Protección de datos para despachos
Este documento reúne lo que vuestro despacho necesita saber de Vesprada para cumplir el RGPD:
- para vuestro registro de actividades de tratamiento;
- para vuestra evaluación de impacto, si la hacéis;
- para atender a vuestros clientes.
No sustituye al contrato: el encargo del tratamiento (Anexo II de las condiciones del servicio) es lo que obliga.
Para cualquier cuestión sobre protección de datos: privacidad@vesprada.es.
1. Quién es quién
- Vuestro despacho es el responsable de los datos de vuestros clientes, de los asuntos y de vuestro equipo dentro de la plataforma. Decidís qué datos se guardan, para qué y quién los ve.
- Vesprada es vuestro encargado del tratamiento. Los trata solo para prestaros el servicio y siguiendo vuestras instrucciones, que son el contrato y la configuración que hacéis en la plataforma. Así lo dicen el art. 28 del RGPD y el encargo que habéis firmado.
- Lo que Vesprada trata para sus propios fines —vuestras cuentas de usuario, los accesos, el soporte, la facturación de la cuota— está en su política de privacidad, y no tenéis que incluirlo en vuestro registro.
2. Para vuestro registro de actividades
Podéis añadir la plataforma a los tratamientos que ya tengáis (gestión de clientes y asuntos, facturación, personal) con esta información:
| Campo | Lo que hay que poner |
|---|---|
| Encargado del tratamiento | Lo que hay que poner: VESPRADA, S.L.U., NIF [NIF], [domicilio social]. Contacto: privacidad@vesprada.es |
| Qué hace | Lo que hay que poner: Aloja y muestra los datos de los asuntos, los documentos, los correos archivados, la agenda, las tareas y la facturación del despacho; hace copias de seguridad; recibe los correos que el despacho reenvía a su dirección de archivo; y, si el despacho lo activa, remite sus registros de facturación a la Agencia Tributaria (Veri*Factu) |
| Subencargados | Lo que hay que poner: Los de la lista de subencargados, autorizados en el encargo (cl. 5) |
| Ubicación | Lo que hay que poner: Unión Europea: la base de datos y los documentos en Irlanda, las copias en Francia |
| Transferencias internacionales | Lo que hay que poner: Ninguna prevista. Si algún proveedor accede desde fuera del EEE, lo ampara el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo, como indica la lista de subencargados |
| Medidas de seguridad | Lo que hay que poner: Las del anexo de medidas del encargo; resumen en el apartado 4 |
| Plazo | Lo que hay que poner: Lo decide el despacho mientras dure el contrato. Al terminar, Vesprada os entrega todo y lo suprime (apartado 8) |
3. Qué datos e interesados
La plataforma no limita qué guarda el despacho, así que conviene que vuestro registro lo diga con la misma amplitud (encargo, cl. 2).
Datos:
- identificativos y de contacto;
- características personales y circunstancias sociales;
- académicos y profesionales;
- económicos;
- de categorías especiales, en particular de salud;
- relativos a condenas e infracciones penales;
- y cualquier otro que incluyan los documentos y comunicaciones de los asuntos.
Interesados:
- clientes y sus representantes;
- partes contrarias;
- testigos, peritos y demás intervinientes;
- procuradores y otros profesionales;
- contactos y proveedores del despacho;
- y vuestro propio equipo.
4. Cómo se protegen
| Medida | En qué consiste |
|---|---|
| Separación entre despachos | En qué consiste: Cada dato pertenece a un despacho, y la propia base de datos impide que nadie de otro lo vea, aunque la aplicación fallara. Se comprueba con pruebas automáticas en cada cambio |
| Acceso | En qué consiste: Cada persona con su cuenta, su rol y los permisos que decidís, por áreas: expedientes, facturación, contabilidad y gestión. Contraseñas que no se guardan, solo un resumen irreversible. Una sesión por dispositivo |
| Doble factor | En qué consiste: Un código de una app del móvil además de la contraseña. Cada persona puede activarlo, y el administrador puede exigirlo a todo el equipo. Lo hace cumplir la base de datos: con la contraseña sola no se ve nada |
| Trazabilidad | En qué consiste: El historial registra quién creó, cambió o borró cada dato y cuándo, y no se borra. Cada persona ve sus últimos accesos |
| Cifrado | En qué consiste: Toda la comunicación va cifrada, y los datos también en reposo |
| Copias | En qué consiste: Una copia cifrada cada noche, en otro proveedor de la UE, que no se puede borrar durante 90 días |
| Personal de Vesprada | En qué consiste: No tiene cuenta dentro de ningún despacho. Solo entra en vuestro espacio si lo pedís para una incidencia, queda registrado, y está obligado a confidencialidad y al secreto profesional (contrato, cl. 15) |
Lo que os toca configurar a vosotros, porque es vuestra decisión:
- Roles y permisos, en Gestión › Preferencias › Roles y permisos: quién ve lo económico, quién puede borrar, quién ve la agenda de los demás.
- El doble factor, en Gestión › Preferencias › Seguridad. Recomendamos exigirlo.
- Desactivar en Gestión › Equipo a quien deja el despacho, el mismo día.
- Revisar de vez en cuando el Historial y quién tiene acceso.
5. Si hacéis una evaluación de impacto
Decidir si la necesitáis os corresponde a vosotros como responsables (art. 35 RGPD y lista de la AEPD). Para un despacho suele pesar el tratamiento de datos penales y de salud; la escala depende de vuestro volumen. Si la hacéis, estos son los riesgos que Vesprada ha analizado y cómo los cubre:
| Riesgo | Cómo lo cubre la plataforma |
|---|---|
| Que otro despacho vea vuestros datos | Cómo lo cubre la plataforma: Separación en la propia base de datos y pruebas automáticas en cada cambio |
| Que alguien entre con la contraseña de una persona de vuestro equipo | Cómo lo cubre la plataforma: Doble factor, exigible a todo el despacho; registro de accesos; una sesión por dispositivo |
| Que el personal de Vesprada acceda sin motivo | Cómo lo cubre la plataforma: Sin cuenta en los despachos; acceso solo por incidencia y registrado; confidencialidad firmada |
| Que se pierdan datos | Cómo lo cubre la plataforma: Papelera, historial y copias diarias en otro proveedor, bloqueadas contra el borrado |
| Que la plataforma no esté disponible | Cómo lo cubre la plataforma: Copias en otro proveedor y procedimientos para restaurar o cambiar de proveedor |
| Que un correo malicioso archivado ejecute código | Cómo lo cubre la plataforma: Los correos se muestran aislados, sin poder ejecutar nada |
Si necesitáis más detalle para vuestra evaluación, pedídnoslo: os lo damos en quince días (encargo, cl. 10.1).
6. Cuando un cliente ejerce sus derechos
Os corresponde contestarle a vosotros. La plataforma os da las herramientas:
- Acceso y portabilidad: cada listado se exporta a Excel o PDF desde su pantalla. Si necesitáis todo lo del despacho, pedídnoslo: os lo entregamos sin coste, en formatos abiertos, en [cinco (5)] días laborables (contrato, cl. 11.3).
- Rectificación: cada ficha se corrige directamente.
- Supresión: se elimina desde la ficha. Para que su nombre y sus datos desaparezcan también del historial, Suprimir datos personales del historial, en Gestión › Historial. Las facturas y los apuntes económicos se conservan por obligación fiscal.
Si el cliente se dirige a Vesprada, os lo haremos llegar como muy tarde el día laborable siguiente y no le contestaremos el fondo (encargo, cl. 6).
7. Si hay una violación de seguridad
Vesprada os avisará en 48 horas como máximo desde que tenga conocimiento: por correo y, si es grave, también por teléfono. Os dará lo que se sepa de lo que exige el art. 33.3 del RGPD y os ayudará a notificar a la AEPD y a los afectados, si os toca (encargo, cl. 7). La notificación a la AEPD, en 72 horas, es vuestra.
8. Cuando termine el contrato
- Vuestro espacio queda en sólo lectura.
- Vesprada os entrega una exportación completa en [diez (10)] días laborables.
- Tenéis [treinta (30)] días para comprobarla.
- Después, se suprime todo de la plataforma y os enviamos un certificado.
- Las copias de seguridad se borran al vencer su retención, como mucho a los 90 días.
Así lo dicen el contrato (cl. 17) y el encargo (cl. 9).
9. Documentos
Versión del 29/10/2026.