Legal

Contrato de encargo del tratamiento

Versión del 11/10/2026

Contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Se acepta al dar de alta la empresa en LibroPol, en nombre de esta, por su representante. LibroPol guarda la versión aceptada, la fecha, la persona que lo aceptó y los datos de la empresa y de sus establecimientos. El Cliente puede pedir una copia firmada en cualquier momento.

Responsable del tratamiento: la empresa cliente identificada en el alta (razón social, NIF/CIF, domicilio y representante), titular de los establecimientos dados de alta en LibroPol (el "Responsable").

Encargado del tratamiento: Daniel García Cerecedo, trabajador autónomo con nombre comercial Guimai, NIF71527276J, domicilio en Calle Baños de Valdearados, 14, 28051 Madrid, que presta el servicio LibroPol (el "Encargado").

1. Objeto

El Encargado trata, por cuenta del Responsable, los datos personales necesarios para prestar LibroPol: llevanza del libro-registro de operaciones de compra de metales preciosos (libro de policía), validación de los datos, preparación del fichero de comunicación a las Fuerzas y Cuerpos de Seguridad y de la impresión de los folios del libro físico. La comunicación a la policía la realiza el propio Responsable.

2. Duración

Este contrato dura lo mismo que la suscripción al servicio. A su fin se aplica la cláusula 10.

3. Naturaleza, finalidad y tratamientos

Recogida (a partir de los ficheros que sube el Responsable), registro, conservación, consulta, validación, exportación e impresión, con la única finalidad de cumplir la obligación legal del Responsable de llevar el libro-registro. El Encargado no usa los datos para fines propios, no los cede ni los analiza para otros fines.

4. Datos y personas afectadas

Personas que venden objetos al establecimiento: nombre y apellidos, tipo y número de documento de identidad (DNI, NIE, pasaporte), nacionalidad, domicilio, y los datos de la operación (fecha, descripción del objeto, metal, peso, importe y número de orden).
Personal del Responsable que usa LibroPol: nombre, correo electrónico, rol y registro de actividad (auditoría).

No se tratan categorías especiales de datos (artículo 9 del RGPD).

5. Obligaciones del Encargado

Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y el uso que el Responsable hace de LibroPol. Si considera que una instrucción infringe la normativa, lo comunicará de inmediato.
Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
Aplicar las medidas de seguridad del Anexo II (artículo 32 del RGPD).
Recurrir a otros encargados (subencargados) solo en las condiciones de la cláusula 6.
Asistir al Responsable para responder a las solicitudes de ejercicio de derechos. Si una persona interesada se dirige al Encargado, se lo trasladará al Responsable en un plazo máximo de 5 días hábiles.
Asistir al Responsable en sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas, teniendo en cuenta la información de que disponga.
Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información disponible para que pueda notificarla a la autoridad de control si procede.
Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisando con 15 días de antelación.
Llevar el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD).

6. Subencargados

El Responsable autoriza de forma general a los subencargados del Anexo III. El Encargado avisará con al menos 30 días de antelación de cualquier alta o sustitución, y el Responsable podrá oponerse de forma motivada; si no hay acuerdo, podrá resolver el contrato sin penalización. El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos de este contrato.

7. Ubicación de los datos y transferencias internacionales

Los datos del libro se alojan en la Unión Europea, en la región de Madrid (europe-southwest1) de Google Cloud, con copias de seguridad en la misma región. Si un subencargado tratara datos fuera del Espacio Económico Europeo, se hará con las garantías del capítulo V del RGPD, indicadas en el Anexo III.

8. Obligaciones del Responsable

Subir solo los datos necesarios para la finalidad del libro y garantizar que su recogida es lícita.
Informar a las personas interesadas del tratamiento.
Dar de alta solo a personal autorizado y retirar el acceso a quien deje de estarlo.
Custodiar sus credenciales y el segundo factor de autenticación.

9. Conservación

Los datos se conservan mientras dure el contrato y durante el plazo que la normativa del libro-registro exija al Responsable. El libro es de solo adición: las correcciones se registran como operaciones nuevas.

10. Fin del contrato

El Encargado entregará al Responsable, si lo solicita en los 30 días siguientes, una exportación completa del libro (CSV y PDF).
Pasado ese plazo, suprimirá los datos. Las copias de seguridad se borran solas al caducar (como máximo, 30 días después).
Solo conservará los datos bloqueados que deba guardar por obligación legal, durante el plazo de prescripción de las responsabilidades.

11. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD.

12. Ley y jurisdicción

Se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Madrid.

Anexo I · Establecimientos

Los establecimientos del Responsable dados de alta en LibroPol, con su dirección y su código del Grupo XI, según constan en la aplicación en cada momento.

Anexo II · Medidas de seguridad

Ubicación: datos en la Unión Europea (Madrid, europe-southwest1).
Cifrado: en tránsito (HTTPS/TLS con HSTS) y en reposo (cifrado de Google Cloud).
Acceso: usuarios nominales; verificación en dos pasos obligatoria (TOTP) para todo el personal del Responsable y para el Encargado.
Aislamiento: cada cliente solo accede a sus datos; el personal de una tienda solo a las tiendas asignadas (reglas de acceso en servidor).
Integridad: el libro es de solo adición; solo el servidor escribe en él; las correcciones son operaciones nuevas.
Trazabilidad: registro de auditoría inalterable de subidas, envíos, impresiones, anulaciones, altas de tiendas y personas y cambios de configuración.
Disponibilidad: copias diarias con 30 días de retención y recuperación a un momento dado de los últimos 7 días.
Mínimo privilegio: cuentas de servicio con los permisos imprescindibles; sin claves de cuentas de servicio descargadas; acceso de administración solo del Encargado.
Sin terceros: sin analítica, publicidad ni seguimiento en la aplicación ni en la web.
Correos: los avisos por correo no incluyen datos de las personas que venden (solo nombres de tienda y número de operaciones pendientes).

Anexo III · Subencargados autorizados

Subencargado	Servicio	Datos	Ubicación y garantías
Google Cloud EMEA Limited (Irlanda)	Alojamiento, base de datos, funciones y copias (Google Cloud / Firebase)	Todos los del libro y los usuarios	Madrid (UE). Términos de tratamiento de datos de Google Cloud
Resend (Plus Five Five, Inc.)	Envío de correos de la plataforma (acceso, contraseña y avisos)	Nombre y correo del personal; nombres de tienda	Envío desde la UE (Irlanda). Cláusulas contractuales tipo / Marco de Privacidad UE-EE. UU.

La lectura con inteligencia artificial de un libro escaneado (opcional, solo al empezar) no está activa. Antes de activarla, el Encargado avisará con 30 días de antelación del subencargado que la preste, conforme a la cláusula 6.

El cobro de la suscripción (Stripe) no trata datos del libro: los datos de facturación del Responsable los trata Stripe como responsable independiente.