Aquest document està disponible en castellà i en anglès. Es mostra la versió en castellà, que és la vinculant.

Contrato de encargo del tratamiento (DPA) — portal y API de AccesPub

Versión 1.2 · en vigor desde el 6 de noviembre de 2026 · novedad: detalle de lo que se envía a la IA en cada propuesta (anexo, naturaleza del tratamiento)

Este contrato regula cómo ab serveis trata, por cuenta de la organización cliente, los datos personales que esta sube o genera en el portal y la API de AccesPub, tal como exige el artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes y objeto

Responsable del tratamiento: la organización que contrata el portal o la API de AccesPub (en adelante, «el Cliente»), identificada en su contrato, presupuesto o pedido. Si el Cliente trata los datos por cuenta de otra entidad (por ejemplo, una empresa de servicios que remedia los libros de sus clientes), actúa como encargado y se aplica además el apartado 5.
Encargado del tratamiento: Alberto Barajas González, que opera con la marca ab serveis, NIF 46629726D, Joan Miró, 19 — 08319 Dosrius (Barcelona), info@abserveis.net (en adelante, «ab serveis»).

El objeto es prestar el servicio de remediación de accesibilidad de libros electrónicos (EPUB): análisis, correcciones automáticas, propuestas de la IA, revisión humana y generación del EPUB accesible, sus informes y el ONIX de accesibilidad.

2. Cláusulas contractuales tipo de la Comisión Europea

Las partes incorporan a este contrato, por referencia y sin modificarlas, las cláusulas contractuales tipo entre responsables y encargados del tratamiento aprobadas por la Decisión de Ejecución (UE) 2021/915 de la Comisión, de 4 de junio de 2021 (sección I, cláusulas 1 a 6, y secciones II y III, cláusulas 7 a 10). Esas cláusulas cumplen los requisitos del artículo 28, apartados 3 y 4, del RGPD.

Para completarlas, las partes eligen y concretan:

Cláusula 5 (acoplamiento): no se aplica.
Cláusula 7.7 (subencargados): opción 2, autorización general por escrito. El Cliente autoriza a los subencargados de la lista publicada. ab serveis avisará por correo a la administración de la organización, con al menos 30 días de antelación, de cualquier alta o sustitución, y actualizará la lista. Si el Cliente se opone por motivos razonables relacionados con la protección de datos y no se encuentra una alternativa, podrá resolver el contrato sin penalización.
Cláusula 9 (violaciones de la seguridad): ab serveis notificará al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia de ella.
Los anexos I a III son los apartados siguientes de este contrato. El anexo IV no se usa porque se aplica la opción 2 de la cláusula 7.7.

En caso de contradicción entre este contrato y las cláusulas contractuales tipo, prevalecen las cláusulas.

Clientes de fuera del Espacio Económico Europeo. Si el Cliente está establecido fuera del EEE, ab serveis trata los datos en la UE conforme al RGPD. En la medida en que ab serveis envíe datos personales al Cliente (por ejemplo, al descargar los resultados), se aplican además las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, módulo cuatro (de encargado a responsable).

3. Aceptación y vigencia

Este contrato forma parte del contrato de servicio del portal y la API de AccesPub, regido por sus condiciones del servicio. Se acepta al firmar el contrato, el presupuesto o el pedido que remita a él, o al activar la organización en el portal. A petición del Cliente, ab serveis le enviará una copia firmada electrónicamente con el anexo I completado.

Está vigente mientras ab serveis trate datos por cuenta del Cliente. Las obligaciones de confidencialidad continúan después de su finalización.

4. Fin del servicio: devolución y borrado

Antes de terminar, el Cliente puede descargar sus EPUB, informes, ONIX y manifiestos desde el portal o la API. En los 30 días siguientes al fin del contrato, ab serveis borrará los datos del Cliente, salvo los que la ley obligue a conservar; las copias de seguridad se eliminan al cumplir su plazo de 14 días. A petición, ab serveis confirmará el borrado por escrito.

5. Clientes que tratan datos por cuenta de terceros (subencargo)

Este apartado se aplica cuando el Cliente usa AccesPub para tratar datos personales por cuenta de otra entidad que es la responsable del tratamiento (en adelante, «el Responsable final»): por ejemplo, una empresa de servicios editoriales que remedia los libros de las editoriales o los autores que la contratan.

Posición de las partes. El Cliente actúa como encargado del Responsable final y ab serveis como subencargado del Cliente (artículo 28, apartados 2 y 4, del RGPD). Este contrato es el contrato de subencargo entre ambos. En las cláusulas contractuales tipo incorporadas, el Cliente ocupa la posición de «responsable», y sus instrucciones a ab serveis deben ajustarse a las que reciba del Responsable final.
Autorización. Antes de subir los ficheros de un Responsable final, el Cliente debe contar con su autorización, específica o general por escrito, para recurrir a ab serveis y a los subencargados de la lista publicada. El Cliente informa al Responsable final de la identidad de ab serveis y de esos subencargados.
Obligaciones equivalentes. El Cliente comprueba que este contrato impone a ab serveis obligaciones de protección de datos al menos equivalentes a las que él tiene con el Responsable final. Si su contrato con el Responsable final le exige más (por ejemplo, plazos de notificación más cortos o una ubicación de los datos determinada), el Cliente debe comunicarlo a ab serveis antes de subir sus ficheros; si ab serveis no puede cumplirlo, el Cliente no usará el servicio para esos datos.
Cambios de subencargados. El Cliente traslada al Responsable final, sin demora, los avisos de altas o sustituciones de subencargados que reciba de ab serveis (cláusula 7.7, con 30 días de antelación). Si el Responsable final se opone por motivos razonables, el Cliente puede dejar de tratar sus datos en AccesPub o resolver el contrato sin penalización, en los términos de la cláusula 7.7.
Relación con el Responsable final. ab serveis se relaciona solo con el Cliente: recibe sus instrucciones, le notifica las violaciones de la seguridad (en 48 horas) y le presta la asistencia de las cláusulas 7 a 9 para que él, a su vez, asista al Responsable final. ab serveis no atiende directamente al Responsable final salvo que lo exija la ley o que el Cliente haya desaparecido de hecho o jurídicamente; en ese caso, el Responsable final puede ejercer frente a ab serveis los derechos de este contrato, incluido el de pedir la devolución y el borrado de sus datos.
Información y auditorías. Las solicitudes de información o de auditoría del Responsable final se canalizan a través del Cliente. ab serveis facilita al Cliente la información necesaria para demostrar el cumplimiento (cláusula 7.6).
Responsabilidad. El Cliente responde ante el Responsable final del cumplimiento de ab serveis, como establece el artículo 28.4 del RGPD, sin perjuicio de lo que el Cliente y ab serveis se deban según este contrato y las condiciones del servicio.
Fin del encargo de un Responsable final. Cuando termine su relación con un Responsable final, el Cliente borra sus títulos y lotes en el portal o la API (el borrado elimina los ficheros; las copias de seguridad desaparecen a los 14 días). Se recomienda organizar los lotes por Responsable final para facilitarlo.
Lista de responsables. El Cliente mantiene la lista de los Responsables finales por cuenta de los cuales trata datos en AccesPub y la facilita a ab serveis si se la pide para atender una obligación legal o una incidencia.

Anexo I — Lista de partes

Responsable: el Cliente (nombre, NIF, dirección, persona de contacto y cargo, según su contrato). Firma y fecha: en el contrato, presupuesto o pedido, o en la copia firmada de este contrato. Si el Cliente trata datos por cuenta de terceros, actúa como encargado y la lista de Responsables finales la mantiene él (apartado 5).

Encargado: Alberto Barajas González (ab serveis), NIF 46629726D, Joan Miró, 19 — 08319 Dosrius (Barcelona). Contacto: Alberto Barajas González, titular, info@abserveis.net.

Anexo II — Descripción del tratamiento

Categorías de interesados

Personas que aparecen en el contenido de los libros: autoría, traducción, ilustración, fotografía y personas mencionadas o retratadas.
Personas usuarias del Cliente en el portal y la API: personal propio y revisores, incluidos los revisores externos que el Cliente invite.

Categorías de datos personales

Los que contenga el libro: nombres, imágenes, textos biográficos, dedicatorias y cualquier otro dato que el Cliente incluya en sus ficheros.
De las personas usuarias: nombre, correo, rol, decisiones de revisión con su autor y fecha, y mensajes de soporte.

Datos sensibles. AccesPub no busca ni clasifica datos de categorías especiales. Si el contenido de un libro los incluye (por ejemplo, unas memorias), se tratan con las mismas medidas y solo para la finalidad del servicio.

Naturaleza del tratamiento

Almacenamiento, análisis automático y conversión del EPUB.
Envío a la IA (Google Gemini, API de pago) de lo necesario para cada propuesta, solo cuando el Cliente lo pide (una persona usuaria solicita una propuesta, o el Cliente activa las propuestas de la IA para un lote o un título): para el texto alternativo, la imagen, el texto que la rodea en el libro (como máximo unos 300 caracteres antes y 300 después, o su pie de imagen) y el idioma; para el título de una tabla, el texto de la tabla y el que la rodea; para la descripción y las materias, un fragmento del libro (unos 4.000 caracteres) con su título. La IA propone; una persona decide.
Revisión humana en el portal o por la API.
Generación del EPUB accesible, sus informes y el ONIX de accesibilidad.
Envío de correos de servicio a las personas usuarias.
Envío de avisos automáticos (webhooks) con los datos del título o del lote a las direcciones que el propio Cliente configure, y enlaces de acceso al portal que pida su integración.

Finalidad. Prestar al Cliente el servicio de remediación de accesibilidad y las salidas asociadas. ab serveis no usa los datos para ningún otro fin ni para entrenar modelos de IA.

Duración y conservación

EPUB de títulos finalizados o fallidos: se borran 30 días después.
Títulos en revisión: hasta que se finalizan o el Cliente los borra.
Informes, validaciones y decisiones: mientras dure el contrato.
Copias de seguridad diarias: 14 días.
Al terminar el contrato: borrado en 30 días (apartado 4).

Anexo III — Medidas técnicas y organizativas

Cifrado en tránsito: todo el acceso es por HTTPS (TLS); el correo saliente usa conexión cifrada con el proveedor.
Cifrado en reposo: el volumen de datos del servidor está cifrado por el proveedor de alojamiento.
Acceso de personas usuarias: contraseñas guardadas como huella PBKDF2 con sal; sesiones con cookie HttpOnly y Secure que caducan tras 12 horas sin actividad y, como máximo, a los 7 días; protección contra falsificación de peticiones (CSRF); límite de intentos fallidos de acceso.
Permisos: roles (administración, gestión de lotes, revisión, revisión externa limitada a un lote) y separación estricta de los datos de cada organización en todas las consultas.
Claves de API: se guardan como huella; el secreto solo se muestra una vez; se pueden revocar.
Administración interna: consola separada con contraseña y doble factor (TOTP), accesible solo al titular.
Integridad del contenido: el HTML de los libros nunca se inserta tal cual en el portal; las vistas previas muestran solo texto.
Disponibilidad y recuperación: copias diarias del volumen (14 días) y procedimiento documentado de restauración.
Minimización: los correos del servicio son avisos sin el contenido de los libros ni de las solicitudes (todo se consulta en el portal); a la IA solo se envía lo necesario para cada propuesta; los EPUB se borran automáticamente a los 30 días de finalizar.
Registro y trazabilidad: cada decisión de revisión guarda quién y cuándo; se señalan patrones anómalos de revisión.
Organizativas: el tratamiento lo realiza únicamente el titular, sujeto a deber de confidencialidad; los subencargados están obligados por contrato a medidas equivalentes.

Subencargados

La lista vigente, con la ubicación y las garantías para las transferencias internacionales, está en Subencargados del tratamiento.

Contacto

Para cualquier cuestión sobre este contrato, para pedir la copia firmada o para notificar una incidencia: info@abserveis.net.

Torna a l’índex