Acuerdo de tratamiento de datos personales

El presente acuerdo regula el tratamiento de datos personales que Dodana vrijednost d.o.o. realiza para el usuario del servicio Puls. Se celebra sobre la base del artículo 28 del Reglamento (UE) 2016/679, Reglamento General de Protección de Datos, en lo sucesivo RGPD. Si su sociedad utiliza Puls, el responsable del tratamiento es usted, y nosotros somos el encargado del tratamiento que trata los datos siguiendo sus instrucciones.

1. Partes contratantes

El responsable del tratamiento es el usuario del servicio Puls, la persona jurídica que ha abierto un espacio de trabajo en la aplicación y que decide sobre los fines y los medios del tratamiento de los datos que introduce en Puls.

El encargado del tratamiento es Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Croacia, OIB 28795267248, inscrita en el registro mercantil del Tribunal de Comercio de Zagreb. La dirección para consultas sobre protección de datos es info@puls-value.com.

El encargado del tratamiento trata los datos personales exclusivamente por cuenta del responsable del tratamiento y no tiene derecho a decidir sobre los fines del tratamiento.

2. Objeto y duración del tratamiento

El objeto del presente acuerdo es el tratamiento de datos personales necesario para la prestación del servicio Puls, tal como se describe el servicio en las Condiciones de uso.

El tratamiento dura mientras dure la suscripción a Puls. Esto incluye el período de prueba y el período en el que el acceso al espacio de trabajo está bloqueado pero la cuenta de usuario sigue existiendo. Tras la finalización del servicio se procede conforme al artículo 13 del presente acuerdo.

3. Naturaleza y finalidad del tratamiento

La finalidad del tratamiento es la prestación del servicio Puls. Esto comprende el alojamiento y el tratamiento de las cifras financieras, los usuarios y los documentos del responsable del tratamiento para mostrar el plan y lo realizado, los indicadores, la estructura de gastos, el comentario mensual y el documento del plan de negocio, así como para la gestión de las cuentas de usuario, el cobro de la suscripción y el soporte técnico.

Cuando el responsable del tratamiento conecta su contabilidad a través de e-Računi o carga una lista de partidas abiertas, el encargado del tratamiento elabora a partir de esas partidas abiertas la antigüedad de las deudas por cliente y por proveedor hasta el nivel de documento y una lista de los clientes que se retrasan en el pago, para los recordatorios. Con la conexión con e-Računi, a partir de las mismas partidas elabora también una lista de los principales clientes y proveedores para el paquete para el banco y un resumen de las obligaciones y de los cobros previstos que vencen en los próximos 14 días, que contiene el total por día y por tipo de obligación y los nombres de los principales clientes y proveedores.

Las operaciones de tratamiento son la recogida, el registro, la conservación, la consulta, el cálculo, la presentación, la exportación a petición del usuario, la realización de copias de seguridad y la supresión.

El encargado del tratamiento no utiliza los datos del responsable del tratamiento para fines propios, no los vende ni los utiliza para la elaboración de perfiles.

4. Tipos de datos personales

• Nombre y apellidos y dirección de correo electrónico profesional de los usuarios del espacio de trabajo.
• Datos de inicio de sesión y registros de acceso.
• Datos sobre la sociedad y sobre la facturación, incluidos la denominación, la dirección, el OIB y los datos de las facturas emitidas.
• Datos personales que puedan aparecer en las descripciones de los apuntes contables, en los nombres de los socios comerciales y en el dato del número de empleados.
• Los nombres de, como máximo, los diez principales clientes y los diez principales proveedores por año, con el volumen de negocio, el saldo de las partidas abiertas y su antigüedad, para el año en curso y el anterior. Entre ellos puede haber empresarios individuales y otras personas físicas. Solo se conserva el nombre, sin el código de socio comercial y sin el OIB, y solo la última lectura.
• Los nombres de los clientes y proveedores del responsable del tratamiento con sus partidas abiertas, procedentes de la conexión con e-Računi o de la lista de partidas abiertas que cargue el responsable del tratamiento. Entre ellos puede haber empresarios individuales y otras personas físicas. Solo se conserva el nombre, sin el código de socio comercial y sin el OIB, y solo la última lectura.
• Direcciones de correo electrónico de los clientes a los que el usuario envía un recordatorio y el registro del envío.
• El contenido de los documentos y archivos que el responsable del tratamiento cargue en Puls o elabore en Puls.
• Las preguntas que el usuario escribe al consultor de IA y las respuestas del consultor. La conversación solo la ve el usuario que preguntó, y puede contener datos financieros de la sociedad y datos personales que escriba el usuario. Los plazos de supresión figuran en la sección 13.

5. Categorías de interesados

• Usuarios del espacio de trabajo del responsable del tratamiento.
• Empleados del responsable del tratamiento.
• Clientes, proveedores y otros socios comerciales que figuran en la contabilidad.
• Personas mencionadas en los documentos que el responsable del tratamiento cargue en Puls o elabore en Puls.

6. Instrucciones documentadas

El encargado del tratamiento trata los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento. Se consideran instrucciones el presente acuerdo, las Condiciones de uso y cualquier acción que el propio usuario inicie en la aplicación, por ejemplo la importación de datos, la elaboración de un plan, la solicitud de un comentario o una exportación. Las instrucciones abarcan también las transferencias de datos personales a un tercer país o a una organización internacional, que solo están permitidas si están previstas en el presente acuerdo o si las exige el Derecho de la Unión Europea o de la República de Croacia.

Si el Derecho de la Unión Europea o el Derecho de la República de Croacia obliga al encargado del tratamiento a tratar datos al margen de esas instrucciones, el encargado del tratamiento informa de ello al responsable del tratamiento antes del tratamiento, salvo que dicho Derecho prohíba expresamente tal información.

El encargado del tratamiento informa inmediatamente al responsable del tratamiento si considera que una instrucción infringe el RGPD u otra norma en materia de protección de datos.

7. Confidencialidad

Solo tienen acceso a los datos del responsable del tratamiento las personas para las que el acceso es necesario para desempeñar su trabajo. Todas esas personas están obligadas a guardar confidencialidad en virtud de un contrato o de una obligación legal, y la obligación se mantiene también tras la finalización de su relación.

8. Seguridad del tratamiento conforme al artículo 32 del RGPD

El encargado del tratamiento aplica las siguientes medidas técnicas y organizativas.

• Todo el tráfico entre el navegador y la aplicación circula por una conexión cifrada (TLS).
• Los datos de cada empresa están separados de modo que un espacio de trabajo no puede ver los datos de otro, y las conversaciones con el consultor de IA solo las ve el usuario que preguntó.
• Las contraseñas se almacenan en una forma que no permite leerlas. Las claves de acceso a los servicios conectados se almacenan cifradas.
• Los datos se almacenan y se tratan en servidores situados dentro de la Unión Europea.
• La base de datos dispone de copias de seguridad automáticas periódicas y de un procedimiento de restauración documentado.
• Los inicios de sesión y el acceso a los datos se anotan en registros que se llevan por separado de esos datos.
• Se aplica el principio de mínimo privilegio. Cada persona y cada componente del sistema recibe únicamente los permisos necesarios para el trabajo que realiza.
• El acceso a los servidores está restringido a las personas autorizadas y protegido.
• El desarrollo está separado de la producción y no toca los datos de producción. Los sistemas reciben actualizaciones de seguridad periódicamente.

9. Subencargados del tratamiento

El responsable del tratamiento otorga una autorización previa general para la contratación de subencargados del tratamiento. La lista de los subencargados contratados en la fecha de la versión del presente acuerdo figura en el Anexo 1.

Con cada subencargado, el encargado del tratamiento pacta obligaciones de protección de datos que no son menos estrictas que las del presente acuerdo, y responde ante el responsable del tratamiento del trabajo del subencargado como del suyo propio.

El encargado del tratamiento informa al responsable del tratamiento de su intención de añadir o sustituir un subencargado con una antelación mínima de 30 días, por correo electrónico a la dirección del propietario del espacio de trabajo y mediante la publicación del Anexo 1 modificado en esta página. Dentro de ese plazo, el responsable del tratamiento puede formular una objeción motivada. Si la objeción queda sin resolver, el responsable del tratamiento puede cancelar la suscripción antes de que el cambio entre en vigor, y el acceso permanece activo hasta el final del período pagado.

10. Transferencias fuera del Espacio Económico Europeo

Los datos se tratan en la Unión Europea. Las transferencias a un tercer país solo se realizan a los subencargados indicados en el Anexo 1 y solo con las cláusulas contractuales tipo de la Comisión Europea.

Si para alguna transferencia esas medidas dejan de ser suficientes, el encargado del tratamiento suspende la transferencia e informa de ello al responsable del tratamiento.

11. Asistencia al responsable del tratamiento

Teniendo en cuenta la naturaleza del tratamiento, el encargado del tratamiento asiste al responsable del tratamiento, mediante medidas técnicas y organizativas apropiadas, en la respuesta a las solicitudes de los interesados previstas en el capítulo III del RGPD, es decir, a las solicitudes de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición.

Si la solicitud de un interesado llega directamente al encargado del tratamiento, este la transmite sin dilación al responsable del tratamiento y no la atiende por su cuenta.

El encargado del tratamiento asiste también al responsable del tratamiento en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, es decir, en la seguridad del tratamiento, la notificación de violaciones, la evaluación de impacto relativa a la protección de datos y la consulta previa a la autoridad de control, en la medida en que la información esté a disposición del encargado del tratamiento.

12. Violación de la seguridad de los datos personales

El encargado del tratamiento notifica al responsable del tratamiento toda violación de la seguridad de los datos personales sin dilación indebida tras tener conocimiento de ella, y con la antelación suficiente para que el responsable del tratamiento pueda cumplir su obligación de notificación a la autoridad de control.

La notificación contiene una descripción de la naturaleza de la violación, el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y los datos de contacto de la persona del encargado del tratamiento de la que puede obtenerse más información.

El encargado del tratamiento lleva un registro de las violaciones y de las medidas adoptadas y lo pone a disposición del responsable del tratamiento cuando este lo solicita.

13. Supresión o devolución de los datos

Tras la finalización del servicio, el encargado del tratamiento, a elección del responsable del tratamiento, devuelve los datos en un formato legible por máquina o los suprime, junto con las copias existentes.

El responsable del tratamiento comunica su elección en el plazo de 30 días desde la finalización del servicio. Transcurrido ese plazo, y a más tardar 90 días después de la finalización del servicio, el encargado del tratamiento suprime los datos.

Mientras exista la cuenta de usuario, los datos se conservan también cuando el acceso está bloqueado por la expiración del período de prueba o por una suscripción impagada.

Las conversaciones con el consultor de IA no esperan a la finalización del servicio. Cada mensaje de una conversación se suprime 12 meses después de su creación, y el usuario puede suprimirlo antes. La supresión de la cuenta de usuario suprime también todas las conversaciones de ese usuario, y el cese de su acceso a una sociedad suprime sus conversaciones sobre esa sociedad.

La lista de los principales clientes y proveedores no guarda historial. En cada sincronización con e-Računi se sustituye por una nueva lectura, y se suprime junto con los demás datos de la sociedad.

Las partidas abiertas de clientes y proveedores no guardan historial. Cada nueva lectura, procedente de la conexión con e-Računi o de una lista cargada, sustituye a la anterior, y se suprimen junto con los demás datos de la sociedad.

Constituyen una excepción a la supresión los datos que el encargado del tratamiento está obligado a conservar por ley, ante todo las facturas emitidas y los datos fiscales. El encargado del tratamiento los conserva hasta que expire el plazo legal y no los trata para ninguna otra finalidad.

Los datos de las copias de seguridad se suprimen en el ciclo ordinario de renovación de dichas copias.

14. Auditoría y supervisión

El encargado del tratamiento pone a disposición del responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y permite la realización de auditorías, incluidas inspecciones, por parte del responsable del tratamiento o de un auditor autorizado por el responsable del tratamiento.

La auditoría se anuncia con una antelación mínima de 30 días y se realiza en horario laboral y de un modo que no perturbe el funcionamiento del servicio. La auditoría no puede afectar a los datos de otros usuarios. El coste de la auditoría corre a cargo del responsable del tratamiento, salvo que la auditoría constate un incumplimiento grave del presente acuerdo.

15. Responsabilidad

La responsabilidad de las partes contratantes se rige por las Condiciones de uso del servicio Puls y por las normas imperativas. El presente acuerdo no amplía ni reduce la limitación de responsabilidad establecida en las Condiciones de uso, salvo cuando el RGPD disponga otra cosa.

16. Derecho aplicable

El presente acuerdo se rige por el Derecho de la República de Croacia y por el RGPD. Para los litigios es competente el tribunal materialmente competente de Zagreb.

17. Aceptación, modificaciones y versión

El presente acuerdo se aplica con la aceptación de las Condiciones de uso del servicio Puls. El responsable del tratamiento lo acepta al abrir la cuenta, mediante una confirmación que lleva la fecha de la versión, y nosotros registramos quién aceptó qué versión y cuándo. No se requiere una firma especial y no existe un procedimiento de firma separado.

Una nueva versión del presente acuerdo está en vigor desde el día de su publicación, que es también la fecha de la versión. Informamos de ella al responsable del tratamiento por correo electrónico el mismo día y mediante su publicación en esta página, y en el primer inicio de sesión a partir de ese día Puls solicita la confirmación de la nueva versión. La notificación de un cambio de subencargados del tratamiento se rige por la sección 9.

Si una disposición del presente acuerdo es contraria a las Condiciones de uso, en las cuestiones de tratamiento de datos personales se aplica el presente acuerdo.

Versión: 6 de octubre de 2026. En esta versión se ha completado la descripción del tratamiento de las partidas abiertas de clientes y proveedores (secciones 3, 4 y 13), se han modificado las listas de tipos de datos y de personas (secciones 4 y 5) y se ha actualizado el Anexo 1. La descripción de las medidas de seguridad es ahora más general, y las medidas son las mismas (sección 8). La sección 10 sobre transferencias se ha abreviado. El resto del texto es el mismo que en la versión de 5 de octubre de 2026. La nueva versión acompaña la modificación de las Condiciones de uso, porque ambos documentos se aceptan conjuntamente.

Anexo 1. Lista de subencargados del tratamiento

La lista es válida en la fecha de la versión del presente acuerdo. Los cambios se anuncian conforme al artículo 9 del presente acuerdo.