Encargo del tratamiento (DPA)

Contrato de Encargo del Tratamiento (DPA)

Versión 3 · Última actualización: 23 de agosto de 2026

Este contrato regula el tratamiento de datos personales que kontora realiza por cuenta de ti cuando usas la aplicación. Es el contrato que exige el artículo 28 del Reglamento (UE) 2016/679 (RGPD) entre un responsable del tratamiento y su encargado.

Se aplica a los datos personales de terceros que tú introduces o generas en kontora: tus clientes, tus proveedores, los compradores de tu tienda, las contrapartes de tus movimientos bancarios y los perceptores de las retenciones que practicas. De esos datos el responsable eres tú; kontora es solo la herramienta que los trata siguiendo tus instrucciones.

No se aplica a los datos de los que kontora responde directamente —tu cuenta de usuario, tu facturación, la lista de espera y todos los datos de los contribuyentes del Modelo 210, incluidos los de los cotitulares y terceros que se den de alta—: eso lo explica la Política de Privacidad, donde kontora figura como responsable y no como encargado (cláusula 3.4).

1. Partes y aceptación

1.1 Responsable del tratamiento

El Responsable eres tú: la persona física o jurídica titular de la cuenta de kontora que introduce o hace introducir datos personales de terceros en la aplicación. Si contratas kontora para varias empresas, eres responsable respecto de todas ellas, y este contrato se aplica a cada una.

Como responsable, determinas los fines y los medios del tratamiento y respondes de que exista una base jurídica para tratar los datos que subes, de haber informado a los interesados y de la exactitud de lo que introduces.

1.2 Encargado del tratamiento

El Encargado es:

Denominación social: VG Capital, S.L.U.
NIF: B93863066. Inscrita en el Registro Mercantil de Alicante, Sección 8, Hoja A-207556, Inscripción 1.ª, Año 2026, IRUS 1000477988911
Domicilio: Calle La Sagra s/n, Res. Los Huertos 1, 9 · 03185 Torrevieja (Alicante), España
Representada por: su Administrador único, Valery Grinkevich Grinkevich
Contacto para cualquier asunto de protección de datos: info@kontora.es
Marca y sitios: «kontora» — la aplicación en app.kontora.es y el sitio de presentación en kontora.es

En adelante, «kontora».

kontora no está obligada a designar delegado de protección de datos conforme al artículo 37 RGPD y no lo ha designado: no realiza observación habitual y sistemática de interesados a gran escala ni trata a gran escala categorías especiales de datos. El análisis motivado de esa conclusión consta por escrito y archivado, a disposición de la autoridad de control. El punto de contacto único para cualquier asunto de protección de datos —incluido el previsto en el artículo 33.3.b) para las notificaciones de violación de seguridad— es info@kontora.es. Es la misma fórmula que recoge el apartado 1 de la Política de Privacidad.

kontora lleva el registro de las actividades de tratamiento efectuadas por cuenta de responsables que le impone el artículo 30.2 RGPD y lo pone a disposición de la autoridad de control y del Responsable cuando lo soliciten (cláusula 11).

1.3 Cómo se acepta este contrato

El artículo 28.9 RGPD exige que el contrato de encargo conste por escrito, inclusive en formato electrónico. Este contrato se acepta electrónicamente al darte de alta en kontora, marcando la casilla correspondiente junto a los Términos y Condiciones y la Política de Privacidad.

De esa aceptación queda registro: kontora conserva un registro de solo adición (append-only), sin garantía adicional de inmutabilidad en base de datos, de qué documento aceptaste, en qué versión, cuándo y desde qué cuenta. Ese registro es la prueba de la celebración del contrato y está a tu disposición si lo pides.

Ese mismo registro versionado da soporte a cuatro documentos: los Términos y Condiciones, la Política de Privacidad, este contrato y —cuando el usuario contrata como consumidor el servicio del Modelo 210— la Solicitud de ejecución inmediata y renuncia al derecho de desistimiento (cláusula 7.4 de los Términos).

Quien acepta este contrato manifiesta que está facultado para obligar al Responsable; si actúa por cuenta de una persona jurídica, que ostenta poder bastante para ello.

1.4 Versiones y re-aceptación

Este contrato está versionado. La versión vigente es la que ves arriba. Si kontora introduce un cambio material —una nueva categoría de tratamiento, un cambio en las medidas de seguridad, una modificación de las obligaciones de las partes— se publica una nueva versión y se te pide que la aceptes la próxima vez que entres en la aplicación: para seguir usando la aplicación deberás aceptar la nueva versión. Mientras no la aceptes, el acceso a la aplicación queda limitado a ese paso de aceptación, y lo que rige entre las partes es la versión que aceptaste.

Si no aceptas un cambio material, podrás resolver el contrato de servicio con efecto inmediato y sin penalización, comunicándolo a info@kontora.es, y kontora te reembolsará la parte proporcional del periodo ya prepagado y no consumido —es la misma fórmula de la cláusula 14.3 de los Términos y Condiciones, y una de las dos únicas excepciones tasadas a la regla de «sin devolución» de la cláusula 6.1 de aquéllos—, conservando en todo caso tu derecho a exportar íntegramente tus datos (cláusula 10) y sin que la falta de aceptación te impida ejercerlo.

El cambio en la lista de subencargados del Anexo III no sigue esta vía: tiene su propio mecanismo de preaviso y oposición en la cláusula 7.

1.5 Relación con los demás documentos

Este contrato, los Términos y Condiciones y la Política de Privacidad se leen conjuntamente. En todo lo relativo a la protección de datos personales tratados por cuenta del Responsable, prevalece este contrato sobre los Términos y Condiciones.

1.6 Ámbito subjetivo

Este contrato se acepta en el alta por todos los usuarios, con independencia de que de hecho lleguen a introducir datos de terceros. Si no los introduces, el contrato existe pero no despliega efectos prácticos: no hay tratamiento por cuenta ajena que regular. Se acepta de antemano para que, el día que subas la primera factura con el NIF de un cliente, la cobertura contractual ya esté ahí y no haya un periodo sin contrato.

2. Objeto, duración, naturaleza y fines del tratamiento

2.1 Objeto

kontora trata datos personales por cuenta del Responsable en la medida necesaria para prestarle el servicio contratado: contabilidad de doble partida, facturación y registro de facturación conforme a la normativa Verifactu, gestión de gastos y retenciones, conciliación bancaria, cálculo y preparación de modelos tributarios, custodia documental, registro de ventas de comercio electrónico y presentación telemática ante la AEAT. Sobre esto último: la remisión de registros de facturación a la AEAT y la presentación telemática no están activadas hoy; cuando lo estén, operarán únicamente con mandato de representación firmado y archivado.

2.2 Duración

Este contrato entra en vigor con su aceptación y permanece vigente mientras dure la prestación del servicio, cualquiera que sea el estado de la cuenta (activa, en pausa, suspendida por impago o cancelada con acceso de solo lectura).

Terminada la prestación, el contrato subsiste exclusivamente respecto de los datos que kontora deba seguir conservando bloqueados por obligación legal, y hasta que esa obligación se extinga (cláusula 10).

2.3 Naturaleza de las operaciones

Recogida, registro, estructuración, conservación, consulta, modificación, extracción, cálculo, cotejo, interconexión, comunicación a los destinatarios que el Responsable determine o que imponga la ley, copia de seguridad, limitación, supresión y destrucción.

2.4 Finalidad

La única finalidad es prestar el servicio al Responsable. kontora no trata estos datos para finalidades propias, no los cede ni los vende a terceros, no los usa para publicidad ni para elaborar perfiles comerciales, y no los emplea para entrenar modelos de inteligencia artificial, propios o de terceros.

3. Categorías de interesados y de datos

3.1 Categorías de interesados

Los datos personales tratados por cuenta del Responsable se refieren, según lo que el Responsable introduzca o importe, a:

Clientes del Responsable (personas físicas o personas de contacto de personas jurídicas).
Proveedores y acreedores del Responsable, y sus personas de contacto.
Compradores de comercio electrónico: destinatarios de pedidos y ventas registradas o importadas desde canales de venta en línea.
Contrapartes bancarias: ordenantes y beneficiarios que aparecen en los movimientos de las cuentas del Responsable importados por norma 43 u otros medios.
Perceptores de retenciones practicadas por el Responsable: profesionales, arrendadores y demás perceptores cuyos datos figuran en las declaraciones informativas y de retenciones.
Personas de contacto y usuarios adicionales que el Responsable invite a su cuenta, solo en cuanto a los datos de contacto y de actividad que el Responsable asocie a su empresa. Los datos de cuenta, autenticación y seguridad de esas mismas personas quedan fuera de este encargo: respecto de ellos kontora es responsable, rige la Política de Privacidad (su apartado 3.3) y quedan fuera de este encargo conforme a la cláusula 3.4 de este contrato. La delimitación se hace por dato, no por persona: una misma persona invitada puede tener datos dentro y fuera del encargo, y quien atiende su derecho de acceso depende de qué dato se pida.

3.2 Categorías de datos

Identificativos: nombre y apellidos o razón social, NIF/NIE/NIF-IVA, cargo o relación.
De contacto: domicilio fiscal y postal, dirección catastral en el caso de arrendadores perceptores de retención, correo electrónico, teléfono.
Económicos y transaccionales: importes, bases, cuotas, conceptos, fechas, condiciones de pago, saldos y deudas.
Bancarios: IBAN y denominación de la contraparte, concepto y referencia de los movimientos.
Documentales: contenido de las facturas, recibos, contratos y justificantes que el Responsable sube o genera, incluidos los datos personales que esos documentos contengan.

3.3 Datos que exigen protección reforzada

El servicio permite al Responsable custodiar en kontora certificados electrónicos (ficheros PKCS#12 «.p12») y su contraseña de uso, así como mandatos de representación firmados, para que kontora pueda operar ante la AEAT por cuenta del Responsable cuando este lo ordene.

Estos elementos no son, por sí mismos, categorías especiales de datos del artículo 9 RGPD, pero su compromiso permitiría suplantar al titular ante la Administración. Por eso reciben el nivel de protección más alto del servicio: el fichero del certificado y su contraseña se almacenan cifrados con AES-256-GCM, se descifran únicamente en el momento de ejecutar la operación ordenada por el Responsable, y su custodia, uso o revocación exigen verificación reforzada de identidad (step-up), con ventana de 10 minutos (cláusula 5 y Anexo II.1).

3.4 Qué queda fuera de este contrato

Quedan fuera de este encargo, porque respecto de ellos kontora actúa como responsable y no como encargado, y se rigen por la Política de Privacidad:

Los datos de tu cuenta de usuario, autenticación y seguridad — también los de los usuarios adicionales que invites, en lo que se refiere a su cuenta, autenticación y seguridad (cláusula 3.1, punto 6: la delimitación es por dato, no por persona).
Los datos de facturación y cobro de la propia suscripción a kontora.
Los datos de la lista de espera de kontora.es.
Los datos de los contribuyentes del Modelo 210 (IRNR), todos ellos: tanto los del titular de la cuenta como los de los cotitulares y demás terceros que el titular dé de alta en una declaración. kontora presta ahí un servicio propio de cálculo al contribuyente —al que invita directamente por correo cuando es cotitular— y responde directamente de esos datos como responsable del tratamiento, asumiendo en primera persona el deber de información del artículo 14 RGPD. Su tratamiento se rige íntegramente por la Política de Privacidad (sus apartados 2.a, 3.5 y 5) y no por este encargo.

4. Instrucciones documentadas del Responsable — art. 28.3.a) RGPD

kontora tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluso en lo relativo a las transferencias internacionales, salvo que el Derecho de la Unión o el de España le obliguen a otra cosa; en tal caso, kontora informará al Responsable de esa exigencia legal antes del tratamiento, salvo que ese mismo Derecho lo prohíba por razones importantes de interés público.

4.1 Qué son «instrucciones documentadas» aquí

Constituyen las instrucciones documentadas del Responsable, y agotan el ámbito del tratamiento:

Este contrato, incluidos sus anexos.
Los Términos y Condiciones y la documentación funcional del servicio.
El uso mismo de la plataforma: cada acción que el Responsable o sus usuarios autorizados realizan en la aplicación —dar de alta un cliente, importar un extracto bancario, emitir una factura, lanzar una exportación, ordenar una presentación— es una instrucción de tratamiento, y las funcionalidades disponibles delimitan lo que kontora puede hacer.
Las instrucciones adicionales que el Responsable dirija por escrito a info@kontora.es.

4.2 Instrucciones adicionales fuera del servicio contratado

Si una instrucción adicional exige trabajos que exceden del servicio contratado, kontora informará antes de ejecutarla y podrá condicionarla a un acuerdo previo sobre plazo y coste. kontora no quedará obligada a ejecutar instrucciones técnicamente inviables o que comprometan la seguridad o el aislamiento de otros clientes.

4.3 Instrucciones que kontora considere ilícitas

Si kontora entiende que una instrucción del Responsable infringe el RGPD u otra norma de protección de datos de la Unión o de España, se lo comunicará de inmediato y podrá suspender su ejecución hasta que el Responsable la confirme, la modifique o la retire.

5. Confidencialidad del personal autorizado — art. 28.3.b) RGPD

kontora garantiza que las personas autorizadas para tratar datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal, y que ese compromiso subsiste tras el fin de su relación con kontora.

En concreto:

El acceso a los datos del Responsable está restringido al equipo estrictamente necesario para prestar y mantener el servicio, bajo el principio de mínimo privilegio.
El personal con rol de operador —el propio equipo de kontora— accede en modo solo lectura y solo cuando el mantenimiento, el soporte o la seguridad del servicio lo requieren.
La autenticación de doble factor es obligatoria para el titular de la suscripción y para todo el personal con rol de operador: llaves de acceso (passkeys) o códigos temporales (TOTP). kontora no usa SMS como segundo factor en ningún caso.
Las operaciones sensibles exigen verificación reforzada de identidad (step-up), con ventana de 10 minutos. La enumeración es cerrada: alta o modificación de un IBAN; custodia, uso o revocación de certificados electrónicos y de mandatos de representación; presentación telemática ante la AEAT; envío, reenvío o anulación de registros de facturación Verifactu; gestión de miembros y roles; cambios de suscripción; y exportación íntegra de datos.
kontora mantiene informado y formado a su personal sobre las obligaciones de este contrato.

6. Medidas de seguridad — art. 28.3.c) y art. 32 RGPD

kontora aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de los interesados, conforme al artículo 32.1 RGPD.

Las medidas concretas aplicadas hoy —y las salvedades que hoy existen— se describen en el Anexo II, que forma parte de este contrato y prevalece sobre cualquier lectura genérica de esta cláusula.

kontora podrá actualizar esas medidas para mantener o mejorar el nivel de seguridad, y no las degradará por debajo del nivel descrito en el Anexo II mientras dure el contrato. Toda modificación material del Anexo II se publica con la misma mecánica de versión que este contrato.

kontora se asegura de que las personas autorizadas a acceder a los datos no los traten salvo por instrucción del Responsable, salvo obligación legal.

7. Subencargados — arts. 28.2, 28.3.d) y 28.4 RGPD

7.1 Autorización general

El Responsable autoriza con carácter general a kontora a recurrir a otros encargados (subencargados) para prestar el servicio. Los subencargados actualmente autorizados son los que figuran en el Anexo III, con su finalidad, ubicación y base de transferencia internacional.

7.2 Preaviso de cambios y derecho de oposición

Antes de incorporar un nuevo subencargado o sustituir uno existente, kontora lo comunicará al Responsable con una antelación mínima de treinta (30) días naturales, por correo electrónico a la dirección de la cuenta y mediante la actualización de la lista pública de subencargados accesible desde este contrato.

Dentro de ese plazo, el Responsable puede oponerse por motivos razonables y fundados en protección de datos, comunicándolo a info@kontora.es. Si se opone:

kontora intentará ofrecer una alternativa razonable —otro proveedor, otra configuración o la desactivación de la funcionalidad afectada— sin coste adicional.
Si no existe alternativa razonable, el Responsable podrá resolver el contrato de servicio sin penalización, con efectos inmediatos y con reembolso de la parte proporcional del periodo prepagado no consumido, conservando en todo caso su derecho a exportar íntegramente sus datos (cláusula 10).

Transcurrido el plazo sin oposición, el cambio se entiende aceptado.

Excepción de urgencia. Solo cuando la continuidad del servicio o la seguridad de los datos exija la sustitución inmediata de un subencargado, kontora podrá ejecutarla antes de agotar el preaviso, limitada al tiempo estrictamente necesario y al proveedor imprescindible para restablecer el servicio. En ese caso kontora informará al Responsable dentro de las 72 horas siguientes, y el derecho de oposición y de resolución se contará desde esa comunicación; si el Responsable se opone por motivos razonables y fundados, kontora cesará la comunicación de datos al nuevo proveedor o, si no fuera posible, resolverá sin penalización con el reembolso previsto en el punto 2 anterior. Esta excepción es la única salvedad al compromiso de la cláusula 7.3.

7.3 Subencargados previstos y no activos

El Anexo III identifica también proveedores previstos pero no activos, cuyas funcionalidades no están operativas hoy. kontora no les comunicará ningún dato personal del Responsable hasta que: (i) haya firmado con ellos el correspondiente contrato de encargo, (ii) haya verificado su marco de transferencia internacional, y (iii) haya cumplido el preaviso de treinta días de la cláusula 7.2, salvo el supuesto de sustitución urgente previsto en esa misma cláusula, en cuyo caso siguen exigiéndose (i) y (ii) y la información en 72 horas. Su mención en el Anexo III es informativa y no equivale a autorización de tratamiento.

7.4 Cascada de obligaciones — art. 28.4

Cuando kontora recurra a un subencargado, le impondrá por contrato las mismas obligaciones de protección de datos que las estipuladas en este contrato, en particular la de ofrecer garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas.

Si el subencargado incumple sus obligaciones de protección de datos, kontora seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones de aquel.

7.5 Lo que no es un subencargado

La Agencia Estatal de Administración Tributaria y las demás Administraciones a las que se remita información por imperativo legal no son subencargados: son destinatarios que reciben los datos en virtud de una obligación legal y los tratan como responsables propios.

Tampoco son subencargados los profesionales que el propio Responsable autorice a acceder a su cuenta (por ejemplo, su asesor), cuya relación con el Responsable es ajena a este contrato.

8. Asistencia en el ejercicio de derechos — art. 28.3.e) RGPD

kontora asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y a través de medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos reconocidos en el capítulo III del RGPD (artículos 12 a 23): acceso, rectificación, supresión, limitación, notificación a terceros, portabilidad, oposición y decisiones automatizadas.

8.1 Asistencia por autoservicio

La forma principal de asistencia es que el Responsable puede atender buena parte de las solicitudes por sí mismo, sin intervención de kontora ni espera: la aplicación permite consultar, rectificar —a través de las fichas de cliente y de proveedor de los formularios de factura y de gasto— y exportar los datos de clientes, proveedores, compradores y demás interesados. La exportación completa se entrega en un archivo ZIP por cada empresa dada de alta, con libros, facturas y sus PDF, gastos, maestros, asientos, documentos y presentaciones, en formatos de uso común y lectura mecánica. Está disponible mientras exista la cuenta —incluidas la suspensión por impago y la pausa— y, tras la baja efectiva, durante la ventana de gracia de la cláusula 10.2; por tratarse de una extracción íntegra de datos, su descarga exige una verificación reforzada de identidad (step-up), con ventana de 10 minutos (cláusula 5).

La limitación y la supresión de un interesado concreto no están disponibles hoy por autoservicio: se atienden por la vía de la cláusula 8.2, en la medida en que no lo impida una obligación legal de conservación (cláusula 10.3).

8.2 Asistencia adicional

Si una solicitud no puede resolverse con las funcionalidades del servicio, el Responsable puede dirigirse a info@kontora.es. kontora responderá en un plazo máximo de diez (10) días hábiles, plazo pensado para que el Responsable pueda cumplir el suyo de un mes del artículo 12.3 RGPD.

8.3 Interesados que se dirijan a kontora

Si un interesado ejerce sus derechos directamente ante kontora respecto de datos tratados por cuenta del Responsable, kontora no responderá al fondo de la solicitud: le informará de que debe dirigirse al Responsable y trasladará la solicitud a este sin dilación indebida, para que sea él quien la atienda.

9. Asistencia en seguridad, brechas y evaluaciones — art. 28.3.f) RGPD

kontora ayudará al Responsable a garantizar el cumplimiento de las obligaciones de los artículos 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición.

9.1 Notificación de violaciones de seguridad

kontora notificará al Responsable sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes al momento en que tenga constancia de ella, cualquier violación de la seguridad de los datos personales tratados por su cuenta. El tope se fija por debajo de las 72 horas del artículo 33.1 RGPD precisamente para que el Responsable pueda cumplir su propio plazo ante la autoridad de control. La notificación se enviará al correo electrónico de contacto de la cuenta, por lo que es responsabilidad del Responsable mantenerlo actualizado.

La notificación incluirá, al menos, la información del artículo 33.3 RGPD, en la medida en que kontora disponga de ella:

La naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados afectados y de registros de datos afectados.
El punto de contacto de kontora para obtener más información.
Las consecuencias probables de la violación.
Las medidas adoptadas o propuestas para poner remedio a la violación, incluyendo, si procede, las medidas para mitigar sus posibles efectos negativos.

Si no fuera posible facilitar toda la información a la vez, se facilitará de manera gradual sin dilación indebida.

La notificación de kontora al Responsable no sustituye a la obligación de este de notificar, en su caso, a la autoridad de control en el plazo de 72 horas (art. 33) y de comunicar la violación a los interesados cuando entrañe alto riesgo (art. 34). Esas decisiones corresponden al Responsable. kontora no notificará a la autoridad de control en su nombre salvo que el Responsable se lo pida expresamente y por escrito.

9.2 Registro interno de violaciones

kontora documenta internamente toda violación de seguridad de la que tenga constancia —hechos, efectos y medidas correctoras adoptadas—, con independencia de que se haya notificado o no, conforme al artículo 33.5 del RGPD, y pone ese registro a disposición del Responsable cuando este lo solicite en relación con sus datos. kontora tiene aprobado y archivado un procedimiento interno escrito de gestión de violaciones de seguridad —detección, valoración del riesgo, plazos de aviso, contenido de la notificación y registro— que sostiene los compromisos de esta cláusula.

9.3 Evaluaciones de impacto y consulta previa

kontora prestará al Responsable la asistencia razonable que este le solicite para realizar evaluaciones de impacto relativas a la protección de datos (art. 35) y, en su caso, para la consulta previa a la autoridad de control (art. 36), facilitándole la información sobre el tratamiento, las medidas de seguridad y los subencargados que obre en su poder y que sea necesaria a tal fin.

10. Destino de los datos al terminar la prestación — art. 28.3.g) RGPD

Terminada la prestación del servicio, kontora suprimirá o devolverá los datos personales tratados por cuenta del Responsable, a elección de este, y suprimirá las copias existentes, salvo que el Derecho de la Unión o de España exija su conservación.

10.1 Devolución

La devolución se realiza mediante la exportación completa, en un archivo ZIP por cada empresa dada de alta, con libros, facturas y sus PDF, gastos, maestros, asientos, documentos y presentaciones, en formatos estructurados de uso común y lectura mecánica, que el Responsable puede descargar por sí mismo desde la aplicación, previa verificación reforzada de identidad (step-up), con ventana de 10 minutos (cláusula 5), que se exige por tratarse de una extracción íntegra de datos.

Esa exportación está disponible mientras exista la cuenta, incluidas la suspensión por impago y la pausa, y, tras la baja efectiva, durante la ventana de gracia de la cláusula 10.2, que es también la ventana de exportación. Es la forma ordinaria y suficiente de devolución a efectos de esta cláusula.

Si el Responsable lo solicita, kontora le facilitará la exportación por otro medio razonable.

10.2 Ventana de gracia y supresión

Tras la baja efectiva se abre una ventana de gracia de noventa (90) días naturales, durante la cual el Responsable conserva el acceso de solo lectura necesario para descargar la exportación de la cláusula 10.1 y para ejercer su elección entre devolución y supresión. Es el mismo plazo —el mismo número— que la ventana de exportación de la cláusula 6.3 de los Términos y que el apartado 5 de la Política de Privacidad.

Agotada la ventana, sin que el Responsable haya ejercido su elección, o si opta expresamente por la supresión, kontora suprime todo lo que no esté sujeto a una obligación legal de conservación y bloquea, en el sentido del artículo 32 LOPDGDD y en los términos de la cláusula 10.3, únicamente lo que la ley exige conservar —sin acceso ordinario de nadie—. La supresión se ejecuta en un plazo de treinta (30) días naturales desde la solicitud o desde el fin de la ventana de gracia —este plazo es de ejecución técnica y no alarga la ventana de gracia—, y kontora la certificará por escrito si se le pide.

10.3 Excepción: conservación bloqueada por obligación legal

kontora conservará bloqueados los datos cuya eliminación le esté impedida por una obligación legal, en particular:

Los documentos, facturas y registros contables sujetos al plazo de conservación mercantil de seis años del artículo 30 del Código de Comercio y al plazo de prescripción tributaria de cuatro años del artículo 66 de la Ley General Tributaria; se aplica el mayor de ambos.
Los registros de facturación con huella exigidos por la normativa de sistemas informáticos de facturación (Verifactu), que son por diseño inalterables.

Bloqueo significa, conforme al artículo 32 de la Ley Orgánica 3/2018 (LOPDGDD) —que regula el bloqueo de datos y no debe confundirse con el artículo 32 RGPD, que regula la seguridad—, que los datos se reservan impidiendo su tratamiento ordinario y quedan únicamente a disposición de jueces, tribunales, el Ministerio Fiscal y las Administraciones competentes durante el plazo de prescripción de las responsabilidades, tras el cual se destruyen.

En cuanto a las copias de seguridad en las que residualmente puedan figurar datos ya suprimidos, hay que distinguir dos soportes:

Los volcados de la base de datos rotan con la retención técnica del sistema, que hoy es de catorce (14) días: transcurrido ese plazo, la copia que contenía el dato ha sido eliminada.
La copia de los documentos y justificantes es hoy un espejo del almacén vivo que no se purga: un documento eliminado del almacén puede permanecer en la copia. kontora no lo trata para ninguna finalidad y lo mantiene bajo las mismas medidas del Anexo II, pero no puede afirmar que se sobrescriba.

11. Información y auditorías — art. 28.3.h) RGPD

kontora pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones de este contrato y del artículo 28 RGPD, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por él.

11.1 Información disponible sin auditoría

kontora atenderá, en un plazo razonable, las solicitudes documentales del Responsable: descripción actualizada de las medidas de seguridad, lista de subencargados y su marco de transferencia, cuestionarios de seguridad razonables y la información sobre incidentes que le afecten. En la mayoría de los casos esta vía basta para acreditar el cumplimiento.

11.2 Auditorías

Cuando esta información no sea suficiente, el Responsable podrá auditar a kontora en los siguientes términos:

Con preaviso razonable por escrito, no inferior a treinta (30) días naturales, salvo incidente de seguridad acreditado o requerimiento de una autoridad de control, en cuyo caso el preaviso será el que las circunstancias permitan.
Una vez por año natural, salvo que exista un incidente de seguridad que afecte al Responsable o que una autoridad de control lo exija.
En horario laboral, sin interrumpir la actividad ordinaria y sin acceder a datos de otros clientes de kontora, cuyo aislamiento y confidencialidad prevalecen.
El auditor designado no podrá ser un competidor de kontora y quedará sujeto a un compromiso de confidencialidad.

11.3 Coste

Los costes de la auditoría los soporta el Responsable, incluidos los de kontora por el tiempo y los recursos dedicados a asistirla, salvo que la auditoría revele un incumplimiento material de kontora, en cuyo caso los asumirá kontora y corregirá el incumplimiento sin dilación indebida.

12. Transferencias internacionales de datos

kontora presta el servicio desde infraestructura ubicada en la Unión Europea. El alojamiento del servidor, la base de datos y los documentos custodiados están en la UE.

Algunos proveedores implican tratamiento fuera del Espacio Económico Europeo. El marco de cada uno se detalla por proveedor en el Anexo III —que distingue los subencargados de este contrato (Anexo III.1: Hostinger, Resend y Anthropic) de los proveedores de kontora como responsable (Anexo III.2: Stripe), que no son subencargados— y se resume así:

Stripe Payments Europe, Ltd. — entidad irlandesa, tratamiento en la UE. No es subencargado de este contrato: trata datos de los que kontora es responsable (cobro y facturación de la suscripción) y no recibe datos personales tratados por cuenta del Responsable; se menciona aquí por transparencia. Cuando intervengan entidades de su grupo en Estados Unidos, la transferencia se ampara en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD), al estar el grupo certificado.
Resend (Plus Five Five, Inc.) — entidad estadounidense. La transferencia se ampara en cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD; Decisión de Ejecución (UE) 2021/914). No se invoca para este proveedor la decisión de adecuación del art. 45. Es la misma base que figura en el Anexo III.1, en el apartado 7 de la Política de Privacidad y en la lista pública de proveedores que este contrato enlaza: una sola respuesta en los tres sitios.
Hostinger International Ltd. — tratamiento en la UE, sin transferencia internacional.
Anthropic Ireland, Limited (grupo Anthropic, PBC) — entidad irlandesa contratante; tratamiento en Estados Unidos. No está certificado en el Marco de Privacidad de Datos. La transferencia se ampara en cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD; Decisión de Ejecución (UE) 2021/914), módulos 2 y 3, incorporadas a su contrato de encargo, con evaluación de la transferencia archivada y las medidas suplementarias del Anexo III.1.
Proveedores previstos y no activos (Anexo III): cuando alguno no esté cubierto por una decisión de adecuación, la transferencia se amparará en cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD; Decisión de Ejecución (UE) 2021/914), con la evaluación de impacto de la transferencia y las medidas suplementarias que procedan.

12.1 Cláusula de salvaguarda

Si la decisión de adecuación en que se ampare una transferencia fuera anulada, suspendida o revocada, o dejara de cubrir al proveedor, kontora adoptará sin dilación indebida un mecanismo alternativo válido —cláusulas contractuales tipo con las medidas suplementarias que correspondan, migración a un proveedor de la UE o cese de la transferencia—, e informará al Responsable del mecanismo aplicado. Si no fuera posible mantener la transferencia con garantías, kontora desactivará la funcionalidad afectada antes que continuar la transferencia sin amparo.

Ninguna transferencia se realiza a instancia de kontora fuera de lo necesario para prestar el servicio: son transferencias derivadas de las instrucciones documentadas de la cláusula 4.

13. Responsabilidad

Cada parte responde de sus propias obligaciones conforme al RGPD.

kontora responderá de los daños y perjuicios causados por el tratamiento únicamente si ha incumplido las obligaciones del RGPD dirigidas específicamente a los encargados o ha actuado al margen o en contra de las instrucciones legales del Responsable, en los términos del artículo 82.2 RGPD.

El Responsable responde frente a kontora de la licitud de los datos que introduce, de la existencia de base jurídica para su tratamiento, del cumplimiento de su deber de información a los interesados y de la exactitud de los datos, y la mantendrá indemne frente a reclamaciones de terceros y frente a los daños y perjuicios que traigan causa del incumplimiento de esas obligaciones. Esta indemnidad no alcanza a las sanciones administrativas que kontora deba soportar por su propio incumplimiento, que son personales de quien las merece.

Las limitaciones de responsabilidad de los Términos y Condiciones no se aplican a las obligaciones de este contrato en la medida en que la normativa de protección de datos no permita limitarlas, ni a las sanciones administrativas que cada parte deba soportar por su propio incumplimiento.

14. Previsión de encargo en cadena (futuro servicio para asesorías)

kontora prevé ofrecer en el futuro un servicio dirigido a asesorías y gestorías que gestionen la contabilidad de sus propios clientes. Ese servicio no está disponible hoy y no se comercializa.

Cuando llegue a activarse, la relación se articulará así: el cliente final será el responsable del tratamiento, la asesoría será su encargada, y kontora será subencargada de la asesoría. En ese supuesto kontora asumirá, respecto de la asesoría, las mismas obligaciones que este contrato le impone frente al Responsable, conforme al artículo 28.4 RGPD, mediante un anexo específico que se incorporará a este contrato sin necesidad de reescribirlo.

Hasta que ese servicio se active y se firme dicho anexo, esta cláusula es una previsión y no genera obligación alguna.

15. Ley aplicable y jurisdicción

Este contrato se rige por el Derecho español y por el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.

Cuando el Responsable tenga la condición de consumidor, serán competentes los juzgados y tribunales que determine la normativa imperativa aplicable, que con carácter general son los del domicilio del consumidor. En los demás casos —Responsables empresarios, profesionales y personas jurídicas, que es el caso ordinario de este contrato—, serán competentes los juzgados y tribunales que resulten de la ley (arts. 50 y 51 de la Ley 1/2000, de Enjuiciamiento Civil), sin sumisión expresa.

La autoridad de control competente es la Agencia Española de Protección de Datos (www.aepd.es), ante la que cualquier interesado puede presentar una reclamación.

16. Idioma

Este contrato está disponible en español, inglés y ruso. La versión en español es la única vinculante; las demás son traducciones informativas. En caso de discrepancia, prevalece el texto español.

ANEXO I — Descripción del tratamiento

Responsable del tratamiento: el cliente titular de la cuenta de kontora, identificado en su cuenta y en los datos fiscales de cada empresa dada de alta.

Encargado del tratamiento:

Denominación social: VG Capital, S.L.U.
NIF: B93863066. Inscrita en el Registro Mercantil de Alicante, Sección 8, Hoja A-207556, Inscripción 1.ª, Año 2026, IRUS 1000477988911
Domicilio: Calle La Sagra s/n, Res. Los Huertos 1, 9 · 03185 Torrevieja (Alicante), España
Representada por: su Administrador único, Valery Grinkevich Grinkevich
Contacto para cualquier asunto de protección de datos: info@kontora.es
Marca y sitios: «kontora» — la aplicación en app.kontora.es y el sitio de presentación en kontora.es

Objeto del encargo: tratamiento de los datos personales de terceros que el Responsable introduce o genera en kontora, en la medida necesaria para prestarle el servicio de contabilidad, facturación, gestión fiscal y documental contratado.

Duración: mientras dure la prestación del servicio, y después solo respecto de los datos conservados bloqueados por obligación legal, hasta que esa obligación se extinga.

Naturaleza del tratamiento: recogida, registro, estructuración, conservación, consulta, modificación, extracción, cálculo, cotejo, interconexión, comunicación a los destinatarios que el Responsable determine o imponga la ley, copia de seguridad, limitación, supresión y destrucción.

Finalidad: prestar el servicio contratado. En particular:

Registro contable por partida doble y libros contables.
Emisión, registro y conservación de facturas, incluido el registro de facturación con huella exigido por la normativa Verifactu.
Registro de gastos, justificantes y retenciones practicadas.
Importación y conciliación de movimientos bancarios.
Cálculo, borrador y, cuando esté activado y exista mandato firmado, presentación telemática de modelos tributarios ante la AEAT.
Registro y conciliación de ventas de comercio electrónico y sus liquidaciones.
Custodia documental de los justificantes y documentos del Responsable.
Avisos y recordatorios de obligaciones al Responsable.
Exportación íntegra de los datos a petición del Responsable.

Categorías de interesados: clientes; proveedores y acreedores; compradores de comercio electrónico; contrapartes bancarias; perceptores de retenciones; y personas de contacto y usuarios adicionales que el Responsable invite a su cuenta —estos últimos solo en cuanto a los datos de contacto y de actividad que el Responsable asocie a su empresa, no a sus datos de cuenta, autenticación y seguridad, que quedan fuera del encargo; la delimitación se hace por dato, no por persona—. Esta enumeración es la canónica: la reproducen literalmente la cláusula 12.2 de los Términos y Condiciones y el apartado 2.b de la Política de Privacidad. (Cláusula 3.1.)

Categorías de datos personales: identificativos; de contacto, incluida la dirección catastral de los arrendadores perceptores de retención; económicos y transaccionales; bancarios; documentales. (Cláusula 3.2.)

Datos que exigen protección reforzada: certificados electrónicos PKCS#12 y su contraseña de uso, y mandatos de representación firmados, custodiados cifrados. (Cláusula 3.3.)

Datos excluidos del encargo: cuenta de usuario, autenticación y seguridad —también de los usuarios adicionales que el Responsable invite—, facturación y cobro de la suscripción, lista de espera de kontora.es y todos los datos de los contribuyentes del Modelo 210 (IRNR) —tanto los del titular como los de los cotitulares y demás terceros que el titular dé de alta—. Respecto de todos ellos kontora es responsable del tratamiento y rige la Política de Privacidad (sus apartados 2.a, 3.3, 3.5 y 5). (Cláusula 3.4.)

Obligaciones y derechos del Responsable: determinar los fines y medios del tratamiento dentro de las funcionalidades del servicio; disponer de base jurídica para los datos que introduce; informar a los interesados; mantener actualizado su correo de contacto para las notificaciones de la cláusula 9.1; atender los derechos de los interesados con la asistencia de kontora; y ejercer los derechos que este contrato le reconoce, incluidos los de oposición a subencargados, auditoría y elección del destino de los datos al término.

ANEXO II — Medidas técnicas y organizativas de seguridad (art. 32 RGPD)

Este anexo describe las medidas realmente aplicadas a fecha de esta versión. kontora puede actualizarlas para mantener o mejorar el nivel de seguridad, sin degradarlo.

II.1 Control de acceso e identidad

Acceso a la aplicación mediante enlace de un solo uso enviado por correo, con validez de 15 minutos. No se almacenan contraseñas de usuario.
Doble factor de autenticación: llaves de acceso (passkeys) o códigos temporales (TOTP), con códigos de recuperación almacenados con función resumen. Nunca por SMS.
Doble factor obligatorio para el titular de la suscripción y para el personal de kontora con rol de operador; opcional y recomendado para el resto de usuarios.
Verificación reforzada de identidad (step-up), con ventana de 10 minutos, exigida en las operaciones sensibles, con enumeración cerrada: alta o modificación de un IBAN; custodia, uso o revocación de certificados electrónicos y de mandatos de representación; presentación telemática ante la AEAT; envío, reenvío o anulación de registros de facturación Verifactu; gestión de miembros y roles; cambios de suscripción; y exportación íntegra de datos.
Sesiones con caducidad de 30 días.
Gestión de roles y permisos por empresa, bajo principio de mínimo privilegio.

II.2 Aislamiento entre clientes

Aislamiento multi-inquilino forzado en la propia base de datos mediante seguridad a nivel de fila, además de las restricciones de integridad referencial compuestas que impiden que un registro de una empresa cuelgue de otra.
El personal con rol de operador accede en solo lectura y su acceso queda acotado a lo necesario para el mantenimiento y el soporte.

II.3 Cifrado

Cifrado en tránsito mediante TLS en todas las comunicaciones, con política de transporte estricto (HSTS).
Cifrado de secretos y credenciales con AES-256-GCM: certificados electrónicos PKCS#12 y su contraseña de uso, y los secretos del segundo factor.
Los códigos de recuperación del segundo factor se almacenan con función resumen, no en claro.

Alcance honesto del cifrado: kontora no afirma que la totalidad de la base de datos esté cifrada en reposo con clave propia. Las copias de seguridad se protegen mediante permisos restrictivos del sistema de ficheros y el aislamiento del servidor, no mediante cifrado adicional. Lo que sí está cifrado, y con la medida más fuerte del sistema, es el material que permitiría suplantar al Responsable ante la Administración.

II.4 Integridad y trazabilidad

Los registros de facturación son de solo adición, con huella criptográfica SHA-256 encadenada; no pueden alterarse ni borrarse una vez emitidos.
Registro de solo adición (append-only), sin garantía adicional de inmutabilidad en base de datos, de los consentimientos legales aceptados por cada usuario, con documento, versión y fecha. A diferencia de los registros de facturación, hoy no cuenta con una garantía de inmutabilidad impuesta por la propia base de datos (cláusula 1.3).
Registro de los eventos relevantes de presentación ante la AEAT y de las importaciones de datos.

II.5 Disponibilidad y resiliencia

Copias de seguridad diarias de la base de datos, con rotación de 14 días: los volcados con más de 14 días se eliminan. Esta rotación es una medida técnica de disponibilidad, no un plazo de conservación legal.
Los documentos y justificantes se conservan al menos seis años en almacenamiento separado del árbol de despliegue. Su copia de seguridad es un espejo que hoy no se purga: no está sujeta a la rotación de 14 días de los volcados, por lo que un documento eliminado del almacén vivo puede permanecer en la copia (cláusula 10.3).
Capacidad de restaurar el servicio y el acceso a los datos a partir de las copias.

II.6 Seguridad de la aplicación y del servidor

Cabeceras de seguridad en el servidor web: transporte estricto, prohibición de incrustación en marcos, prevención de interpretación de tipos, política de referente restrictiva y exclusión de indexación de la aplicación.
Cookies estrictamente técnicas y de sesión, sin cookies de perfilado ni publicidad en la aplicación.
Separación de entornos y de credenciales; los secretos de producción no residen en el repositorio.

II.7 Medidas organizativas

Acceso restringido al equipo estrictamente necesario, con doble factor obligatorio.
Compromiso de confidencialidad del personal autorizado (cláusula 5).
Revisión anual de la eficacia de las medidas técnicas y organizativas, documentada por escrito, y revisión adicional al incorporar nuevas funcionalidades o subencargados (art. 32.1.d RGPD).
kontora no está adherida hoy a ningún código de conducta ni dispone de certificación del artículo 32.3 RGPD; no invoca por tanto ese mecanismo para acreditar cumplimiento.

ANEXO III — Subencargados

III.1 Subencargados del tratamiento por cuenta del Responsable

Son los proveedores que pueden tratar datos personales tratados por cuenta del Responsable en virtud de este contrato.

1. Hostinger International Ltd.

Finalidad: alojamiento del servidor, de la base de datos y del almacenamiento documental.
Categorías de datos: todas las descritas en la cláusula 3.2 (es el sustrato donde residen).
Ubicación: Unión Europea.
Transferencia internacional: ninguna.

2. Resend (Plus Five Five, Inc.)

Finalidad: envío de correo transaccional del servicio — enlaces de acceso, avisos, invitaciones, recordatorios de obligaciones.
Categorías de datos: datos de contacto (dirección de correo y nombre) de los usuarios de la cuenta y de las personas a las que el Responsable invite, y el contenido del propio mensaje. No recibe datos contables, bancarios ni documentales.
Ubicación: Estados Unidos.
Transferencia internacional: cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD; Decisión de Ejecución (UE) 2021/914). No se invoca la decisión de adecuación del art. 45. Coincide con la cláusula 12, con el apartado 7 de la Política de Privacidad y con la lista pública de proveedores («EE. UU., con cláusulas contractuales tipo»).

3. Anthropic Ireland, Limited (grupo Anthropic, PBC, Estados Unidos)

Finalidad: extracción automática de los datos de las facturas y justificantes que el Responsable sube al buzón documental (reconocimiento de documentos).
Categorías de datos: el contenido íntegro del documento subido al buzón, incluidos los datos personales que contenga. No recibe identificadores del Responsable ni de su cuenta: solo el documento y la instrucción de extracción.
Ubicación: Estados Unidos.
Transferencia internacional: cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD; Decisión de Ejecución (UE) 2021/914), módulo 3 (encargado a subencargado), incorporadas a su contrato de encargo. No está certificado en el Marco de Privacidad de Datos. Medidas suplementarias: cifrado en tránsito; el proveedor no entrena modelos con el contenido y, según su política publicada (privacy.claude.com, 1 de julio de 2026), lo suprime de sus sistemas en 30 días desde su recepción, salvo conservación más larga por infracción de su política de uso (hasta dos años) o por obligación legal; el Encargado no usa sus servicios de retención prolongada (Files API) ni tiene pactada retención cero, y el contrato del proveedor garantiza el borrado de todo el contenido a la terminación; cupo por empresa y revisión humana del resultado antes de contabilizar nada.

III.2 Otros proveedores de kontora como responsable (listados por transparencia)

No son subencargados de este contrato: tratan datos de los que kontora es responsable, excluidos del encargo por la cláusula 3.4. Se listan para que el Responsable tenga la fotografía completa.

1. Stripe Payments Europe, Ltd.

Finalidad: procesamiento de pagos y facturación de la suscripción a kontora.
Categorías de datos: identificativos y fiscales del titular de la suscripción, datos de pago y de facturación. No recibe datos personales tratados por cuenta del Responsable.
Ubicación: Irlanda / Unión Europea.
Transferencia internacional: tratamiento en la UE; cuando intervengan entidades del grupo en EE. UU., decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU., art. 45 RGPD).
El tratamiento de estos datos se describe en la Política de Privacidad, no en este contrato.

III.3 Proveedores previstos, no activos

Los siguientes proveedores están previstos para funcionalidades que hoy no están operativas. No reciben ni tratan ningún dato del Responsable. kontora se compromete a notificarlo con al menos 30 días naturales de antelación, conforme a la cláusula 7.2, antes de activarlos, y a no comunicarles dato alguno hasta haber firmado con ellos el contrato de encargo y verificado su marco de transferencia.

a) Proveedor de agregación bancaria (PSD2).

Finalidad prevista: lectura automática de movimientos de las cuentas bancarias del Responsable, con su consentimiento expreso ante la entidad.
Categorías de datos previstas: datos bancarios y transaccionales de las cuentas del Responsable — IBAN, denominación de ordenantes y beneficiarios, conceptos, importes y fechas.
Estado: no contratado, no activo. Hoy los movimientos bancarios solo entran por importación de fichero (norma 43) realizada por el propio Responsable.

III.4 Destinatarios que no son subencargados

La Agencia Estatal de Administración Tributaria y las demás Administraciones que reciban información por imperativo legal no son subencargados, sino destinatarios que actúan como responsables propios (cláusula 7.5).

III.5 Consulta y actualización

La lista vigente de subencargados está permanentemente accesible desde la página pública de este contrato. Toda modificación se comunica conforme a la cláusula 7.2.

Para cualquier cuestión sobre este contrato: info@kontora.es.

Ver la lista de subencargados