Contracte d’encarregat del tractament

Actualitzat el 3 d’octubre del 2026. Aquest document és l'acord que exigeix l'article 28 del Reglament General de Protecció de Dades. S'aplica a totes les entitats que fan servir Tesora i forma part de les condicions del servei.

Qui és qui

• Responsable del tractament: l’associació que fa servir Tesora. És qui decideix quines dades hi posa i per a què.
• Encarregat del tractament: Joan Pérez Ribot (77633658x), Sant Pere 10. Contacte: info@tesora.es.

Què tractem i per a què

Tractem les dades que l'entitat introdueix a la plataforma —socis i tutors legals (nom, contacte, data de naixement, document d'identitat, adreça), mandats i comptes bancaris, quotes i rebuts, despeses i documents— únicament per prestar el servei: gestionar socis, generar remeses SEPA, justificar subvencions i produir els documents legals de l'entitat.

Durada: mentre l'entitat tingui el compte obert.

Els nostres compromisos

1. Tractar les dades només seguint les instruccions de l'entitat. Si una instrucció ens sembla contrària a la normativa, l'avisarem.
2. No fer-les servir per a res més. No entrenem models, no fem publicitat, no les venem ni les cedim.
3. Confidencialitat. Qui hi té accés per part nostra hi està obligat per escrit.
4. Seguretat. Xifrat dels comptes bancaris a la base de dades, aïllament entre entitats aplicat pel mateix motor de base de dades, control d'accés per rols, registre de tot accés a dades personals, còpies de seguretat diàries i xifrades.
5. Suport amb rastre. Si per ajudar-vos hem d'entrar al vostre compte, ho fem amb un motiu escrit, un màxim de 60 minuts i un avís permanent a la vostra pantalla. Hi podem corregir dades si és el que cal per resoldre el que ens heu demanat, i cada canvi queda anotat al vostre registre d'activitat amb el nom de qui l'ha fet. No hi fem mai res que no vingui del que ens heu plantejat, i el registre és vostre per comprovar-ho.
6. Els fitxers que ens envieu, només per resoldre la consulta. Si adjunteu un fitxer a una consulta —per exemple, un full de socis que no s'importa—, el fem servir només per resoldre-la. El veu només l'equip de suport, cada vegada que algú de l'equip l'obre queda anotat al vostre registre d'activitat, no el rep mai l'assistent virtual, i s'esborra automàticament 90 dies després de tancar la consulta. Us recomanem enviar-hi només les dades que calguin per entendre el problema.
7. Ajudar-vos amb els drets de les persones. Si un soci ens escriu a nosaltres, us traslladem la petició. La plataforma ja permet exportar i esborrar la fitxa d'un soci en dos clics.
8. Avisar-vos d'una bretxa sense dilació indeguda des que en tinguem coneixement, amb la informació que necessiteu per notificar-la a l'autoritat.
9. Ajudar-vos amb l'avaluació d'impacte i amb les consultes a l'autoritat, si mai en calgués alguna.
10. Retornar o esborrar les dades quan acabi el servei, a elecció vostra. Mentrestant, l'exportació completa està sempre disponible des de la mateixa aplicació, també si la subscripció està suspesa.

Subencarregats

Per prestar el servei fem servir aquests proveïdors, tots amb contracte i amb garanties equivalents:

• OVH SAS — servidors, base de dades i còpia local — França
• Google Ireland Ltd — còpia de seguretat fora del servidor, xifrada amb restic abans de sortir (tenim la clau, ells no) — Irlanda
• Resend — enviament de correus — Unió Europea
• Mistral AI SAS — assistent d’ajuda: només rep la pregunta i el text dels articles d’ajuda, mai dades de l’entitat ni dels socis — França

Us avisarem abans d'afegir-ne o canviar-ne cap, i podreu oposar-vos-hi.

Transferències internacionals

Tots els proveïdors de la llista de dalt tracten les dades dins de l'Espai Econòmic Europeu, i és el criteri amb què els triem. Tot i això, algun forma part d'un grup amb seu fora de l'Espai i pot tractar dades als seus centres: quan passa, es fa amb les clàusules contractuals tipus que aprova la Comissió Europea, que és la garantia que exigeix el Reglament.

La còpia de seguretat que guardem fora del servidor és un cas a part i val la pena dir-ho clar: surt ja xifrada i la clau no la té el destí, així que qui la custodia no pot llegir-ne el contingut.

Si algun dia canviem un proveïdor per un altre amb un règim diferent, us ho direm abans i podreu oposar-vos-hi, com amb qualsevol subencarregat.

Auditoria

Podeu demanar-nos la informació necessària per demostrar que complim aquest contracte. Contesteu a info@tesora.es i us l'enviarem.