Acuerdo de Encargo de Tratamiento

El presente Acuerdo de Encargo de Tratamiento («Acuerdo» o «DPA») regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que VERYPYME SERVICIOS DIGITALES, S.L. («VeryPyme» o el «Encargado») realiza por cuenta de la organización cliente (el «Responsable») en la prestación de los servicios de la plataforma VeryPyme. Forma parte de la relación contractual junto con los Términos y Condiciones del Servicio y prevalece sobre ellos en lo relativo al tratamiento de datos personales por cuenta del Responsable.

1. Partes y ámbito

Son partes de este Acuerdo VERYPYME SERVICIOS DIGITALES, S.L., con NIF B25998022 y domicilio en Av. Talgo, 83 – 28023 Madrid (Madrid), España, como Encargado, y la organización cliente identificada en la cuenta de la plataforma en cuyo nombre se acepta este Acuerdo, como Responsable.

El Acuerdo se acepta en nombre del Responsable, a través de la plataforma, por una persona con rol de propietario o administrador de la organización, que declara expresamente estar autorizada para aceptarlo en nombre de la organización. VeryPyme registra como evidencia la identificación del documento aceptado (identificador, versión, idioma y huella digital del texto), la identidad de la persona que acepta, su declaración de autoridad y la fecha registrada por el servidor.

El Acuerdo se aplica a todo tratamiento de datos personales que VeryPyme realice por cuenta del Responsable en el marco de los servicios contratados, según se describe en el Anexo I. No se aplica a los tratamientos de los que VeryPyme es responsable (cuentas de usuario, autenticación, facturación, registros contractuales, seguridad, comunicaciones, soporte y analítica), que se rigen por la Política de Privacidad.

2. Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado», «violación de la seguridad de los datos personales», «autoridad de control» y «transferencia internacional» tienen el significado que les atribuye el RGPD.

«Servicios» son las funcionalidades de la plataforma VeryPyme contratadas o utilizadas por el Responsable conforme a los Términos y Condiciones. «Datos del Responsable» son los datos personales que el Responsable, o las personas que actúan por su cuenta, incorporan a la plataforma o que VeryPyme genera a partir de ellos al prestar los Servicios. «Subencargado» es cualquier tercero contratado por VeryPyme que trate Datos del Responsable. «Representante habilitado» es la persona con rol de propietario o administrador de la organización en la plataforma.

3. Roles

Respecto de los Datos del Responsable, el Responsable determina los fines y medios del tratamiento y VeryPyme actúa como Encargado, tratándolos únicamente por cuenta del Responsable y conforme a sus instrucciones documentadas.

La condición de responsable o encargado se determina para cada tratamiento concreto y no de forma global. Un mismo dato puede ser tratado por VeryPyme como encargado en el marco de los Servicios y como responsable para sus propias finalidades cuando así lo establezca la Política de Privacidad (por ejemplo, el correo electrónico de una persona usuaria para gestionar su cuenta).

Cuando el Responsable decide compartir información con otra empresa a través de la plataforma, la empresa receptora actúa como responsable independiente de la información recibida.

4. Objeto

El objeto de este Acuerdo es regular las condiciones en las que VeryPyme trata Datos del Responsable para prestar los Servicios: alojamiento, almacenamiento, organización, procesamiento, extracción de información, análisis, evaluación, cálculo, generación de informes y certificados, análisis automatizado mediante inteligencia artificial, compartición con terceros por orden del Responsable, realización de copias técnicas, soporte y garantía de la seguridad del servicio, en los términos descritos en el Anexo I.

5. Duración

Este Acuerdo entra en vigor en el momento de su aceptación por el Representante habilitado y permanece vigente mientras VeryPyme trate Datos del Responsable en el marco de los Servicios.

Las obligaciones de confidencialidad, devolución y supresión y las demás que por su naturaleza deban subsistir continuarán vigentes tras la terminación de los Servicios hasta que se complete la devolución o supresión de los Datos del Responsable conforme a la cláusula 18.

6. Naturaleza y finalidad

La naturaleza del tratamiento comprende las operaciones necesarias para prestar los Servicios descritas en la cláusula 4 y en el Anexo I, realizadas por medios automatizados a través de la plataforma.

La finalidad del tratamiento es exclusivamente la prestación de los Servicios al Responsable, incluidas la evaluación de sostenibilidad y cumplimiento ESG, el cálculo de la huella de carbono, el análisis de riesgos, la elaboración de planes, informes y certificados, la gestión de la cadena de valor y la compartición de información ordenada por el Responsable. VeryPyme no tratará los Datos del Responsable para finalidades propias distintas de las anteriores, ni entrenará con ellos modelos de inteligencia artificial.

7. Instrucciones del responsable

VeryPyme tratará los Datos del Responsable únicamente siguiendo las instrucciones documentadas del Responsable. Constituyen instrucciones documentadas: los Términos y Condiciones, este Acuerdo, la configuración y las acciones que el Responsable o las personas que actúan por su cuenta realizan en la plataforma (incorporar, editar, analizar, compartir, exportar o eliminar información) y las instrucciones adicionales que el Responsable comunique por escrito a soporte@verypyme.com.

Si una norma del Derecho de la Unión o de un Estado miembro aplicable a VeryPyme le exige tratar los Datos del Responsable de otro modo, VeryPyme informará al Responsable de esa exigencia legal antes del tratamiento, salvo que dicha norma lo prohíba por razones importantes de interés público.

VeryPyme informará inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otra disposición en materia de protección de datos de la Unión o de los Estados miembros, y podrá suspender la ejecución de esa instrucción hasta que el Responsable la confirme o modifique.

8. Categorías de interesados

Los Datos del Responsable pueden referirse a las siguientes categorías de interesados, en función de la información que el Responsable incorpore a la plataforma: personas empleadas y trabajadoras del Responsable; representantes, administradores y personas de contacto del Responsable; profesionales autónomos; proveedores, subcontratistas y sus personas de contacto; clientes del Responsable y sus personas de contacto; y otras personas cuyos datos figuren legítimamente en la documentación y evidencias aportadas.

9. Tipos de datos

Los Datos del Responsable pueden incluir: datos identificativos y de contacto (nombre, apellidos, cargo, correo electrónico, teléfono, dirección); datos profesionales y laborales (puesto, categoría, tipo de contrato, jornada, formación, datos agregados o individuales de plantilla y siniestralidad); datos económicos y de facturación de terceros contenidos en documentos; documentación empresarial (certificados, políticas, facturas, contratos, informes, registros); textos libres, comentarios y planes de acción; y cualquier otra información incidental contenida en los documentos aportados.

La plataforma no está diseñada para tratar categorías especiales de datos (artículo 9 RGPD), datos relativos a condenas e infracciones penales ni datos de menores. El Responsable se abstendrá de incorporarlos salvo que sea estrictamente necesario para la finalidad del Servicio y disponga de una base jurídica válida, en cuyo caso deberá comunicarlo previamente a VeryPyme para acordar, en su caso, medidas adicionales.

10. Confidencialidad

VeryPyme tratará los Datos del Responsable con la debida confidencialidad y garantizará que las personas autorizadas para tratarlos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal.

El acceso del personal autorizado de VeryPyme a los Datos del Responsable se limitará a lo necesario para operar la plataforma, prestar soporte, resolver incidencias y garantizar la seguridad de los Servicios.

Esta obligación subsiste tras la terminación del Acuerdo.

11. Seguridad

VeryPyme aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Las medidas aplicadas en la fecha de esta versión se describen en el Anexo II.

VeryPyme podrá actualizar las medidas del Anexo II siempre que no reduzcan el nivel global de seguridad. Las medidas de seguridad proporcionadas por los proveedores de infraestructura, incluidas sus certificaciones, son de dichos proveedores y no de VeryPyme.

El Responsable es responsable de la seguridad de sus propias credenciales, de la gestión de los roles y permisos de las personas de su organización y de la configuración de las opciones de compartición que decida activar.

12. Subencargados

El Responsable otorga a VeryPyme una autorización general para recurrir a Subencargados en la prestación de los Servicios. Los Subencargados autorizados en la fecha de esta versión son los que figuran en el Anexo III, que remite a la lista pública versionada de subencargados.

VeryPyme impondrá a cada Subencargado, mediante contrato u otro acto jurídico, obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, en particular en cuanto a garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Si un Subencargado incumple sus obligaciones, VeryPyme seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones del Subencargado.

VeryPyme informará al Responsable de cualquier alta o sustitución de Subencargados mediante la publicación de una nueva versión de la lista de subencargados, con indicación de su fecha de entrada en vigor, y mediante un aviso dirigido a los Representantes habilitados en el buzón de avisos del área cliente, con una antelación mínima de treinta (30) días naturales a la fecha de entrada en vigor. Excepcionalmente, cuando la incorporación o sustitución sea necesaria con urgencia por razones de seguridad, por indisponibilidad del proveedor, por una exigencia legal o por una causa fuera del control razonable de VeryPyme, el cambio podrá aplicarse sin respetar dicho preaviso y VeryPyme informará al Responsable tan pronto como razonablemente sea posible, indicando el motivo.

El Responsable podrá oponerse al nuevo Subencargado, por motivos razonables y documentados relacionados con la protección de datos, comunicándolo por escrito a soporte@verypyme.com antes de la fecha de entrada en vigor. En ese caso, VeryPyme procurará ofrecer una alternativa razonable. Si no fuera posible, el Responsable podrá resolver el Servicio afectado por el nuevo Subencargado en los términos previstos en los Términos y Condiciones para la baja del servicio, sin que el ejercicio de esta facultad se considere incumplimiento del Responsable.

13. Transferencias internacionales

VeryPyme tratará los Datos del Responsable en el Espacio Económico Europeo. Los servicios de base de datos, almacenamiento de archivos e inteligencia artificial están configurados en regiones de la Unión Europea, según se indica en la lista de subencargados.

Determinados Subencargados están establecidos fuera del Espacio Económico Europeo o pueden acceder a los datos desde fuera de él (en particular, alojamiento y ejecución de la aplicación, envío de correos electrónicos transaccionales, servicio global de autenticación y acceso de soporte de proveedores de infraestructura). VeryPyme solo realizará o permitirá tales transferencias cuando exista un mecanismo válido conforme al capítulo V del RGPD: decisión de adecuación de la Comisión Europea (incluido el EU-U.S. Data Privacy Framework respecto de las entidades certificadas), cláusulas contractuales tipo aprobadas por la Comisión Europea u otra garantía adecuada, según se indica para cada Subencargado en la lista pública.

El Responsable autoriza dichas transferencias en las condiciones indicadas. A petición del Responsable, VeryPyme facilitará la información disponible sobre el mecanismo de transferencia aplicable a cada Subencargado.

14. Derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento, VeryPyme asistirá al Responsable, mediante las funcionalidades de la plataforma y, cuando sea necesario, mediante soporte, para que pueda cumplir su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición y derechos relativos a decisiones automatizadas).

Si VeryPyme recibe directamente una solicitud de un interesado relativa a Datos del Responsable, la comunicará al Responsable sin dilación indebida y no la resolverá por sí misma, salvo que el Responsable se lo indique o una norma le obligue a ello. VeryPyme informará al interesado de que su solicitud ha sido trasladada al Responsable.

La plataforma permite al Responsable consultar, rectificar, exportar mediante informes y eliminar la información que ha incorporado, con las limitaciones descritas en la cláusula 18 respecto de ejercicios cerrados, evaluaciones confirmadas y datos sujetos a conservación obligatoria.

15. Violaciones de seguridad

VeryPyme notificará al Responsable, sin dilación indebida después de tener conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a Datos del Responsable, a través del correo electrónico de contacto de la organización o de los Representantes habilitados.

La notificación incluirá, en la medida en que la información esté disponible: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para poner remedio a la violación o mitigar sus efectos y un punto de contacto. Si no fuera posible facilitar toda la información en el mismo momento, se facilitará de manera gradual sin dilación indebida.

VeryPyme cooperará con el Responsable y le prestará la asistencia razonable para que pueda cumplir sus obligaciones de notificación a la autoridad de control y de comunicación a los interesados. Corresponde al Responsable decidir sobre dichas notificaciones y comunicaciones.

16. Evaluaciones de impacto y consultas

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, VeryPyme prestará al Responsable la asistencia razonable para la realización de evaluaciones de impacto relativas a la protección de datos y para las consultas previas a la autoridad de control que resulten exigibles en relación con los Datos del Responsable.

Esta asistencia consistirá, en particular, en facilitar la información sobre el tratamiento contenida en este Acuerdo y sus Anexos, en la Política de Privacidad y en la lista de Subencargados, así como la información adicional razonablemente disponible.

17. Información y auditorías

VeryPyme pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y en este Acuerdo. Con carácter general, esta obligación se cumplirá mediante este Acuerdo y sus Anexos, la lista de Subencargados, la documentación e informes de certificación que los proveedores de infraestructura ponen a disposición de sus clientes y la respuesta a cuestionarios razonables de cumplimiento remitidos por el Responsable.

Cuando la información anterior no sea suficiente para demostrar el cumplimiento y exista una causa razonable (en particular, una violación de seguridad que afecte al Responsable, un requerimiento de una autoridad de control o indicios fundados de incumplimiento), el Responsable podrá realizar una auditoría, por sí o por un auditor independiente sujeto a confidencialidad y que no sea competidor de VeryPyme, con un preaviso razonable, en horario laboral y con una duración y alcance proporcionados a su finalidad. El preaviso podrá reducirse o no ser exigible cuando exista una incidencia de seguridad relevante, lo requiera una autoridad competente, exista una obligación legal o concurran motivos razonables que justifiquen una actuación urgente.

La auditoría se realizará respetando la confidencialidad de la información a la que se acceda y evitando interferencias innecesarias en la operación de los Servicios. No dará acceso a datos de otros clientes ni implicará acceso automático al código fuente de la plataforma, a la infraestructura sensible o a información que comprometa la seguridad de los Servicios; cualquier acceso de esa naturaleza requerirá acuerdo previo y por escrito. La auditoría no se extenderá a las instalaciones de los proveedores de infraestructura, respecto de los cuales se estará a la documentación que estos faciliten. Cada parte asumirá sus propios costes, salvo que la auditoría revele un incumplimiento material de VeryPyme.

18. Devolución y supresión

Durante la vigencia de los Servicios y a su terminación, el Responsable puede obtener la información que ha incorporado mediante las funcionalidades de consulta, informes y exportación disponibles en la plataforma. A petición razonable del Responsable, VeryPyme le prestará asistencia para la devolución de los Datos del Responsable en un formato de uso común.

A la terminación de los Servicios, o antes si el Responsable así lo solicita, VeryPyme suprimirá los Datos del Responsable. La solicitud de supresión de una cuenta u organización se tramita actualmente mediante comunicación de un Representante habilitado a soporte@verypyme.com. VeryPyme confirmará la solicitud, eliminará los datos activos de la organización en un plazo razonable y sin dilación indebida, y comunicará al Responsable la finalización del proceso.

Quedan exceptuados de la supresión, y se conservarán debidamente bloqueados: los datos cuya conservación venga exigida por una obligación legal aplicable a VeryPyme (en particular, registros contractuales, de facturación y de aceptación) durante el plazo correspondiente; los registros de auditoría de las propias operaciones de eliminación, limitados a la identificación de lo eliminado y de quien lo solicitó; y la información que el Responsable haya compartido previamente con otras empresas a través de la plataforma, que obra en poder de estas como responsables independientes.

Las copias técnicas y de seguridad que puedan existir en la infraestructura de los proveedores se eliminarán conforme a los ciclos propios de dichos proveedores, sin que VeryPyme garantice un plazo específico de purga de tales copias, y quedarán sujetas hasta entonces a las obligaciones de confidencialidad y seguridad de este Acuerdo. No se prometen plazos de borrado inmediato.

Durante la vigencia de los Servicios, la eliminación de documentos individuales por el Responsable a través de la plataforma produce los efectos descritos en la sección 8 de la Política de Privacidad.

19. Obligaciones del responsable

El Responsable garantiza que: dispone de base jurídica válida para el tratamiento de los Datos del Responsable y para su comunicación a VeryPyme; ha informado a los interesados conforme a los artículos 13 y 14 del RGPD cuando así proceda; los datos que incorpora son adecuados, pertinentes y limitados a lo necesario para la finalidad del Servicio; se abstiene de incorporar categorías especiales de datos u otros datos de riesgo elevado salvo en los términos de la cláusula 9; y las instrucciones que imparte a VeryPyme son conformes a la normativa aplicable.

El Responsable es asimismo responsable de gestionar adecuadamente los roles y permisos de las personas de su organización, de la veracidad de la declaración de autoridad de quien acepta este Acuerdo, de las decisiones de compartir información con otras empresas a través de la plataforma y de atender las solicitudes de los interesados como responsable del tratamiento.

20. Responsabilidad

Cada parte responderá de los daños y perjuicios causados por el incumplimiento de las obligaciones que le impone el RGPD y este Acuerdo, en los términos del artículo 82 del RGPD. VeryPyme responderá únicamente de los daños causados por un tratamiento que incumpla las obligaciones del RGPD dirigidas específicamente a los encargados o que haya actuado al margen o en contra de las instrucciones lícitas del Responsable.

Las limitaciones de responsabilidad previstas en los Términos y Condiciones se aplicarán a este Acuerdo en la medida en que lo permita la normativa aplicable, sin que puedan limitar la responsabilidad frente a los interesados ni frente a la autoridad de control.

El Responsable mantendrá indemne a VeryPyme frente a las reclamaciones de terceros derivadas del incumplimiento por el Responsable de las obligaciones de la cláusula 19.

21. Legislación y prevalencia

Este Acuerdo se rige por la legislación española y por el RGPD. Cualquier controversia se someterá a los Juzgados y Tribunales previstos en los Términos y Condiciones del Servicio.

En caso de conflicto entre este Acuerdo y los Términos y Condiciones u otros documentos contractuales, prevalecerá este Acuerdo en lo relativo al tratamiento de datos personales por cuenta del Responsable. Si alguna cláusula fuera declarada nula, las restantes conservarán su validez y la cláusula afectada se sustituirá por la que más se aproxime a su finalidad conforme a la normativa aplicable.

La versión española de este Acuerdo es la versión contractual de referencia; la versión inglesa se facilita a efectos informativos.

22. Vigencia y modificaciones

Este Acuerdo está versionado: cada versión se identifica por su fecha, se conserva de forma inmutable y queda vinculada a la aceptación registrada por su identificador, versión, idioma y huella digital. El Responsable queda vinculado por la versión vigente en el momento de su aceptación.

VeryPyme podrá publicar nuevas versiones para adaptar el Acuerdo a cambios normativos, a decisiones de las autoridades de control, a cambios en los Subencargados o a la evolución de los Servicios. Las nuevas versiones se publicarán en /dpa y se comunicarán a los Representantes habilitados a través de la plataforma. Cuando una nueva versión contenga modificaciones materiales de las obligaciones de las partes, se solicitará su aceptación al Representante habilitado; entretanto continuará aplicándose la versión aceptada, salvo que una norma imperativa exija otra cosa.

Anexo I — Descripción del tratamiento

Objeto del tratamiento: alojar, almacenar, organizar, procesar, extraer, analizar, evaluar y calcular la información incorporada por el Responsable; generar informes, certificados, planes y resultados; analizar documentos mediante sistemas automatizados e inteligencia artificial; compartir información con terceros por orden del Responsable; realizar copias técnicas; prestar soporte y garantizar la seguridad de los Servicios.

Duración: mientras el Responsable utilice los Servicios y hasta la devolución o supresión de los Datos del Responsable conforme a la cláusula 18.

Naturaleza: tratamiento automatizado a través de la plataforma, con intervención del personal autorizado de VeryPyme limitada a la operación, el soporte y la seguridad.

Finalidad: prestación de los Servicios de evaluación de sostenibilidad y cumplimiento ESG, huella de carbono, riesgos climáticos, planes de acción, informes, certificados, cadena de valor y compartición de información ordenada por el Responsable.

Categorías de interesados: personas empleadas y trabajadoras del Responsable; representantes, administradores y personas de contacto; profesionales autónomos; proveedores, subcontratistas y sus personas de contacto; clientes del Responsable y sus personas de contacto; otras personas cuyos datos figuren legítimamente en la documentación aportada.

Categorías de datos: identificativos y de contacto; profesionales y laborales; económicos y de facturación de terceros contenidos en documentos; documentación empresarial (certificados, políticas, facturas, contratos, informes, registros); textos libres, comentarios y planes de acción; información incidental contenida en los documentos aportados. No están previstas categorías especiales de datos.

Ubicación del tratamiento: Espacio Económico Europeo, con las excepciones indicadas en la cláusula 13 y en la lista de Subencargados.

Anexo II — Medidas técnicas y organizativas

VeryPyme aplica, en la fecha de esta versión, las siguientes medidas apropiadas al riesgo del tratamiento:

• Autenticación: acceso a la plataforma mediante el servicio de identidad de Google (contraseña, enlace de acceso por correo electrónico o cuenta de Google), con protección frente a la enumeración de cuentas y bloqueo por intentos fallidos proporcionados por dicho servicio; sesiones de servidor de duración limitada mediante cookie de solo servidor.
• Control de acceso basado en roles: roles de propietario, administrador, miembro y lector con matriz de permisos diferenciada, aplicada en el servidor; asignación al rol de menor privilegio en caso de duda.
• Separación lógica por organización: los datos de cada organización se almacenan y consultan de forma separada; la organización activa se resuelve en el servidor y todas las operaciones de la API se validan contra la pertenencia y el rol del usuario en esa organización.
• Reglas de acceso a la base de datos y al almacenamiento: reglas de seguridad con denegación por defecto; colecciones críticas (facturación, registros contractuales, accesos contratados, ejercicios cerrados) accesibles únicamente desde el servidor; límites de tipo y tamaño de los archivos subidos.
• Cifrado en tránsito: todas las comunicaciones con la plataforma y con los proveedores se realizan mediante HTTPS/TLS.
• Cifrado en reposo: proporcionado por la infraestructura de los proveedores de base de datos y almacenamiento (Google Cloud), sin cifrado adicional propio de VeryPyme.
• Enlaces firmados temporales: la descarga de archivos se realiza mediante URL firmadas de validez limitada; los enlaces de invitación son de un solo uso, con caducidad, y se almacenan de forma irreversible (hash).
• Verificación de webhooks e idempotencia de pagos: las notificaciones del proveedor de pagos se verifican mediante firma y se procesan con controles de idempotencia y recomprobación de importes en el servidor.
• Registros contractuales inmutables: las aceptaciones contractuales, pedidos confirmados y registros de facturación se almacenan de forma inmutable con fecha de servidor.
• Claves de API de terceros: las claves de acceso a la API se almacenan de forma irreversible (hash), con alcances limitados y posibilidad de revocación.
• Entornos: las rutas y herramientas de desarrollo no están disponibles en el entorno de producción; los cambios se validan mediante baterías de comprobaciones automatizadas antes de su publicación.
• Ubicación de los datos: base de datos, almacenamiento e inteligencia artificial configurados en regiones de la Unión Europea.
• Confidencialidad del personal: el personal autorizado de VeryPyme está sujeto a obligaciones de confidencialidad y accede a los datos únicamente para la operación, el soporte y la seguridad.

Los proveedores de infraestructura (Google Cloud, Vercel, Stripe) mantienen sus propios programas de seguridad y certificaciones, que son de dichos proveedores y no de VeryPyme. VeryPyme no dispone de certificaciones propias de seguridad de la información (ISO 27001, ENS o SOC 2) ni ofrece garantías de copia de seguridad o recuperación a un punto en el tiempo distintas de las inherentes a la infraestructura de sus proveedores.

Anexo III — Subencargados autorizados

Los Subencargados autorizados en la fecha de esta versión son los que figuran en la lista pública de subencargados en su versión 2026-09-24, que se incorpora a este Acuerdo por referencia. La lista identifica para cada Subencargado la entidad, el servicio y la finalidad, las categorías generales de datos, el país o región relevante y el mecanismo de transferencia internacional cuando procede.

Las versiones posteriores de la lista, publicadas conforme a la cláusula 12, sustituirán a la anterior a partir de su fecha de entrada en vigor, sin necesidad de publicar una nueva versión de este Acuerdo.