Contrato de Encargado del Tratamiento

Versión v2026.2 — Última actualización: 4 de septiembre de 2026

1. Partes

Responsable del tratamiento: el usuario titular de la cuenta (el «Cliente»), identificado con los datos fiscales que consten en su perfil de la Plataforma.

Encargado del tratamiento: Adrián Pérez Antón, NIF 74371512T, con domicilio en Calle del Olivo 97, 03680 Aspe (Alicante), España, que opera bajo el nombre comercial Zantry.es («Zantry»).

2. Objeto, duración, naturaleza y finalidad

Objeto. Zantry trata los datos personales que el Cliente incorpora a la Plataforma con la única finalidad de prestarle el servicio SaaS de gestión empresarial contratado.

Duración. El tratamiento se extiende durante toda la vigencia de la suscripción y, después, durante los plazos de conservación y devolución previstos en la cláusula 12.

Naturaleza y finalidad. Alojamiento, almacenamiento, estructuración, consulta, modificación, generación de documentos (facturas, presupuestos, albaranes, nóminas), cálculo, comunicación a la AEAT en el marco del sistema de facturación, envío de comunicaciones transaccionales por cuenta del Cliente, copia de seguridad y supresión.

3. Tipo de datos personales

No se tratan categorías especiales de datos del artículo 9 del RGPD ni datos relativos a condenas e infracciones penales. El Cliente se obliga a no introducir en la Plataforma datos de dichas categorías, ni datos de menores, salvo acuerdo previo y por escrito que documente las garantías adicionales aplicables.

El registro de jornada no captura geolocalización ni datos biométricos.

4. Obligaciones del Encargado

Zantry se obliga a:

1. Instrucciones documentadas. Tratar los datos únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo obligación legal, en cuyo caso informará al Cliente antes del tratamiento salvo prohibición legal. La configuración y el uso que el Cliente hace de la Plataforma constituyen sus instrucciones documentadas.
2. No utilización para fines propios. No emplear los datos para finalidades distintas de la prestación del servicio, ni cederlos a terceros salvo en los supuestos previstos en este contrato o por obligación legal. En particular, Zantry no utiliza el contenido del Cliente para entrenar modelos de inteligencia artificial ni para elaborar perfiles comerciales.
3. Confidencialidad. Mantener el deber de secreto, que subsiste tras la terminación del contrato, y garantizar que toda persona autorizada a tratar los datos se haya comprometido a respetarla.
4. Seguridad. Aplicar las medidas técnicas y organizativas del artículo 32 del RGPD descritas en la cláusula 7.
5. Subencargados. Respetar el régimen de la cláusula 6.
6. Asistencia en derechos. Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas, para atender las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige directamente a Zantry, esta le remitirá al Cliente y se lo comunicará sin dilación.
7. Asistencia en cumplimiento. Ayudar al Cliente a cumplir las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
8. Notificación de violaciones. Comunicar al Cliente, sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos, con la información necesaria para que el Cliente pueda notificar a la autoridad de control en el plazo de 72 horas del artículo 33.
9. Supresión o devolución. A la terminación, actuar conforme a la cláusula 12.
10. Información y auditoría. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías en los términos de la cláusula 11.
11. Advertencia de ilegalidad. Informar al Cliente de inmediato si, en su opinión, alguna instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos.
12. Registro de actividades. Mantener el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente conforme al artículo 30.2 del RGPD.

5. Obligaciones del Cliente

1. Disponer de base legal para el tratamiento de los datos que introduce y haber informado a los interesados conforme a los artículos 13 y 14 del RGPD.
2. Velar por la exactitud de los datos y por que su tratamiento sea lícito, leal y limitado a lo necesario.
3. Gestionar las cuentas de usuario de su organización, asignando los roles mínimos necesarios y revocándolos cuando corresponda.
4. Custodiar sus credenciales y comunicar a Zantry cualquier acceso no autorizado.
5. Realizar, cuando proceda, la evaluación de impacto y la consulta previa de los artículos 35 y 36 del RGPD.

6. Subencargados

El Cliente autoriza de forma general a Zantry a recurrir a los subencargados enumerados a continuación, con los que Zantry ha suscrito contratos que imponen las mismas obligaciones de protección de datos que las de este documento:

Cambios. Zantry comunicará al Cliente cualquier incorporación o sustitución de subencargado con una antelación mínima de 30 días. Durante ese plazo el Cliente podrá oponerse por motivos razonables relacionados con la protección de datos; si la oposición no puede resolverse, el Cliente podrá resolver la suscripción sin penalización y con reembolso de la parte proporcional no consumida.

7. Medidas de seguridad

Atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, Zantry aplica las siguientes medidas:

• Cifrado. Comunicaciones cifradas con TLS. Contraseñas almacenadas con función de derivación de clave (bcrypt), nunca en claro ni de forma reversible. Datos cifrados en reposo por el proveedor de base de datos.
• Control de acceso. Autenticación mediante credenciales individuales, autorización basada en roles, aislamiento lógico entre empresas y verificación de propiedad de los recursos en cada petición.
• Gestión de sesiones. Tokens de acceso de vigencia limitada, renovación controlada y cierre automático de sesión por inactividad.
• Trazabilidad. Registro de auditoría de accesos y de operaciones sobre datos fiscales, con encadenamiento criptográfico que permite detectar alteraciones.
• Disponibilidad. Copias de seguridad periódicas con retención definida y pruebas de restauración documentadas.
• Minimización. Los registros técnicos no incluyen contenido de datos personales del Cliente más allá de lo necesario para la operación del servicio.
• Gestión de secretos. Las credenciales de los sistemas se gestionan fuera del código fuente, mediante variables de entorno, y se rotan periódicamente.

Zantry podrá actualizar estas medidas siempre que el nivel de seguridad resultante no sea inferior al aquí descrito.

8. Personal autorizado

Únicamente accede a los datos el personal de Zantry cuya intervención sea necesaria para la prestación del servicio, el soporte técnico o la resolución de incidencias, sujeto a compromiso de confidencialidad y bajo el principio de mínimo privilegio. Los accesos de soporte que impliquen visualización de datos del Cliente quedan registrados.

9. Transferencias internacionales

La única transferencia fuera del Espacio Económico Europeo es la relativa a Stripe, Inc., y se ampara en las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, complementadas con las medidas suplementarias ofrecidas por dicho proveedor. Zantry no realizará otras transferencias internacionales sin instrucción o autorización previa del Cliente.

10. Asistencia en el ejercicio de derechos

La Plataforma permite al Cliente atender por sí mismo, sin coste adicional y en cualquier plan, las solicitudes de acceso, rectificación, supresión y portabilidad de sus interesados, mediante las funciones de consulta, edición, eliminación y exportación de datos.

Cuando una solicitud no pueda atenderse con esas funciones, Zantry prestará asistencia razonable previa petición del Cliente a soporte@zantry.es.

11. Auditoría

Zantry pondrá a disposición del Cliente, previa solicitud razonada, la información y la documentación necesarias para acreditar el cumplimiento de este contrato.

El Cliente podrá realizar auditorías, por sí o mediante auditor independiente sujeto a confidencialidad, con un preaviso mínimo de 30 días, un máximo de una vez al año —salvo que exista requerimiento de una autoridad de control o una violación de seguridad acreditada—, en horario laboral y sin afectar a la operativa del servicio ni a la confidencialidad de otros clientes. Los costes de la auditoría son de cuenta del Cliente, salvo que revele un incumplimiento sustancial imputable a Zantry.

12. Terminación: devolución y supresión

A la finalización de la relación, el Cliente dispone de un plazo de 30 días para exportar íntegramente sus datos desde la Plataforma, en formato estructurado y de uso común. Transcurrido ese plazo, Zantry suprimirá o anonimizará de forma irreversible los datos del Cliente, incluidas las copias existentes.

Se exceptúan los datos cuya conservación venga impuesta por la normativa fiscal, mercantil o laboral, señaladamente las facturas y registros de facturación (4 años, ampliables a 6) y el registro de jornada (4 años). Dichos datos quedarán bloqueados conforme al artículo 32 de la LOPDGDD: se conservarán únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, sin acceso operativo, hasta la prescripción de las responsabilidades correspondientes, momento en el que se suprimirán.

Zantry acreditará por escrito la supresión a solicitud del Cliente.

13. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. La limitación de responsabilidad prevista en los Términos y Condiciones no se aplica a las sanciones o indemnizaciones derivadas del incumplimiento por Zantry de las obligaciones que le impone directamente el RGPD como encargado.

14. Vigencia, modificación y contacto

Este contrato entra en vigor con la aceptación de los Términos y Condiciones y permanece vigente mientras dure el tratamiento. Cualquier modificación sustancial se notificará con 30 días de antelación y requerirá nueva aceptación.

Canal de contacto en materia de protección de datos: soporte@zantry.es.