Acuerdo de procesamiento de datos

El presente contrato de encargo de tratamiento de datos (el «DPA») se celebra entre:

• NEXT BP, sociedad por acciones simplificada con un capital de 100 €, inscrita en el Registro Mercantil de París con el número 920 753 233, con domicilio social en 127 rue de la Tour, 75016 París («NEXT BP» o el «Encargado del tratamiento»); y
• la persona jurídica que contrata una suscripción a Blast Audit o inicia una prueba gratuita (el «Cliente»).

Forma parte integrante de los Términos y Condiciones y del Contrato de Licencia de Usuario Final (CLUF) (conjuntamente, el «Contrato Principal»). Fija las condiciones en las que NEXT BP trata Datos Personales por cuenta del Cliente cuando presta Blast Audit: el complemento de Excel, el panel web, los conectores con el almacenamiento en línea del Cliente, el servidor MCP, el agente de encargos, la revisión de estados financieros, las listas PBC, los proyectos de análisis, la Academia Blast Audit y cualquier otra función de Blast Audit que NEXT BP añada y describa en el presente DPA (conjuntamente, el «Software»). Constituye el contrato exigido por el artículo 28 del RGPD.

El presente DPA se inspira en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, sin reproducirlas allí donde una cláusula lo indica: el Anexo 1 corresponde a sus anexos I y II, el Anexo 2 a su anexo III y el Anexo 3 a su anexo IV.

---

1. Definiciones

Los términos definidos por el RGPD (en particular «responsable del tratamiento», «encargado del tratamiento», «Datos Personales», «tratamiento», «Interesado», «Violación de Datos Personales» y «autoridad de control») tienen el significado que les atribuye el RGPD. Además:

• «RGPD» designa el Reglamento (UE) 2016/679, de 27 de abril de 2016.
• «Normativa Aplicable» designa el RGPD, la ley francesa n.º 78-17, de 6 de enero de 1978, relativa a la informática, los ficheros y las libertades, y cualquier otra disposición del Derecho de la Unión o de un Estado miembro en materia de protección de datos que se aplique al tratamiento.
• «Datos del Cliente» designa los documentos, archivos, imágenes, grabaciones de audio, textos, instrucciones, hojas de trabajo y resultados que el Cliente o sus Usuarios envían al Software o que el Software produce a partir de ellos, así como los Datos Personales que contienen. Los Datos de uso que permiten identificar a un Usuario forman parte de ellos.
• «Datos de uso» designa los datos relativos al uso del Software por los Usuarios, descritos en el artículo 2.5. Los totales de la organización que no permiten identificar a un Usuario, los datos de la medición del uso del producto a que se refiere el artículo 2.3, y los apuntes de facturación de créditos de inteligencia artificial y de páginas sometidas al reconocimiento óptico de caracteres a que se refiere el artículo 2.3, no forman parte de ellos. El volumen de créditos mostrado por miembro es un indicador de la vista del artículo 2.5, distinto de esos apuntes.
• «Subencargado» designa cualquier encargado del tratamiento al que NEXT BP recurre para llevar a cabo actividades de tratamiento de los Datos del Cliente por cuenta del Cliente.
• «Usuarios» designa las personas que el Cliente autoriza a utilizar el Software.
• «Anexos» designa los cuatro anexos del presente DPA, que forman parte integrante del mismo.

El presente DPA se lee e interpreta a la luz del RGPD. No puede interpretarse de manera contraria a los derechos y obligaciones establecidos en el RGPD ni de manera que menoscabe los derechos o libertades fundamentales de los Interesados.

---

2. Funciones y ámbito de aplicación

2.1 El Cliente es el responsable del tratamiento de los Datos Personales contenidos en los Datos del Cliente. Determina los fines del tratamiento y decide por sí solo qué documentos envían sus Usuarios al Software. Cuando el Cliente trate él mismo estos datos como encargado del tratamiento por cuenta de un tercero, NEXT BP actúa como su subencargado y el Cliente le transmite las instrucciones que recibe.

2.2 NEXT BP es encargado del tratamiento. Solo trata los Datos del Cliente para prestarle el Software, de conformidad con el presente DPA.

2.3 Datos ajenos al DPA. NEXT BP actúa como responsable del tratamiento independiente, y no en virtud del presente DPA, respecto de los datos necesarios para su propia actividad: cuentas y autenticación de los Usuarios, facturación, solicitudes de asistencia, seguridad del servicio, medición del uso del producto y relaciones comerciales. Estos datos se describen en la Política de privacidad.

La medición del uso del producto no comprende la consulta del uso por miembro. Esa consulta es el tratamiento del artículo 2.5, realizado por cuenta del Cliente.

La medición del uso del producto se realiza con PostHog (Anexo 3, parte B). NEXT BP le transmite, vinculados al identificador del Usuario, eventos de uso del producto, de facturación, de correo electrónico y de consumo de IA, sin contenido de documentos. El detalle por miembro (nombre, dirección de correo electrónico e indicadores del artículo 2.5) y los eventos de uso registrados por cuenta del Cliente, así como sus agregados, no se le transmiten. Los eventos enviados por los servidores de NEXT BP no dependen del banner de cookies, que solo se refiere al navegador. Esos envíos se rigen por el presente artículo.

Las métricas técnicas que no contienen ningún contenido de documentos pueden ser conservadas por NEXT BP para la facturación, las cuotas, la seguridad y la fiabilidad del servicio. Estos datos, y sus plazos de conservación, se describen a título informativo en la Política de privacidad.

2.4 Alcance. El presente DPA se entiende sin perjuicio de las obligaciones a las que está sujeto el Cliente como responsable del tratamiento en virtud del RGPD. No basta por sí solo para regular las transferencias fuera del Espacio Económico Europeo, que se rigen por el artículo 8 y el Anexo 4.

2.5 Datos de uso y vista por miembro.

El Software registra Datos de uso relativos a los Usuarios. Son Datos Personales cuando se refieren a una persona identificada o identificable, incluso a través de un identificador técnico que NEXT BP puede vincular a esa persona.

Los Datos de uso comprenden:

• los datos de identificación de la cuenta: nombre, dirección de correo electrónico, identificador técnico de la cuenta, función en la organización del Cliente, condición de miembro activo y titularidad de una licencia del complemento de Excel (sí o no);
• únicamente los indicadores siguientes: fecha (el día, sin la hora) de la última actividad en los últimos 13 meses, sea cual sea el período consultado, número de días activos en el período consultado, número de documentos importados, número de snips, número de ejecuciones de cotejo, número de páginas sometidas al reconocimiento óptico de caracteres, número de ejecuciones de las funciones de inteligencia artificial y volumen de créditos consumidos por esas funciones, expresado en euros y como parte de los créditos consumidos por la organización en el período consultado.

La última actividad es el día del último evento de uso: una acción comunicada por el complemento de Excel o una importación de documento. Las ejecuciones de las funciones de inteligencia artificial y los créditos no cuentan para ella. Una ficha por miembro desglosa esos totales por funcionalidad: número de eventos, ejecuciones de las funciones de inteligencia artificial y créditos. El uso de las personas que han abandonado la organización, y el que no está vinculado a ningún miembro, se suma en una única línea «antiguos miembros», sin nombre. Esa línea no es anónima: cuando una sola persona ha abandonado la organización, muestra sus totales.

Los Datos de uso no comprenden el contenido de los documentos del Cliente, el nombre de esos documentos, el contenido de los intercambios con las funciones de inteligencia artificial ni el detalle cronológico de las acciones. No comportan ninguna puntuación, ninguna clasificación ni ningún indicador de rendimiento individual, y no miden el tiempo de trabajo. El progreso de los Usuarios en la Academia Blast Audit, incluidas sus puntuaciones en los cuestionarios que ven los propietarios y los administradores de la organización del Cliente, no forma parte de los Datos de uso: se describe en el Anexo 1.

La vista por miembro está oculta de forma predeterminada. Solo los propietarios y los administradores de la organización del Cliente pueden verla, y solo después de que un propietario o un administrador haya activado el ajuste de la organización. Antes de la activación, marca que ha informado a los miembros y que ha consultado al CSE o al Betriebsrat si es necesario. La activación registra quién la realizó y cuándo. Solo se guarda el último cambio del ajuste: cada cambio sustituye al anterior. Este registro se conserva durante la duración del Contrato Principal y, después, como prueba de la instrucción del Cliente, durante cinco (5) años tras su término; a continuación, se suprime. Es la instrucción documentada, en el sentido del artículo 4.1, de presentar y exportar los Datos de uso por miembro. Mientras el ajuste no está activado, el Software está diseñado para rechazar el detalle, incluso en respuesta a una solicitud. El Cliente puede desactivar el ajuste en cualquier momento. Tras la desactivación, el Software está diseñado para rechazar toda nueva solicitud del detalle; las cifras ya mostradas o exportadas no se retiran de los navegadores ni de los archivos del Cliente. Los propietarios y los administradores pueden seguir descargando los archivos de exportación por usuario ya generados en la página Exportaciones hasta que caducan (Anexo 1).

El período consultado lo elige el Cliente, dentro del límite de los trece (13) últimos meses.

El Cliente es el responsable del tratamiento de esta consulta. Antes de activar el ajuste, garantiza la licitud de la consulta: base jurídica, información previa de los Interesados y, cuando lo exija el derecho que le es aplicable, información y consulta de los representantes del personal o codecisión del órgano competente. La casilla marcada en la activación no prueba que esas gestiones se hayan realizado. NEXT BP pone a disposición del Cliente una nota que describe la vista. Esa nota no cumple las obligaciones del Cliente.

NEXT BP presenta y exporta la vista por miembro siguiendo esa instrucción, y solo en las condiciones anteriores. NEXT BP no utiliza esta vista por cuenta propia, en particular para evaluar a una persona, realizar prospección, elaborar un perfil, o entrenar o ajustar un modelo. El detalle por miembro no se transmite a PostHog ni a otra herramienta de medición del uso, y no se devuelve al directorio de identidades.

La exportación solicitada por un propietario o un administrador contiene únicamente los campos de la vista y de la ficha por miembro. El archivo CSV se genera en el navegador. NEXT BP no hace ninguna copia de este archivo CSV. La exportación por usuario de la página Exportaciones sigue las mismas reglas y da los mismos totales, sin fila por día; se genera en los servidores de NEXT BP y los propietarios y los administradores pueden descargarla hasta su caducidad (Anexo 1); después se elimina.

Los eventos de uso brutos y los agregados diarios por Usuario se conservan durante el plazo fijado en el Anexo 1. Los agregados diarios por organización, totales sin identificador de persona, se conservan durante la duración del Contrato Principal. Los apuntes de créditos de inteligencia artificial y de páginas sometidas al reconocimiento óptico de caracteres, incluidas las reservas de páginas, son apuntes de facturación en el sentido del artículo 2.3. Conservan el identificador del Usuario para la facturación, los reembolsos y el seguimiento del período de créditos, durante el plazo fijado en el Anexo 1; después se retira el identificador, y los apuntes y sus importes siguen vinculados a la organización. Los registros de ejecución de las funciones de inteligencia artificial (fecha, funcionalidad, estado, consumo, identificadores técnicos, rutas de almacenamiento, mensajes de progreso y de error, metadatos técnicos) siguen la misma regla. La vista por miembro solo lee estos apuntes y estos registros en el período consultado. Los créditos mostrados por miembro son un indicador de esa vista. Los nombres de archivo se retiran de los eventos de uso, historial incluido. Las copias que permanezcan en las copias de seguridad desaparecen conforme al artículo 7.3. Al finalizar el Contrato Principal, los eventos de uso brutos, los agregados diarios por Usuario y por organización y los registros de ejecución de las funciones de inteligencia artificial que subsistan, cualquiera que sea su antigüedad, se suprimen junto con los Datos del Cliente, conforme al artículo 7.3; los apuntes de créditos y de páginas se conservan, y el identificador del Usuario se retira de ellos en esa supresión.

El personal de NEXT BP solo accede al detalle por miembro para ejecutar una solicitud de asistencia del Cliente o para la seguridad del servicio, en la medida de lo necesario. Sigue sujeto al artículo 4.3.

---

3. Descripción del tratamiento

El objeto, la naturaleza, la finalidad y la duración del tratamiento, los tipos de Datos Personales y las categorías de Interesados se describen en el Anexo 1. El tratamiento dura lo mismo que el Contrato Principal y, después, hasta la supresión o la devolución de los Datos del Cliente prevista en el artículo 7.

---

4. Obligaciones de NEXT BP

4.1 Instrucciones documentadas. NEXT BP solo trata los Datos del Cliente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias de Datos Personales a un tercer país o a una organización internacional, salvo que esté obligada a ello en virtud del Derecho de la Unión o del Derecho del Estado miembro que le sea aplicable. En tal caso, NEXT BP informa al Cliente de esa exigencia legal antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público. El Contrato Principal, el presente DPA, las acciones de los Usuarios en el Software y los ajustes elegidos por los administradores del Cliente (por ejemplo, la activación de un conector) constituyen las instrucciones documentadas del Cliente. La activación del ajuste de la vista por miembro previsto en el artículo 2.5 es la instrucción documentada de presentar y exportar esos datos. La ausencia de activación es la instrucción de no presentarlos: el Software está diseñado entonces para rechazar el detalle. El Cliente puede dar instrucciones complementarias durante toda la duración del tratamiento; estas siempre se documentan, por ejemplo por correo electrónico a privacy [at] blast-audit.com. Si NEXT BP no puede ejecutar una instrucción complementaria con las funciones del Software, informa de ello al Cliente sin demora y se aplica el artículo 12.

4.2 Instrucciones ilícitas. NEXT BP informa inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otras disposiciones del Derecho de la Unión o de los Estados miembros en materia de protección de datos. NEXT BP puede suspender la ejecución de esa instrucción hasta que el Cliente la confirme o la modifique por escrito.

4.3 Confidencialidad. NEXT BP vela por que las personas autorizadas para tratar los Datos del Cliente se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria, y por que solo accedan a los Datos del Cliente en la medida estrictamente necesaria para prestar el Software, atender una solicitud de asistencia del Cliente o gestionar un incidente.

4.4 Subencargados.

(a) Autorización general por escrito. El Cliente concede a NEXT BP una autorización general por escrito para recurrir a Subencargados. Los Subencargados contratados en la fecha del presente DPA figuran en la parte A del Anexo 3, que constituye la lista fechada de los subencargados de NEXT BP.

(b) Obligaciones de los Subencargados. NEXT BP recurre a cada Subencargado mediante un contrato que le impone, en lo esencial, las mismas obligaciones de protección de datos que las que se imponen a NEXT BP en virtud del presente DPA, en particular garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. NEXT BP impone contractualmente estas obligaciones a cada Subencargado. NEXT BP sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de sus Subencargados y le informa de cualquier incumplimiento de un Subencargado de sus obligaciones contractuales del que tenga conocimiento.

(c) Cambios. NEXT BP informa al Cliente de cualquier adición o sustitución prevista de un Subencargado al menos treinta (30) días antes de que surta efecto, mediante correo electrónico dirigido al titular de la cuenta del Cliente y mediante la publicación de un Anexo 3 actualizado y fechado. La información indica el nombre del Subencargado, su función, el lugar del tratamiento y el mecanismo de transferencia.

(d) Oposición. Durante este plazo de treinta días, el Cliente puede oponerse al cambio por escrito a privacy [at] blast-audit.com, por motivos razonables relacionados con la protección de los Datos Personales. NEXT BP y el Cliente buscan entonces de buena fe una solución, por ejemplo una configuración en la que el nuevo Subencargado no trate los datos del Cliente. Si no se alcanza una solución antes de que el cambio surta efecto, el Cliente puede resolver la suscripción afectada, sin penalización, con efectos a la fecha del cambio. En tal caso, el Cliente tiene derecho al reembolso previsto en el artículo 12.5.

(e) Copia de los contratos. A petición del Cliente, NEXT BP le facilita una copia del contrato aplicable celebrado con un Subencargado, en su versión vigente, y de sus modificaciones, también cuando dicho contrato consista en las condiciones estándar que este publica. NEXT BP puede suprimir de ella los secretos comerciales y demás información confidencial, incluidos Datos Personales.

(f) Desaparición de NEXT BP. NEXT BP recurre a las condiciones estándar de sus Subencargados y no puede hacer que se añada a ellas una cláusula en beneficio del Cliente. Si NEXT BP ha desaparecido de hecho, ha dejado de existir jurídicamente o ha incurrido en insolvencia, el Cliente puede solicitar al administrador concursal o al liquidador la supresión o la devolución de los Datos del Cliente; los Datos del Cliente siguen sujetos a los plazos de conservación del Anexo 1.

(g) Sustitución urgente. Cuando un Subencargado deje de prestar su servicio o ponga en peligro la seguridad de los Datos del Cliente, NEXT BP puede sustituirlo con un preaviso más corto. No se transmite ningún Dato del Cliente al nuevo Subencargado antes de que el Cliente haya sido informado. El Cliente dispone a continuación de los derechos del artículo 4.4(d) durante treinta (30) días. Si se opone, NEXT BP deja de transmitirle los Datos del Cliente a través de ese Subencargado.

4.5 Seguridad. NEXT BP aplica las medidas técnicas y organizativas descritas en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD. NEXT BP puede modificar estas medidas siempre que no reduzca el nivel global de protección.

4.6 Solicitudes de los Interesados. Teniendo en cuenta la naturaleza del tratamiento, NEXT BP asiste al Cliente, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, para que pueda cumplir su obligación de atender las solicitudes de los Interesados que ejercen sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición). Si NEXT BP recibe directamente una solicitud de este tipo, la traslada al Cliente sin demora y no la responde ella misma, salvo para indicar al Interesado que su solicitud ha sido trasladada. En un proyecto de análisis, el Software no permite suprimir a una persona dentro de una fuente: NEXT BP solo puede atender una solicitud de supresión que la afecte suprimiendo esa fuente, lo que sigue siendo posible mientras no se haya obtenido de ella ningún conjunto de datos, o suprimiendo el proyecto; el Cliente puede después importar una versión expurgada de la fuente. Las copias contenidas en las copias de seguridad desaparecen conforme al artículo 7.3, y las solicitudes y las respuestas que Microsoft conserva temporalmente para la supervisión de abusos no quedan comprendidas (artículo 5.4).

4.7 Evaluación de impacto y consulta previa. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, NEXT BP asiste al Cliente en el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD. En particular, facilita al Cliente, previa solicitud, la información que necesita para realizar una evaluación de impacto relativa a la protección de datos (descripción del tratamiento, flujos de datos, Subencargados, plazos de conservación, medidas de seguridad) y le asiste en cualquier consulta previa a la CNIL o a otra autoridad de control competente. NEXT BP informa sin demora al Cliente si tiene conocimiento de que Datos Personales que trata por su cuenta son inexactos o han quedado desfasados. Respecto de los Datos de uso, esta asistencia comprende la descripción de los datos, de los accesos, de los plazos de conservación y del ajuste del artículo 2.5, que el Cliente puede incorporar a su expediente. NEXT BP no decide en lugar del Cliente si es necesaria una evaluación de impacto, y no la lleva a cabo en su lugar.

La asistencia prevista en los artículos 4.6, 4.7, 4.8(d) y 4.9 comprende la documentación del Software y una asistencia razonable. Más allá de un uso razonable, o cuando se refiera a una Violación de Datos Personales de la que NEXT BP no sea responsable, NEXT BP la factura por el tiempo dedicado, a la tarifa indicada antes de la prestación; a falta de acuerdo sobre esa tarifa, NEXT BP presta únicamente la asistencia incluida, sin facturación. Ese desacuerdo no constituye un impago.

4.8 Violaciones de Datos Personales.

(a) NEXT BP notifica al Cliente toda Violación de Datos Personales que afecte a los Datos del Cliente sin dilación indebida tras tener conocimiento de ella, mediante correo electrónico dirigido al titular de la cuenta del Cliente.

(b) La notificación contiene, en la medida en que esa información se conozca en ese momento: la naturaleza de la violación, incluidos, cuando sea posible, las categorías y el número aproximado de Interesados y de registros afectados; el nombre y los datos de contacto del punto de contacto de NEXT BP (privacy [at] blast-audit.com); las posibles consecuencias de la violación; y las medidas adoptadas o propuestas por NEXT BP para poner remedio a la violación y mitigar sus posibles efectos negativos. Cuando no sea posible facilitar toda la información al mismo tiempo, NEXT BP la facilita de manera gradual, sin más dilación indebida.

(c) NEXT BP coopera con el Cliente para que este pueda notificar a la autoridad de control y, en su caso, a los Interesados. NEXT BP no efectúa estas notificaciones en nombre del Cliente, salvo instrucción escrita de este.

(d) Cuando una Violación de Datos Personales afecte a datos tratados por el propio Cliente, por ejemplo tras el compromiso de la cuenta de un Usuario, NEXT BP le asiste, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, para notificar a la autoridad de control, reunir la información exigida por el artículo 33.3 del RGPD y, en su caso, comunicar la violación a los Interesados.

4.9 Información. Las partes están en condiciones de demostrar el cumplimiento del presente DPA. NEXT BP atiende con prontitud y de manera adecuada las consultas del Cliente relativas al tratamiento de los Datos del Cliente. Pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y del presente DPA, en las condiciones del artículo 6. Pone esta información, incluidos los resultados de cualquier auditoría, a disposición de la autoridad de control competente en cuanto esta la solicite.

---

5. Inteligencia artificial

5.1 Sin entrenamiento. NEXT BP no utiliza los Datos del Cliente para entrenar o ajustar (fine-tuning) un modelo de inteligencia artificial o de aprendizaje automático, ya sea propio o de un tercero.

5.2 Proveedores de IA. Salvo cuando el Cliente utiliza su propia clave de API (artículo 5.7), los modelos de IA que tratan los Datos del Cliente son explotados por Microsoft (Azure OpenAI, el servicio Azure AI de la zona de datos de la UE que comprueba las tablas de resultados del agente de encargo y del agente de Excel, Azure AI Content Understanding, Azure AI Speech) en el marco de las condiciones de protección de datos de Microsoft, según las cuales Microsoft no utiliza los Datos del Cliente para entrenar modelos fundacionales de IA generativa sin instrucciones documentadas de NEXT BP, y NEXT BP no da tales instrucciones. NEXT BP no recurrirá a ningún otro proveedor de modelos de IA sin imponerle la misma prohibición de entrenar modelos con los Datos del Cliente, y solo en las condiciones del artículo 4.4. Lectura de las páginas escaneadas. Cuando se produce, la lectura de una página por el OCR estándar de NEXT BP, un software que NEXT BP explota por sí misma, se ejecuta en el entorno de Microsoft Azure que aloja la aplicación (Anexo 3), en la misma región; ningún proveedor de OCR distinto realiza esa lectura. El OCR estándar no lee todas las páginas. Azure AI Content Understanding lee cada página escaneada para la que el resultado entregado al Cliente no procede del OCR estándar, en particular las páginas releídas, automáticamente o a petición de un Usuario, y todas las páginas escaneadas cuando el OCR estándar no está en servicio para el Cliente. Azure AI Content Understanding también puede leer páginas que el OCR estándar lee, en particular durante la evaluación de este. Medición de la calidad de la lectura. Para medir y mantener la calidad de la lectura entregada al Cliente, el OCR estándar puede releer, en el mismo entorno, una página ya leída por Azure AI Content Understanding, cuyo resultado es el que se entrega al Cliente. NEXT BP no conserva de esa relectura más que cifras sin contenido de documentos (números, proporciones, duraciones), consultadas por sus equipos, durante el plazo fijado en el Anexo 1; las páginas releídas siguen los plazos ordinarios del Anexo 1. Cuando el Cliente utiliza su propia clave de Azure (artículo 5.7), cada página escaneada la lee la lectura avanzada, con la clave del Cliente, en el marco del contrato de Azure del Cliente.

5.3 Sin almacenamiento de las solicitudes para consulta posterior. NEXT BP configura Azure OpenAI de modo que el servicio no conserve las solicitudes ni las respuestas para una consulta posterior, a reserva de la supervisión de abusos del artículo 5.4, que lleva a Microsoft a conservar temporalmente todas las solicitudes y todas las respuestas.

5.4 Supervisión de abusos por Microsoft. Microsoft conserva temporalmente todas las solicitudes dirigidas a Azure OpenAI y todas las respuestas, para detectar y prevenir los usos abusivos o perjudiciales del servicio y de sus resultados (abuse monitoring). El contrato de Microsoft no fija la duración de esta conservación. Solo los datos que han activado sus sistemas automatizados pueden ser examinados por empleados autorizados de Microsoft; en los despliegues sujetos a la frontera de datos de la UE (EU Data Boundary), esos empleados están situados en el Espacio Económico Europeo. Las condiciones de Microsoft (Privacy & Security Terms) permiten además a su personal situado fuera de esa frontera acceder en remoto a los sistemas de tratamiento que se encuentran dentro de ella, en la medida necesaria para operar, solucionar incidencias, prestar asistencia y proteger sus servicios. Microsoft no utiliza este contenido para entrenar modelos fundacionales de IA generativa sin instrucciones documentadas de su cliente, y NEXT BP no da tales instrucciones (artículo 5.2). Microsoft no ha concedido a NEXT BP ninguna exención de esta supervisión: por tanto, esta conservación se produce. Microsoft también puede conservar temporalmente, para la supervisión de abusos, las solicitudes dirigidas al servicio Azure AI de la zona de datos de la UE que comprueba las tablas de resultados (artículo 5.2) y las respuestas de ese servicio; Microsoft no ha dado a NEXT BP ningún compromiso sobre la duración de esta conservación. Para este servicio también, solo los datos que han activado los sistemas automatizados de Microsoft pueden ser examinados por empleados autorizados de Microsoft, situados en el Espacio Económico Europeo para un despliegue dentro de la frontera de datos de la UE, y Microsoft no utiliza este contenido para entrenar modelos fundacionales de IA generativa sin instrucciones documentadas de NEXT BP, que no las da. Este servicio funciona con una versión de modelo que Microsoft ofrece en versión preliminar (preview): se le aplican las condiciones de Microsoft para las versiones preliminares de Azure, y Microsoft puede aplicar a las versiones preliminares medidas de privacidad y de seguridad inferiores o distintas de las que describe el presente artículo, incluidas otras prácticas de supervisión de abusos. Microsoft no asume ningún compromiso de frontera de datos de la UE para las versiones preliminares: los empleados de Microsoft que examinan los datos de este servicio no están, por tanto, necesariamente situados en el Espacio Económico Europeo. Para uno y otro servicio, el contrato de Microsoft solo fija una supresión como máximo: tras el fin de la suscripción de Azure de NEXT BP, Microsoft conserva estos datos noventa (90) días en una cuenta de funcionalidad limitada y después los suprime en los noventa (90) días siguientes. Esa suscripción es la de NEXT BP: el fin del Contrato principal de un Cliente no le pone fin.

5.5 Búsqueda web. El agente de Excel puede proponer una búsqueda web. La consulta de búsqueda, redactada por el modelo, se muestra al Usuario; el Software está diseñado para enviarla a Exa (Anexo 3) solo si el Usuario la aprueba. Puede contener nombres o importes procedentes de los Datos del Cliente. El Software está diseñado para no ofrecer ya la búsqueda web en una conversación que haya utilizado las funciones de análisis de documentos.

5.6 Sin decisiones automatizadas. El Software produce propuestas (valores extraídos, respuestas, clasificaciones, conciliaciones) vinculadas, cuando es posible, a las palabras del documento de origen para que el Usuario pueda comprobarlas. No adopta ninguna decisión que produzca efectos jurídicos en los Interesados o que les afecte significativamente de modo similar: el Cliente y sus Usuarios validan cada resultado y siguen siendo responsables de sus conclusiones. En un proyecto de análisis, el asistente de IA del proyecto propone recetas y paquetes de análisis: el Software está diseñado para que ninguno se ejecute sin la aprobación de un Usuario con acceso completo al proyecto (un Usuario con acceso de solo lectura no puede darla), y los resultados los calcula el motor de análisis del Software, no el modelo de IA.

5.7 Proveedor elegido por el Cliente. Cuando el Cliente registra en el Software una clave de API de un proveedor de IA o de OCR con el que ha contratado directamente, las solicitudes correspondientes se envían a ese proveedor, con la cuenta del Cliente y en las condiciones que el Cliente aceptó. Ese proveedor es elegido por el Cliente y está vinculado a él por su propio contrato: no es un Subencargado de NEXT BP y no figura en el Anexo 3. Corresponde al Cliente comprobar que ese contrato cumple el artículo 28 del RGPD y, en caso de transferencia, el capítulo V. Los artículos 5.2 a 5.4 no se aplican a esas solicitudes; el artículo 5.1 sigue obligando a NEXT BP. El Cliente puede retirar su clave en cualquier momento; las solicitudes posteriores vuelven a los proveedores del Anexo 3.

---

6. Auditorías

6.1 Primero, la documentación. Previa solicitud, NEXT BP facilita al Cliente la documentación que demuestra su cumplimiento: el presente DPA y sus Anexos, las respuestas a un cuestionario de seguridad razonable, los certificados e informes que NEXT BP posee en la fecha de la solicitud (Anexo 2), y las certificaciones e informes que Microsoft pone a disposición para sus servicios de alojamiento (informe SOC 3 y certificados ISO publicados en el Service Trust Portal de Microsoft). El informe SOC 2 Type 2 es confidencial: NEXT BP lo facilita al Cliente y a sus auditores con un compromiso de confidencialidad.

6.2 Auditoría in situ. Si el Cliente considera razonablemente que esta documentación no basta para demostrar el cumplimiento del presente DPA, puede realizar, por sí mismo o por medio de un auditor independiente sujeto a confidencialidad y no competidor de NEXT BP, una auditoría in situ o mediante acceso remoto, como máximo una vez cada doce meses, con un preaviso escrito de al menos treinta (30) días. El alcance, la fecha y la duración se acuerdan previamente. La auditoría se desarrolla en horario laboral, sin perturbar de manera irrazonable la actividad de NEXT BP y sin acceso a los datos de otros clientes ni a las instalaciones de los Subencargados, que están cubiertas por sus propios informes de auditoría.

6.3 Auditorías adicionales. El límite de una auditoría al año no se aplica a una auditoría exigida por una autoridad de control, a una auditoría realizada a raíz de una Violación de Datos Personales que afecte a los Datos del Cliente ni a una auditoría justificada por indicios serios de incumplimiento del presente DPA por NEXT BP, que el Cliente acredite por escrito. Una misma Violación de Datos Personales, o un mismo conjunto de indicios, solo justifica una auditoría adicional. Para una auditoría exigida por una autoridad de control o realizada a raíz de una Violación de Datos Personales, el preaviso se reduce a diez (10) días hábiles; para una auditoría justificada por indicios serios, se aplica el preaviso del artículo 6.2.

6.4 Costes. Cada parte soporta sus propios costes. El tiempo que NEXT BP dedica a las auditorías más allá de dos (2) días hábiles por período de doce meses es facturable a una tarifa razonable indicada antes de la prestación. Un desacuerdo sobre esa tarifa no impide la auditoría. El Cliente soporta el coste de la auditoría y de su auditor, salvo que la auditoría establezca un incumplimiento grave de NEXT BP de sus obligaciones en virtud del presente DPA; NEXT BP soporta entonces los costes razonables de la auditoría, dentro del límite del artículo 11.2 de los Términos y Condiciones, y no factura su tiempo. NEXT BP corrige sin dilación indebida cualquier incumplimiento constatado.

---

7. Fin del tratamiento: devolución y supresión

7.1 Datos ya suprimidos durante la suscripción. La mayor parte de los Datos del Cliente se suprime durante la suscripción según los plazos de conservación del Anexo 1: el contenido de los documentos sometidos a OCR o a análisis se suprime como máximo 24 horas después de su importación, en las copias que NEXT BP controla. El contenido de una conversación con el agente de Excel, incluidos los nombres y el texto de los documentos del libro de trabajo que el complemento envía para ella, se suprime como máximo 24 horas después de llegar a los servidores de NEXT BP, en las copias que NEXT BP controla, y las copias de seguridad de la base de datos lo conservan hasta siete (7) días más (artículo 7.3). Si una supresión falla, se reintenta y se produce en el menor plazo posible. El contenido de un encargo del agente de encargos, de una revisión de estados financieros, de una lista PBC o de un proyecto de análisis no sigue este plazo: sigue el plazo que le fija el Anexo 1. Las solicitudes y las respuestas que Microsoft conserva temporalmente para la supervisión de abusos no quedan comprendidas (artículo 5.4). Los libros de trabajo permanecen en los archivos de Excel del Cliente; los rangos de celdas que un Usuario envía a un proyecto de análisis (instantáneas de libro) se copian en ese proyecto y siguen su plazo.

7.2 Exportación. Hasta el fin del Contrato Principal, el Cliente puede exportar desde el Software los datos que NEXT BP aún conserve, en particular los encargos del agente de encargos, los archivos de las listas PBC y los proyectos de análisis, con sujeción a lo que sigue. Puede rechazarse una nueva exportación de un encargo, de un proyecto de análisis o de una revisión de estados financieros durante el último día anterior a su supresión; una exportación que ya está lista sigue pudiendo descargarse hasta esa supresión. Solo una revisión de estados financieros cerrada puede exportarse, por un miembro con acceso completo. La exportación de una revisión contiene los archivos de los documentos y sus PDF preparados que NEXT BP aún conserva, y un manifiesto que enumera todos los documentos. La exportación no contiene ni las anotaciones, ni los comentarios, ni las listas de comprobación con sus respuestas y sus decisiones, ni los parámetros del análisis, ni los hallazgos enviados a Excel.

7.3 Supresión. Al finalizar el Contrato Principal, NEXT BP suprime los Datos del Cliente en un plazo de treinta (30) días, salvo que el Cliente solicite, dentro de ese plazo, la devolución de los datos aún conservados; NEXT BP se los devuelve entonces en un formato estructurado y de uso común, y después los suprime. El presente artículo se aplica también a los encargos, a las revisiones de estados financieros, a las listas PBC y a los proyectos de análisis que sigan abiertos al finalizar el Contrato Principal. Si una supresión falla, se reintenta y se produce en el menor plazo posible. Las copias contenidas en las copias de seguridad de la base de datos desaparecen al expirar estas copias de seguridad, en los siete (7) días siguientes a la supresión. NEXT BP no conserva ninguna copia de los Datos del Cliente más allá de los casos previstos en el Anexo 1, salvo que el Derecho de la Unión o del Estado miembro exija la conservación de los Datos Personales. El presente artículo no se refiere a los datos que NEXT BP trata como responsable del tratamiento (artículo 2.3). La supresión comprende los eventos de uso brutos, los agregados diarios por Usuario y por organización y los registros de ejecución de las funciones de inteligencia artificial (artículo 2.5). Los apuntes de créditos de inteligencia artificial y de páginas sometidas al reconocimiento óptico de caracteres, apuntes de facturación en el sentido del artículo 2.3, se conservan; el identificador del Usuario se retira de ellos en la supresión. El registro del último cambio del ajuste de la vista por miembro se conserva durante cinco (5) años tras el término del Contrato Principal, como prueba de la instrucción del Cliente, y después se suprime (artículo 2.5). Las solicitudes y las respuestas que Microsoft conserva temporalmente para la supervisión de abusos (artículo 5.4) quedan sujetas a las condiciones de Microsoft; no están cubiertas por la supresión anterior en el plazo de treinta (30) días, ya que NEXT BP no puede suprimirlas para cada Cliente; el contrato de Microsoft no fija la duración de esta conservación, solo una supresión como máximo tras el fin de la suscripción de Azure de NEXT BP (artículo 5.4).

7.4 Certificado. Previa solicitud, NEXT BP entrega al Cliente un certificado de supresión por escrito.

---

8. Transferencias fuera del Espacio Económico Europeo

8.1 Los Datos del Cliente se alojan y se tratan en la Unión Europea, salvo las transferencias descritas en el Anexo 4. Al aceptar el presente DPA, el Cliente da instrucciones a NEXT BP para que efectúe estas transferencias. NEXT BP no efectúa ninguna otra transferencia a un tercer país o a una organización internacional, salvo siguiendo instrucciones documentadas del Cliente o para cumplir una exigencia del Derecho de la Unión o del Derecho del Estado miembro que le sea aplicable, y siempre de conformidad con el capítulo V del RGPD.

8.2 Cuando un Subencargado esté establecido fuera del Espacio Económico Europeo, o pueda acceder a los datos desde fuera de este, la transferencia se ampara en la decisión de adecuación de la Comisión Europea relativa al marco de privacidad de datos UE-EE. UU. (Data Privacy Framework) para los destinatarios certificados, o en las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión. El Anexo 4 indica el mecanismo utilizado para cada destinatario. El Cliente puede obtener una copia de estas garantías escribiendo a privacy [at] blast-audit.com.

---

9. Obligaciones del Cliente

9.1 El Cliente se asegura de que el tratamiento que encomienda a NEXT BP se basa en un fundamento jurídico válido y de que los Interesados han recibido la información exigida por los artículos 13 y 14 del RGPD.

9.2 El Cliente solo envía al Software los documentos necesarios para sus encargos. Los documentos tratados pueden contener de forma incidental categorías especiales de Datos Personales o datos relativos a condenas e infracciones penales (por ejemplo, una línea de baja por enfermedad en una nómina o una resolución judicial en un expediente de litigio). El Cliente sigue siendo responsable de la decisión de enviarlos; NEXT BP les aplica las garantías adicionales descritas en el Anexo 1.

9.3 Las instrucciones del Cliente son conformes con la Normativa Aplicable. El Cliente designa al titular de su cuenta como interlocutor de NEXT BP para el presente DPA y mantiene actualizada su dirección de correo electrónico en el Software.

---

10. Responsabilidad

Cada parte es responsable de los daños que cause en infracción del presente DPA en las condiciones del artículo 11 de los Términos y Condiciones y dentro del límite del artículo 11.2 de los Términos y Condiciones, común a los Términos y Condiciones, al CLUF y al presente DPA. Estos límites no son oponibles a los Interesados que ejercen sus derechos en virtud del artículo 82 del RGPD. Entre las partes, se aplican, incluso a la acción de repetición prevista en el artículo 82, apartado 5, del RGPD. Cada parte soporta las multas administrativas impuestas contra ella. La cláusula de fuerza mayor del artículo 5 de los Términos y Condiciones se aplica al presente DPA; no deroga las obligaciones que el RGPD impone a las partes.

---

11. Prevalencia, duración y Derecho aplicable

11.1 Prevalencia. En caso de contradicción entre el presente DPA y cualquier estipulación de otro documento o acuerdo entre las partes, anterior o posterior al presente DPA, incluidos los Términos y Condiciones, el CLUF y cualquier pedido o presupuesto, prevalece el DPA en todo lo relativo al tratamiento de Datos Personales, incluso cuando la otra estipulación fuera más protectora. Una garantía adicional solo vincula a NEXT BP si el presente DPA o una adenda firmada por las dos partes la prevé.

11.2 Duración. El presente DPA se aplica desde la aceptación de los Términos y Condiciones por el Cliente, incluido el inicio de una prueba gratuita, y permanece en vigor mientras NEXT BP trate Datos del Cliente.

11.3 Firma. Puede obtenerse, previa solicitud a privacy [at] blast-audit.com, una versión del presente DPA firmada por NEXT BP.

11.4 Idioma. El presente DPA se publica en francés, inglés y español. En caso de divergencia, prevalece la versión francesa.

11.5 Derecho aplicable. El presente DPA se rige por el Derecho francés. Cualquier litigio relacionado con él es competencia de los tribunales designados en los Términos y Condiciones.

11.6 Modificación. NEXT BP puede modificar el presente DPA en las condiciones siguientes. Cada versión publicada lleva su fecha. NEXT BP conserva un historial fechado de las versiones. Una versión anterior puede obtenerse previa solicitud a privacy [at] blast-audit.com.

(a) Subencargados. La adición o la sustitución de un Subencargado se rige únicamente por el artículo 4.4, incluido el preaviso de treinta (30) días por correo electrónico al titular de la cuenta y el derecho de oposición del artículo 4.4(d). Las reglas de los apartados (b), (c) y (d) no se aplican a esa adición o sustitución.

(b) Reducción de la protección. Cualquier otra modificación que reduzca la protección de los Datos del Cliente, incluida la ampliación de un plazo de conservación ya previsto en el Anexo 1, se notifica por correo electrónico al titular de la cuenta al menos treinta (30) días antes de su entrada en vigor. El Cliente puede oponerse por escrito a privacy [at] blast-audit.com antes de esa fecha; las partes buscan entonces de buena fe una solución y, a falta de acuerdo, el Cliente puede resolver la suscripción de que se trate, sin coste, antes de la entrada en vigor, con el reembolso previsto en el artículo 12.5. En su defecto, la modificación se aplica al Cliente en su fecha de efecto. La aceptación prevista en el apartado (d) equivale a acuerdo.

(c) Otras modificaciones. Cualquier otra modificación surte efecto con la publicación del DPA actualizado, que lleva su fecha, salvo cuando NEXT BP somete esa versión a la aceptación del apartado (d). NEXT BP informa al Cliente por correo electrónico dirigido al titular de la cuenta o en el Software a más tardar en esa fecha. La adición de una función del Software que el Cliente decida utilizar queda comprendida en este apartado cuando el DPA actualizado describe esa función, su finalidad y su plazo de conservación en el Anexo 1 y, si la función trata categorías que aún no figuran en él, esas categorías de Datos Personales y de Interesados, y cuando no reduce la protección de los Datos del Cliente ya tratados. Si la reduce, se aplica el apartado (b). Si añade o sustituye un Subencargado, se aplica el artículo 4.4. Una aclaración que no cambia el sentido queda comprendida también en este apartado, al igual que una modificación exigida por la ley o por una autoridad de control, aunque reduzca la protección. La actualización del Anexo 2 que no reduce el nivel global de protección se rige por el artículo 4.5 y surte efecto conforme a este apartado.

(d) Aceptación en el Software. NEXT BP puede someter una versión del presente DPA a la aceptación del Cliente en el Software. El propietario o un administrador de la organización del Cliente la acepta en nombre de la organización, sin plazo impuesto; esa aceptación obliga al Cliente, y el Software registra su autor y su fecha. Una versión sometida a aceptación rige el tratamiento de los Datos del Cliente a partir de esa aceptación; hasta entonces, la versión anterior sigue rigiéndolo. Esta facultad no se aplica a la adición o a la sustitución de un Subencargado. La presente versión, de fecha 31 de octubre de 2026, se somete a esa aceptación. Para un Cliente que no la haya aceptado, la versión del 21 de octubre de 2026 sigue rigiendo el tratamiento, en las condiciones de su propio artículo 11.6.

---

12. Incumplimiento del DPA y resolución

12.1 Suspensión. Sin perjuicio del RGPD, si NEXT BP incumple sus obligaciones en virtud del presente DPA, el Cliente puede darle instrucciones por escrito para que suspenda el tratamiento de los Datos del Cliente hasta que las cumpla o hasta la resolución. NEXT BP informa con prontitud al Cliente si no puede cumplir el presente DPA, por cualquier motivo.

12.2 Resolución por el Cliente. El Cliente puede resolver el Contrato Principal, en lo que respecta al tratamiento de Datos Personales, mediante correo electrónico a privacy [at] blast-audit.com, con efecto inmediato, si:

(a) el tratamiento se ha suspendido en virtud del artículo 12.1 y no se restablece el cumplimiento del presente DPA en un plazo razonable y, en cualquier caso, en el plazo de un mes desde la suspensión;

(b) NEXT BP incumple de manera grave o persistente el presente DPA o sus obligaciones en virtud del RGPD, y no lo ha subsanado en los treinta (30) días siguientes a un requerimiento escrito del Cliente, salvo que el incumplimiento no sea subsanable;

(c) NEXT BP no cumple una resolución vinculante de un órgano jurisdiccional competente o de la autoridad de control competente relativa a sus obligaciones en virtud del presente DPA o del RGPD.

El plazo para subsanar previsto en el caso (b) sustituye, para estos casos, al del artículo 13.3 de los Términos y Condiciones y del artículo 8.2 del CLUF.

12.3 Resolución por NEXT BP. NEXT BP puede resolver el Contrato Principal, en lo que respecta al tratamiento de Datos Personales, cuando, tras haber informado al Cliente de que una instrucción infringe la Normativa Aplicable (artículo 4.2), el Cliente mantenga esa instrucción.

12.4 Efectos de la resolución. Se aplica el artículo 7.

12.5 Reembolso. Cuando el Cliente resuelva en virtud del artículo 4.4(d) o del artículo 12.2, o también del artículo 11.6(b), NEXT BP le reembolsa la parte de las cuotas de suscripción pagadas por adelantado que corresponde al periodo restante tras la fecha de efecto de la resolución, calculada a prorrata del número de días. El reembolso se efectúa en un plazo de treinta (30) días desde la fecha de efecto, en el medio de pago utilizado. Es la consecuencia financiera de la propia resolución y no se suma a indemnizaciones por daños y perjuicios por la sola resolución.

---

Anexo 1 — Descripción del tratamiento

Partes. Responsable del tratamiento: el Cliente, identificado por la información que facilita al registrarse y al suscribirse. Persona de contacto: el titular de la cuenta, en la dirección de correo electrónico registrada en el Software, o la persona que el Cliente designe en privacy [at] blast-audit.com; delegado de protección de datos: el que indique el Cliente, en su caso. Fecha de adhesión: fecha de aceptación de los Términos y Condiciones. Encargado del tratamiento: NEXT BP, sociedad por acciones simplificada de derecho francés (société par actions simplifiée, SAS), 127 rue de la Tour, 75016 París, Francia, RCS Paris 920 753 233. Persona de contacto: el presidente de NEXT BP, privacy [at] blast-audit.com. NEXT BP no ha designado un delegado de protección de datos.

Categorías de Interesados. Personas físicas cuyos datos figuran en los documentos enviados por el Cliente, incluidos los libros mayores y las demás exportaciones de datos importados en un proyecto de análisis, y los rangos de libro que se le envían desde Excel: directivos, empleados, socios, clientes, proveedores y otras contrapartes de las entidades que el Cliente audita o asesora, titulares de cuentas bancarias, firmantes. Los Usuarios del Cliente también son Interesados respecto de los Datos de uso, aunque ningún documento los nombre, incluidos los antiguos miembros durante el plazo de conservación del artículo 2.5, y respecto de su progreso en la Academia Blast Audit. Lo son además cuando su nombre o sus acciones figuran en los Datos del Cliente, por ejemplo en el registro de tareas de un encargo, en el diario de un proyecto de análisis, que indica el miembro que ejecutó cada paso o aprobó una ejecución propuesta por el asistente, o en una revisión de estados financieros: miembros de la revisión y su acceso, documentos añadidos o retirados, anotaciones, comentarios y sus respuestas, listas de comprobación y respuestas de la IA, decisiones de los revisores, parámetros del análisis y hallazgos enviados a Excel. Los destinatarios de una lista PBC también son Interesados: las personas, en los clientes del Cliente o en otro lugar, a las que un Usuario dirige solicitudes de documentos, y los colegas a los que confían una solicitud. Las personas cuyos datos figuran en los archivos que envían esos destinatarios son Interesados del mismo modo que las de los documentos que envía el Cliente.

Categorías de Datos Personales. Datos de identificación y de contacto; datos profesionales (cargo, empleador); datos financieros y bancarios (números de cuenta, saldos, operaciones, asientos contables con sus cuentas y sus descripciones, facturas, pagos); datos de nómina y de recursos humanos que figuran en las nóminas y en los libros de nóminas, que pueden incluir el número de la seguridad social; datos fiscales; datos contractuales; firmas; cualquier otro dato contenido en los documentos enviados y en los rangos de libro enviados a un proyecto de análisis; contenido de una revisión de estados financieros: texto que el OCR lee en sus documentos, anotaciones, comentarios y sus respuestas, listas de comprobación, respuestas de la IA con los pasajes que citan, decisiones de los revisores y sus notas, parámetros del análisis (incluidos el diccionario y la lista de exclusión del control de idioma) y hallazgos enviados a Excel; identidad de los miembros registrada en una revisión, con la fecha de cada acto: miembros de la revisión, su nivel de acceso (lectura o completo) y el miembro que los añadió; miembro que crea la revisión; miembro que la cierra; miembro que añade o retira un documento, o vuelve a lanzar su lectura; miembro que crea una anotación y miembro que la modifica en último lugar; miembro que crea un comentario y miembro que lo modifica en último lugar; autor de una respuesta; miembro que importa una lista de comprobación; miembro que lanza la IA sobre ella; miembro cuya sesión registra una respuesta de la IA; autor de una decisión; último miembro que modifica los parámetros del análisis; miembro que envía hallazgos a Excel; miembro que solicita una exportación; nombre o dirección de correo electrónico que figuran en un comentario, una respuesta o la decisión de un revisor, que repiten las hojas de listas de comprobación enviadas a Excel; en un proyecto de análisis, la identidad del miembro que ejecutó cada paso del diario de análisis o aprobó una ejecución propuesta por el asistente; grabaciones de la voz de los Usuarios cuando utilizan la entrada de voz, y las transcripciones resultantes. Datos de uso definidos en el artículo 2.5: nombre, dirección de correo electrónico, identificador técnico de la cuenta, función, condición de miembro activo, titularidad de una licencia del complemento de Excel (sí o no), indicadores de uso y de consumo enumerados en ese artículo, desglose por funcionalidad. El uso de los antiguos miembros, y el que no está vinculado a ningún miembro, figura solo en una línea «antiguos miembros» sin nombre. Esa línea no es anónima: cuando una sola persona ha abandonado la organización, muestra sus totales. Para una lista PBC: las solicitudes; la dirección de correo electrónico y el idioma de cada destinatario; el registro de sus acciones a través de su enlace, con la fecha (enlace abierto, registrado como máximo una vez al día; archivo enviado o retirado; mensaje; solicitud confiada a un colega); sus mensajes; los motivos que da cuando no tiene nada que enviar; los archivos que envía y su contenido; los resultados de los controles de IA sobre esos archivos, cuando el Cliente ha fijado preguntas (las respuestas, con los pasajes citados); la identidad del miembro que envió cada solicitud. Convenciones que el agente retiene a petición de un Usuario, cuando la organización del Cliente las ha activado. Procedimientos del Cliente, sus versiones, las conversaciones que sirven para redactarlos y las propuestas de actualización. Nombre e identificador de los libros abiertos en el complemento de Excel, que este comunica al servidor MCP. Progreso de los Usuarios en la Academia Blast Audit: lecciones y rutas completadas, con su fecha, y respuestas a los ejercicios y a los cuestionarios, con su puntuación.

Categorías especiales de datos y datos relativos a infracciones. No se buscan. Pueden figurar de forma incidental en los documentos, las anotaciones, los comentarios, las notas de los revisores, las listas de comprobación, las respuestas de la IA, los mensajes o el motivo que un destinatario da cuando no tiene nada que enviar (por ejemplo, datos de salud en una nómina, una cuota sindical o una resolución judicial). Garantías adicionales: tratamiento limitado a la tarea solicitada por el Usuario; conservación limitada a los plazos que figuran a continuación; acceso del personal de NEXT BP limitado a los casos previstos en el artículo 4.3; medidas del Anexo 2.

Frecuencia. Continua, con cada acción de un Usuario, del agente de encargos, del asistente de un proyecto de análisis o de un destinatario de una lista PBC.

Naturaleza del tratamiento. Recepción, alojamiento, reconocimiento óptico de caracteres (OCR), análisis mediante modelos de IA, extracción de valores, respuestas a preguntas sobre los documentos, comprobación de las tablas de resultados del agente de encargo y del agente de Excel antes de su entrega, clasificación, conciliación entre hojas de trabajo y documentos, búsqueda web aprobada por el Usuario, transcripción de la entrada de voz, visualización, exportación y supresión. Para cada conversación con el agente de Excel: recepción del nombre de cada documento guardado en el libro de trabajo y del texto que el OCR ha leído en él, conservación de ese texto con el contenido de la conversación, y listado, búsqueda y lectura de esos documentos en los servidores de NEXT BP. En los proyectos de análisis: importación de fuentes de datos y constitución de conjuntos de datos, ejecución de recetas, paquetes y scripts de análisis en un entorno de ejecución aislado (sandbox) descrito en el Anexo 2, reproducción del diario de análisis, y propuestas del asistente de IA del proyecto, que solo se ejecutan tras la aprobación de un Usuario con acceso completo al proyecto; en cada lectura, el asistente solo recibe del proyecto los nombres y las columnas de las fuentes y los conjuntos de datos, recuentos de filas, totales y algunas filas de ejemplo; el asistente recibe además los mensajes de los Usuarios y el historial de su conversación, que puede repetir esos extractos. Para las listas PBC: envío por correo electrónico de las solicitudes, los recordatorios y los nuevos enlaces a los destinatarios que designan los Usuarios y a los colegas a quienes un destinatario confía una solicitud, recepción de los archivos y mensajes de los destinatarios, análisis antivirus de cada archivo antes de que pueda utilizarse, y copia de los archivos aceptados en un encargo o importación en un libro de trabajo a petición de un Usuario. Búsqueda en el SharePoint de la organización del Cliente, a petición de un administrador, mediante el servicio de recuperación de Microsoft 365 Copilot (Microsoft Graph) y con la conexión Microsoft 365 de ese administrador: Microsoft trata la consulta en el marco del contrato Microsoft 365 del Cliente, y el Software muestra extractos, con su título y su autor, y está diseñado para no conservarlos. Constitución de indicadores de uso por Usuario y, cuando el Cliente activa el ajuste del artículo 2.5, presentación de esos indicadores a los propietarios y a los administradores de su organización, y exportación de esos indicadores (en el navegador o mediante la página Exportaciones). Presentación a los propietarios y a los administradores de la organización del Cliente del progreso de sus Usuarios en la Academia Blast Audit, incluida la mejor puntuación de cada Usuario en los cuestionarios. Relectura de páginas por el OCR estándar para medir la calidad de la lectura (artículo 5.2).

Finalidad. Prestar las funciones del Software solicitadas por los Usuarios: lectura y análisis de los documentos de auditoría, incluidos, por el agente de Excel, los documentos guardados en un libro de trabajo, extracción de valores en las hojas de trabajo, vinculación de los valores con su fuente cuando es posible, ejecución de las tareas del agente de encargos y de los procedimientos del Cliente, conservación de las revisiones de estados financieros y del trabajo que sus miembros realizan en ellas, respuestas de la IA a las listas de comprobación de una revisión y envío de los hallazgos de la revisión a Excel, recogida, mediante las listas PBC, de los documentos que los Usuarios solicitan a sus clientes o a otras personas, y su copia en un encargo o su importación en un libro de trabajo, análisis, en los proyectos de análisis, de los libros mayores y las demás exportaciones de datos que los Usuarios importan en ellos, importación de archivos desde el almacenamiento en línea del Cliente (Google Drive, Microsoft 365) y búsqueda en su SharePoint, respuesta a las solicitudes de los asistentes de IA que el Cliente conecta al servidor MCP, y formación de los Usuarios en la Academia Blast Audit. Medir y mantener la calidad de la lectura entregada al Cliente (artículo 5.2). Cuando el Cliente activa el ajuste del artículo 2.5, presentar y exportar a los propietarios y a los administradores de su organización los Datos de uso por miembro.

Duración del tratamiento. La duración del Contrato Principal y, después, hasta la supresión o la devolución de los Datos del Cliente prevista en el artículo 7 y, solo para el registro del ajuste de la vista por miembro, cinco (5) años tras el término del Contrato Principal (artículo 2.5); para cada categoría de datos se aplican los plazos de conservación que figuran a continuación.

Plazos de conservación.

Los plazos siguientes son plazos máximos. Si una supresión falla, o si un procesamiento en curso la retiene, se reintenta y se produce en el menor plazo posible.

Anexo 2 — Medidas técnicas y organizativas

Alojamiento y ubicación. La aplicación, las bases de datos y el almacenamiento de archivos se alojan en Microsoft Azure, en la región France Central (París). El archivo de los registros de actividad de la plataforma Azure está georreplicado en la región France South (Marsella); los archivos del Cliente no lo están. Los tratamientos de IA y la lectura avanzada de las páginas escaneadas (artículo 5.2) se ejecutan en recursos de Microsoft situados en la región Sweden Central, dentro de la zona de datos de la Unión Europea (EU Data Zone). La lectura estándar de una página escaneada, cuando se produce, la realiza un software que NEXT BP explota por sí misma, en el entorno de Microsoft Azure que aloja la aplicación y en la misma región; no interviene ningún proveedor de OCR distinto.

Sandboxes de ejecución. Los scripts que el agente de encargos, el agente de Excel y los proyectos de análisis ejecutan se ejecutan en entornos de ejecución aislados, alojados en Microsoft Azure, diseñados para no tener ni acceso de salida a la red ni acceso a los secretos de la aplicación. Cada ejecución de un proyecto de análisis (receta, paquete, script o reproducción) se realiza en su propio entorno, suprimido después de la ejecución. El Software está diseñado para que solo un Usuario con acceso completo al proyecto pueda importar en él una fuente, lanzar una ejecución o aprobar una propuesta del asistente. El diario de análisis está diseñado para que una entrada modificada o retirada se detecte al verificarlo.

Seguridad física. Los Datos del Cliente se alojan en los centros de datos de Microsoft Azure, cuya seguridad física está cubierta por las certificaciones e informes de Microsoft (artículo 6.1).

Cifrado. Los datos se cifran en tránsito mediante TLS (versión 1.2 o superior) entre el Software, los servidores de NEXT BP y los Subencargados. Las bases de datos, el almacenamiento de archivos y las copias de seguridad se cifran en reposo por Microsoft Azure, con claves gestionadas por Microsoft. Los tokens de acceso de los conectores de Google Drive y Microsoft 365 se cifran además por la aplicación antes de su almacenamiento.

Seudonimización. El Software debe leer el contenido de los documentos para prestar sus funciones y no lo seudonimiza; limita su conservación a los plazos del Anexo 1.

Aislamiento y control de acceso. Los datos de cada organización están separados lógicamente, y el Software está diseñado para verificar cada solicitud en función de la organización y de los derechos del Usuario. Los Usuarios se autentican mediante WorkOS, con inicio de sesión único (SAML u OpenID Connect) para las organizaciones que lo utilizan. El acceso a los sistemas de producción está limitado a las personas de NEXT BP que lo necesitan.

Gestión de claves y secretos. Los secretos y las claves de la aplicación se mantienen fuera del código fuente. Los tokens de los conectores se cifran con una clave reservada para este uso.

Configuración de los sistemas. Gestión de los cambios de la infraestructura, con revisión de las modificaciones.

Minimización y supresión. El contenido de los documentos solo se conserva durante los plazos del Anexo 1 y se suprime mediante purgas automáticas, que vuelven a lanzar cualquier supresión que falle. Azure OpenAI está configurado para no conservar las solicitudes para una consulta posterior (artículo 5.3); no obstante, Microsoft conserva temporalmente todas las solicitudes y todas las respuestas para la supervisión de abusos (artículo 5.4).

Portabilidad y supresión. Exportación desde el Software (artículo 7.2), supresión automática según los plazos del Anexo 1, y supresión o devolución al final del contrato (artículo 7.3).

Calidad de los datos. El Software está diseñado para vincular, cuando es posible, cada resultado con su fuente en el documento para que el Usuario pueda comprobarlo (artículo 5.6).

Registros y telemetría. Los registros de explotación y los informes de errores están concebidos para no contener contenido de documentos; los registros se conservan durante el plazo fijado en el Anexo 1. La medición del uso del producto registra eventos sin contenido de documentos y sin el detalle por miembro del artículo 2.5.

Copias de seguridad y continuidad. Las bases de datos se copian automáticamente y las copias de seguridad se conservan durante el plazo fijado en el Anexo 1, lo que permite una restauración tras un incidente.

Gestión de vulnerabilidades. NEXT BP publica una política de divulgación de vulnerabilidades (security [at] blast-audit.com), mantiene actualizadas sus dependencias y trata las vulnerabilidades según su gravedad.

Gestión de incidentes. Los incidentes son gestionados por NEXT BP, que notifica al Cliente las Violaciones de Datos Personales de conformidad con el artículo 4.8.

Gobernanza. El presidente de NEXT BP es responsable de la seguridad y de la protección de datos.

Certificaciones. En la fecha del presente DPA, NEXT BP dispone de un certificado ISO/IEC 27001:2022 para Blast Audit (diseño, desarrollo, explotación y soporte) y de un informe SOC 2 Type 2 sobre Blast Audit, relativo a los criterios de seguridad, disponibilidad y confidencialidad (Trust Services Criteria). Comunica previa solicitud los certificados en vigor y sus informes más recientes, con un acuerdo de confidencialidad (artículo 6.1). Para el alojamiento, NEXT BP se apoya además en las certificaciones de Microsoft Azure.

Anexo 3 — Subencargados

Lista a 28 de octubre de 2026.

A. Subencargados (Datos del Cliente)

Los cambios se anuncian de conformidad con el artículo 4.4.

Objeto, naturaleza y duración. El objeto y la naturaleza del tratamiento figuran en las columnas «Servicio» y «Datos Personales». Cada Subencargado trata los Datos del Cliente durante la vigencia del Contrato Principal, dentro de los plazos de conservación del Anexo 1, excepto: Azure OpenAI, que no conserva las solicitudes ni las respuestas para una consulta posterior (artículo 5.3) pero las conserva todas temporalmente para la supervisión de abusos, sin que el contrato de Microsoft fije su duración (artículo 5.4); el servicio Azure AI de la zona de datos de la UE, cuyas solicitudes y respuestas Microsoft puede conservar temporalmente para la supervisión de abusos, sin compromiso de Microsoft sobre su duración (artículo 5.4); Azure AI Content Understanding, cuyos resultados se suprimen una vez leídos y como máximo 24 horas después de la creación de la operación. Para Azure OpenAI y para el servicio Azure AI de la zona de datos de la UE, el artículo 5.4 indica quién, en Microsoft, puede examinar estas solicitudes y respuestas, y cuándo Microsoft las suprime como máximo.

B. Otros proveedores de NEXT BP (artículo 2.3), a título informativo

Estos proveedores tratan los datos respecto de los cuales NEXT BP actúa como responsable del tratamiento (artículo 2.3). No son Subencargados en el sentido del presente DPA.

Anexo 4 — Transferencias fuera del Espacio Económico Europeo

A. Del Cliente a NEXT BP. El Cliente y NEXT BP están establecidos en la Unión Europea; la comunicación de los Datos del Cliente a NEXT BP no constituye una transferencia a un tercer país. Si el Cliente está establecido fuera del Espacio Económico Europeo, las partes acuerdan las garantías apropiadas antes de cualquier tratamiento.

B. De NEXT BP a los Subencargados y otros proveedores. Para cada Subencargado u otro proveedor del Anexo 3 establecido en Estados Unidos o que pueda acceder a los datos desde ese país:

• si está certificado en el marco del Data Privacy Framework UE-EE. UU., la transferencia se basa en la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023;
• en su defecto, o de forma complementaria, la transferencia se ampara en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, módulo tres (de encargado a encargado) para los Datos del Cliente, integradas en el contrato de encargo de tratamiento de datos del Subencargado. Cuando NEXT BP actúa como responsable del tratamiento (artículo 2.3), se aplica el módulo dos (de responsable a encargado).

C. Medidas adicionales. Los datos se cifran en tránsito y en reposo; los Datos del Cliente alojados por NEXT BP permanecen en la Unión Europea; solo se transmiten al Subencargado los datos necesarios para cada servicio.

D. Copia. El Cliente puede obtener una copia de las garantías aplicables a un Subencargado escribiendo a privacy [at] blast-audit.com.