Documento 03 · Contrato de Encargo del Tratamiento (art. 28 RGPD)

Konomic DEHú — KONOMIC DIGITAL SL

Plantilla única con dos variantes:

• Canal Directo — Cliente directo. El Cliente (sociedad o autónomo que actúa como empresario o profesional) es responsable del tratamiento y Konomic es encargada del tratamiento. Código de plantilla: DPA.
• Canal Gestoría — Gestoría. Cada Titular (cliente de la Gestoría) es responsable del tratamiento, la Gestoría es encargada y Konomic es subencargada, con autorización previa por escrito del Titular. Código de plantilla: DPA_SUB.

REUNIDOS

De una parte, [PENDIENTE: RAZON_SOCIAL_CLIENTE], con NIF [PENDIENTE: NIF_CLIENTE] y domicilio en [PENDIENTE: DOMICILIO_CLIENTE], representada por [PENDIENTE: NOMBRE_REPRESENTANTE_CLIENTE], con NIF [PENDIENTE: NIF_REPRESENTANTE_CLIENTE], en su calidad de [PENDIENTE: CARGO_REPRESENTANTE_CLIENTE]. En adelante, "el Cliente" o "el Responsable".

De otra parte, KONOMIC DIGITAL SL, con NIF B22884688, domicilio en Calle Santo Domingo 1, 38003 Santa Cruz de Tenerife, España e inscrita en el Registro Mercantil de Santa Cruz de Tenerife, hoja TF-75427, [PENDIENTE: TOMO_FOLIO_INSCRIPCION]. La representa D. Nikita Lukasoks (NIE Y0867087R), en su calidad de [PENDIENTE: CARGO_FIRMANTE_KONOMIC]. En adelante, "Konomic". [PENDIENTE: el certificado FNMT de representante indica "Administrador único"; confirmar el cargo inscrito.]

En adelante, el Cliente (Canal Directo) o la Gestoría (Canal Gestoría) se denomina también "el Contratante". El Contratante y Konomic son "las Partes".

EXPONEN

I. Konomic presta el servicio Konomic DEHú ("el Servicio") conforme a:

• el Documento 01 (Condiciones Generales de Contratación) aceptado por el Cliente;

II. El Servicio consiste en consultar de forma automatizada, a través de LEMA, los Envíos que las Administraciones ponen a disposición del Titular en DEHú, avisar de ellos, controlar sus plazos estimados, abrir las Comunicaciones cuando el Titular lo haya elegido, abrir las Notificaciones solo por Instrucción de Apertura y custodiar los documentos y las evidencias. Para ello, cada Titular firma en DEHú una DR en modalidad "agrupador de NIF" que designa el certificado electrónico de Konomic (Especificación LEMA v4.1, apdo. 2.4 y Anexo II, caso 2). Konomic accede así a los Envíos en los que el Titular figura como titular y trata datos personales por cuenta del responsable del tratamiento.

III. Las Partes acuerdan los siguientes roles a efectos del Reglamento (UE) 2016/679 ("RGPD"):

• el Cliente es responsable del tratamiento (art. 4.7 RGPD) y Konomic encargada del tratamiento (arts. 4.8 y 28 RGPD);

IV. Konomic trata además, como responsable, los datos necesarios para gestionar la relación contractual: cuentas de usuario del Cabinet, facturación, evidencias de contratación y seguridad del Servicio. Esos tratamientos no son objeto de este contrato y se rigen por el Documento 05 (Política de Privacidad).

V. Para dar cumplimiento al art. 28.3 y 28.9 del RGPD y al art. 33 de la Ley Orgánica 3/2018 ("LOPDGDD"), las Partes suscriben este contrato de encargo del tratamiento ("el Contrato") con las siguientes

CLÁUSULAS

Cláusula 1. Definiciones

1.1 Los términos con mayúscula inicial tienen el significado del Documento 01 y se reproducen aquí para que este Contrato pueda leerse por sí solo. Los términos no definidos tienen el significado del art. 4 del RGPD.

Cláusula 2. Objeto

2.1 Este Contrato regula el tratamiento de los Datos Personales Encargados que Konomic realiza por cuenta del Responsable, en la medida estrictamente necesaria para prestar el Servicio. El Anexo 1 describe el tratamiento.

2.2 Quedan fuera del objeto de este Contrato:

• a) los tratamientos de Konomic como responsable (Exponen IV; Documento 05);
• b) los Envíos en los que el Titular figura solo como destinatario y no como titular: LEMA no permite acceder a ellos en la modalidad agrupador (Especificación LEMA v4.1, apdo. 2.4; error 4101);
• c) los accesos que el Titular, o un tercero autorizado por él, haga directamente en DEHú o en las sedes electrónicas;
• d) cualquier funcionalidad no descrita en el Anexo 1. En particular, el análisis automatizado del contenido de los Envíos con inteligencia artificial y el envío de contenido por aplicaciones de mensajería (WhatsApp, Telegram u otras). Incorporarlas exigirá una instrucción específica del Responsable y la modificación de los Anexos 1 y 3 (cláusulas 9.6 y 20).

Cláusula 3. Duración

3.1 Este Contrato entra en vigor en la fecha [PENDIENTE: FECHA_EFECTO] y dura lo mismo que el Documento 01 (Canal Directo) o el Documento 02 (Canal Gestoría). Para cada Titular, el tratamiento empieza cuando se valida su Documento 04 y termina cuando causa baja en el Servicio.

3.2 Terminada la prestación, Konomic solo tratará los Datos Personales Encargados para devolverlos, suprimirlos o conservarlos bloqueados según la cláusula 14, y, en su caso, para la continuidad mínima de la cláusula 13.7 del Documento 01, de la cláusula 23.3 del Documento 02 y de la cláusula 13.4 del Documento 04: localización de Envíos y Avisos de plazo sobre las Notificaciones pendientes, sin Aperturas, durante el plazo allí previsto. Esa continuidad forma parte de las instrucciones documentadas del Responsable.

3.3 Siguen vigentes tras la terminación las cláusulas 7 (confidencialidad), 14 (destino de los datos), 15 (auditorías sobre el período de tratamiento), 18 (responsabilidad) y 23 (ley y jurisdicción).

3.4 El Servicio no puede prestarse sin un contrato de encargo vigente. Si termina este Contrato, termina el Servicio para los Titulares afectados, y a la inversa, salvo la continuidad mínima de la cláusula 3.2. El texto del Canal Directo se entrega al Titular junto con el Documento 04 (art. 28.9 RGPD).

Cláusula 4. Naturaleza, finalidad, tipos de datos e interesados

4.1 Naturaleza. El tratamiento es automatizado y continuo. Comprende las operaciones siguientes (art. 4.2 RGPD):

• recogida de los datos desde DEHú a través de LEMA;
• registro, estructuración y conservación;
• consulta;
• cotejo de hashes;
• comunicación al Responsable y a sus Usuarios a través del Cabinet;
• limitación (bloqueo) y supresión.

4.2 Finalidades. Las únicas finalidades del tratamiento son:

• (i) avisar al Titular de los Envíos nuevos;
• (ii) controlar los plazos estimados de acceso a las Notificaciones;
• (iii) abrir automáticamente las Comunicaciones, si el Titular lo ha elegido;
• (iv) abrir las Notificaciones solo por Instrucción de Apertura;
• (v) custodiar los documentos y las Evidencias y ponerlos a disposición en el Cabinet;
• (vi) garantizar la seguridad y la trazabilidad del Servicio y la prueba de las actuaciones.

4.3 Tipos de datos. Se describen en el Anexo 1, §3. Incluyen datos económicos y tributarios, datos de Seguridad Social y datos relativos a infracciones y sanciones administrativas (art. 27 LOPDGDD). De forma incidental pueden incluir categorías especiales (art. 9 RGPD) y datos relativos a infracciones penales (art. 10 RGPD). Konomic no selecciona los datos: llegan en el contenido de los actos que emiten las Administraciones.

4.4 Categorías de interesados. Se describen en el Anexo 1, §4.

4.5 Prohibición de finalidades propias. Konomic no tratará los Datos Personales Encargados para finalidades propias. En particular, no los usará para:

• analizar el contenido de los Envíos con fines propios;
• elaborar perfiles;
• hacer marketing;
• entrenar o ajustar modelos de inteligencia artificial;
• elaborar estadísticas comerciales;
• cederlos a terceros.

Si lo hiciera, se la consideraría responsable de ese tratamiento (art. 28.10 RGPD; art. 33.2 LOPDGDD). Konomic sí puede tratar datos técnicos de funcionamiento que no incluyan el contenido de los Envíos (número de consultas, códigos de error, tiempos de respuesta) para operar y proteger el Servicio. [PENDIENTE: validar si estos datos técnicos, que en los registros actuales incluyen el NIF, forman parte del encargo o son tratamiento propio de Konomic por interés legítimo, y cómo minimizarlos (Anexo 2, §2.8).]

4.6 Titulares distintos del Cliente. En el Canal Directo, Konomic solo trata como encargada los datos de los Envíos del propio Cliente. Si el Cliente quiere que el Servicio alcance a otra persona (por ejemplo, una sociedad de su grupo), esa persona debe contratar el Servicio como Cliente, aceptando el Documento 01 y este Contrato, o recibirlo por el Canal Gestoría (Documento 02), con el Cliente como encargado del tratamiento y Konomic como subencargada. En ambos casos, cada Titular firma su propio Documento 04 antes de que Konomic trate sus datos (Documento 01, cláusula 5.4; Documento 04, cláusula 1.1).

Cláusula 5. Obligaciones y derechos del Responsable y del Contratante

5.1 Obligaciones del Responsable. El Responsable:

• a) garantiza que el tratamiento que encarga tiene base jurídica, incluso respecto de los datos de terceros contenidos en los Envíos (administradores, trabajadores, contrapartes). En cuanto a los datos de infracciones y sanciones administrativas, garantiza que el tratamiento cumple el art. 27 de la LOPDGDD. El Titular persona física presta su consentimiento expreso para sus propios datos en el Documento 04 (cláusula 11.4), y el Titular persona jurídica garantiza la base respecto de los datos de terceros (Documento 04, cláusula 11.3) [PENDIENTE: confirmar con el abogado la base para los datos de terceros y si el consentimiento puede ser condición del Servicio (art. 7.4 RGPD)];
• b) da sus instrucciones de forma documentada conforme a la cláusula 6;
• c) mantiene vigente la DR y firma en DEHú su Modificación cuando Konomic le avise de la sustitución de su certificado (cláusula 8.5.e; Documento 04);
• d) designa a los Usuarios Autorizados conforme a la cláusula 8.3.b del Documento 04, mantiene la lista al día en el Cabinet y responde de la custodia de sus credenciales y de sus actuaciones;
• e) valora si el tratamiento requiere una evaluación de impacto (art. 35 RGPD) y, en su caso, la realiza con la asistencia de Konomic (cláusula 11);
• f) cumple, cuando proceda, el deber de informar a los interesados (arts. 13 y 14 RGPD);
• g) informa a Konomic sin demora de cualquier error que detecte en las instrucciones o en los datos;
• h) supervisa el tratamiento, incluso mediante auditorías (cláusula 15).

5.2 Derechos del Responsable. El Responsable tiene derecho a:

• dar instrucciones documentadas;
• recibir la información necesaria para demostrar el cumplimiento;
• auditar el tratamiento;
• oponerse a los cambios de Subencargados Ulteriores;
• elegir el destino de los datos al finalizar;
• resolver el Contrato por incumplimiento grave de Konomic (cláusula 21).

Cláusula 6. Instrucciones documentadas (art. 28.3.a RGPD)

6.1 Fuentes de las instrucciones. Konomic solo trata los Datos Personales Encargados siguiendo instrucciones documentadas del Responsable. Son instrucciones documentadas:

• a) este Contrato y sus Anexos;
• b) el Documento 01 o el Documento 02, y el Documento 04, en lo relativo al tratamiento de datos;
• c) la configuración que hagan en el Cabinet los Usuarios con permisos suficientes: Titulares activos, apertura automática de Comunicaciones, Usuarios Autorizados y destinatarios de los Avisos. Cada cambio de configuración queda en el Registro de Auditoría;
• d) las Instrucciones de Apertura (cláusula 6.3);
• e) otras instrucciones escritas enviadas a nik.l@konomic.com o a través del Cabinet. Konomic las aceptará si son técnicamente viables y caben dentro del Servicio. Si exigen cambios fuera del Servicio, Konomic podrá declinarlas motivadamente, y el Contratante podrá resolver el Contrato sin penalización.

6.2 Comunicaciones.

• Konomic solo abre automáticamente las Comunicaciones de los Titulares que la hayan elegido de forma expresa en el alta, en el Anexo I del Documento 04, donde ninguna opción aparece marcada de antemano. Mientras no conste la elección, las Comunicaciones no se abren automáticamente. La apertura automática puede desactivarse en cualquier momento desde el Cabinet; activarla después del alta exige que la solicite en el Cabinet un Usuario del Titular con el atributo «Gestiona usuarios», verificado con segundo factor. Los cambios se aplican a los Envíos que se localicen después. No se abre automáticamente ninguna Comunicación antes de la Fecha de Activación.
• Konomic se atiene a la clasificación (tipoEnvio) que asigna el organismo emisor en DEHú y no califica jurídicamente el acto (Documento 01). Solo se abren automáticamente los Envíos con tipoEnvio = 1. Si DEHú no informa el tipo o no es reconocible, el Envío se trata como Notificación.
• [PENDIENTE técnico — Requisito de lanzamiento (Anexo 2, §2.4): hoy el software activa la apertura automática por defecto y trata como Comunicación cualquier tipo distinto de 2.]

6.3 CLÁUSULA DESTACADA — Apertura de Notificaciones.

• a) Konomic no abrirá ninguna Notificación sin una Instrucción de Apertura específica para esa Notificación. La Instrucción debe darla un Usuario Autorizado a través del Cabinet, después de que se le haya mostrado el Texto de Advertencia (Anexo III del Documento 04; Anexo 1, §6.5) y de haberse autenticado con un segundo factor, que se verifica de nuevo al confirmar cada Instrucción, o con certificado electrónico. Si el Cabinet permite seleccionar varias Notificaciones, muestra el Texto de Advertencia de cada una y exige una confirmación separada: cada confirmación es una Instrucción de Apertura distinta.
• b) No se admiten instrucciones generales, permanentes, condicionadas ni programadas para abrir Notificaciones. Tampoco se admiten instrucciones por correo electrónico, teléfono, mensajería ni por ningún canal distinto del Cabinet. [PENDIENTE: confirmar que no se ofrece ningún canal alternativo si el Cabinet no está disponible. En ese caso, el Titular accede directamente a DEHú.]
• c) Por cada Instrucción de Apertura, Konomic registra:
• Usuario, rol y Titular;
• identificador del Envío;
• fecha y hora (UTC);
• dirección IP y agente de usuario;
• versión y SHA-256 del Texto de Advertencia mostrado;
• resultado;
• fecha del evento (fechaEvento) devuelta por DEHú.

Conserva, además, el acuse de DEHú y su respuesta XML. - d) El Responsable sabe que, al abrirse una Notificación, esta se entiende practicada en ese momento y empiezan a correr los plazos del trámite que corresponda (arts. 30.3 y 43.2 de la Ley 39/2015; art. 42.2 del RD 203/2021). La decisión de abrir y el momento de hacerlo corresponden exclusivamente al Titular o a quien este autorice. Konomic no presta asesoramiento jurídico, fiscal ni laboral. - e) El software del Servicio incluye dos controles de software, basados en la clasificación tipoEnvio informada por DEHú, que impiden abrir una Notificación sin confirmación expresa (Anexo 2, §2.4). Por eso cualquier tipo distinto de 1, o su ausencia, se trata como Notificación (cláusula 6.2). - f) Si Konomic abriera una Notificación sin Instrucción de Apertura válida, se aplicará la cláusula 12.6.b, sin perjuicio de la responsabilidad de la cláusula 18.2.c. - g) Konomic podrá abstenerse de ejecutar una Instrucción de Apertura cuando: - quien la da no sea Usuario Autorizado; - la DR o el Documento 04 no estén vigentes; - Konomic considere que la instrucción infringe la normativa (6.5); - en el Canal Gestoría, haya instrucciones contradictorias (5.4.b).

En todos estos casos informará de inmediato a través del Cabinet, para que el Titular pueda acceder directamente a DEHú. - h) Konomic no garantiza que la Apertura se complete: depende de DEHú y LEMA. Según la Especificación LEMA (apdo. 3.2), si falla la descarga del documento, "el proceso de comparecencia no se completará". Konomic informará del resultado de cada intento en el Cabinet.

6.4 Tratamientos exigidos por ley. Si el Derecho de la Unión o de un Estado miembro obliga a Konomic a tratar Datos Personales Encargados sin instrucción, Konomic informará al Responsable de esa exigencia antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público (art. 28.3.a RGPD). Por ejemplo: un requerimiento judicial o de la autoridad de control, o las actuaciones que exija la Secretaría General de Administración Digital ante un uso no conforme de DEHú.

6.5 Instrucciones que infrinjan la normativa. Konomic informará inmediatamente al Responsable si, en su opinión, una instrucción infringe la Normativa de Protección de Datos (art. 28.3, párrafo segundo, RGPD; cláusula 7.1.b de las CCT 2021/915). Podrá suspender su ejecución hasta que el Responsable la confirme o la modifique. Si la instrucción suspendida es una Instrucción de Apertura, lo comunicará de inmediato, para que el Titular pueda acceder directamente a DEHú. Esta obligación no convierte a Konomic en asesora del Responsable.

6.6 Transferencias. Las instrucciones sobre transferencias internacionales se rigen por la cláusula 13.

Cláusula 7. Confidencialidad (art. 28.3.b RGPD; art. 5 LOPDGDD)

7.1 Konomic garantiza que las personas autorizadas para tratar los Datos Personales Encargados se han comprometido por escrito a respetar su confidencialidad, o están sujetas a una obligación legal de confidencialidad. El deber se mantiene aun después de terminar su relación con Konomic (art. 5.3 LOPDGDD).

7.2 El acceso del personal de Konomic se limita a lo estrictamente necesario (cláusula 7.4.b de las CCT 2021/915). El personal de Konomic no accede al contenido de los Envíos salvo en dos casos:

• (i) a petición del Contratante o del Titular, para prestar soporte;
• (ii) cuando sea imprescindible para resolver una incidencia que afecte al Servicio o a su seguridad.

En ambos casos el acceso se hace con la herramienta de administración de Konomic y se anota en el Registro de Auditoría: quién accede, cuándo, a qué Envío y por qué motivo. Está prohibido operar sobre LEMA con scripts ad hoc en producción: toda operación del personal pasa por la herramienta auditada. [PENDIENTE técnico — Requisito de lanzamiento: Anexo 2, §2.10. Hoy los documentos se guardan en claro y el Registro de Auditoría de producción ya contiene aperturas hechas con scripts fuera del flujo normal.]

7.3 Konomic instruye a su personal para que trate los datos solo siguiendo instrucciones del Responsable (arts. 29 y 32.4 RGPD).

7.5 Si una autoridad pública pide a Konomic acceso a Datos Personales Encargados, Konomic lo comunicará al Responsable, salvo que la ley lo prohíba, y solo entregará lo que sea legalmente exigible.

Cláusula 8. Seguridad del tratamiento (art. 28.3.c y art. 32 RGPD)

8.1 Konomic aplica, como mínimo, las medidas técnicas y organizativas del Anexo 2. Para determinarlas ha tenido en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto y los fines del tratamiento. Ha tenido en cuenta especialmente los factores de mayor riesgo del art. 28.2 de la LOPDGDD que concurren en el Servicio:

• posibles pérdidas financieras y pérdida de confidencialidad de datos sujetos a secreto profesional (letra a);
• datos relativos a infracciones administrativas (letra c);
• tratamiento de un gran número de afectados cuando la Gestoría tiene muchos clientes (letra f).

8.2 Estado de las medidas. El Anexo 2 clasifica cada medida en tres grupos:

• "Operativa": existe hoy;
• "Requisito de lanzamiento": está prevista y es obligatoria antes de tratar datos del Responsable;
• "Hoja de ruta": está prevista, sin compromiso de fecha.

Konomic garantiza que, en la fecha de efecto de este Contrato, están operativas todas las medidas de los dos primeros grupos. Konomic no tratará Datos Personales Encargados del Responsable mientras alguna medida "Requisito de lanzamiento" no esté operativa. Las medidas de "Hoja de ruta" no son obligaciones contractuales hasta que Konomic comunique que están operativas.

8.3 Konomic puede actualizar las medidas siempre que no reduzca el nivel global de seguridad. Comunicará los cambios relevantes a través del Cabinet y mantendrá versionado el Anexo 2.

8.4 Konomic verifica y evalúa la eficacia de las medidas al menos una vez al año y siempre después de una Violación de Seguridad o de un cambio relevante del Servicio (art. 32.1.d RGPD).

8.5 Certificado de Konomic. En la DR, el Titular asume ante la Administración "la responsabilidad sobre el uso que se haga en su ámbito del sistema DEHú de las claves de acceso e identificadores privados que se habiliten para su adhesión". Como en la práctica es Konomic quien custodia y usa su certificado, Konomic se obliga frente al Responsable a:

• a) custodiar la clave privada de su certificado conforme al Anexo 2, §2.2: en un almacén de secretos cifrado o en un KMS, con acceso restringido y registrado, nunca en repositorios de código y separada del proceso web del Cabinet y de los procesos de firma de contratos;
• b) usar el certificado solo para los NIF de Titulares con Contrato, Documento 04 y DR vigentes, y solo para las finalidades de este Contrato;
• c) registrar de forma persistente cada llamada a LEMA: operación, NIF, fecha y hora UTC y código de respuesta (Anexo 2, §2.6, «L»);
• d) ante cualquier sospecha de compromiso de la clave:
• solicitar la revocación al prestador que emitió el certificado (FNMT-RCM);
• comunicarlo al Centro de Servicios de DEHú (AEAD) [PENDIENTE: confirmar el canal oficial];
• suspender las llamadas a LEMA hasta disponer de un certificado nuevo;
• notificarlo al Responsable conforme a la cláusula 12;
• e) avisar al Titular con al menos [PENDIENTE: PREAVISO_RENOVACION_CERTIFICADO_DIAS] días de antelación antes de sustituir el certificado o de que caduque (el actual caduca el 28/08/2027), con instrucciones para firmar la Modificación de la DR (Documento 04);
• f) dejar de hacer llamadas a LEMA para un NIF desde la fecha de baja de ese Titular, aunque la DR siga activa, salvo la continuidad mínima de la cláusula 3.2 y la consulta única de la cláusula 14.7.

8.6 Minimización fuera del Cabinet. El contenido de los Envíos solo se muestra dentro del Cabinet. Eso incluye los documentos, los anexos, el concepto y el organismo emisor. Los avisos que se envían fuera del Cabinet son Avisos: solo indican que hay novedades e invitan a entrar en el Cabinet (plantillas en el Anexo 1, §6.3). [PENDIENTE: decidir si el aviso puede identificar al Titular con un alias elegido por el Responsable o solo con un identificador interno.] Konomic no usa aplicaciones de mensajería (Telegram, WhatsApp u otras) para Datos Personales Encargados. Konomic cumple su obligación de avisar con la publicación en el Cabinet del Envío localizado y de sus Avisos de plazo; el correo electrónico es un canal adicional, enviado con reintentos, sin garantía de entrega (Documento 01, cláusula 6.2.d).

8.7 Datos sensibles. Konomic no clasifica el contenido de los Envíos, porque no lo lee. Por eso aplica a todo el contenido las restricciones y garantías reforzadas que exigen las categorías especiales y los datos penales (arts. 9 y 10 RGPD; cláusula 7.5 de las CCT 2021/915): cifrado, acceso restringido y registrado, y prohibición de usos secundarios.

Cláusula 9. Subencargo (art. 28.2, 28.3.d y 28.4 RGPD)

9.1 Autorización.

• El Cliente da a Konomic una autorización general previa y por escrito para recurrir a los Subencargados Ulteriores del Anexo 3 (versión [PENDIENTE: VERSION_LISTA_SUBENCARGADOS]) y para incorporar o sustituir otros conforme a esta cláusula.

9.2 Condiciones. Konomic:

• a) impone a cada Subencargado Ulterior, por contrato, las mismas obligaciones de protección de datos de este Contrato, en particular garantías suficientes de medidas técnicas y organizativas apropiadas (art. 28.4 RGPD);
• b) solo recurre a proveedores que traten y almacenen los datos en la Unión Europea (cláusula 13);
• c) sigue siendo plenamente responsable ante el Contratante del cumplimiento de cada Subencargado Ulterior, y le comunicará sus incumplimientos (cláusula 7.7.d de las CCT 2021/915);
• d) facilitará, a petición del Contratante, copia de las cláusulas de protección de datos de sus contratos con Subencargados Ulteriores. Podrá expurgar los secretos comerciales (cláusula 7.7.c de las CCT 2021/915);
• e) procurará pactar con cada Subencargado Ulterior la cláusula de tercero beneficiario de la cláusula 7.7.e de las CCT 2021/915 [PENDIENTE: con grandes proveedores de nube suele no ser negociable; documentar la alternativa].

9.3 Aviso de cambios. Konomic informará de forma específica y por escrito de cualquier incorporación o sustitución prevista de un Subencargado Ulterior con al menos [PENDIENTE: PLAZO_AVISO_SUBENCARGADOS_DIAS] días de antelación. Lo hará por correo electrónico a [PENDIENTE: EMAIL_PRIVACIDAD_CLIENTE] (Canal Directo) o a [PENDIENTE: EMAIL_PRIVACIDAD_GESTORIA] (Canal Gestoría) y mediante un aviso en el Cabinet. El aviso incluirá la identidad del proveedor, el servicio que presta, los datos a los que accede, su ubicación y sus garantías.

9.4 Oposición.

• El Responsable puede oponerse al cambio por motivos razonables de protección de datos en un plazo de [PENDIENTE: PLAZO_OBJECION_DIAS] días desde el aviso. En el Canal Gestoría se opone por medio de la Gestoría o directamente en el Cabinet.
• Las Partes buscarán de buena fe una solución.
• Si no la hay antes de la fecha de efecto del cambio, el Contratante (o, en el Canal Gestoría, el Titular afectado) podrá resolver sin penalización el Servicio afectado. Konomic devolverá la parte de las cuotas pagadas por adelantado que corresponda al período no disfrutado [PENDIENTE: coordinar con el Documento 01 y el Documento 02].
• Si no hay oposición en el plazo, el cambio se entiende aceptado.

9.5 Sustitución urgente. Si un Subencargado Ulterior deja de prestar su servicio de forma imprevista, o su sustitución es necesaria para proteger la seguridad de los datos, Konomic podrá acortar el plazo de aviso de la cláusula 9.3, con estas condiciones:

• a) recurrirá en primer lugar al proveedor de contingencia que figure ya en el Anexo 3;
• b) si debe incorporar otro proveedor, lo comunicará por escrito al Contratante, con la información de la cláusula 9.3, antes de que ese proveedor acceda a los Datos Personales Encargados, y solo recurrirá a un proveedor que trate los datos en la Unión Europea y ofrezca garantías al menos equivalentes;
• c) el Responsable podrá oponerse en el plazo de la cláusula 9.4, contado desde ese aviso. Si se opone y no se alcanza una solución, podrá resolver sin penalización el Servicio afectado, con devolución de las cuotas pagadas por adelantado que correspondan al período no disfrutado, y Konomic dejará de usar ese proveedor para sus datos en cuanto sea técnicamente posible.

9.6 Proveedores excluidos. Konomic no recurrirá, para tratar Datos Personales Encargados, a:

• (i) aplicaciones de mensajería, como Telegram o WhatsApp (Meta);
• (ii) proveedores de modelos de inteligencia artificial;
• (iii) herramientas de analítica que accedan al contenido de los Envíos;
• (iv) proveedores que traten los datos fuera de la Unión Europea.

Incorporar cualquiera de ellos cambiaría la naturaleza o la finalidad del tratamiento. Por eso no basta el procedimiento de las cláusulas 9.3 y 9.4: hace falta una instrucción específica y previa del Responsable.

9.7 No son Subencargados Ulteriores:

• DEHú, la Secretaría General de Administración Digital, la Agencia Estatal de Administración Digital y los organismos emisores. Son la fuente de los Envíos, actúan en ejercicio de sus competencias y su relación con el Titular deriva de la DR;
• la FNMT-RCM, prestador de servicios de confianza que emite el certificado de Konomic y que no trata Datos Personales Encargados;
• el prestador de sellos de tiempo cualificados, si solo recibe hashes. El Documento 05 lo trata de la misma forma [PENDIENTE: confirmar con el abogado].

9.8 Transparencia de la cadena. Konomic mantiene la lista vigente e histórica de Subencargados Ulteriores en [PENDIENTE: URL_LISTA_SUBENCARGADOS] y en el Cabinet, de forma que el Responsable pueda conocer en todo momento la identidad de toda la cadena (Dictamen 22/2024 del CEPD).

Cláusula 10. Asistencia en el ejercicio de derechos (art. 28.3.e RGPD)

10.1 El Responsable atiende las solicitudes de ejercicio de derechos de los interesados (arts. 15 a 22 RGPD). Konomic le asiste con las siguientes funciones del Cabinet [las de exportación y supresión están previstas; Anexo 2, §2.8]:

• consulta y exportación de todos los datos de un Titular (documentos, acuses, metadatos y Registro de Auditoría);
• rectificación de los datos maestros del Titular;
• desactivación de un Titular;
• supresión, previa instrucción.

10.2 Si un interesado se dirige directamente a Konomic, esta no resolverá la solicitud. La trasladará al Contratante en un plazo máximo de [PENDIENTE: PLAZO_TRASLADO_SOLICITUDES_DIAS] días hábiles y, si es posible, informará al interesado de que debe dirigirse al Responsable.

10.3 Los documentos de los Envíos son actos emitidos por las Administraciones, y Konomic los conserva íntegros como Evidencia. Por eso Konomic no modifica su contenido: su rectificación debe pedirse al organismo emisor. Konomic ejecutará las instrucciones de supresión de documentos concretos y anotará en el Registro de Auditoría que se ha hecho, sin su contenido. [PENDIENTE: validar el tratamiento de las solicitudes de rectificación y supresión sobre documentos administrativos.]

10.4 Konomic prestará la asistencia en un plazo que permita al Responsable responder dentro del plazo del art. 12.3 del RGPD y, en todo caso, en [PENDIENTE: PLAZO_ASISTENCIA_DERECHOS_DIAS] días hábiles desde la petición.

Cláusula 11. Asistencia en las obligaciones de los arts. 32 a 36 RGPD (art. 28.3.f)

11.1 Seguridad. Konomic facilita el Anexo 2 actualizado y responde a los cuestionarios razonables de seguridad del Responsable.

11.2 Violaciones de Seguridad. Se rigen por la cláusula 12.

11.3 Evaluación de impacto. Konomic facilita al Responsable la descripción del tratamiento, de sus riesgos y de sus medidas, y un modelo de evaluación de impacto del Servicio [PREVISTO], para que decida si la evaluación es necesaria y, en su caso, la realice.

• La lista de la AEPD de tratamientos que requieren evaluación de impacto (art. 35.4 RGPD) incluye como criterios, entre otros, los datos que permiten determinar la situación financiera o de solvencia patrimonial, y el tratamiento a gran escala.
• La decisión y la evaluación corresponden al Responsable.

11.4 Consulta previa. Si el Responsable debe consultar a la autoridad de control (art. 36 RGPD), Konomic le facilitará la información de que disponga.

11.5 Coste. La asistencia razonable está incluida en el precio del Servicio. La asistencia extraordinaria (una evaluación de impacto a medida, reuniones o visitas no previstas) se facturará según las tarifas del Documento 01 o del Documento 02, salvo que se deba a un incumplimiento de Konomic. [PENDIENTE: decidir si se factura y fijar la tarifa.]

Cláusula 12. Violaciones de Seguridad (art. 33.2 RGPD)

12.1 Plazo. Konomic notificará al Contratante cualquier Violación de Seguridad que afecte a Datos Personales Encargados sin dilación indebida y, en todo caso, en un plazo máximo de [PENDIENTE: PLAZO_NOTIFICACION_BRECHA_HORAS] horas desde que tenga constancia de ella (art. 33.2 RGPD; cláusula 9.2 de las CCT 2021/915). Este es el plazo único del paquete documental: los Documentos 01, 02 y 04 remiten a él, también para el compromiso del certificado de Konomic. Documento 02, cláusula 11.5).

12.2 Contenido. La notificación incluirá, como mínimo (art. 33.3 RGPD):

• a) la naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados, cuando sea posible;
• b) un punto de contacto donde obtener más información;
• c) sus consecuencias probables;
• d) las medidas adoptadas o propuestas para remediarla y mitigar sus efectos.

Si no es posible dar toda la información a la vez, Konomic la facilitará de forma gradual y sin dilación indebida (art. 33.4 RGPD).

12.3 Canal. La notificación se envía por correo electrónico a [PENDIENTE: EMAIL_PRIVACIDAD_CLIENTE] (Canal Directo) o a [PENDIENTE: EMAIL_PRIVACIDAD_GESTORIA] (Canal Gestoría) y como aviso en el Cabinet. No incluirá más datos personales de los necesarios.

12.4 Cooperación. Konomic ayudará al Responsable a notificar la Violación de Seguridad a la autoridad de control dentro del plazo del art. 33.1 del RGPD (72 horas) y, en su caso, a comunicarla a los interesados (art. 34 RGPD). Konomic no notificará a la autoridad de control ni a los interesados en nombre del Responsable sin su instrucción escrita. Esto no afecta a las obligaciones propias de Konomic como responsable de sus propios tratamientos.

12.5 Documentación. Konomic lleva un registro interno de todos los incidentes que afecten a Datos Personales Encargados, con los hechos, los efectos y las medidas adoptadas, y lo pone a disposición del Responsable para que este pueda cumplir el art. 33.5 del RGPD.

12.6 Incidentes específicos del Servicio. Los siguientes hechos se tratan conforme a esta cláusula aunque se dude de que sean una Violación de Seguridad:

• a) Compromiso, o sospecha de compromiso, de la clave del certificado de Konomic. Se aplica la cláusula 8.5.d, con notificación en el plazo de la cláusula 12.1 al Contratante y a los Titulares, y comunicación al Centro de Servicios de DEHú (AEAD).
• b) Apertura de una Notificación sin Instrucción de Apertura válida. Konomic lo notificará inmediatamente y como máximo en [PENDIENTE: PLAZO_AVISO_APERTURA_INDEBIDA_HORAS] horas, indicando la fecha y hora del acceso que conste en DEHú, para que el Responsable pueda calcular sus plazos. [PENDIENTE: fijar el plazo; propuesta: 4 horas.]
• c) Acceso no autorizado a la cuenta de un Usuario en el Cabinet que Konomic detecte.
• d) Envío a un destinatario equivocado de un aviso que contenga datos personales.

12.7 Las incidencias de disponibilidad (caída de LEMA o de DEHú) y la falta de acceso a los Envíos de un Titular (por ejemplo, códigos 4102 o 1103 de LEMA) no son, por sí mismas, Violaciones de Seguridad. Se comunican conforme al Documento 01 y al Anexo 1, §§6.8 y 6.9.

Cláusula 13. Transferencias internacionales

13.1 Sin transferencias. Konomic y sus Subencargados Ulteriores tratan y almacenan los Datos Personales Encargados exclusivamente en la Unión Europea, incluidas las copias de seguridad y los accesos remotos de soporte. Konomic está establecida en Canarias, que es territorio de la Unión Europea (arts. 349 y 355.1 TFUE), por lo que su ubicación no implica ninguna transferencia.

13.2 Excepciones. Cualquier transferencia a un tercer país o a una organización internacional exige:

• una instrucción documentada previa del Responsable (art. 28.3.a RGPD);
• una de las garantías del capítulo V del RGPD, por ejemplo una decisión de adecuación como la Decisión (UE) 2023/1795 o las cláusulas contractuales tipo de la Decisión (UE) 2021/914;
• en su caso, una evaluación del impacto de la transferencia;
• la actualización del Anexo 3 con el aviso de la cláusula 9.3.

El Responsable puede negarse a la transferencia.

13.3 El acceso a los datos desde un tercer país, por personal de Konomic o de un Subencargado Ulterior, se considera transferencia a estos efectos.

13.4 Si un Subencargado Ulterior establecido en la Unión Europea pertenece a un grupo cuya matriz está fuera del EEE, Konomic lo indicará en el Anexo 3 junto con su valoración del riesgo de acceso por autoridades de terceros países. [PENDIENTE: completar al elegir los proveedores.]

Cláusula 14. Destino de los datos al finalizar (art. 28.3.g RGPD; art. 33.3 y 33.4 LOPDGDD)

14.1 Elección del Responsable. Al terminar la prestación, en su conjunto o para un Titular, el Responsable elige en el Cabinet, o por escrito, una de estas opciones:

• a) devolución y posterior supresión;
• b) supresión sin devolución;
• c) entrega a un nuevo encargado designado por el Responsable, seguida de supresión.

Opción elegida: [PENDIENTE: OPCION_FIN_TRATAMIENTO]. Si el Responsable no elige antes de la fecha de terminación, se aplica la opción a).

14.2 Devolución.

• Konomic pone a disposición del Responsable, para su descarga en el Cabinet, una exportación por Titular en formatos abiertos. Incluye:
• los documentos y anexos en su formato original;
• los acuses PDF y las respuestas XML de DEHú;
• los metadatos de los Envíos (CSV o JSON);
• los hashes SHA-256;
• un extracto de su parte del Registro de Auditoría, firmado o sellado por Konomic con un certificado distinto del usado en LEMA. El extracto no incluye datos de otros clientes.
• La exportación está disponible durante [PENDIENTE: PLAZO_EXTRACCION_DIAS] días naturales, que nunca serán menos de treinta, contados desde el fin del período transitorio de la cláusula 14.3 del Documento 01 o de la cláusula 22.1 del Documento 02 o, si no lo hay, desde la terminación.
• Desde la fecha de terminación, Konomic deja de consultar LEMA para ese NIF, salvo la continuidad mínima de la cláusula 3.2 y la consulta única de la cláusula 14.7. Mientras la exportación está disponible, el Cabinet funciona solo en modo lectura.

14.3 Supresión.

• Al terminar el período de devolución, o de inmediato en la opción b), Konomic suprime los Datos Personales Encargados de sus sistemas de producción en un plazo máximo de [PENDIENTE: PLAZO_SUPRESION_DIAS] días.
• De las copias de seguridad se suprimen por rotación en un plazo máximo de [PENDIENTE: PLAZO_BACKUP]. Hasta entonces, las copias quedan aisladas y solo se restauran para recuperar el sistema tras un desastre. Si se restauran, Konomic vuelve a aplicar la supresión.
• A petición del Responsable, Konomic emitirá un certificado de supresión.

14.4 Obligación legal de conservar. Si una norma obliga a conservar los datos, no se destruyen: se devuelven al Responsable, que garantiza su conservación mientras dure esa obligación (art. 33.3 LOPDGDD).

14.5 Conservación bloqueada.

• Esta es la lista única de datos bloqueados del paquete documental: los Documentos 01, 02 y 04 remiten a ella. Konomic podrá conservar, debidamente bloqueados, solo los datos de los que puedan derivarse responsabilidades de su relación con el Responsable (art. 33.4 LOPDGDD):
• el Registro de Auditoría;
• los registros de las Instrucciones de Apertura, incluida la versión y el SHA-256 del Texto de Advertencia mostrado;
• los acuses PDF de DEHú de las Aperturas que Konomic haya realizado;
• la parte de las respuestas de DEHú que no contiene documentos ni anexos;
• las huellas SHA-256 de los documentos;
• los registros de configuración que acrediten la elección de la apertura automática y la atribución de roles.
• En ningún caso conservará el contenido de los documentos o anexos una vez ejecutada la devolución o supresión elegida por el Responsable (art. 5.1.c y 5.1.e RGPD). Las evidencias de contratación y las facturas las conserva Konomic como responsable (Documento 05).
• Los conservará durante [PENDIENTE: PLAZO_BLOQUEO] [PENDIENTE: fijar el plazo; referencia posible: 5 años para las acciones personales, art. 1964.2 del Código Civil].
• Durante el bloqueo, los datos solo estarán a disposición de los jueces y tribunales, del Ministerio Fiscal y de las Administraciones Públicas competentes, en particular de las autoridades de protección de datos. Al terminar el plazo, se destruyen (art. 32 LOPDGDD).

14.6 Baja de un Titular. Si un Titular causa baja durante la vigencia del Contrato, se aplican a sus datos las cláusulas 14.1 a 14.5.

14.7 Retirada de la DR. Konomic recordará al Titular que retire el certificado de Konomic de su DR (Baja o Modificación; Documento 04). Tras la revocación o la baja, Konomic no realiza llamadas a LEMA para ese NIF. El Titular puede subir al Cabinet el justificante de la baja o modificación de la DR. Solo si el Titular lo solicita expresamente en el Cabinet, Konomic hará una única consulta de verificación, sin Apertura; de su resultado conservará solo el código de respuesta y descartará cualquier metadato de Envíos. Esta regla es la misma en los Documentos 01 (cláusula 14.2.c), 02 (cláusula 21.2, paso 6) y 04 (cláusula 14.4). [PENDIENTE: validar con el abogado la base de esa consulta única, pedida por el propio Titular.]

Cláusula 15. Información y auditorías (art. 28.3.h RGPD)

15.1 Información. Konomic pone a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este Contrato y del art. 28 del RGPD. En particular:

• este Contrato y sus Anexos actualizados;
• un extracto de su registro de actividades como encargada (cláusula 16);
• un resumen de sus políticas de seguridad;
• los resultados de sus revisiones internas;
• las certificaciones que obtenga [hoy no tiene ninguna; ver Anexo 2, §2.10].

15.2 Consultas. Konomic resolverá con presteza las consultas del Responsable sobre el tratamiento (cláusula 7.6.b de las CCT 2021/915).

15.3 Auditorías e inspecciones.

• a) El Responsable puede auditar el tratamiento, por sí mismo o mediante un auditor independiente obligado a confidencialidad que no sea competidor de Konomic. La auditoría puede incluir inspecciones.
• b) Puede auditar una vez al año, y además cuando haya indicios de incumplimiento, tras una Violación de Seguridad o a requerimiento de una autoridad de control.
• c) Debe avisar con [PENDIENTE: PREAVISO_AUDITORIA_DIAS] días de antelación. Tras una Violación de Seguridad, el preaviso será el razonable según las circunstancias.
• d) La auditoría:
• se limita al tratamiento objeto de este Contrato;
• no da acceso a datos de otros clientes ni al material criptográfico;
• se hace en horario laborable y procurando no perturbar el Servicio.
• e) La paga el Responsable, salvo que revele un incumplimiento relevante de Konomic.
• f) Konomic puede ofrecer primero documentación o un cuestionario. Para decidir si audita, el Responsable puede tener en cuenta las certificaciones de Konomic (cláusula 7.6.c y d de las CCT 2021/915).

15.5 Autoridades de control. Konomic pondrá la información de esta cláusula, incluidos los resultados de las auditorías, a disposición de la autoridad de control competente que la solicite (art. 31 RGPD; cláusula 7.6.e de las CCT 2021/915).

15.6 Subencargados Ulteriores. Konomic verifica a sus Subencargados Ulteriores con sus informes y certificaciones independientes y los pondrá a disposición del Responsable cuando las condiciones del proveedor lo permitan. [PENDIENTE: completar al elegir los proveedores.]

Cláusula 16. Registro de actividades de tratamiento (art. 30 RGPD; art. 31 LOPDGDD)

16.1 Konomic lleva por escrito, en formato electrónico, un registro de todas las categorías de actividades de tratamiento que efectúa por cuenta de cada responsable (art. 30.2 RGPD). El registro contiene:

• a) el nombre y los datos de contacto de Konomic y de cada responsable;
• b) las categorías de tratamientos efectuados por cuenta de cada responsable;
• c) las transferencias internacionales (ninguna, cláusula 13);
• d) una descripción general de las medidas de seguridad (Anexo 2).

La excepción del art. 30.5 del RGPD para organizaciones de menos de 250 personas no se aplica, porque el tratamiento no es ocasional y puede entrañar un riesgo para los interesados.

16.2 Konomic pondrá el registro a disposición de la autoridad de control que lo solicite (art. 30.4 RGPD) y entregará al Contratante, cuando lo pida, el extracto que se refiera al Responsable.

16.3 Konomic lleva también el registro de sus tratamientos como responsable (art. 30.1 RGPD; Documento 05).

16.4 El Anexo 1 contiene la información que el Responsable necesita para incorporar este tratamiento a su propio registro (art. 30.1 RGPD).

Cláusula 17. Contactos y delegado de protección de datos

17.1 Contacto de privacidad de Konomic: nik.l@konomic.com. Los datos identificativos completos de Konomic figuran en el Documento 06 (Aviso Legal). Konomic no ha designado delegado de protección de datos: según el análisis preliminar, no está obligada (art. 37.1 RGPD; art. 34 LOPDGDD). [PENDIENTE: revisar al crecer el volumen de Titulares.]

17.2 Contacto de privacidad del Contratante: [PENDIENTE: EMAIL_PRIVACIDAD_CLIENTE] (Canal Directo) o [PENDIENTE: EMAIL_PRIVACIDAD_GESTORIA] (Canal Gestoría). Delegado de protección de datos, si lo tiene: [PENDIENTE: DPD_CONTRATANTE].

17.3 Cada Parte comunicará a la otra, a través del Cabinet, cualquier cambio de estos datos.

Cláusula 18. Responsabilidad

18.1 Cada Parte responde del incumplimiento de sus obligaciones conforme a la Normativa de Protección de Datos y a este Contrato. Frente a los interesados se aplica el art. 82 del RGPD, que no puede limitarse por contrato. Entre las Partes cabe la acción de repetición del art. 82.5 del RGPD.

18.2 Entre las Partes se aplica la matriz de responsabilidad de la cláusula 15 del Documento 01 (Canal Directo) o la de la cláusula 15 del Documento 02 (Canal Gestoría), que es autónoma porque el Documento 01 no forma parte del Contrato Marco (Documento 02, cláusula 4.1). Sus importes forman parte de este Contrato:

• a) no se limita la responsabilidad por dolo ni por culpa grave (art. 1102 del Código Civil);
• b) el incumplimiento de este Contrato o de la Normativa de Protección de Datos imputable a Konomic está sujeto al sublímite de [PENDIENTE: SUBLIMITE_DATOS] euros por año contractual de la cláusula 15.4 del Documento 01 o de la cláusula 15.3.a del Documento 02, que no computa en el límite general [PENDIENTE: fijar el importe, contratar un seguro con cobertura no inferior y leer en CENDOJ la STS 949/2026, de 18 de junio (ECLI:ES:TS:2026:2767)];
• c) la obligación de no abrir Notificaciones sin Instrucción de Apertura (cláusula 6.3) es una obligación esencial. Su incumplimiento no computa en el límite general: tiene el límite propio de la cláusula 15.5 del Documento 01 o de la cláusula 15.3.b del Documento 02 ([PENDIENTE: LIMITE_APERTURA_ENVIO] euros por Envío y [PENDIENTE: LIMITE_APERTURA_ANUAL] euros por año contractual).

18.3 Si Konomic infringiera el RGPD al determinar los fines y medios del tratamiento, se la consideraría responsable de ese tratamiento (art. 28.10 RGPD).

• Konomic mantendrá indemne a la Gestoría de los daños causados por incumplimientos imputables a Konomic, dentro de los límites de la cláusula 18.2;
• la Gestoría mantendrá indemne a Konomic de cualquier reclamación derivada de la falta o insuficiencia de la autorización o del mandato del Titular, o de instrucciones dadas por Usuarios de la Gestoría sin autorización del Titular.

18.5 La responsabilidad por el contenido de los Envíos, su clasificación por el emisor, el cómputo de los plazos y la indisponibilidad de DEHú o LEMA se regula en el Documento 01 o en el Documento 02. Este Contrato no la amplía.

Cláusula 19. Relación con otros documentos y prelación

19.1 Este Contrato forma parte del Documento 01.

19.2 En materia de protección de datos, este Contrato prevalece sobre el Documento 01 y el Documento 02.

19.3 El Documento 04 regula el mandato de acceso a DEHú. Si hay contradicción entre este Contrato y el Documento 04 sobre quién puede dar Instrucciones de Apertura, se aplica la regla más restrictiva.

19.4 El Documento 05 regula los tratamientos de Konomic como responsable.

19.5 Nada en los Documentos 01, 02 o 04 puede interpretarse de forma que reduzca las garantías de este Contrato.

Cláusula 20. Modificaciones

20.1 Anexo 1. Los cambios de configuración en el Cabinet (altas y bajas de Titulares, opciones, Usuarios Autorizados) actualizan el Apéndice 1.A. Konomic conserva cada versión del apéndice.

20.2 Anexo 2. Se actualiza conforme a la cláusula 8.3.

20.3 Anexo 3. Se actualiza conforme a la cláusula 9.

20.4 Resto del Contrato.

• Konomic comunicará cualquier otra modificación con al menos [PENDIENTE: PLAZO_PREAVISO_MODIFICACION] días de antelación, con una comparación entre versiones.
• El Contratante podrá resolver sin penalización antes de que el cambio entre en vigor.
• Las modificaciones sustanciales exigen una nueva aceptación expresa.
• Mientras el Contratante no acepte una nueva versión, Konomic no bloqueará los avisos, el control de plazos ni el acceso a los documentos ya recibidos. [PENDIENTE: régimen si el Contratante no acepta ni resuelve; aceptación tácita en contratos entre empresas, art. 1256 del Código Civil.]

20.5 Las modificaciones que imponga la ley o una autoridad podrán aplicarse con un preaviso menor, informando de ello.

Cláusula 21. Suspensión y terminación

21.1 Este Contrato termina con el Documento 01 (Canal Directo) o con el Documento 02 (Canal Gestoría), y para cada Titular con su baja.

21.2 Cualquiera de las Partes puede resolverlo por incumplimiento grave de la otra si esta no lo subsana en [PENDIENTE: PLAZO_SUBSANACION_DIAS] días desde que se le requiera por escrito.

21.3 Si Konomic no puede cumplir este Contrato, por ejemplo por un cambio normativo, lo comunicará sin demora. El Contratante podrá suspender el tratamiento y resolver el Contrato (cláusula 10 de las CCT 2021/915).

21.4 Los efectos de la terminación se rigen por la cláusula 14.

Cláusula 22. Formalización y evidencias

22.1 Este Contrato consta por escrito en formato electrónico (art. 28.9 RGPD; art. 23 de la Ley 34/2002, LSSI).

22.2 El Cliente acepta este Contrato en el Cabinet.

• Antes de aceptar, el Cabinet le muestra el texto íntegro y un PDF descargable.
• La aceptación se hace mediante una casilla no premarcada y separada de la de las Condiciones Generales.
• Konomic registra, como evidencia:
• la versión y el SHA-256 de la plantilla y de la instancia en PDF;
• la identidad del Usuario y la representación que declara;
• el método de autenticación, con segundo factor;
• la dirección IP, el agente de usuario y la fecha y hora (UTC);
• un sello de tiempo cualificado [PREVISTO].
• Konomic envía confirmación con el PDF del Contrato (art. 28 LSSI) y lo sella o contrafirma con un certificado distinto del usado en LEMA (Anexo 2, §2.2) [PREVISTO].

22.3 Cada Parte conserva un ejemplar. El Cabinet mantiene la versión firmada a disposición del Contratante durante la vigencia del Contrato y el período de devolución.

Cláusula 23. Ley aplicable y jurisdicción

Este Contrato se rige por el Derecho español y el de la Unión Europea. Las controversias se someterán a los Juzgados y Tribunales que resulten competentes conforme a la Ley de Enjuiciamiento Civil (arts. 50 y 51); en el Canal Directo es un contrato de adhesión y no contiene sumisión expresa (art. 54.2 LEC). Esto no afecta a las competencias de la Agencia Española de Protección de Datos ni a los derechos de los interesados.

Firmas / aceptación

ANEXO 1 — Descripción del tratamiento

§1. Partes y roles

Apéndice 1.A — Titulares cubiertos

[PENDIENTE: TABLA_TITULARES]

El Cabinet genera esta tabla con estas columnas:

• NIF;
• nombre o razón social;
• tipo (persona jurídica o empresario individual);
• fecha de validación del Documento 04;
• apertura automática de Comunicaciones (sí o no);
• número de Usuarios Autorizados;
• fecha de alta;
• estado de acceso, según la tabla única de la cláusula 5.7 del Documento 01 (pendiente de autorización, pendiente de DR, activo, sin acceso, error o de baja).

La tabla vigente en cada momento forma parte del Contrato, y el Cabinet conserva su historial.

§2. Objeto y naturaleza del tratamiento

• Objeto. Konomic consulta de forma automatizada, en nombre del Titular, los Envíos que le ponen a disposición las Administraciones en DEHú, a través de LEMA. Además los gestiona: avisa de ellos, controla sus plazos, los abre de forma controlada, custodia sus documentos y registra las evidencias.
• Operaciones (art. 4.2 RGPD): recogida, registro, estructuración, conservación, consulta, cotejo de hashes, comunicación al Responsable y a sus Usuarios a través del Cabinet, limitación (bloqueo) y supresión.
• Medios. Llamadas a LEMA firmadas con el certificado de Konomic, con nifTitular igual al NIF del Titular, y el Cabinet alojado en la Unión Europea (Anexo 3). En la Apertura, Konomic cumplimenta los datos de identificación del compareciente conforme a la Especificación LEMA vigente y a las indicaciones escritas del Centro de Servicios de la DEHú para la modalidad agrupador (§6.6).

§3. Categorías de datos personales

§4. Categorías de interesados

El representante de Konomic, cuyo nombre y NIE figuran en el certificado que se envía a DEHú, no es un interesado de este encargo.

§5. Finalidades y exclusiones

• Finalidades: las de la cláusula 4.2.
• Excluidas: las de la cláusula 4.5 y cualquier otra no prevista en este Anexo.

§6. Descripción de las operaciones

6.1 Alta y verificación del acceso.

• Tras validar el Documento 04, el Titular firma la DR en DEHú. Konomic no automatiza ese paso ni accede al portal de DEHú.
• Konomic no hace ninguna llamada a LEMA sobre un NIF antes de validar su Documento 04. Después comprueba el acceso llamando a localiza con el NIF del Titular:
• una respuesta correcta significa "acceso activo";
• el código 4102 ("No está dado de alta en nuestro sistema") significa que el Titular todavía no tiene DR.
• Durante la verificación nunca se abre una Notificación. Las Comunicaciones pendientes en ese momento solo se abren si el Titular ha elegido la apertura automática (cláusula 6.2).
• En el primer ciclo de consulta tras la activación, todos los Envíos pendientes se registran como nuevos y generan sus Avisos.

6.2 Consulta periódica.

• Para cada Titular activo, Konomic consulta localiza cada 30 minutos, contados desde el final de cada ciclo, y recorre todas las páginas de resultados.
• La frecuencia está sujeta a las limitaciones de llamadas que establezca la Administración, cuyos valores no están publicados (Especificación LEMA, apdo. 3.1).

6.3 Avisos.

• Cada Envío nuevo genera un aviso único en el Cabinet, en el mismo ciclo de consulta en que se localiza. [PENDIENTE técnico — Requisito de lanzamiento: cola de salida con reintentos (Anexo 2, §2.7).]
• Fuera del Cabinet solo se envían Avisos. Plantilla:

Asunto: Konomic DEHú: hay novedades en su buzón Hay un envío nuevo o un aviso pendiente en su Área de Cliente. Por seguridad, este mensaje no incluye datos del envío. Acceda a https://dehu.konomic.io. Este aviso es informativo y no sustituye su acceso a DEHú ni los avisos de la Administración.

6.4 Control de plazos.

• DEHú no informa de la fecha de caducidad. El Servicio la estima con el criterio prudente del Documento 01 (cláusula 7.6.b): la misma hora del décimo día natural posterior a la puesta a disposición, en hora peninsular y en hora de Canarias. El plazo corre en días naturales y no se prorroga aunque su último día sea inhábil (art. 43.2 de la Ley 39/2015; TEAC, resolución de 15/10/2024, RG 00/08341/2021, conocida por fuente secundaria).
• Avisa cuando faltan 3 días y cuando falta 1 día, una sola vez por umbral. Si el Envío se localiza cuando ya ha pasado un umbral, el aviso se emite en el mismo ciclo.
• La fecha es orientativa: la oficial es la que conste en DEHú o en la sede del emisor.
• El Servicio no calcula los plazos posteriores a la Apertura (para recurrir, alegar o pagar).

6.5 Apertura.

• Comunicaciones: se abren automáticamente solo si esa opción está activada para el Titular (cláusula 6.2). En otro caso, las abre un Usuario desde el Cabinet.
• Notificaciones: solo se abren por Instrucción de Apertura (cláusula 6.3), una por Notificación. Antes de cada Instrucción, el Cabinet muestra el Texto de Advertencia. El Texto de Advertencia es el del Anexo III del Documento 04, versión [PENDIENTE: VERSION_TEXTO_ADVERTENCIA] (SHA-256 [PENDIENTE: SHA256_TEXTO_ADVERTENCIA]); este Contrato no contiene otro. El Registro de Auditoría guarda la versión y la huella del texto mostrado.

6.6 Custodia y evidencias. Tras cada Apertura, el Servicio:

• descarga el documento, los anexos y el acuse;
• verifica el hash del documento frente al que informa DEHú (hashDocumento);
• calcula el SHA-256 de cada fichero;
• guarda los ficheros sin sobrescribir nunca ninguno;
• conserva la respuesta XML de DEHú;
• lo registra todo en el Registro de Auditoría.

Konomic cumplimenta los datos de identificación del compareciente conforme a la Especificación LEMA vigente y a las indicaciones escritas del Centro de Servicios de la DEHú para la modalidad agrupador, que conserva como Evidencia, y comprueba que el acuse identifica el acto, el Titular y la fecha y hora del acceso. Si DEHú no informa la fecha del evento (fechaEvento), el Cabinet lo indica expresamente y no presenta la hora del sistema como momento de la notificación. [PENDIENTE: la Especificación LEMA v4.1, apdo. 3.2.1, exige que nifReceptor coincida con el NIF del certificado firmante; hoy el software envía el NIF del Titular con el nombre de Konomic en nombreReceptor. No abrir Notificaciones de clientes en producción hasta obtener la confirmación escrita de la AEAD.]

6.7 Conciliación. Si un Envío pendiente deja de aparecer, porque se abrió por otra vía o porque caducó, el Servicio consulta localizaRealizadas, actualiza el estado y avisa. Esta consulta solo alcanza los últimos 16 días (Especificación LEMA, apdo. 2.5).

6.8 Indisponibilidad de LEMA.

• La Incidencia de LEMA se detecta cuando fallan todas las consultas de 3 ciclos consecutivos; el Servicio avisa entonces de la caída. Los errores que afectan solo a algunos Titulares se muestran en su estado en el Cabinet. Mientras dure la caída, el Titular debe acceder directamente a DEHú o a la sede del emisor, como se comprometió en la DR ("Practicar el acceso a la comparecencia a través de las Sedes Electrónicas … cuando el mecanismo … no estuviera disponible").
• Cuando LEMA vuelve a estar disponible, el Servicio avisa de ello.

6.9 Falta de acceso. Si LEMA devuelve un código de "no autorizado" (3004, 3016, 4101, 4102, 4103, 1107) para un Titular, el Servicio lo marca como "sin acceso" y avisa una sola vez. [PENDIENTE técnico: el código 1103 (cambio de certificado) todavía no se trata como pérdida de acceso; es "Requisito de lanzamiento".]

6.10 Baja. Desde la fecha de baja, cesan las llamadas a LEMA para ese NIF (cláusula 14).

§7. Frecuencia y duración

El tratamiento es continuo durante la vigencia del Contrato (cláusula 3).

§8. Conservación

[PENDIENTE: fijar los plazos. Como referencia, el Responsable puede tener en cuenta la prescripción tributaria (art. 66 de la Ley 58/2003, General Tributaria) y la conservación de documentación mercantil (art. 30 del Código de Comercio). Estas citas no se han verificado en esta redacción.]

§9. Ubicación

Los datos se tratan exclusivamente en la Unión Europea, con [PENDIENTE: PROVEEDOR_HOSTING_UE] en [PENDIENTE: UBICACION_HOSTING]. No hay transferencias internacionales (cláusula 13).

§10. Límites del Servicio relevantes para el tratamiento

El Documento 01 los desarrolla. En resumen:

• el Servicio solo cubre los Envíos en los que el Titular figura como titular;
• los documentos entregados mediante enlace externo no se descargan automáticamente [PREVISTO];
• los Envíos abiertos por otra vía hace más de 16 días quedan en estado desconocido;
• el Servicio depende de la disponibilidad de DEHú y LEMA;
• no sustituye el acceso propio del Titular a DEHú ni sus avisos (art. 41.6 de la Ley 39/2015).

ANEXO 2 — Medidas técnicas y organizativas (art. 32 RGPD)

Versión [PENDIENTE: VERSION_ANEXO_MEDIDAS]. Estado a [PENDIENTE: FECHA_ESTADO_MEDIDAS].

Leyenda:

• O — Operativa: existe hoy en el software o en la organización y se mantiene en el Servicio.
• L — Requisito de lanzamiento: prevista; debe estar operativa antes de tratar Datos Personales Encargados (cláusula 8.2).
• R — Hoja de ruta: prevista, sin compromiso contractual hasta que Konomic comunique que está operativa.

§2.1 Autenticación e integridad frente a DEHú

§2.2 Custodia del certificado de Konomic

§2.3 Control de acceso al Cabinet

§2.4 Salvaguarda de las Notificaciones

§2.5 Cifrado

§2.6 Integridad y evidencias

§2.7 Disponibilidad y resiliencia

§2.8 Minimización y ciclo de vida

§2.9 Desarrollo y pruebas

§2.10 Medidas organizativas

ANEXO 3 — Subencargados Ulteriores

Lista versión [PENDIENTE: VERSION_LISTA_SUBENCARGADOS], de fecha [PENDIENTE: FECHA_LISTA_SUBENCARGADOS]. Publicada y versionada en [PENDIENTE: URL_LISTA_SUBENCARGADOS] y en el Cabinet.

§3.2 Subencargados Ulteriores de Konomic

§3.3 No son Subencargados Ulteriores

Ver la cláusula 9.7: DEHú, la SGAD, la AEAD y los organismos emisores (fuente de los datos); la FNMT-RCM (emisora del certificado); el prestador de sellos de tiempo, si solo recibe hashes.

§3.4 Proveedores expresamente excluidos

No se usan ni se usarán para Datos Personales Encargados sin una instrucción específica y previa del Responsable (cláusula 9.6):

• Telegram;
• WhatsApp y cualquier otro servicio de Meta;
• cualquier aplicación de mensajería;
• proveedores de modelos de inteligencia artificial;
• herramientas de analítica con acceso al contenido de los Envíos;
• proveedores que traten los datos fuera de la Unión Europea.

§3.5 Historial de cambios de la lista