Contrato de encargo del tratamiento

Artículo 28 del Reglamento (UE) 2016/679 (RGPD) · Versión 1.0, 18 de octubre de 2026.

1. Partes

Responsable del tratamiento: el titular de la cuenta de Censoria que sube los documentos (en adelante, «el Cliente»), identificado por los datos de su cuenta y de facturación.

Encargado del tratamiento: Vesperia Solutions, con NIF en trámite y domicilio en C/ Seber Altube, n.º 5, 48510 Valle de Trápaga-Trapagaran (Bizkaia) (en adelante, «Censoria»).

La aceptación de los términos de servicio al contratar un plan implica la aceptación de este encargo, que forma parte inseparable de aquellos.

2. Objeto, naturaleza y finalidad

Censoria trata los datos personales contenidos en los documentos que el Cliente sube con la única finalidad de detectar y censurar dichos datos y devolver al Cliente el documento anonimizado. No se realiza ningún otro tratamiento.

3. Duración

El encargo dura lo que dure la relación contractual y, respecto de cada documento, el tiempo estrictamente necesario para procesarlo. Los documentos no se almacenan: se descartan al terminar el proceso, con éxito o con error.

4. Tipo de datos y categorías de interesados

Datos: los que contengan los documentos que el Cliente decida subir. Típicamente nombres y apellidos, DNI/NIE, número de afiliación a la Seguridad Social, domicilio, teléfono, correo electrónico, IBAN, fecha de nacimiento, datos de retribución y categoría profesional.

Interesados: las personas físicas a las que se refieran esos documentos — empleados, clientes, proveedores o contrapartes del Cliente.

Categorías especiales: el servicio no está diseñado para datos del artículo 9 del RGPD (salud, afiliación sindical, etc.). Si un documento los contiene de forma incidental —por ejemplo, un concepto de incapacidad temporal en una nómina—, reciben el mismo tratamiento y la misma seguridad que el resto, pero el Cliente debe valorar si su base jurídica lo ampara.

5. Obligaciones de Censoria como encargado

• Tratar los datos únicamente conforme a las instrucciones documentadas del Cliente, que son las que se derivan del uso de la herramienta y de este contrato.
• No destinar los datos a ninguna finalidad distinta, ni cederlos a terceros salvo los subencargados autorizados en la cláusula 7.
• Mantener el deber de confidencialidad, que se extiende a toda persona autorizada a tratar los datos y subsiste tras el fin de la relación.
• Aplicar las medidas técnicas y organizativas del artículo 32 descritas en la cláusula 6.
• Asistir al Cliente en la atención de los derechos de los interesados. Dado que los documentos no se conservan, la asistencia se limita a lo que obre en la cuenta del Cliente.
• Asistir al Cliente en el cumplimiento de los artículos 32 a 36 (seguridad, notificación de brechas y evaluaciones de impacto).
• Notificar sin dilación indebida, y en todo caso dentro de las 48 horas siguientes a tener conocimiento, cualquier violación de la seguridad que afecte a datos del Cliente, con la información necesaria para que este cumpla el artículo 33.
• Suprimir o devolver los datos al finalizar la prestación. Como los documentos no se almacenan, esta obligación se refiere a los datos de la cuenta, que se suprimen a petición del Cliente.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, con preaviso razonable y sin comprometer la seguridad o la confidencialidad de otros clientes.
• Informar al Cliente, de forma inmediata y por escrito, si considera que una instrucción infringe la normativa de protección de datos.

6. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones.
• Contraseñas almacenadas con función de derivación de clave (scrypt); nunca en texto claro.
• Sesiones mediante cookie HttpOnly, Secure y SameSite, con caducidad.
• Limitación de intentos de acceso y de uso, por dirección IP y global.
• No conservación de documentos: el archivo se procesa y se descarta; el PDF censurado se genera en el navegador del Cliente.
• Minimización frente al subencargado de IA: se le envía únicamente el texto de cada página, nunca el archivo ni su imagen.
• Segregación de los entornos de prueba respecto de los datos de clientes reales.

7. Subencargados autorizados

El Cliente autoriza de forma general a los siguientes subencargados. Censoria informará de cualquier alta o sustitución con antelación razonable, y el Cliente podrá oponerse y, en tal caso, resolver el contrato.

• Netlify, Inc. — alojamiento del servicio y almacenamiento de los datos de cuenta.
• Anthropic, PBC — detección de datos personales en el texto de cada página. No entrena sus modelos con el contenido enviado por API.
• Stripe Payments Europe, Ltd. — cobro de las suscripciones y datos de facturación.
• Resend, Inc. — envío de los correos de la cuenta (confirmación del email y cambio de contraseña); recibe solo el email del usuario.

8. Transferencias internacionales

El tratamiento por parte de Anthropic, PBC puede implicar una transferencia a Estados Unidos, amparada en las cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con las medidas de minimización descritas en la cláusula 6. Censoria no realiza ninguna otra transferencia fuera del Espacio Económico Europeo.

9. Obligaciones del Cliente como responsable

• Disponer de una base jurídica válida para tratar los datos de los documentos que suba y para encargar su tratamiento a Censoria.
• Informar a los interesados cuando proceda.
• Revisar el resultado antes de descargar y distribuir el documento: la herramienta requiere revisión humana y no garantiza la detección completa.
• No subir documentos sobre los que no tenga derecho a operar.

10. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD. La responsabilidad de Censoria frente al Cliente por el servicio se rige por lo previsto en los términos de servicio, sin que ello limite los derechos de los interesados ni las facultades de las autoridades de control.

11. Solicitar una copia firmada

El Cliente que necesite este documento firmado para su registro de actividades de tratamiento puede solicitarlo en contacto@censoria.es, indicando la razón social y el NIF con los que deba emitirse.