contractuales tipo.
• Cerebras Systems, Inc.: generación de análisis con IA como respaldo, solo si Groq y Cloudflare no están disponibles; sin entrenamiento con los datos. EE. UU., con cláusulas contractuales tipo.
• Resend (Plus Five Five, Inc.): envío de emails, incluidos los recordatorios de cobro a tus clientes. EE. UU., con cláusulas contractuales tipo.

Si incorporamos o sustituimos un subencargado (por ejemplo, otro proveedor de IA que no entrene con los datos), lo publicaremos en esta página y te avisaremos con al menos 15 días de antelación; podrás oponerte cancelando tu licencia.

Stripe trata los datos de pago de tu propia suscripción como responsable independiente; no accede a los datos de tus clientes.

Si activas el envío de registros a la Agencia Tributaria (VERI*FACTU), los registros de tus facturas, con los datos de tus clientes que contienen, se comunicarán a la AEAT por obligación legal: la AEAT es destinataria por ley, no subencargada. Ese envío está desactivado por ahora.

7. Tus obligaciones como responsable

• Tener una base legal para tratar los datos de tus clientes y proveedores (normalmente, la relación comercial y el interés legítimo en cobrar las facturas) e informarles cuando corresponda.
• Asegurarte de que los datos son correctos y de que los recordatorios de cobro que activas son procedentes.
• No introducir datos innecesarios ni categorías especiales.

8. Fin del encargo

Al borrar tu cuenta (Configuración → Mis datos) se eliminan de inmediato tus datos y los de tus clientes y proveedores de la base de datos activa. Las copias de seguridad se sobrescriben en su ciclo normal, como máximo en 30 días. Antes de borrarla puedes descargar todos tus datos. Se borran también las facturas que hayas emitido y sus registros: la obligación de conservarlas durante el plazo legal es tuya, así que descárgalas antes.

9. Contacto

Para cualquier cuestión sobre este contrato: [email protected].