Última actualización: 31 de agosto de 2026

Acuerdo de Encargo de Tratamiento de Datos Personales (DPA)

El presente Acuerdo de Encargo de Tratamiento de Datos Personales (el "DPA") regula, de conformidad con el artículo 28 del Reglamento (UE) 2016/679, Reglamento General de Protección de Datos ("RGPD"), las condiciones en las que LeeFactura trata datos personales por cuenta de sus clientes cuando estos utilizan el Servicio para procesar facturas, tickets y otros documentos que pueden contener datos personales de terceros.

Este DPA forma parte integrante de los Términos y Condiciones de Uso de LeeFactura.

1. Incorporación y aceptación del DPA

El presente DPA se incorpora automáticamente a la relación contractual entre LeeFactura y el Cliente cuando este utiliza el Servicio para cargar o procesar documentos que contienen datos personales de terceros. No es necesario firmar físicamente este DPA para que resulte aplicable cuando el Cliente haya aceptado los Términos y Condiciones de Uso y utilice el Servicio para dicha finalidad. El Cliente podrá solicitar una copia del DPA firmada por ambas partes escribiendo a info@leefactura.es.

2. Partes

2.1. El Cliente

A efectos de este DPA, el "Cliente" es la persona física o jurídica que contrata o utiliza LeeFactura y que determina los fines y medios del tratamiento de los datos personales introducidos en el Servicio, en los casos en que corresponda. Cuando el Cliente sea una gestoría, asesoría, empresa o profesional que trate datos personales por cuenta de sus propios clientes, el Cliente será responsable de determinar su propia relación con dichos clientes y de disponer de las autorizaciones, instrucciones y bases jurídicas necesarias para utilizar LeeFactura.

2.2. LeeFactura

El proveedor del Servicio es:

Titular: Ramon Fàbregas Secall
NIF: 46343464M
Domicilio: Calle Gavà 19, 08014 Barcelona
Correo electrónico: info@leefactura.es

LeeFactura actuará como encargado del tratamiento respecto de los datos personales que trate por cuenta del Cliente. Cuando corresponda, LeeFactura tratará dichos datos únicamente para prestar el Servicio y siguiendo las instrucciones documentadas del Cliente.

3. Objeto del encargo

El objeto del presente DPA es regular el tratamiento de datos personales contenidos en las facturas, tickets y demás documentos que el Cliente cargue o procese mediante LeeFactura. El tratamiento podrá incluir las siguientes operaciones:

recepción y carga de documentos;
almacenamiento de documentos;
lectura y procesamiento automatizado;
extracción de datos mediante inteligencia artificial;
estructuración y organización de la información;
presentación de los resultados al Cliente;
corrección y revisión de los datos por parte del Cliente;
realización de cálculos derivados de los datos introducidos;
generación de resultados o borradores relacionados con la información procesada;
exportación de datos;
realización de copias técnicas necesarias para garantizar la seguridad y continuidad del Servicio;
soporte técnico cuando resulte necesario.

4. Finalidad del tratamiento

Los datos personales se tratarán exclusivamente para proporcionar al Cliente las funcionalidades del Servicio contratadas o utilizadas. Entre otras finalidades, el tratamiento permitirá:

extraer información de facturas;
organizar los datos extraídos;
facilitar su revisión;
realizar los cálculos disponibles en el Servicio;
generar archivos de exportación;
proporcionar las funcionalidades de automatización documental contratadas.

LeeFactura no utilizará los datos personales tratados por cuenta del Cliente para fines propios, comerciales o publicitarios, salvo que exista una base jurídica independiente que permita dicho tratamiento o una obligación legal que lo exija. En particular, LeeFactura no utilizará el contenido de las facturas del Cliente para crear perfiles publicitarios.

5. Instrucciones documentadas del Cliente

A efectos del artículo 28 del RGPD, las instrucciones del Cliente están constituidas por:

el presente DPA;
los Términos y Condiciones de Uso;
la configuración y opciones seleccionadas por el Cliente dentro del Servicio;
las operaciones realizadas por el Cliente mediante el Servicio;
las instrucciones adicionales que el Cliente proporcione a LeeFactura y que sean compatibles con la naturaleza y funcionalidades del Servicio.

LeeFactura no tratará los datos para finalidades distintas de las previstas en estos documentos e instrucciones. Si una disposición legal de la Unión Europea o de un Estado miembro obliga a LeeFactura a realizar un tratamiento distinto, LeeFactura informará al Cliente de dicha obligación antes de realizarlo, salvo que la legislación aplicable prohíba proporcionar esa información por razones de interés público. Si LeeFactura considera que una instrucción del Cliente infringe el RGPD u otra normativa de protección de datos aplicable, lo comunicará al Cliente cuando resulte razonablemente posible.

6. Categorías de datos personales

Los documentos procesados mediante el Servicio pueden contener diferentes categorías de datos personales, incluyendo:

nombre y apellidos;
razón social cuando esté vinculada a una persona física;
NIF;
dirección postal;
teléfono;
dirección de correo electrónico;
información profesional;
información económica y financiera;
importes de facturas;
bases imponibles;
cuotas y tipos de IVA;
recargos de equivalencia;
retenciones de IRPF;
información contenida en las propias facturas o documentos cargados.

La naturaleza exacta de los datos tratados dependerá de los documentos que el Cliente decida introducir en el Servicio.

7. Categorías de interesados

Los datos tratados pueden referirse principalmente a:

proveedores del Cliente;
clientes del Cliente;
autónomos y profesionales;
personas físicas que actúen como proveedores o clientes;
personas de contacto que figuren en los documentos;
representantes, empleados u otras personas cuyos datos aparezcan en los documentos.

El Cliente deberá evitar introducir categorías de datos personales que no sean necesarias para la finalidad para la que utiliza el Servicio.

8. Datos especialmente protegidos

LeeFactura no está diseñado específicamente para tratar categorías especiales de datos personales en el sentido del artículo 9 del RGPD. El Cliente no deberá introducir deliberadamente en el Servicio datos relativos a salud, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, vida sexual, orientación sexual, datos genéticos o datos biométricos utilizados para identificar de manera unívoca a una persona, salvo que dicho tratamiento sea necesario, lícito y esté expresamente permitido por las funcionalidades y condiciones del Servicio.

Si excepcionalmente dichos datos aparecieran incidentalmente en un documento, serán tratados únicamente en la medida necesaria para prestar el Servicio y de acuerdo con las instrucciones y obligaciones legales aplicables.

9. Obligaciones de LeeFactura como encargado

LeeFactura se compromete a:

a) Confidencialidad

Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad.

b) Seguridad

Aplicar medidas técnicas y organizativas adecuadas al riesgo, de acuerdo con lo establecido en este DPA.

c) Uso limitado

Tratar los datos personales únicamente para las finalidades previstas en este DPA y siguiendo las instrucciones del Cliente.

d) Asistencia en el ejercicio de derechos

Teniendo en cuenta la naturaleza del tratamiento, asistir razonablemente al Cliente para que pueda responder a las solicitudes de los interesados relativas a sus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. Cuando LeeFactura reciba directamente una solicitud de un interesado respecto de datos tratados por cuenta del Cliente, la remitirá al Cliente cuando sea razonablemente posible, salvo que una obligación legal exija responder directamente.

e) Asistencia en materia de seguridad

Asistir al Cliente, teniendo en cuenta la información disponible y la naturaleza del tratamiento, en el cumplimiento de sus obligaciones relativas a:

seguridad del tratamiento;
notificación de violaciones de seguridad;
evaluaciones de impacto;
consultas previas a las autoridades de protección de datos, cuando corresponda.

f) Eliminación o devolución

Al finalizar la prestación del Servicio, eliminar o devolver los datos personales tratados por cuenta del Cliente conforme a lo establecido en este DPA, salvo que exista una obligación legal de conservarlos.

g) Información y auditorías

Poner a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD.

10. Subencargados del tratamiento

El Cliente autoriza a LeeFactura a recurrir a otros encargados ("subencargados") para realizar determinadas operaciones necesarias para prestar el Servicio. Los principales proveedores que pueden intervenir son:

Supabase, Inc. — proveedor de infraestructura de base de datos y almacenamiento de documentos. Los archivos y datos se almacenan en la infraestructura contratada para el Servicio, configurada actualmente en Frankfurt, Alemania, según las condiciones y configuración aplicables.
Anthropic, PBC — proveedor de servicios de inteligencia artificial utilizado para procesar el contenido necesario de los documentos y realizar la extracción automatizada de información. Las condiciones específicas de este tratamiento se describen en la sección 12.
Vercel, Inc. — proveedor utilizado para alojar y ejecutar determinados componentes de la aplicación web. Su participación se limita a los datos a los que técnicamente necesite acceder para prestar los servicios contratados.
Stripe — procesa los datos necesarios para gestionar los pagos y suscripciones del Cliente. Stripe no actúa como subencargado respecto del contenido de las facturas del Cliente cuando dicho contenido no se le proporciona para procesar el pago. Respecto de los datos de pago que Stripe trata directamente, Stripe actuará como responsable independiente de dichos tratamientos conforme a sus propias condiciones.

11. Cambios en los subencargados

LeeFactura podrá incorporar, sustituir o retirar subencargados cuando resulte necesario para prestar o mejorar el Servicio. Cuando un nuevo subencargado vaya a tratar datos personales por cuenta del Cliente, LeeFactura informará de ello mediante la actualización de la información disponible sobre subencargados y, cuando resulte razonablemente posible, mediante comunicación adicional.

El Cliente podrá oponerse a la incorporación de un nuevo subencargado por motivos razonables relacionados con la protección de datos. La oposición deberá comunicarse dentro de los 15 días naturales siguientes a la notificación del cambio. Si no fuera posible resolver razonablemente la objeción, LeeFactura y el Cliente procurarán encontrar una solución adecuada. En última instancia, el Cliente podrá dejar de utilizar las funcionalidades afectadas o resolver su relación respecto de dichas funcionalidades, cuando resulte aplicable.

LeeFactura impondrá contractualmente a sus subencargados obligaciones de protección de datos equivalentes a las previstas en este DPA en la medida exigida por el RGPD. LeeFactura continuará siendo responsable frente al Cliente del cumplimiento de las obligaciones de sus subencargados conforme al artículo 28 del RGPD.

12. Tratamiento mediante inteligencia artificial

El Cliente autoriza a LeeFactura a utilizar servicios de inteligencia artificial necesarios para prestar la funcionalidad de extracción automática de información de los documentos. En particular, LeeFactura podrá utilizar Anthropic, PBC, mediante su servicio de API. Para realizar esta operación:

se enviará a Anthropic el contenido del documento necesario para realizar la extracción solicitada;
el contenido podrá incluir el PDF o imagen completo cuando sea técnicamente necesario;
el procesamiento se realizará para generar los datos estructurados solicitados por el Cliente;
LeeFactura no utilizará el contenido de las facturas del Cliente para entrenar modelos de inteligencia artificial propios;
LeeFactura aplicará las condiciones contractuales correspondientes al servicio de API contratado con Anthropic respecto del uso de los datos enviados.

Los resultados generados mediante inteligencia artificial podrán contener errores y deben ser revisados por el Cliente. Los resultados, incluidos los cálculos o borradores generados por el Servicio, no constituyen asesoramiento fiscal, contable o jurídico ni una decisión automatizada definitiva. El Cliente mantiene la posibilidad de revisar y corregir los resultados antes de utilizarlos.

13. Transferencias internacionales

Cuando alguno de los proveedores utilizados por LeeFactura trate datos personales fuera del Espacio Económico Europeo, LeeFactura garantizará que la transferencia se realiza de acuerdo con el Capítulo V del RGPD. Las garantías podrán incluir, según corresponda:

decisiones de adecuación de la Comisión Europea;
Cláusulas Contractuales Tipo;
otras garantías reconocidas por el RGPD.

En particular, cuando resulte aplicable, las transferencias a Anthropic se realizarán utilizando las garantías contractuales y legales correspondientes. La información actualizada sobre los principales subencargados y las garantías aplicables estará disponible para los Clientes.

14. Medidas de seguridad

LeeFactura aplicará medidas técnicas y organizativas adecuadas al riesgo, incluyendo, cuando resulten aplicables:

control de acceso basado en cuentas;
aislamiento lógico de los datos entre usuarios;
controles de acceso a nivel de base de datos (Row Level Security);
almacenamiento privado de documentos;
cifrado de las comunicaciones;
cifrado de datos en reposo cuando sea proporcionado por la infraestructura utilizada;
autenticación mediante enlaces de un solo uso y/o proveedores de identidad compatibles;
restricción de acceso interno;
registro de determinados eventos técnicos;
medidas destinadas a detectar y prevenir accesos no autorizados;
procedimientos de gestión de incidencias de seguridad.

El acceso del personal de LeeFactura al contenido de los documentos estará restringido a las situaciones en las que resulte necesario para proporcionar soporte, resolver incidencias, mantener la seguridad, realizar tareas técnicas autorizadas o cumplir obligaciones legales. Las medidas de seguridad podrán actualizarse cuando resulte necesario debido a cambios tecnológicos, riesgos detectados o evolución del Servicio.

15. Violaciones de seguridad

Si LeeFactura tiene conocimiento de una violación de la seguridad de los datos personales tratados por cuenta del Cliente, lo notificará al Cliente sin dilación indebida. Cuando sea posible, la notificación se realizará dentro de un plazo máximo de 48 horas desde que LeeFactura tenga conocimiento de la violación. La comunicación incluirá, en la medida en que la información esté razonablemente disponible:

descripción de la naturaleza de la violación;
categorías de datos afectadas;
categorías y número aproximado de interesados afectados;
número aproximado de registros afectados;
posibles consecuencias;
medidas adoptadas o propuestas para solucionar o mitigar el incidente.

LeeFactura proporcionará información adicional cuando esté razonablemente disponible y sea necesaria para que el Cliente pueda cumplir sus obligaciones legales. El Cliente será responsable de determinar si debe notificar la violación a la autoridad de control o a los interesados conforme a los artículos 33 y 34 del RGPD.

16. Solicitudes de los interesados

Si un interesado ejerce sus derechos directamente ante LeeFactura respecto de datos tratados por cuenta del Cliente, LeeFactura no responderá sobre el fondo de la solicitud salvo que tenga obligación legal de hacerlo. Cuando sea apropiado, LeeFactura remitirá la solicitud al Cliente y le proporcionará asistencia razonable para que pueda tramitarla. El Cliente seguirá siendo responsable de responder a las solicitudes de los interesados cuando actúe como responsable del tratamiento.

17. Evaluaciones de impacto y consultas previas

Teniendo en cuenta la naturaleza del tratamiento y la información razonablemente disponible, LeeFactura asistirá al Cliente cuando sea necesario para realizar evaluaciones de impacto relativas a la protección de datos o consultas previas a la autoridad de control. Esta asistencia se limitará a la información y documentación que esté razonablemente bajo el control de LeeFactura.

18. Auditorías

El Cliente podrá solicitar información razonablemente necesaria para verificar el cumplimiento de las obligaciones de LeeFactura como encargado. Cuando resulte necesario y no exista información suficiente para demostrar el cumplimiento, el Cliente podrá realizar auditorías razonables, directamente o mediante un auditor independiente sujeto a obligaciones de confidencialidad. Las auditorías estarán sujetas a:

aviso previo razonable;
horario laboral;
medidas destinadas a no afectar al funcionamiento del Servicio;
protección de la confidencialidad de LeeFactura y de otros clientes;
ausencia de acceso a datos de otros clientes;
no interferencia con las obligaciones de seguridad.

Salvo que una norma legal disponga lo contrario, el Cliente asumirá los costes de sus propias auditorías.

19. Obligaciones del Cliente

El Cliente se compromete a:

utilizar el Servicio de acuerdo con la legislación aplicable;
disponer de una base jurídica adecuada para el tratamiento de los datos personales;
informar a los interesados cuando sea necesario;
proporcionar instrucciones lícitas a LeeFactura;
no introducir datos personales que no sean necesarios para la finalidad perseguida;
garantizar que los documentos cargados pueden ser tratados legítimamente;
atender las solicitudes de los interesados;
adoptar las medidas de seguridad que correspondan en sus propios sistemas;
mantener la confidencialidad de sus credenciales;
informar a LeeFactura de cualquier circunstancia relevante que pueda afectar al tratamiento.

El Cliente será responsable de determinar si el tratamiento que realiza mediante LeeFactura requiere una evaluación de impacto, consulta previa u otra medida específica conforme a la normativa aplicable.

20. Eliminación o devolución de los datos

Cuando finalice la prestación del Servicio, LeeFactura eliminará los datos personales tratados por cuenta del Cliente de acuerdo con los procedimientos de eliminación establecidos en la Política de Privacidad. Cuando el Servicio permita al Cliente exportar sus datos, el Cliente podrá hacerlo antes de cancelar su cuenta.

Una vez finalizado el periodo de conservación técnica aplicable, los datos serán eliminados o anonimizados, salvo que:

exista una obligación legal de conservación;
sea necesario conservarlos para la formulación, ejercicio o defensa de reclamaciones;
deban mantenerse temporalmente en copias de seguridad;
exista otra base jurídica que permita o exija su conservación.

Las copias de seguridad se eliminarán o sobrescribirán conforme a los ciclos técnicos de conservación establecidos por LeeFactura. Cuando una norma legal obligue a conservar determinados datos, estos permanecerán bloqueados o restringidos y únicamente se tratarán para la finalidad que justifique su conservación.

21. Duración

Este DPA permanecerá vigente mientras LeeFactura trate datos personales por cuenta del Cliente. Las obligaciones relativas a confidencialidad, seguridad, eliminación o conservación de datos y aquellas que por su naturaleza deban continuar después de la finalización del contrato seguirán siendo aplicables durante el periodo correspondiente.

22. Responsabilidad

Cada parte será responsable de cumplir las obligaciones que le correspondan conforme al RGPD, la normativa española aplicable y este DPA. El Cliente será responsable de la licitud del tratamiento, de las instrucciones proporcionadas a LeeFactura y de las obligaciones que correspondan al responsable del tratamiento. LeeFactura será responsable del cumplimiento de las obligaciones que le correspondan como encargado del tratamiento. Nada en este DPA pretende excluir o limitar una responsabilidad que legalmente no pueda excluirse o limitarse.

23. Prevalencia del DPA

En materia de protección de datos personales, si existiera contradicción entre este DPA y los Términos y Condiciones de Uso, prevalecerá este DPA en aquello que se refiera específicamente al tratamiento de datos personales realizado por cuenta del Cliente. En las restantes materias, continuarán siendo aplicables los Términos y Condiciones de Uso.

24. Legislación aplicable

Este DPA se interpretará de conformidad con:

el Reglamento (UE) 2016/679 (RGPD);
la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales;
y demás normativa española y europea aplicable en materia de protección de datos.

Las cuestiones contractuales no reguladas específicamente por la normativa de protección de datos se regirán por los Términos y Condiciones de Uso de LeeFactura.

25. Contacto

Para cualquier cuestión relacionada con este DPA, incluyendo solicitudes de información, auditorías, ejercicio de derechos por parte de interesados o solicitud de una copia firmada, puedes contactar con:

LeeFactura — Ramon Fàbregas Secall
NIF: 46343464M
Domicilio: Calle Gavà 19, 08014 Barcelona
Correo electrónico: info@leefactura.es