Contrato de encargo del tratamiento (DPA)

Última actualización: 4 de noviembre de 2026. Versión 1 de este documento.

Este contrato regula cómo tratamos, por cuenta de cada empresa cliente, los datos personales que guarda en billquill, conforme al artículo 28 del RGPD.

1. Partes y aceptación

Responsable: la empresa cliente que crea una cuenta en billquill (el «Cliente»). Encargado: Human Talent & Me, empresa búlgara que opera la marca billquill, con domicilio social en Str. Stefan Verkovich 10, 4000 Plovdiv (Bulgaria) y número de IVA BG205568902. Su sede comercial está en European Trade Center, Building D, 1F, 115 M Tsarigradsko Shose Blvd., Sofía 1784 (Bulgaria) («nosotros»).

La persona que da de alta la empresa acepta este contrato en su nombre al crear la cuenta; registramos la fecha, la versión aceptada, el idioma, la dirección IP y el navegador. Forma parte de las condiciones de uso y, en caso de conflicto sobre datos personales, prevalece este contrato.

2. Objeto, duración, naturaleza y finalidad

Objeto: alojar, almacenar, organizar, consultar, enviar, leer con IA cuando el Cliente lo pide y suprimir los datos que el Cliente guarda en billquill o recibe a través de él.
Finalidad: prestar el servicio de billquill y las funciones que el Cliente active.
Duración: mientras el Cliente tenga cuenta, más el plazo de borrado que fija «Fin del tratamiento».

3. Datos e interesados

Interesados: clientes, proveedores y comerciales del Cliente y sus personas de contacto; usuarios de su portal del cliente; personas que aceptan sus presupuestos o pagan sus facturas; y sus propios usuarios.
Datos: identificativos, de contacto y fiscales, direcciones, datos bancarios (como IBAN), facturas, presupuestos, gastos, movimientos y extractos bancarios, cobros y pagos, comisiones, documentos y adjuntos, correos, tickets y mensajes del portal, y cualquier otro dato que el Cliente decida guardar.
El Cliente no debe guardar categorías especiales de datos (art. 9 RGPD) salvo que tenga una base legal para hacerlo y lo haga con las garantías adecuadas.

4. Instrucciones del Cliente

Tratamos los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato y la configuración y el uso que el Cliente hace de billquill. No los usamos para fines propios. Si una instrucción nos parece contraria a la ley, lo diremos. Si la ley nos obliga a tratar los datos de otra forma, informaremos antes al Cliente, salvo que la ley lo prohíba.

5. Confidencialidad

Las personas autorizadas a tratar los datos tienen un deber de confidencialidad. Nuestro personal solo entra en la cuenta de una empresa cuando uno de sus administradores autoriza el acceso de soporte, en modo de solo lectura y durante el tiempo autorizado, y cada acceso queda registrado; o cuando es necesario para resolver una incidencia técnica.

6. Medidas de seguridad (art. 32 RGPD)

Cifrado en tránsito (HTTPS) y claves de las pasarelas de pago cifradas en reposo.
Aislamiento de los datos de cada empresa en todas las consultas, y control de acceso por roles dentro de ella.
Contraseñas con hash bcrypt, claves de API guardadas solo como hash, límites de intentos y cierre de sesiones al desactivar usuarios.
Archivos privados servidos con enlaces que caducan.
Firmas comprobadas en los avisos que recibimos de Stripe y PayPal.
Copias de seguridad de la base de datos.

7. Subencargados

El Cliente nos da una autorización general para recurrir a los subencargados que figuran en la política de privacidad. Les imponemos por contrato obligaciones de protección de datos equivalentes a las de este contrato y seguimos respondiendo de su cumplimiento.

Avisaremos con 30 días de antelación, en la aplicación o por correo, de cualquier subencargado nuevo o sustituido. Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una solución, podrá dar de baja su cuenta sin penalización.

Los servicios que el Cliente conecta por su cuenta (sus cuentas de Stripe y PayPal, y las direcciones de sus webhooks o las herramientas que usan sus claves de API) no son subencargados nuestros: el Cliente los elige y los contrata.

8. Ayuda al Cliente

billquill permite al Cliente consultar, corregir, exportar y borrar datos para atender los derechos de los interesados, dentro de los límites de su modo de facturación. Si una solicitud nos llega directamente, la trasladaremos al Cliente sin responderla nosotros.
Ayudaremos al Cliente, con la información de la que dispongamos, en sus evaluaciones de impacto y consultas a la autoridad de control.

9. Brechas de seguridad

Notificaremos al Cliente cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, cuando sea posible, en las 48 horas siguientes a tener conocimiento de ella, con la información disponible para que pueda cumplir sus propias obligaciones de notificación.

10. Transferencias internacionales

Las transferencias que hacen nuestros subencargados fuera del EEE se apoyan en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o en las Cláusulas Contractuales Tipo de la Comisión Europea.

11. Fin del tratamiento

Mientras el contrato esté vigente, el Cliente puede descargar en CSV sus facturas emitidas, facturas recibidas y gastos, y sus documentos. Cuando el Cliente da de baja su cuenta, tiene 30 días para descargar sus datos o cancelar la baja; después los borramos, y las copias de seguridad se sobrescriben en 12 meses como máximo. Solo conservaremos lo que la ley nos obligue a conservar.

12. Información y auditorías

Pondremos a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. El Cliente puede pedirla en privacy@talent360hub.com y, si no basta, hacer una auditoría al año, con 30 días de aviso, a su cargo y sin acceso a datos de otros clientes.