Encargo de Tratamiento

Contrato conforme al artículo 28.3 del RGPD para quienes introducen en Firmia datos de sus clientes u otras personas.

Última actualización: 31 de octubre de 2026

1. Partes y aceptación

Responsable: el usuario de Firmia, persona física o jurídica, que introduce datos personales de terceros para su actividad, incluidos abogados y despachos.

Encargado: David Melnic [PENDIENTE: confirmar el titular legal; si opera una sociedad, indicar su denominación social], NIF [PENDIENTE: NIF], con domicilio en [PENDIENTE: dirección postal] («Firmia»). Contacto: david@firmia.app.

Este contrato forma parte de los Términos de Servicio y se acepta con ellos. Si necesitas una copia firmada, pídela en la dirección anterior. Para los datos de su propia cuenta, Firmia es responsable y se aplica la Política de Privacidad.

2. Objeto y duración

Firmia trata los datos descritos en el anexo I solo para prestar el servicio contratado. Este contrato dura lo mismo que el uso del servicio. Las obligaciones de confidencialidad continúan después.

3. Instrucciones documentadas

Firmia trata los datos únicamente siguiendo tus instrucciones. Son instrucciones estos términos y cada acción que haces en la plataforma: generar, analizar, enviar, firmar o eliminar. Esto incluye las transferencias internacionales del anexo III. Si el Derecho de la UE o de España obligara a Firmia a otro tratamiento, te lo comunicaría antes, salvo que esa norma lo prohíba.

Si Firmia considera que una instrucción infringe la normativa de protección de datos, te avisará de inmediato y podrá suspenderla hasta que la confirmes o la cambies.

4. Prohibición de usar los datos para fines propios

Firmia no usa los datos de este encargo para fines propios, no los vende, no los comunica a terceros salvo a los subencargados del anexo III o a quien tú indiques, y no los usa para entrenar modelos de IA. Si Firmia decidiera por su cuenta los fines y medios de un tratamiento, sería responsable de él (art. 28.10 RGPD).

Las solicitudes y oposiciones de los afectados no se gestionan en listas propias de Firmia: se te remiten según la cláusula 8.

5. Confidencialidad

Toda persona autorizada por Firmia para acceder a los datos queda sujeta a un deber de confidencialidad contractual o legal, que continúa al acabar su relación con Firmia. [PENDIENTE: indicar quién tiene acceso a los datos y confirmar que esas personas han firmado un compromiso de confidencialidad]

Firmia solo accede al contenido de un usuario si es necesario para resolver una incidencia que este haya comunicado, o por obligación legal.

6. Seguridad

Firmia aplica las medidas concretas del anexo II. Este anexo incluye también sus límites, para que puedas valorar si son adecuados al riesgo de tu tratamiento.

7. Subencargados

Autorizas a Firmia a recurrir a los subencargados del anexo III. Para cambiarlos se sigue este procedimiento:

Aviso previo: antes de contratar a un subencargado nuevo o de sustituir a uno, Firmia te avisa por escrito al correo electrónico de tu cuenta, indicando quién es, qué datos tratará, dónde y con qué garantía. Lo hace con 30 días de antelación. Si el cambio viene impuesto por un proveedor, avisa en los 5 días hábiles siguientes a conocerlo. [PENDIENTE: confirmar los plazos propuestos]
Oposición: dispones de 15 días desde el aviso para oponerte, escribiendo a david@firmia.app y dando un motivo razonable relacionado con la protección de datos. [PENDIENTE: confirmar el plazo propuesto]
Si te opones: Firmia te propondrá una alternativa si la tiene. Si no la hay en 15 días, puedes resolver el contrato sin penalización, Firmia te devolverá la parte proporcional de lo pagado por el periodo no disfrutado y no tratará tus datos con ese subencargado. [PENDIENTE: confirmar estas consecuencias]
Mismas obligaciones: Firmia impone a cada subencargado obligaciones de protección de datos equivalentes y responde ante ti de su cumplimiento.

8. Derechos de los afectados

Si un afectado se dirige a Firmia, esta te remite la solicitud en un máximo de 5 días hábiles y no le responde en cuanto al fondo. [PENDIENTE: confirmar el plazo propuesto]
Puedes atender la mayoría de solicitudes desde la plataforma: rectificar editando el documento o la ficha del cliente, suprimir eliminándolos y dar acceso descargando el documento.
Si no puedes hacerlo así, escribe a david@firmia.app indicando el afectado y el derecho. Firmia te dará lo necesario en 10 días hábiles, para que respondas dentro de tu plazo de un mes. [PENDIENTE: confirmar el plazo propuesto]

9. Violaciones de seguridad

Si Firmia conoce una violación de seguridad que afecte a tus datos, te avisará sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia, al correo electrónico de tu cuenta. [PENDIENTE: confirmar el plazo propuesto] El aviso incluirá, en la medida en que se conozcan:

Qué ha ocurrido, las categorías y el número aproximado de afectados y de registros.
Las consecuencias probables.
Las medidas adoptadas o propuestas.
Un punto de contacto.

Lo que no se conozca entonces se enviará por fases. Decidir si se notifica a la AEPD y a los afectados te corresponde a ti.

10. Asistencia al responsable

Firmia te ayuda a cumplir los artículos 32 a 36 del RGPD de esta forma:

Seguridad: el anexo II, actualizado, y respuesta a preguntas concretas sobre él.
Evaluaciones de impacto y consultas previas: a petición por escrito, en 15 días hábiles, Firmia te facilita la descripción del tratamiento, los flujos de datos, los subencargados y las medidas. [PENDIENTE: confirmar el plazo propuesto]
Transferencias: copia de las garantías de cada subencargado, o el enlace al documento público correspondiente.

11. Conservación, devolución y supresión

Durante el servicio: tú decides cuánto tiempo se conservan. Puedes eliminar cada elemento o activar en Ajustes el borrado automático de contratos a los 30, 90 o 365 días. Sin esa opción, los contratos se conservan hasta que los elimines. Debes fijar los plazos que correspondan a tu tratamiento.
Devolución: antes de terminar puedes descargar tus documentos en PDF. Si necesitas otro formato, pídelo antes de eliminar la cuenta.
Al terminar: al eliminar la cuenta, los datos se borran de inmediato de la base de datos. Los plazos en copias de seguridad y en poder de los subencargados son los del anexo III, y no se ampliarán salvo obligación legal.

12. Auditoría e inspección

Firmia pone a tu disposición la información necesaria para demostrar que cumple este contrato. Puedes pedirla por escrito y la recibirás en 15 días hábiles. [PENDIENTE: confirmar el plazo propuesto] También puedes realizar auditorías e inspecciones, por ti o mediante un auditor sujeto a confidencialidad, avisando con 30 días de antelación, salvo tras una violación de seguridad o por requerimiento de una autoridad. No alcanzan a los datos de otros usuarios. Para los subencargados, Firmia facilitará sus certificados e informes públicos, pues no controla el acceso a sus instalaciones.

El RGPD te hace responsable de supervisar a tu encargado: conviene que ejerzas estos derechos y dejes constancia.

13. Tus obligaciones como responsable

Tener base jurídica para los datos que introduces e informar a los afectados.
Introducir solo los datos necesarios para el documento. Evita las categorías especiales de datos, salvo que sean imprescindibles.
Si eres abogado: valorar si este tratamiento, incluidas las transferencias del anexo III, es compatible con tu deber de secreto profesional y las normas de tu colegio. Firmia no puede hacer esa valoración por ti.
Revisar el contenido generado por la IA antes de usarlo.
Evaluar si este contrato y sus anexos son adecuados a tu tratamiento concreto, y completarlos si es necesario.

14. Ley aplicable

Este contrato se rige por el RGPD, la Ley Orgánica 3/2018 y el Derecho español. Cada parte responde según el artículo 82 del RGPD.

Anexo I. Descripción del tratamiento

Finalidad	Redactar contratos y reclamaciones, analizar contratos, emitir facturas, y enviar y firmar esos documentos a petición del usuario
Operaciones	Recogida, almacenamiento, consulta, envío a modelos de IA, generación de documentos, comunicación a quien indique el usuario y supresión
Personas afectadas	Clientes del usuario, sus contrapartes, deudores, firmantes y cualquier otra persona que aparezca en los documentos
Datos habituales	Nombre, DNI o NIF, domicilio, correo electrónico, IBAN, importes, firma y las condiciones del contrato. Al abrir un contrato enviado: fecha, IP y navegador del destinatario
Otros datos	Los que el usuario decida escribir o aparezcan en el documento subido. Firmia no los filtra, y pueden incluir categorías especiales si el usuario las introduce
Plazo	Cláusula 11

Anexo II. Medidas de seguridad

Estas son las medidas que aplicamos, revisadas en el código y la configuración el 31 de octubre de 2026.

Medidas aplicadas

Cifrado en tránsito: HTTPS obligatorio con HSTS de 2 años en toda la web. Conexión cifrada con la base de datos.
Cifrado en reposo: discos y copias de la base de datos cifrados con AES-256, según el acuerdo de encargo de Supabase. Firmia no añade un cifrado propio de campos.
Contraseñas: nunca en claro, con bcrypt de coste 12.
Sesiones: token firmado en cookie HttpOnly, Secure y SameSite=Lax, con caducidad de 30 días.
Separación entre usuarios: las rutas de la API comprueban que el documento pertenece a quien lo pide. El enlace que recibe un destinatario usa un identificador aleatorio.
Base de datos: seguridad a nivel de fila activada en las 34 tablas. Comprobamos que los roles públicos de Supabase (anon y authenticated) no ven ninguna fila. La clave de servicio solo se usa en el servidor.
Accesos de administración: panel restringido a un único rol de administrador. Tareas programadas protegidas con un secreto.
Límites de peticiones: en registro, contacto, recuperación de contraseña, generación y análisis.
Verificación de correo: las cuentas nuevas con contraseña deben confirmar su dirección para recibir avisos, y un cambio de contraseña exige haberla confirmado.
Protección de la web: política de seguridad de contenidos (CSP), bloqueo de incrustación en otras webs, y sin scripts de terceros en las páginas públicas.
Minimización ante proveedores: a Voyage AI no se le envían datos de usuarios. Del documento analizado no se guarda el texto completo.
Conservación: borrado automático opcional de contratos, y borrado diario de los registros de límites caducados.

Límites que debes conocer

Firmia no ofrece doble factor de autenticación.
El contenido llega en claro a la IA y a la aplicación, porque es necesario para procesarlo. No hay cifrado de extremo a extremo.
Quien administra la base de datos puede acceder técnicamente al contenido. No hay un registro de auditoría de esos accesos.
Firmia no ha anunciado auditorías externas ni certificaciones propias, como ISO 27001.
[PENDIENTE: indicar el plan de Supabase y si incluye copias de seguridad diarias, y las pruebas de restauración realizadas, si las hay]

Anexo III. Subencargados autorizados

Subencargado	Función y datos	Ubicación	Garantía de la transferencia	Conservación
Anthropic Anthropic Ireland, Limited (Irlanda) y Anthropic, PBC (EE. UU.)	Inteligencia artificial que redacta contratos y reclamaciones y analiza contratos subidos. Lo que escribes en formularios y descripciones, y el texto de los contratos que subes. Puede incluir nombres, DNI o NIF, domicilios, importes y cualquier otro dato que aparezca en ese texto.	Fuera del EEE. Su lista de subencargados indica infraestructura de Google Cloud, AWS y Azure en ubicaciones mundiales.	Cláusulas contractuales tipo de la UE (Decisión 2021/914, módulos 2 y 3), incorporadas en su acuerdo de encargo.	Borrado en 30 días como regla general. Hasta 2 años si un contenido se marca por infringir su política de uso, o más si lo exige la ley.
Supabase Supabase Pte. Ltd. (Singapur)	Base de datos donde se guarda todo el contenido del servicio. Todos los datos de la cuenta y todo el contenido que creas: contratos, reclamaciones, facturas, clientes, firmas y resultados de análisis.	Base de datos en Irlanda (AWS eu-west-1). Sus subencargados de soporte están principalmente en EE. UU..	Cláusulas contractuales tipo de la UE (módulos 2 y 3), incorporadas en su acuerdo de encargo.	Mientras Firmia las conserve, según los plazos de esta página.
Vercel Vercel Inc. (EE. UU.)	Alojamiento de la web y ejecución de la aplicación. Todo lo que pasa por la aplicación, en tránsito, incluida la dirección IP. Registros técnicos que pueden contener el correo electrónico.	EE. UU. Las funciones se ejecutan en Washington D. C. (iad1).	Vercel Inc. declara estar certificada en el Marco de Privacidad de Datos UE-EE. UU. y figura en su lista oficial. Sus cláusulas contractuales tipo forman parte de un acuerdo de encargo que solo aplica a los planes Pro y Enterprise. [PENDIENTE: pasar al plan Pro de Vercel. El plan actual no incluye su acuerdo de encargo]	Registros de ejecución: 1 hora en el plan actual.
Resend Plus Five Five, Inc. (EE. UU.)	Envío de correos: verificación, contraseña, mensajes de contacto y comentarios, y los contratos, reclamaciones y facturas que decides enviar. Dirección del destinatario, asunto y contenido del correo.	Se envía desde Irlanda. Los datos de cuenta, los metadatos y los registros se guardan en EE. UU..	Cláusulas contractuales tipo de la UE, incorporadas en su acuerdo de encargo. Resend declara estar certificada en el Marco de Privacidad de Datos UE-EE. UU.; su lista oficial la muestra activa, con la renovación en revisión.	30 días para correos y registros. Hasta 90 días tras finalizar la cuenta.

Entrenamiento de modelos: los términos comerciales de Anthropic prohíben entrenar modelos con este contenido, salvo que se le envíen comentarios o se autorice expresamente. Firmia no le envía comentarios. [PENDIENTE: confirmar en la consola de Anthropic que la organización no ha autorizado compartir datos para entrenamiento]

Voyage AI no es subencargado desde el 31 de octubre de 2026, porque ya no recibe datos de usuarios. Antes de esa fecha recibió fragmentos del contenido, como explica la Política de Privacidad.

Inicio de sesión, pagos y protección de formularios: Google, Stripe y Cloudflare tratan datos de la cuenta o la conexión del usuario, no datos de sus clientes, y por eso no figuran aquí. El enlace de pago que un usuario añada a sus facturas lo gestiona el proveedor que él elija.