Acuerdo de procesamiento de datos

El presente contrato de encargo de tratamiento de datos (el «DPA») se celebra entre:

• NEXT BP, sociedad por acciones simplificada con un capital de 100 €, inscrita en el Registro Mercantil de París con el número 920 753 233, con domicilio social en 127 rue de la Tour, 75016 París («NEXT BP» o el «Encargado del tratamiento»); y
• la persona jurídica que contrata una suscripción a Blast Audit o inicia una prueba gratuita (el «Cliente»).

Forma parte integrante de los Términos y Condiciones y del Contrato de Licencia de Usuario Final (CLUF) (conjuntamente, el «Contrato Principal»). Fija las condiciones en las que NEXT BP trata Datos Personales por cuenta del Cliente cuando presta Blast Audit: el complemento de Excel, el panel web, los conectores con el almacenamiento en línea del Cliente, el servidor MCP y el agente de encargos (conjuntamente, el «Software»). Constituye el contrato exigido por el artículo 28 del RGPD.

El presente DPA se inspira en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, sin reproducirlas allí donde una cláusula lo indica: el Anexo 1 corresponde a sus anexos I y II, el Anexo 2 a su anexo III y el Anexo 3 a su anexo IV.

---

1. Definiciones

Los términos definidos por el RGPD (en particular «responsable del tratamiento», «encargado del tratamiento», «Datos Personales», «tratamiento», «Interesado», «Violación de Datos Personales» y «autoridad de control») tienen el significado que les atribuye el RGPD. Además:

• «RGPD» designa el Reglamento (UE) 2016/679, de 27 de abril de 2016.
• «Normativa Aplicable» designa el RGPD, la ley francesa n.º 78-17, de 6 de enero de 1978, relativa a la informática, los ficheros y las libertades, y cualquier otra disposición del Derecho de la Unión o de un Estado miembro en materia de protección de datos que se aplique al tratamiento.
• «Datos del Cliente» designa los documentos, archivos, imágenes, grabaciones de audio, textos, instrucciones, hojas de trabajo y resultados que el Cliente o sus Usuarios envían al Software o que el Software produce a partir de ellos, así como los Datos Personales que contienen.
• «Subencargado» designa cualquier encargado del tratamiento al que NEXT BP recurre para llevar a cabo actividades de tratamiento de los Datos del Cliente por cuenta del Cliente.
• «Usuarios» designa las personas que el Cliente autoriza a utilizar el Software.
• «Anexos» designa los cuatro anexos del presente DPA, que forman parte integrante del mismo.

El presente DPA se lee e interpreta a la luz del RGPD. No puede interpretarse de manera contraria a los derechos y obligaciones establecidos en el RGPD ni de manera que menoscabe los derechos o libertades fundamentales de los Interesados.

---

2. Funciones y ámbito de aplicación

2.1 El Cliente es el responsable del tratamiento de los Datos Personales contenidos en los Datos del Cliente. Determina los fines del tratamiento y decide por sí solo qué documentos envían sus Usuarios al Software. Cuando el Cliente trate él mismo estos datos como encargado del tratamiento por cuenta de un tercero, NEXT BP actúa como su subencargado y el Cliente le transmite las instrucciones que recibe.

2.2 NEXT BP es encargado del tratamiento. Solo trata los Datos del Cliente para prestarle el Software, de conformidad con el presente DPA.

2.3 Datos ajenos al DPA. NEXT BP actúa como responsable del tratamiento independiente, y no en virtud del presente DPA, respecto de los datos necesarios para su propia actividad: cuentas y autenticación de los Usuarios, facturación, solicitudes de asistencia, seguridad del servicio, medición del uso del producto y relaciones comerciales. Estos datos se describen en la Política de privacidad. Las métricas técnicas de uso (por ejemplo, el número de páginas tratadas o la duración de una tarea) pertenecen a esta categoría: no contienen ningún contenido de documentos y NEXT BP solo las utiliza para la facturación, las cuotas, la seguridad y la fiabilidad del servicio.

2.4 Alcance. El presente DPA se entiende sin perjuicio de las obligaciones a las que está sujeto el Cliente como responsable del tratamiento en virtud del RGPD. No basta por sí solo para regular las transferencias fuera del Espacio Económico Europeo, que se rigen por el artículo 8 y el Anexo 4.

---

3. Descripción del tratamiento

El objeto, la naturaleza, la finalidad y la duración del tratamiento, los tipos de Datos Personales y las categorías de Interesados se describen en el Anexo 1. El tratamiento dura lo mismo que el Contrato Principal y, después, hasta la supresión o la devolución de los Datos del Cliente prevista en el artículo 7.

---

4. Obligaciones de NEXT BP

4.1 Instrucciones documentadas. NEXT BP solo trata los Datos del Cliente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias de Datos Personales a un tercer país o a una organización internacional, salvo que esté obligada a ello en virtud del Derecho de la Unión o del Derecho del Estado miembro que le sea aplicable. En tal caso, NEXT BP informa al Cliente de esa exigencia legal antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público. El Contrato Principal, el presente DPA, las acciones de los Usuarios en el Software y los ajustes elegidos por los administradores del Cliente (por ejemplo, la activación de un conector) constituyen las instrucciones documentadas del Cliente. El Cliente puede dar instrucciones complementarias durante toda la duración del tratamiento; estas siempre se documentan, por ejemplo por correo electrónico a privacy [at] blast-audit.com. Si NEXT BP no puede ejecutar una instrucción complementaria con las funciones del Software, informa de ello al Cliente sin demora y se aplica el artículo 12.

4.2 Instrucciones ilícitas. NEXT BP informa inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otras disposiciones del Derecho de la Unión o de los Estados miembros en materia de protección de datos. NEXT BP puede suspender la ejecución de esa instrucción hasta que el Cliente la confirme o la modifique por escrito.

4.3 Confidencialidad. NEXT BP vela por que las personas autorizadas para tratar los Datos del Cliente se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria, y por que solo accedan a los Datos del Cliente en la medida estrictamente necesaria para prestar el Software, atender una solicitud de asistencia del Cliente o gestionar un incidente.

4.4 Subencargados.

(a) Autorización general por escrito. El Cliente concede a NEXT BP una autorización general por escrito para recurrir a Subencargados. Los Subencargados contratados en la fecha del presente DPA figuran en la parte A del Anexo 3, que constituye la lista fechada de los subencargados de NEXT BP.

(b) Obligaciones de los Subencargados. NEXT BP recurre a cada Subencargado mediante un contrato que le impone, en lo esencial, las mismas obligaciones de protección de datos que las que se imponen a NEXT BP en virtud del presente DPA, en particular garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. NEXT BP vela por que cada Subencargado cumpla estas obligaciones. NEXT BP sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de sus Subencargados y le informa de cualquier incumplimiento de un Subencargado de sus obligaciones contractuales del que tenga conocimiento.

(c) Cambios. NEXT BP informa al Cliente de cualquier adición o sustitución prevista de un Subencargado al menos treinta (30) días antes de que surta efecto, mediante correo electrónico dirigido al titular de la cuenta del Cliente y mediante la publicación de un Anexo 3 actualizado y fechado. La información indica el nombre del Subencargado, su función, el lugar del tratamiento y el mecanismo de transferencia.

(d) Oposición. Durante este plazo de treinta días, el Cliente puede oponerse al cambio por escrito a privacy [at] blast-audit.com, por motivos razonables relacionados con la protección de los Datos Personales. NEXT BP y el Cliente buscan entonces de buena fe una solución, por ejemplo una configuración en la que el nuevo Subencargado no trate los datos del Cliente. Si no se alcanza una solución antes de que el cambio surta efecto, el Cliente puede resolver la suscripción afectada, sin penalización, con efectos a la fecha del cambio. En tal caso, el Cliente tiene derecho al reembolso previsto en el artículo 12.5.

(e) Copia de los contratos. A petición del Cliente, NEXT BP le facilita una copia del contrato aplicable celebrado con un Subencargado, en su versión vigente, y de sus modificaciones, también cuando dicho contrato consista en las condiciones estándar que este publica. NEXT BP puede suprimir de ella los secretos comerciales y demás información confidencial, incluidos Datos Personales.

(f) Desaparición de NEXT BP. NEXT BP recurre a las condiciones estándar de sus Subencargados y no puede hacer que se añada a ellas una cláusula en beneficio del Cliente. Si NEXT BP ha desaparecido de hecho, ha dejado de existir jurídicamente o ha incurrido en insolvencia, el Cliente puede solicitar al administrador concursal o al liquidador la supresión o la devolución de los Datos del Cliente; los Datos del Cliente siguen sujetos a los plazos de conservación del Anexo 1.

(g) Sustitución urgente. Cuando un Subencargado deje de prestar su servicio o ponga en peligro la seguridad de los Datos del Cliente, NEXT BP puede sustituirlo con un preaviso más corto. No se transmite ningún Dato del Cliente al nuevo Subencargado antes de que el Cliente haya sido informado. El Cliente dispone a continuación de los derechos del artículo 4.4(d) durante treinta (30) días. Si se opone, NEXT BP deja de transmitirle los Datos del Cliente a través de ese Subencargado.

4.5 Seguridad. NEXT BP aplica las medidas técnicas y organizativas descritas en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD. NEXT BP puede modificar estas medidas siempre que no reduzca el nivel global de protección.

4.6 Solicitudes de los Interesados. Teniendo en cuenta la naturaleza del tratamiento, NEXT BP asiste al Cliente, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, para que pueda cumplir su obligación de atender las solicitudes de los Interesados que ejercen sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición). Si NEXT BP recibe directamente una solicitud de este tipo, la traslada al Cliente sin demora y no la responde ella misma, salvo para indicar al Interesado que su solicitud ha sido trasladada.

4.7 Evaluación de impacto y consulta previa. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, NEXT BP asiste al Cliente en el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD. En particular, facilita al Cliente, previa solicitud, la información que necesita para realizar una evaluación de impacto relativa a la protección de datos (descripción del tratamiento, flujos de datos, Subencargados, plazos de conservación, medidas de seguridad) y le asiste en cualquier consulta previa a la CNIL o a otra autoridad de control competente. NEXT BP informa sin demora al Cliente si tiene conocimiento de que Datos Personales que trata por su cuenta son inexactos o han quedado desfasados.

4.8 Violaciones de Datos Personales.

(a) NEXT BP notifica al Cliente toda Violación de Datos Personales que afecte a los Datos del Cliente sin dilación indebida y en un plazo de 48 horas desde que tenga conocimiento de ella, mediante correo electrónico dirigido al titular de la cuenta del Cliente.

(b) La notificación contiene, en la medida en que esa información se conozca en ese momento: la naturaleza de la violación, incluidos, cuando sea posible, las categorías y el número aproximado de Interesados y de registros afectados; el nombre y los datos de contacto del punto de contacto de NEXT BP (privacy [at] blast-audit.com); las posibles consecuencias de la violación; y las medidas adoptadas o propuestas por NEXT BP para poner remedio a la violación y mitigar sus posibles efectos negativos. Cuando no sea posible facilitar toda la información al mismo tiempo, NEXT BP la facilita de manera gradual, sin más dilación indebida.

(c) NEXT BP coopera con el Cliente para que este pueda notificar a la autoridad de control y, en su caso, a los Interesados. NEXT BP no efectúa estas notificaciones en nombre del Cliente, salvo instrucción escrita de este.

(d) Cuando una Violación de Datos Personales afecte a datos tratados por el propio Cliente, por ejemplo tras el compromiso de la cuenta de un Usuario, NEXT BP le asiste, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, para notificar a la autoridad de control, reunir la información exigida por el artículo 33.3 del RGPD y, en su caso, comunicar la violación a los Interesados.

4.9 Información. Las partes están en condiciones de demostrar el cumplimiento del presente DPA. NEXT BP atiende con prontitud y de manera adecuada las consultas del Cliente relativas al tratamiento de los Datos del Cliente y las responde en un plazo de diez (10) días hábiles. Pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y del presente DPA, en las condiciones del artículo 6. Pone esta información, incluidos los resultados de cualquier auditoría, a disposición de la autoridad de control competente en cuanto esta la solicite.

---

5. Inteligencia artificial

5.1 Sin entrenamiento. NEXT BP no utiliza los Datos del Cliente para entrenar, ajustar (fine-tuning) o mejorar de ningún modo un modelo de inteligencia artificial o de aprendizaje automático, ya sea propio o de un tercero.

5.2 Proveedores de IA. Salvo cuando el Cliente utiliza su propia clave de API (artículo 5.7), los modelos de IA que tratan los Datos del Cliente son explotados por Microsoft (Azure OpenAI, Azure AI Content Understanding, Azure AI Speech) en el marco de las condiciones de protección de datos de Microsoft, según las cuales Microsoft no utiliza los Datos del Cliente para entrenar modelos fundacionales de IA generativa sin instrucciones documentadas de NEXT BP, y NEXT BP no da tales instrucciones. NEXT BP no recurrirá a ningún otro proveedor de modelos de IA sin imponerle la misma prohibición de entrenar modelos con los Datos del Cliente, y solo en las condiciones del artículo 4.4. Lectura de las páginas escaneadas. Cuando se produce, la lectura de una página por el OCR estándar de NEXT BP, un software que NEXT BP explota por sí misma, se ejecuta en el entorno de Microsoft Azure que aloja la aplicación (Anexo 3), en la misma región; ningún proveedor de OCR distinto realiza esa lectura. El OCR estándar no lee todas las páginas. Azure AI Content Understanding lee cada página escaneada para la que el resultado entregado al Cliente no procede del OCR estándar, en particular las páginas releídas, automáticamente o a petición de un Usuario, todas las páginas de una organización que no forma parte del despliegue del OCR estándar, todas las páginas de una región en la que no está disponible y todas las páginas enviadas por una versión del complemento que no lo admite. Azure AI Content Understanding también puede leer páginas que el OCR estándar lee, en particular durante la evaluación de este. Cuando el Cliente utiliza su propia clave de Azure (artículo 5.7), cada página escaneada la lee la lectura avanzada, con la clave del Cliente, en el marco del contrato de Azure del Cliente.

5.3 Sin almacenamiento de las solicitudes para consulta posterior. Las solicitudes enviadas a Azure OpenAI llevan el parámetro store:false: el servicio no conserva las solicitudes ni las respuestas para una consulta posterior. NEXT BP no utiliza las funciones de completados almacenados, asistentes, archivos, bases de datos vectoriales, procesamiento por lotes ni ajuste fino de Azure OpenAI. No obstante, la supervisión de abusos del artículo 5.4 lleva a Microsoft a conservar temporalmente todas las solicitudes y todas las respuestas.

5.4 Supervisión de abusos por Microsoft. Microsoft conserva temporalmente todas las solicitudes dirigidas a Azure OpenAI y todas las respuestas, para detectar y prevenir los usos abusivos o perjudiciales del servicio y de sus resultados (abuse monitoring). El contrato de Microsoft no fija la duración de esta conservación. Solo los datos que han activado sus sistemas automatizados pueden ser examinados por empleados autorizados de Microsoft; en los despliegues sujetos a la frontera de datos de la UE (EU Data Boundary), esos empleados están situados en el Espacio Económico Europeo. Las condiciones de Microsoft (Privacy & Security Terms) permiten además a su personal situado fuera de esa frontera acceder en remoto a los sistemas de tratamiento que se encuentran dentro de ella, en la medida necesaria para operar, solucionar incidencias, prestar asistencia y proteger sus servicios. Microsoft no utiliza este contenido para entrenar modelos fundacionales de IA generativa sin instrucciones documentadas de su cliente, y NEXT BP no da tales instrucciones (artículo 5.2). El 2 de octubre de 2026, NEXT BP solicitó la supervisión de abusos modificada (modified abuse monitoring), que suprime esta conservación; Microsoft la rechazó el 4 de octubre de 2026, ya que la reserva a los clientes gestionados por sus equipos comerciales. Por tanto, esta conservación se produce.

5.5 Búsqueda web. El agente de Excel puede proponer una búsqueda web. La consulta de búsqueda, redactada por el modelo, se muestra al Usuario y solo se envía a Exa (Anexo 3) si el Usuario la aprueba. Puede contener nombres o importes procedentes de los Datos del Cliente. La búsqueda web deja de ofrecerse en una conversación que haya utilizado las funciones de análisis de documentos.

5.6 Sin decisiones automatizadas. El Software produce propuestas (valores extraídos, respuestas, clasificaciones, conciliaciones) vinculadas a las palabras del documento de origen para que el Usuario pueda comprobarlas. No adopta ninguna decisión que produzca efectos jurídicos en los Interesados o que les afecte significativamente de modo similar: el Cliente y sus Usuarios validan cada resultado y siguen siendo responsables de sus conclusiones.

5.7 Proveedor elegido por el Cliente. Cuando el Cliente registra en el Software una clave de API de un proveedor de IA o de OCR con el que ha contratado directamente, las solicitudes correspondientes se envían a ese proveedor, con la cuenta del Cliente y en las condiciones que el Cliente aceptó. Ese proveedor es elegido por el Cliente y está vinculado a él por su propio contrato: no es un Subencargado de NEXT BP y no figura en el Anexo 3. Corresponde al Cliente comprobar que ese contrato cumple el artículo 28 del RGPD y, en caso de transferencia, el capítulo V. Los artículos 5.2 a 5.4 no se aplican a esas solicitudes; el artículo 5.1 sigue obligando a NEXT BP. El Cliente puede retirar su clave en cualquier momento; las solicitudes posteriores vuelven a los proveedores del Anexo 3.

---

6. Auditorías

6.1 Primero, la documentación. Previa solicitud, NEXT BP facilita al Cliente la documentación que demuestra su cumplimiento: el presente DPA y sus Anexos, las respuestas a un cuestionario de seguridad razonable, y las certificaciones e informes que Microsoft pone a disposición para sus servicios de alojamiento (informe SOC 3 y certificados ISO publicados en el Service Trust Portal de Microsoft).

6.2 Auditoría in situ. Si el Cliente considera razonablemente que esta documentación no basta para demostrar el cumplimiento del presente DPA, puede realizar, por sí mismo o por medio de un auditor independiente sujeto a confidencialidad y no competidor de NEXT BP, una auditoría in situ o mediante acceso remoto, como máximo una vez cada doce meses, con un preaviso escrito de al menos treinta (30) días. El alcance, la fecha y la duración se acuerdan previamente. La auditoría se desarrolla en horario laboral, sin perturbar de manera irrazonable la actividad de NEXT BP y sin acceso a los datos de otros clientes ni a las instalaciones de los Subencargados, que están cubiertas por sus propios informes de auditoría.

6.3 Auditorías adicionales. El límite de una auditoría al año no se aplica a una auditoría exigida por una autoridad de control, a una auditoría realizada a raíz de una Violación de Datos Personales que afecte a los Datos del Cliente ni a una auditoría justificada por indicios serios de incumplimiento del presente DPA por NEXT BP, que el Cliente indique por escrito. Para estas auditorías, el preaviso se reduce a diez (10) días hábiles.

6.4 Costes. Cada parte soporta sus propios costes. El Cliente soporta el coste de la auditoría y de su auditor, salvo que la auditoría revele un incumplimiento significativo de NEXT BP de sus obligaciones en virtud del presente DPA, en cuyo caso NEXT BP soporta los costes razonables de la auditoría. NEXT BP corrige sin dilación indebida cualquier incumplimiento constatado.

---

7. Fin del tratamiento: devolución y supresión

7.1 Datos ya suprimidos durante la suscripción. La mayor parte de los Datos del Cliente se suprime durante la suscripción según los plazos de conservación del Anexo 1: el contenido de los documentos sometidos a OCR, a análisis o al agente de Excel se suprime como máximo 24 horas después de su importación, en las copias que NEXT BP controla. Las solicitudes y las respuestas que Microsoft conserva temporalmente para la supervisión de abusos no quedan comprendidas (artículo 5.4). Los libros de trabajo permanecen en los archivos de Excel del Cliente.

7.2 Exportación. Hasta el fin del Contrato Principal, el Cliente puede exportar desde el Software los datos que NEXT BP aún conserve, en particular los encargos del agente de encargos.

7.3 Supresión. Al finalizar el Contrato Principal, NEXT BP suprime todos los Datos del Cliente en un plazo de treinta (30) días, salvo que el Cliente solicite, dentro de ese plazo, la devolución de los datos aún conservados; NEXT BP se los devuelve entonces en un formato estructurado y de uso común, y después los suprime. Las copias contenidas en las copias de seguridad de la base de datos desaparecen al expirar estas copias de seguridad, en los siete (7) días siguientes a la supresión. NEXT BP no conserva ninguna copia, salvo que el Derecho de la Unión o del Estado miembro exija la conservación de los Datos Personales. Las solicitudes y las respuestas que Microsoft conserva temporalmente para la supervisión de abusos (artículo 5.4) quedan sujetas a las condiciones de Microsoft; no están cubiertas por la supresión anterior en el plazo de treinta (30) días, ya que NEXT BP no puede suprimirlas para cada Cliente; el contrato de Microsoft no fija la duración de esta conservación.

7.4 Certificado. Previa solicitud, NEXT BP entrega al Cliente un certificado de supresión por escrito.

---

8. Transferencias fuera del Espacio Económico Europeo

8.1 Los Datos del Cliente se alojan y se tratan en la Unión Europea, salvo las transferencias descritas en el Anexo 4. Al aceptar el presente DPA, el Cliente da instrucciones a NEXT BP para que efectúe estas transferencias. NEXT BP no efectúa ninguna otra transferencia a un tercer país o a una organización internacional, salvo siguiendo instrucciones documentadas del Cliente o para cumplir una exigencia del Derecho de la Unión o del Derecho del Estado miembro que le sea aplicable, y siempre de conformidad con el capítulo V del RGPD.

8.2 Cuando un Subencargado esté establecido fuera del Espacio Económico Europeo, o pueda acceder a los datos desde fuera de este, la transferencia se ampara en la decisión de adecuación de la Comisión Europea relativa al marco de privacidad de datos UE-EE. UU. (Data Privacy Framework) para los destinatarios certificados, o en las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión. El Anexo 4 indica el mecanismo utilizado para cada destinatario. El Cliente puede obtener una copia de estas garantías escribiendo a privacy [at] blast-audit.com.

---

9. Obligaciones del Cliente

9.1 El Cliente se asegura de que el tratamiento que encomienda a NEXT BP se basa en un fundamento jurídico válido y de que los Interesados han recibido la información exigida por los artículos 13 y 14 del RGPD.

9.2 El Cliente solo envía al Software los documentos necesarios para sus encargos. Los documentos tratados pueden contener de forma incidental categorías especiales de Datos Personales o datos relativos a condenas e infracciones penales (por ejemplo, una línea de baja por enfermedad en una nómina o una resolución judicial en un expediente de litigio). El Cliente sigue siendo responsable de la decisión de enviarlos; NEXT BP les aplica las garantías adicionales descritas en el Anexo 1.

9.3 Las instrucciones del Cliente son conformes con la Normativa Aplicable. El Cliente designa al titular de su cuenta como interlocutor de NEXT BP para el presente DPA y mantiene actualizada su dirección de correo electrónico en el Software.

---

10. Responsabilidad

Cada parte es responsable de los daños que cause en infracción del presente DPA en las condiciones y con los límites del Contrato Principal, incluido el límite específico para los incumplimientos de las obligaciones de protección de datos previsto en el artículo 11 de los Términos y Condiciones. Estos límites no se aplican ni a los derechos de los Interesados en virtud del artículo 82 del RGPD ni a las multas administrativas impuestas a una parte, que siguen a cargo de esta.

---

11. Prevalencia, duración y Derecho aplicable

11.1 Prevalencia. En caso de contradicción entre el presente DPA y cualquier estipulación de otro acuerdo celebrado entre las partes, antes o después del presente DPA, incluidos los Términos y Condiciones, el CLUF y cualquier pedido o presupuesto, prevalece el DPA en todo lo relativo al tratamiento de Datos Personales. Una estipulación que proteja en mayor medida los Datos Personales no constituye una contradicción.

11.2 Duración. El presente DPA se aplica desde la aceptación de los Términos y Condiciones por el Cliente, incluido el inicio de una prueba gratuita, y permanece en vigor mientras NEXT BP trate Datos del Cliente.

11.3 Firma. Puede obtenerse, previa solicitud a privacy [at] blast-audit.com, una versión del presente DPA firmada por NEXT BP.

11.4 Idioma. El presente DPA se publica en francés, inglés y español. En caso de divergencia, prevalece la versión francesa.

11.5 Derecho aplicable. El presente DPA se rige por el Derecho francés. Cualquier litigio relacionado con él es competencia de los tribunales designados en los Términos y Condiciones.

11.6 Modificación. NEXT BP informa al Cliente de cualquier modificación del presente DPA al menos treinta (30) días antes de que surta efecto, mediante correo electrónico dirigido al titular de la cuenta del Cliente. Una modificación no puede reducir la protección de los Datos del Cliente sin el acuerdo por escrito del Cliente. La actualización del Anexo 3 se rige por el artículo 4.4.

---

12. Incumplimiento del DPA y resolución

12.1 Suspensión. Sin perjuicio del RGPD, si NEXT BP incumple sus obligaciones en virtud del presente DPA, el Cliente puede darle instrucciones por escrito para que suspenda el tratamiento de los Datos del Cliente hasta que las cumpla o hasta la resolución. NEXT BP informa con prontitud al Cliente si no puede cumplir el presente DPA, por cualquier motivo.

12.2 Resolución por el Cliente. El Cliente puede resolver el Contrato Principal, en lo que respecta al tratamiento de Datos Personales, mediante correo electrónico a privacy [at] blast-audit.com, con efecto inmediato, si:

(a) el tratamiento se ha suspendido en virtud del artículo 12.1 y no se restablece el cumplimiento del presente DPA en un plazo razonable y, en cualquier caso, en el plazo de un mes desde la suspensión;

(b) NEXT BP incumple de manera grave o persistente el presente DPA o sus obligaciones en virtud del RGPD;

(c) NEXT BP no cumple una resolución vinculante de un órgano jurisdiccional competente o de la autoridad de control competente relativa a sus obligaciones en virtud del presente DPA o del RGPD.

El plazo de treinta días para subsanar previsto en el artículo 13.3 de los Términos y Condiciones y en el artículo 8.2 del CLUF no se aplica a estos casos.

12.3 Resolución por NEXT BP. NEXT BP puede resolver el Contrato Principal, en lo que respecta al tratamiento de Datos Personales, cuando, tras haber informado al Cliente de que una instrucción infringe la Normativa Aplicable (artículo 4.2), el Cliente mantenga esa instrucción.

12.4 Efectos de la resolución. Se aplica el artículo 7.

12.5 Reembolso. Cuando el Cliente resuelva en virtud del artículo 4.4(d) o del artículo 12.2, NEXT BP le reembolsa la parte de las cuotas de suscripción pagadas por adelantado que corresponde al periodo restante tras la fecha de efecto de la resolución, calculada a prorrata del número de días. El reembolso se efectúa en un plazo de treinta (30) días desde la fecha de efecto, en el medio de pago utilizado. Se entiende sin perjuicio de los demás derechos y acciones del Cliente.

---

Anexo 1 — Descripción del tratamiento

Partes. Responsable del tratamiento: el Cliente, identificado por la información que facilita al registrarse y al suscribirse. Persona de contacto: el titular de la cuenta, en la dirección de correo electrónico registrada en el Software, o la persona que el Cliente designe en privacy [at] blast-audit.com; delegado de protección de datos: el que indique el Cliente, en su caso. Fecha de adhesión: fecha de aceptación de los Términos y Condiciones. Encargado del tratamiento: NEXT BP, sociedad por acciones simplificada de derecho francés (société par actions simplifiée, SAS), 127 rue de la Tour, 75016 París, Francia, RCS Paris 920 753 233. Persona de contacto: el presidente de NEXT BP, privacy [at] blast-audit.com. NEXT BP no ha designado un delegado de protección de datos.

Categorías de Interesados. Personas físicas cuyos datos figuran en los documentos enviados por el Cliente: directivos, empleados, socios, clientes, proveedores y otras contrapartes de las entidades que el Cliente audita o asesora, titulares de cuentas bancarias, firmantes; y los Usuarios del Cliente, en la medida en que su nombre o sus acciones figuren en los Datos del Cliente (por ejemplo, en el registro de tareas de un encargo).

Categorías de Datos Personales. Datos de identificación y de contacto; datos profesionales (cargo, empleador); datos financieros y bancarios (números de cuenta, saldos, operaciones, facturas, pagos); datos de nómina y de recursos humanos que figuran en las nóminas y en los libros de nóminas, que pueden incluir el número de la seguridad social; datos fiscales; datos contractuales; firmas; cualquier otro dato contenido en los documentos enviados; grabaciones de la voz de los Usuarios cuando utilizan la entrada de voz, y las transcripciones resultantes.

Categorías especiales de datos y datos relativos a infracciones. No se buscan. Pueden figurar de forma incidental en los documentos (por ejemplo, datos de salud en una nómina, una cuota sindical o una resolución judicial). Garantías adicionales: tratamiento limitado a la tarea solicitada por el Usuario; conservación limitada a los plazos que figuran a continuación; acceso del personal de NEXT BP limitado a los casos previstos en el artículo 4.3; medidas del Anexo 2.

Frecuencia. Continua, con cada acción de un Usuario o del agente de encargos.

Naturaleza del tratamiento. Recepción, alojamiento, reconocimiento óptico de caracteres (OCR), análisis mediante modelos de IA, extracción de valores, respuestas a preguntas sobre los documentos, clasificación, conciliación entre hojas de trabajo y documentos, búsqueda web aprobada por el Usuario, transcripción de la entrada de voz, visualización, exportación y supresión.

Finalidad. Prestar las funciones del Software solicitadas por los Usuarios: lectura y análisis de los documentos de auditoría, extracción de valores en las hojas de trabajo, vinculación de cada valor con su fuente, ejecución de las tareas del agente de encargos, importación de archivos desde el almacenamiento en línea del Cliente (Google Drive, Microsoft 365) y respuesta a las solicitudes de los asistentes de IA que el Cliente conecta al servidor MCP.

Duración del tratamiento. La duración del Contrato Principal y, después, hasta la supresión o la devolución de los Datos del Cliente prevista en el artículo 7; para cada categoría de datos se aplican los plazos de conservación que figuran a continuación.

Plazos de conservación.

Anexo 2 — Medidas técnicas y organizativas

Alojamiento y ubicación. La aplicación, las bases de datos y el almacenamiento de archivos se alojan en Microsoft Azure, en la región France Central (París). Una parte del almacenamiento de archivos está georreplicada en la región France South (Marsella). Los tratamientos de IA y la lectura avanzada de las páginas escaneadas (artículo 5.2) se ejecutan en recursos de Microsoft situados en la región Sweden Central, dentro de la zona de datos de la Unión Europea (EU Data Zone). La lectura estándar de una página escaneada, cuando se produce, la realiza un software que NEXT BP explota por sí misma, en el entorno de Microsoft Azure que aloja la aplicación y en la misma región; no interviene ningún proveedor de OCR distinto.

Seguridad física. Los Datos del Cliente se alojan en los centros de datos de Microsoft Azure, cuya seguridad física está cubierta por las certificaciones e informes de Microsoft (artículo 6.1).

Cifrado. Los datos se cifran en tránsito mediante TLS (versión 1.2 o superior) entre el Software, los servidores de NEXT BP y los Subencargados. Las bases de datos, el almacenamiento de archivos y las copias de seguridad se cifran en reposo por Microsoft Azure, con claves gestionadas por Microsoft. Los tokens de acceso de los conectores de Google Drive y Microsoft 365 se cifran además por la aplicación antes de su almacenamiento.

Seudonimización. El Software debe leer el contenido de los documentos para prestar sus funciones y no lo seudonimiza; limita su conservación a los plazos del Anexo 1.

Aislamiento y control de acceso. Los datos de cada organización están separados lógicamente y cada solicitud se verifica en función de la organización y de los derechos del Usuario. Los Usuarios se autentican mediante WorkOS, con inicio de sesión único (SAML u OpenID Connect) para las organizaciones que lo utilizan. El acceso a los sistemas de producción está limitado a las personas de NEXT BP designadas nominalmente que lo necesitan.

Gestión de claves y secretos. Los secretos y las claves de la aplicación se guardan en los almacenes de secretos de Microsoft Azure (secretos de Container Apps y Azure Key Vault), y no en el código fuente. Los tokens de los conectores se cifran con una clave reservada para este uso.

Configuración de los sistemas. La infraestructura se describe como código (Terraform) y cada modificación se revisa antes de su despliegue.

Minimización y supresión. El contenido de los documentos solo se conserva durante los plazos del Anexo 1 y se suprime mediante purgas automáticas, que vuelven a lanzar cualquier supresión que falle. Las solicitudes a Azure OpenAI se envían con store:false (artículo 5.3); no obstante, Microsoft conserva temporalmente todas las solicitudes y todas las respuestas para la supervisión de abusos (artículo 5.4).

Portabilidad y supresión. Exportación desde el Software (artículo 7.2), supresión automática según los plazos del Anexo 1, y supresión o devolución al final del contrato (artículo 7.3).

Calidad de los datos. Cada resultado está vinculado a su fuente en el documento para que el Usuario pueda comprobarlo (artículo 5.6).

Registros y telemetría. Los registros de explotación y los informes de errores están concebidos para no contener contenido de documentos; los registros se conservan 30 días. La medición del uso del producto registra eventos sin contenido de documentos.

Copias de seguridad y continuidad. Las bases de datos se copian automáticamente y las copias de seguridad se conservan 7 días, lo que permite una restauración tras un incidente.

Gestión de vulnerabilidades. NEXT BP publica una política de divulgación de vulnerabilidades (security [at] blast-audit.com), mantiene actualizadas sus dependencias y corrige las vulnerabilidades según su gravedad.

Gestión de incidentes. Los incidentes son gestionados por NEXT BP, que notifica al Cliente las Violaciones de Datos Personales de conformidad con el artículo 4.8.

Gobernanza. El presidente de NEXT BP es responsable de la seguridad y de la protección de datos.

Certificaciones. NEXT BP dispone de un certificado ISO/IEC 27001:2022 para Blast Audit (diseño, desarrollo, explotación y soporte), emitido el 27 de agosto de 2026 por Sensiba Australia Pty Ltd y facilitado previa solicitud (artículo 6.1). Para el alojamiento, se apoya además en las certificaciones de Microsoft Azure.

Anexo 3 — Subencargados

Lista a 5 de octubre de 2026.

A. Subencargados (Datos del Cliente)

Los cambios se anuncian de conformidad con el artículo 4.4.

Objeto, naturaleza y duración. El objeto y la naturaleza del tratamiento figuran en las columnas «Servicio» y «Datos Personales». Cada Subencargado trata los Datos del Cliente durante la vigencia del Contrato Principal, dentro de los plazos de conservación del Anexo 1, excepto: Azure OpenAI, que no conserva las solicitudes ni las respuestas para una consulta posterior (artículo 5.3) pero las conserva todas temporalmente para la supervisión de abusos, sin que el contrato de Microsoft fije su duración (artículo 5.4); Azure AI Content Understanding, cuyos resultados se suprimen una vez leídos y como máximo 24 horas después de la creación de la operación.

B. Otros proveedores de NEXT BP (artículo 2.3), a título informativo

Estos proveedores tratan los datos respecto de los cuales NEXT BP actúa como responsable del tratamiento (artículo 2.3). No son Subencargados en el sentido del presente DPA.

Anexo 4 — Transferencias fuera del Espacio Económico Europeo

A. Del Cliente a NEXT BP. El Cliente y NEXT BP están establecidos en la Unión Europea; la comunicación de los Datos del Cliente a NEXT BP no constituye una transferencia a un tercer país. Si el Cliente está establecido fuera del Espacio Económico Europeo, las partes acuerdan las garantías apropiadas antes de cualquier tratamiento.

B. De NEXT BP a los Subencargados y otros proveedores. Para cada Subencargado u otro proveedor del Anexo 3 establecido en Estados Unidos o que pueda acceder a los datos desde ese país:

• si está certificado en el marco del Data Privacy Framework UE-EE. UU., la transferencia se basa en la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023;
• en su defecto, o de forma complementaria, la transferencia se ampara en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, módulo tres (de encargado a encargado) para los Datos del Cliente, integradas en el contrato de encargo de tratamiento de datos del Subencargado. Cuando NEXT BP actúa como responsable del tratamiento (artículo 2.3), se aplica el módulo dos (de responsable a encargado).

C. Medidas adicionales. Los datos se cifran en tránsito y en reposo; los Datos del Cliente alojados por NEXT BP permanecen en la Unión Europea; solo se transmiten al Subencargado los datos necesarios para cada servicio.

D. Copia. El Cliente puede obtener una copia de las garantías aplicables a un Subencargado escribiendo a privacy [at] blast-audit.com.