Acord de tractament de dades

Versió: 2.1
Data: 4 d’agost de 2026
Entitat: B2Brouter Global, S.L.

1. Objecte i vinculació contractual

Aquest Acord de Tractament de Dades / Data Processing Agreement —d’ara endavant, el “DPA”— regula les condicions en què B2Brouter Global, S.L. —d’ara endavant, “B2Brouter”— tractarà dades personals per compte del client, entitat contractant, partner, integrador, distribuïdor o tercer que contracti o utilitzi els serveis de B2Brouter —d’ara endavant, el “Client”—.

Aquest DPA serà aplicable en el marc de la prestació dels serveis B2Brouter, B2Bconnector, eDocSync i altres serveis associats d’emissió, recepció, transformació, transmissió, conservació, seguiment i gestió de factures electròniques, documents electrònics, informes fiscals, integracions tècniques, suport, manteniment, monitoratge, seguretat i funcionalitats relacionades.

Aquest DPA forma part integrant dels contractes, condicions de servei, ordres de servei, annexos, propostes, acords comercials o qualssevol altres documents contractuals que l’incorporin expressament o per referència, sempre que B2Brouter tracti dades personals per compte del Client o de tercers en el marc dels serveis contractats.

No serà necessària la signatura separada del DPA quan la seva acceptació resulti d’aquests documents contractuals o de l’inici de la prestació de serveis que impliquin el tractament de dades personals per compte del Responsable.

2. Rols de les Parts

Amb caràcter general, el Client actuarà com a responsable del tractament i B2Brouter actuarà com a encarregat del tractament, de conformitat amb l’article 28 del Reglament (UE) 2016/679 —Reglament general de protecció de dades, d’ara endavant, “RGPD”— i la resta de normativa aplicable en matèria de protecció de dades.

No obstant això, quan el Client utilitzi els serveis de B2Brouter per prestar serveis als seus propis clients, usuaris, societats del grup, destinataris o tercers, inclosos els supòsits de marca blanca “eDocSync”, revenda, intermediació, integració, delegació, prestació del servei sota la marca del Client o serveis oferts als clients finals del Client, les Parts reconeixen que el Client podrà actuar, segons correspongui, com a responsable del tractament o com a encarregat del tractament davant d’aquests tercers.

En aquests supòsits, B2Brouter actuarà com a encarregat del tractament o, quan el Client actuï alhora com a encarregat davant d’un tercer responsable del tractament, com a subencarregat del tractament, de conformitat amb l’article 28 de l’RGPD.

Als efectes d’aquest DPA, les referències al Responsable inclouran el Client quan actuï com a responsable del tractament i, quan escaigui, el tercer responsable del tractament per compte del qual actuï el Client. Les referències a l’Encarregat inclouran B2Brouter quan actuï com a encarregat o subencarregat del tractament.

3. Serveis en modalitat de marca blanca “eDocSync”, revenda o integració

Quan el Client utilitzi els serveis de B2Brouter per prestar serveis a tercers, inclosos els supòsits de marca blanca “eDocSync”, revenda, integració, intermediació, delegació o prestació del servei sota la marca del Client, el Client serà responsable de disposar de les autoritzacions, instruccions, bases jurídiques, contractes, acords de tractament de dades, informacions i consentiments que siguin necessaris davant dels seus propis clients, usuaris, destinataris o tercers.

El Client garanteix que els seus contractes, condicions de servei, polítiques de privacitat, acords de tractament de dades o documentació equivalent permeten la intervenció de B2Brouter en la prestació dels serveis i, quan correspongui, la seva designació com a encarregat o subencarregat del tractament.

La prestació dels serveis en modalitat de marca blanca “eDocSync” no eximeix el Client del compliment de les seves obligacions de transparència, informació, autorització de subencarregats, base jurídica, seguretat, atenció dels drets de les persones interessades i altres obligacions que li corresponguin d’acord amb la normativa aplicable en matèria de protecció de dades.

Quan B2Brouter actuï com a subencarregat del tractament, el Client serà responsable de traslladar a B2Brouter únicament instruccions lícites i compatibles amb les instruccions rebudes del responsable del tractament corresponent.

4. Naturalesa, finalitat i durada del tractament

La naturalesa, finalitat, categories de dades personals, categories de persones interessades i altres detalls del tractament es descriuen a l’Annex I — Detall del tractament.

El tractament tindrà la mateixa durada que la relació contractual entre B2Brouter i el Client, llevat que sigui necessari conservar determinades dades bloquejades durant un termini superior per complir obligacions legals, fiscals, comptables o reguladores, o per a la formulació, l’exercici o la defensa de reclamacions.

Un cop finalitzada la prestació dels serveis, B2Brouter retornarà, suprimirà o posarà a disposició del Client les dades personals tractades per compte d’aquest, d’acord amb el que preveuen el contracte principal, aquest DPA i la normativa aplicable.

5. Instruccions del Responsable

B2Brouter tractarà les dades personals únicament seguint instruccions documentades del Client.

Es consideraran instruccions documentades del Client les previstes en:

el contracte principal subscrit o acceptat entre les Parts;
aquest DPA;
els annexos, ordres de servei, condicions particulars o documents contractuals aplicables;
les configuracions efectuades pel Client a la plataforma;
les instruccions facilitades pel Client a través dels canals oficials de suport, integració o comunicació habilitats per B2Brouter;
les instruccions derivades de l’ús ordinari dels serveis contractats.

B2Brouter no utilitzarà les dades personals per a finalitats pròpies o diferents de la prestació dels serveis, llevat que una norma de la Unió Europea o del dret d’un Estat membre l’obligui a tractar-les. En aquest cas, B2Brouter informarà el Responsable d’aquesta obligació jurídica abans del tractament, llevat que el dret aplicable prohibeixi aquesta informació per raons importants d’interès públic.

Si B2Brouter considera que una instrucció del Client infringeix la normativa aplicable en matèria de protecció de dades, n’informarà el Client, llevat que una norma aplicable prohibeixi aquesta comunicació.

6. Obligacions del Client i del Responsable

El Client i, quan escaigui, el Responsable seran responsables de:

garantir que el tractament de dades personals disposa d’una base jurídica vàlida;
informar les persones interessades d’acord amb la normativa aplicable;
garantir l’exactitud, licitud, actualització, pertinència i minimització de les dades personals facilitades o gestionades a través dels serveis;
obtenir, quan escaigui, els consentiments, autoritzacions, mandats, instruccions o bases legals necessaris;
atendre els drets de les persones interessades, excepte en aquells aspectes en què requereixi l’assistència raonable de B2Brouter;
determinar la finalitat i els mitjans essencials del tractament;
garantir que les instruccions facilitades a B2Brouter són lícites i conformes amb la normativa aplicable;
dur a terme, quan escaigui, avaluacions d’impacte, anàlisis de riscos o consultes prèvies davant l’autoritat de control competent;
garantir que les dades personals introduïdes, carregades, transmeses o gestionades a través dels serveis no inclouen categories especials de dades personals, llevat que hi hagi una base jurídica suficient i s’hagin acordat, si escau, mesures addicionals adequades;
garantir, en supòsits de marca blanca “eDocSync”, revenda, integració o intermediació, que disposa d’autorització suficient per designar B2Brouter com a encarregat o subencarregat del tractament.

B2Brouter no serà responsable de la manca, insuficiència o incorrecció de la base jurídica, informació, autorització, consentiment, mandat, instrucció o documentació que correspongui al Client o al responsable del tractament.

7. Obligacions de B2Brouter

B2Brouter es compromet a:

tractar les dades personals únicament d’acord amb les instruccions documentades del Client;
no aplicar ni utilitzar les dades personals per a finalitats diferents de les previstes en el contracte i en aquest DPA;
no comunicar les dades personals a tercers excepte en els supòsits previstos en aquest DPA, en el contracte, per instrucció del Client o per obligació legal;
garantir que les persones autoritzades per tractar dades personals estan subjectes a obligacions adequades de confidencialitat;
aplicar mesures tècniques i organitzatives adequades per garantir un nivell de seguretat adequat al risc;
assistir raonablement el Client en el compliment de les seves obligacions en matèria de protecció de dades, en els termes previstos en aquest DPA;
notificar al Client les violacions de seguretat de les dades personals de què tingui coneixement, d’acord amb el que preveu aquest DPA;
posar a disposició del Client la informació raonablement necessària per demostrar el compliment de les obligacions previstes en l’article 28 de l’RGPD;
suprimir, retornar o posar a disposició les dades personals en finalitzar la prestació dels serveis, d’acord amb el que preveu aquest DPA;
exigir als seus subencarregats les mateixes obligacions de protecció de dades establertes en aquest DPA, de conformitat amb l’article 28.4 de l’RGPD.

8. Confidencialitat

B2Brouter garantirà que les persones autoritzades per tractar dades personals estiguin subjectes a obligacions adequades de confidencialitat.

L’obligació de confidencialitat subsistirà fins i tot després de finalitzar la relació contractual entre les Parts.

B2Brouter adoptarà mesures raonables per limitar l’accés a les dades personals únicament al personal, col·laboradors, proveïdors, societats del grup o subencarregats que necessitin accedir-hi per prestar els serveis.

El Client estarà obligat a respectar la confidencialitat de la documentació, mesures de seguretat, processos interns, informació tècnica, secrets empresarials, informes, evidències o documentació de compliment facilitada per B2Brouter en el marc d’aquest DPA.

9. Mesures tècniques i organitzatives

B2Brouter aplicarà mesures tècniques i organitzatives adequades per protegir les dades personals davant la destrucció, pèrdua, alteració, divulgació o accés no autoritzat, accidental o il·lícit.

Aquestes mesures podran incloure, entre d’altres, controls d’accés, mecanismes d’autenticació, xifratge de les comunicacions, segregació lògica, còpies de seguretat, monitoratge, gestió d’incidències, registre d’activitat, polítiques internes de seguretat, mesures de continuïtat del servei i procediments de recuperació.

Les mesures tècniques i organitzatives aplicables es descriuen a Technical and Organisational Measures / TOMs.

El Client reconeix que les mesures de seguretat podran evolucionar durant la vigència del contracte, sempre que aquestes actualitzacions no comportin una reducció material del nivell de seguretat compromès.

Els objectius específics de disponibilitat, suport, continuïtat, RTO, RPO o nivells de servei es regularan, si escau, en el contracte principal, en l’SLA aplicable o en les condicions particulars acordades amb el Client.

10. Subencarregats del tractament

El Responsable atorga a B2Brouter una autorització general per recórrer a subencarregats del tractament quan sigui necessari per prestar els serveis, sempre que aquests subencarregats estiguin subjectes a obligacions de protecció de dades substancialment equivalents a les previstes en aquest DPA.

La llista de subencarregats autoritzats s’inclou a l’Annex II — Subencarregats del tractament o es posarà a disposició del Client mitjançant una pàgina web, comunicació contractual, documentació de compliment o qualsevol altre mitjà raonablement accessible.

B2Brouter informarà el Client de qualsevol incorporació o substitució significativa de subencarregats amb una antelació raonable, quan aquesta comunicació sigui exigible d’acord amb la normativa aplicable.

El Client podrà oposar-se raonablement a la incorporació d’un nou subencarregat quan hi hagi motius fonamentats relacionats amb la protecció de dades personals. L’oposició s’haurà de formular per escrit dins del termini indicat per B2Brouter o, si no n’hi ha, dins dels deu (10) dies hàbils següents a la notificació.

Si l’oposició del Client és raonable i no es pot resoldre mitjançant mesures alternatives, les Parts negociaran de bona fe una solució. Si no és possible assolir una solució, el Client podrà resoldre els serveis afectats, sens perjudici de les quantitats meritades fins a la data efectiva de terminació.

B2Brouter continuarà sent responsable davant del Client del compliment de les obligacions de protecció de dades dels seus subencarregats en els termes establerts per l’article 28 de l’RGPD.

11. Societats del grup B2Brouter / team.blue

B2Brouter podrà recórrer a societats pertanyents al seu grup empresarial, incloses, si escau, societats del grup team.blue o entitats afiliades, per prestar serveis interns, tècnics, administratius, de seguretat, suport, infraestructura, monitoratge, gestió corporativa o serveis auxiliars necessaris per a la prestació, manteniment, seguretat o millora dels serveis contractats.

Quan aquestes entitats accedeixin a dades personals o les tractin per compte de B2Brouter en el marc dels serveis prestats al Client, actuaran com a subencarregats del tractament i quedaran subjectes a obligacions de protecció de dades substancialment equivalents a les previstes en aquest DPA, de conformitat amb l’article 28 de l’RGPD.

La identificació concreta de les societats del grup que actuïn com a subencarregats, així com la descripció dels serveis prestats, s’inclourà en la llista de subencarregats aplicable quan sigui necessari d’acord amb la normativa de protecció de dades.

La mera pertinença de B2Brouter a un grup empresarial no implica, per si sola, que totes les societats del grup tinguin accés a dades personals tractades per compte del Client.

12. Transferències internacionals

B2Brouter no efectuarà transferències internacionals de dades personals fora de l’Espai Econòmic Europeu llevat que:

hi hagi una decisió d’adequació aplicable;
s’hagin adoptat garanties adequades de conformitat amb l’RGPD, incloses, si escau, clàusules contractuals tipus aprovades per la Comissió Europea;
sigui aplicable una excepció prevista en la normativa de protecció de dades;
hi hagi una instrucció documentada del Client; o
hi hagi una obligació legal aplicable.

Quan sigui necessari, B2Brouter adoptarà mesures complementàries raonables per garantir un nivell de protecció adequat, de conformitat amb la normativa aplicable.

13. Violacions de seguretat de les dades personals

B2Brouter notificarà al Client, sense dilació indeguda, qualsevol violació de seguretat de les dades personals de què tingui coneixement i que afecti dades personals tractades per compte del Client.

B2Brouter procurarà efectuar la primera notificació dins de les quaranta-vuit (48) hores següents a tenir coneixement de la violació.

La notificació inclourà, en la mesura que la informació estigui disponible:

la naturalesa de la violació de seguretat;
les categories i el nombre aproximat de persones interessades afectades, quan sigui possible;
les categories i el nombre aproximat de registres afectats, quan sigui possible;
les possibles conseqüències de la violació de seguretat;
les mesures adoptades o proposades per corregir o mitigar-ne els efectes;
el punt de contacte per obtenir informació addicional.

B2Brouter podrà facilitar aquesta informació de manera gradual quan no disposi de tots els detalls en el moment de la primera notificació.

Correspondrà al Client determinar si escau notificar la violació de seguretat a l’autoritat de control o a les persones interessades, llevat que B2Brouter estigui legalment obligat a efectuar alguna comunicació directa.

Les comunicacions relatives a violacions de seguretat de les dades personals es faran a través dels canals de contacte designats per les Parts. A aquests efectes, B2Brouter podrà utilitzar l’adreça de correu electrònic de contacte facilitada pel Client en el contracte, a la plataforma o en els canals oficials de suport.

El Client podrà comunicar qüestions relacionades amb protecció de dades o violacions de seguretat a B2Brouter a través de les adreces ciso@b2brouter.net o dpo@b2brouter.net, o de qualsevol altra adreça que B2Brouter comuniqui o publiqui a aquest efecte.

14. Assistència al Client i drets de les persones interessades

Tenint en compte la naturalesa del tractament i la informació disponible, B2Brouter assistirà raonablement el Client en el compliment de les seves obligacions en matèria de protecció de dades, en particular respecte de:

l’atenció dels drets d’accés, rectificació, supressió, oposició, limitació, portabilitat i decisions individuals automatitzades;
la seguretat del tractament;
la gestió de violacions de seguretat;
les avaluacions d’impacte relatives a la protecció de dades;
les consultes prèvies davant les autoritats de control, quan escaigui.

Si B2Brouter rep directament una sol·licitud d’exercici de drets d’una persona interessada en relació amb dades personals tractades per compte del Client, ho comunicarà al Client, llevat que estigui legalment impedit de fer-ho.

B2Brouter no respondrà directament a la sol·licitud, llevat que el Client així ho instrueixi o hi hagi una obligació legal aplicable.

Quan l’assistència sol·licitada excedeixi el suport ordinari inclòs en els serveis contractats, B2Brouter podrà repercutir al Client els costos raonables derivats d’aquesta assistència, després d’haver-ne informat el Client.

15. Auditories i verificació del compliment

B2Brouter posarà a disposició del Client la informació raonablement necessària per demostrar el compliment de les obligacions previstes en l’article 28 de l’RGPD.

Sempre que sigui possible, aquesta verificació es farà mitjançant el lliurament de documentació de seguretat, certificacions, informes d’auditoria, qüestionaris de compliment, polítiques internes, evidències raonables o documentació equivalent.

Qualsevol auditoria presencial, tècnica o documental haurà de:

sol·licitar-se amb una antelació mínima de trenta (30) dies;
limitar-se a l’abast estrictament necessari per verificar el compliment d’aquest DPA;
fer-se durant l’horari laboral ordinari de B2Brouter;
no interferir materialment en la prestació dels serveis;
estar subjecta a obligacions estrictes de confidencialitat;
no comprometre la seguretat, disponibilitat o integritat dels sistemes de B2Brouter, d’altres clients o de tercers.

Llevat d’obligació legal, requeriment d’una autoritat competent o incident de seguretat degudament justificat, el Client no podrà efectuar més d’una auditoria per any natural.

Les auditories no podran implicar accés a codi font, secrets empresarials, informació confidencial d’altres clients, dades de tercers, infraestructura compartida, documentació interna sensible, arquitectures de seguretat detallades o qualsevol informació la divulgació de la qual pugui comprometre la seguretat de B2Brouter, dels seus clients o dels seus proveïdors.

Les proves de penetració, escanejos de vulnerabilitats, anàlisis tècniques intrusives o qualsevol prova sobre els sistemes de B2Brouter requeriran l’autorització prèvia i per escrit de B2Brouter, així com l’acceptació de les condicions tècniques i de seguretat aplicables.

Quan l’auditoria, revisió o sol·licitud de verificació requereixi la dedicació específica de personal de B2Brouter, acompanyament tècnic o jurídic, reunions addicionals, preparació de documentació ad hoc, suport durant l’auditoria, intervenció de tercers o qualsevol altra actuació que excedeixi la posada a disposició de documentació estàndard de compliment, B2Brouter podrà repercutir al Client els costos raonables derivats d’aquesta assistència, prèvia comunicació al Client i, quan escaigui, acceptació del pressupost corresponent.

16. Devolució, supressió i conservació

En finalitzar la prestació dels serveis, B2Brouter, a elecció del Responsable i llevat d’obligació legal de conservació, retornarà, suprimirà o posarà a disposició del Client les dades personals tractades per compte d’aquest.

B2Brouter podrà conservar les dades personals degudament bloquejades quan sigui necessari per complir obligacions legals, fiscals, comptables o reguladores, o per a la formulació, l’exercici o la defensa de reclamacions. Durant aquest període, les dades no s’utilitzaran per a finalitats incompatibles amb la causa que en justifiqui la conservació.

Un cop finalitzats els terminis legals aplicables, B2Brouter suprimirà definitivament les dades personals, llevat que hi hagi una altra base jurídica que en justifiqui la conservació.

La devolució o exportació de dades es farà en els formats, terminis i condicions previstos en el contracte principal, a la plataforma o en la normativa aplicable. Els compromisos comercials d’arxiu, accés posterior a la terminació i portabilitat es regularan, quan escaigui, en una addenda separada al contracte principal.

17. Responsabilitat

Cada Part serà responsable del compliment de les obligacions que li corresponguin d’acord amb la normativa aplicable en matèria de protecció de dades.

El Client serà responsable de la licitud del tractament, de l’exactitud de les dades, de la informació facilitada a les persones interessades, de l’existència d’una base jurídica vàlida, de les instruccions donades a B2Brouter i, quan escaigui, de disposar d’autorització suficient per designar B2Brouter com a encarregat o subencarregat del tractament.

B2Brouter serà responsable del compliment de les seves obligacions com a encarregat o subencarregat del tractament en els termes previstos en l’RGPD, el contracte principal i aquest DPA.

La responsabilitat de les Parts es regirà pel que preveu el contracte principal, sens perjudici de les responsabilitats que no es puguin limitar d’acord amb la normativa aplicable.

18. Actualització, control de versions i subencarregats

B2Brouter podrà actualitzar aquest DPA, les TOMs i la llista de subencarregats quan sigui necessari per reflectir canvis normatius, tècnics, organitzatius, de seguretat, d’infraestructura, de proveïdors o relatius a la prestació dels serveis.

B2Brouter informarà el Client de les modificacions rellevants quan així ho exigeixi la normativa aplicable o quan aquestes modificacions puguin afectar materialment el tractament de dades personals per compte del Client.

Les actualitzacions no comportaran una reducció material del nivell de protecció, seguretat o garanties aplicables al tractament de dades personals.

19. Prevalença

En cas de contradicció entre aquest DPA i el contracte principal en matèries específicament relatives al tractament de dades personals per compte del Client, prevaldrà aquest DPA.

En cas de contradicció relativa a les mesures tècniques i organitzatives de seguretat aplicables al tractament de dades personals, prevaldran les TOMs, llevat que el contracte principal estableixi expressament una obligació més específica o restrictiva.

En la resta de matèries, prevaldrà el contracte principal, llevat que les Parts acordin expressament una altra cosa per escrit.

20. Vigència i acceptació

Aquest DPA forma part integrant de les Condicions Generals, contractes, ordres de servei, propostes o altres documents contractuals que l’incorporin expressament o per referència.

El DPA serà aplicable des de la data en què el Client accepti les Condicions Generals o el document contractual que l’incorpori, o des del moment en què B2Brouter comenci a tractar dades personals per compte del Client, el que succeeixi abans. No serà necessària la signatura separada d’aquest DPA.

B2Brouter mantindrà disponible al seu lloc web la versió vigent del DPA, degudament identificada mitjançant el número de versió i la data de publicació. Les actualitzacions es regiran pel que disposa l’article 18.

El DPA romandrà vigent mentre B2Brouter tracti dades personals per compte del Client, independentment que actuï com a encarregat o com a subencarregat del tractament.

Les obligacions que, per la seva naturalesa, hagin de subsistir després de la finalització de la relació contractual, incloses les obligacions de confidencialitat, seguretat, devolució, supressió o bloqueig de dades, cooperació en matèria de protecció de dades i responsabilitat, romandran vigents durant els terminis legalment aplicables.

21. Llei aplicable i jurisdicció

Aquest DPA es regirà per la legislació espanyola i per la normativa de la Unió Europea aplicable en matèria de protecció de dades.

Les controvèrsies derivades d’aquest DPA se sotmetran a la jurisdicció prevista en el contracte principal, llevat que la normativa aplicable estableixi una altra competència imperativa.

ANNEX I DETALL DEL TRACTAMENT

1. Responsable del tractament

El Client o, en supòsits de marca blanca “eDocSync”, revenda, integració o intermediació, el tercer responsable del tractament per compte del qual actuï el Client.

2. Encarregat del tractament

B2Brouter Global, S.L., quan tracti dades personals per compte del Client responsable.

Quan el Client actuï com a encarregat davant d’un tercer responsable del tractament, B2Brouter actuarà com a subencarregat del tractament.

3. Objecte del tractament

Prestació de serveis tecnològics d’emissió, recepció, transformació, transmissió, conservació, seguiment i gestió de factures electròniques, documents electrònics, informes fiscals i comunicacions relacionades, així com serveis d’integració, suport, manteniment, seguretat, monitoratge i funcionalitats associades.

4. Durada del tractament

La durada del tractament coincidirà amb la vigència del contracte principal i, si escau, amb els terminis addicionals necessaris per a la conservació, bloqueig, devolució o supressió de les dades d’acord amb la normativa aplicable.

5. Naturalesa del tractament

El tractament podrà incloure, entre d’altres, les operacions següents:

accés;
registre;
emmagatzematge;
estructuració;
conservació;
consulta;
transmissió;
comunicació a destinataris o autoritats, quan correspongui;
transformació de formats;
validació tècnica;
generació d’evidències o registres;
suport i resolució d’incidències;
monitoratge i seguretat;
supressió, bloqueig o devolució.

6. Finalitat del tractament

La finalitat del tractament és permetre la prestació dels serveis contractats pel Client, inclosa la gestió de factures electròniques, documents electrònics, informes fiscals, comunicacions associades, integracions tècniques, suport, seguretat, traçabilitat, conservació i compliment d’obligacions legals o reguladores relacionades amb els serveis.

7. Categories de persones interessades

Les categories de persones interessades les dades personals de les quals es podran tractar en el marc dels serveis inclouen, segons l’ús que el Client faci de la plataforma:

usuaris autoritzats del Client;
empleats, representants, administradors, col·laboradors o persones de contacte del Client;
clients, proveïdors, destinataris o emissors de factures, documents electrònics o comunicacions gestionades a través dels serveis;
representants legals, signants, persones de contacte o interlocutors inclosos en factures, documents electrònics, informes fiscals o comunicacions;
tercers les dades dels quals puguin figurar en documents, annexos, factures, comunicacions o fitxers carregats, transmesos o gestionats pel Client a través dels serveis;
usuaris, empleats, representants, clients, proveïdors, destinataris, emissors de factures, persones de contacte o tercers vinculats als clients finals del Client, especialment quan els serveis es prestin en modalitat de marca blanca “eDocSync”, revenda, integració o intermediació.

8. Categories de dades personals

Les categories de dades personals podran incloure, segons correspongui:

dades identificatives, inclosos el nom, cognoms, denominació social, NIF, NIE, VAT, SIREN i identificadors fiscals o equivalents;
dades de contacte, incloses l’adreça postal, adreça electrònica, telèfon i persona de contacte;
dades professionals, inclosos el càrrec, departament, empresa, funció o rol d’usuari;
dades econòmiques, bancàries, fiscals, comptables o transaccionals incloses en factures, documents electrònics, informes fiscals o comunicacions relacionades;
dades d’accés i ús de la plataforma, inclosos identificadors d’usuari, adreces IP, registres d’activitat, logs, marques temporals i metadades tècniques;
dades incloses en factures, annexos, documents, fitxers o comunicacions carregats, generats, transmesos o gestionats pel Client;
dades de signatura, certificats, evidències, identificadors tècnics o metadades quan siguin necessaris per prestar el servei.

No està previst que el Client introdueixi categories especials de dades personals en els serveis. Si el Client introdueix aquestes categories de dades, serà responsable de garantir l’existència d’una base jurídica vàlida i d’informar prèviament B2Brouter quan sigui necessari adoptar mesures addicionals.

9. Tractaments especials

B2Brouter no duu a terme, per compte del Responsable, decisions individuals automatitzades que produeixin efectes jurídics o afectin significativament les persones interessades.

ANNEX II SUBENCARREGATS DEL TRACTAMENT

Les eines utilitzades per B2Brouter per a la gestió comercial, CRM, elaboració de pressupostos, prospecció, màrqueting corporatiu o gestió de la relació contractual amb els seus propis clients, quan no impliquin el tractament de dades personals per compte del Client en el marc dels serveis contractats, no tindran la consideració de subencarregats del tractament als efectes d’aquest DPA.

En aquests casos, B2Brouter actuarà com a responsable del tractament respecte d’aquestes dades, i els proveïdors utilitzats per a aquestes finalitats actuaran, si escau, com a encarregats del tractament de B2Brouter d’acord amb la normativa aplicable.

La llista següent identifica els subencarregats que podran intervenir en la prestació dels serveis, sempre que tinguin accés a dades personals o les tractin per compte de B2Brouter.

Denominació social	País d’establiment	Servei prestat	Ubicació / tractament
Hetzner Online GmbH	Alemanya	Infraestructura, allotjament, servidors, còpies de seguretat o serveis tècnics associats.	Alemanya / Unió Europea.
Scaleway SAS	França	Infraestructura de contingència, recuperació, còpies de seguretat, DRP o serveis tècnics associats.	França / Unió Europea.
Amazon Web Services EMEA SARL / AWS	Luxemburg	Emmagatzematge, arxiu, còpies de seguretat, serveis cloud o serveis tècnics associats, quan sigui aplicable.	Alemanya i França / Unió Europea
Team.blue NV	Bèlgica	Serveis interns, tècnics, administratius, de seguretat, suport, monitoratge, gestió corporativa o serveis auxiliars necessaris per a la prestació dels serveis.	Bèlgica / Unió Europea

La mera pertinença de B2Brouter a un grup empresarial no implica que totes les societats del grup tinguin accés a dades personals tractades per compte del Client. Només tindran la consideració de subencarregats les entitats que efectivament tractin o puguin accedir a dades personals per compte de B2Brouter en el marc de la prestació dels serveis.

B2Brouter podrà actualitzar aquesta llista de subencarregats d’acord amb el que preveu aquest DPA.