Kudeaketa-bulego edo aholkularitza bat, bere lanaren izaeragatik, datu pertsonalen nodo intentsiboa da: bezeroen langileen nominak, baja medikoen parteak, fakturazioa, kontabilitate-liburuak, sozietate-eskriturak, zerga-ereduak, Gizarte Segurantzaren Diruzaintza Nagusiarekin eta Zerga Agentziarekin egindako komunikazioak. Sektore honetan datuen babesa ez da bulegoaren paraleloko tramitea: bezeroari fakturatzen zaion zerbitzu profesionalaren parte da.
Gida honek edozein kudeaketa-bulegok eskura izan beharko lukeen gutxieneko dokumentazioa laburbiltzen du —bulego berria irekitzeko, lehendik dagoena erregularizatzeko edo software- edo bazkide-aldaketa baten ondoren egoera berrikusteko—, DBEOren (EBren 2016/679 Erregelamendua), LOPDGDDen (3/2018 Lege Organikoa) eta aplikatu beharreko estatuko sektore-araudiaren markoaren barruan.
Zergatik den kudeaketa-bulego bat kasu berezia: rol juridiko bikoitza
Sektorearen ezaugarri bereizgarria da kudeaketa-bulegoak DBEOri dagokionez bi rol ezberdinekin batera jarduten duela, eta lehen egunetik argi izatea komeni da:
- Tratamenduaren arduradun bere bezero-enpresen datuen gainean (datu identifikatzaileak, harremanetarakoak, fakturaziokoak), bere hornitzaileen datuen gainean (informatikoa, hostinga, telefonia, kanpoko aholkularia) eta bere langileen datuen gainean (kudeatzaileak, administrariak, bekadunak). Tratamendu horietan kudeaketa-bulegoak xedeak eta baliabideak erabakitzen ditu.
- Tratamenduaren eragile (DBEOren 28. art.) bezero-enpresa bakoitzaren langileen, hornitzaileen eta bezeroen datuen gainean. Kudeaketa-bulegoak nominak prozesatzen ditu, gizarte-aseguruak aurkezten ditu, zergak kalkulatzen ditu edo kontabilitatea egiten du enpresaren kontura, eta enpresa arduradun izaten jarraitzen du. Enpresak erabakitzen du zer datu, zertarako eta zer epetan; kudeaketa-bulegoak tratamendu horiek gauzatzen ditu, dokumentatutako jarraibideak betez.
Bikoiztasun horrek ondorio oso praktikoa du: kudeaketa-bulegoaren datu-babeserako dokumentazioa argi bereizitako bi bloketan egituratu behar da, eta bezero-enpresa bakoitzarekiko DBEOren 28. artikuluko kontratua ez da aukerakoa, sektorearen pieza nuklearra baizik.
Bulegoaren gutxieneko dokumentazioa
Hauek dira kudeaketa-bulegoak lehen bezeroaren aurretik prest izan beharko lituzkeen dokumentuak. Batzuk arauz nahitaezkoak dira; beste batzuk praktika onak dira, inspekzio bat, bezeroaren langile baten erreklamazio bat edo software-migrazio bat iristen denean arazoak aurrezten dituztenak.
| Dokumentua | Arau-oinarria | Zertarako balio duen |
|---|---|---|
| TJE arduradun gisa | DBEOren 30.1 art. | Tratamendu propioen inbentarioa: bezero-enpresak, hornitzaileak, langileak, marketina. |
| TJE eragile gisa | DBEOren 30.2 art. | Bezero-enpresa bakoitzaren kontura egiten diren tratamenduen inbentarioa. |
| DBEOren 28. art. kontratua bezero bakoitzarekin | DBEOren 28.3 art. | Bezero-enpresa bakoitzarekiko arduradun-eragile harremana arautzen duen berariazko eranskina. |
| Bezero-enpresarentzako informazio-klausula | DBEOren 13. art. | Kudeaketa-bulegoak arduradun gisa tratatzen dituen ordezkariaren eta enpresaren datuei buruzko informazioa. |
| Webgunearen pribatutasun-politika eta lege-oharra | DBEOren 13-14 art. · LSSICE 10. art. | Titularraren identifikazioa, xedeak eta web-erabiltzaileen eskubideak. |
| Cookien politika eta bannerra | LSSICE 22.2 art. | Hertsiki beharrezkoak ez diren cookietarako informazio-geruza eta baimen mailakatua. |
| Segurtasun-politika | DBEOren 32. art. | Neurri tekniko eta antolakuntzakoak: banakako sarbideak, zifratzea, kopiak, paperaren kontrola. |
| Langileen konfidentzialtasun-konpromisoak | DBEOren 5.1.f art. · 28.3.b art. | Kudeatzaile, administrari edo bekadun bakoitzak sinatutako sekretu-betebeharra. |
| Urraketen protokoloa | DBEOren 33-34 art. | Detektatzeko, baloratzeko eta, hala badagokio, bezeroari, AEPDri eta kaltetuei jakinarazteko prozedura. |
| Interesatuen eskubideen prozedura | DBEOren 15-22 art. | Sarbidea, zuzenketa, ezabaketa, aurkaritza, mugaketa eta eramangarritasuna kudeatzeko (edo bezero-enpresari helarazteko) bidea. |
Kudeaketa-bulegoaren TJE berariazkoa: arduraduna eta eragilea bereiztea
Tratamendu Jardueren Erregistroa da sektorearen bikoiztasun juridikoa gauzatzen den lekua. DBEOren 30. artikuluak bi atal bereizten ditu, eta ez dira nahastu behar:
- TJE arduradun gisa (DBEOren 30.1 art.): kudeaketa-bulegoak xedeak eta baliabideak erabakitzen dituen tratamenduak biltzen ditu. Gutxienez: bezero-enpresen kudeaketa, hornitzaile propioen kudeaketa, langileen kudeaketa (hautaketa, kontratazioa, barne-nominak, prestakuntza), marketin propioa (baldin badago), web-kontsulten arreta eta, baldin badago, barne-bideozaintza.
- TJE eragile gisa (DBEOren 30.2 art.): kudeaketa-bulegoak bezero-enpresa bakoitzaren kontura egiten dituen tratamenduak biltzen ditu. Gutxienez arloen arabera xehatuko dira: lan-arloa (nominak, kontratuak, baja-parteak, TC, kitapenak), zerga-arloa (zerga-ereduak, aitorpenak, atxikipenak), kontabilitatea (liburuak, fakturak, banku-adostzeak) eta merkataritza/sozietatea (eskriturak, sozietate-liburuak, batzarrak).
TJEko jarduera bakoitzak xedea, oinarri juridikoa, interesatu-kategoriak, datu-kategoriak, hartzaileak (TGSS, AEAT, mutuak, erregistroak, finantza-erakundeak), nazioarteko transferentziak (baldin badaude), kontserbazio-epeak eta segurtasun-neurriak identifikatu behar ditu.
DBEOren 28. art. kontratuak bezero-enpresa bakoitzarekin
Tratamenduaren eragile-kontratua da, kudeaketa-bulego batean, sektoreko dokumenturik garrantzitsuena. Ez da ordainsari-orrian sartutako klausula labur bat: bezero-enpresa bakoitzarekin sinatu behar den dokumentu edo berariazko eranskina da, eta DBEOren 28.3 artikuluko gutxieneko edukia bete behar du.
| Kontratuaren elementua | Zer eduki behar duen |
|---|---|
| Objektua, iraupena, izaera eta xedea | Kudeaketa-bulegoak enpresari ematen dizkion lan-, zerga-, kontabilitate- eta/edo merkataritza-zerbitzuak. |
| Datu-motak eta interesatu-kategoriak | Datu identifikatzaileak, ekonomikoak, gizarte-segurantzakoak, zerga-arlokoak, osasun-arlokoak (baja-parteak). Interesatuak: bezeroaren langileak, autonomoak eta lege-ordezkariak, bezeroaren hornitzaileak. |
| Arduradunaren eta eragilearen betebeharrak | Bezero-enpresaren dokumentatutako jarraibideak, haren kontura gauzatzea, helburu propioetarako erabiltzeko debekua. |
| Kudeaketa-bulegoko langileen konfidentzialtasuna | Kudeatzaile, administrari eta bekadun bakoitza lanbide-sekretuaren betebehar indartuari lotuta dagoela bermatzeko konpromisoa. |
| Segurtasun-neurriak | DBEOren 32. artikuluko neurri tekniko eta antolakuntzakoak: zifratzea, software-rako banakako sarbideak, kopiak, Sistema RED-erako sarbideen erregistroa. |
| Azpieragileak | Azpieragileak sartzeko zerrenda edo baimen-mekanismoa (hodeiko ERPa, hostinga, laguntza teknikoa). |
| Arduradunari laguntza | Interesatuen eskubideak, EIPDa eta urraketen jakinarazpena artatzeko lankidetza. |
| Urraketen jakinarazpena | Bezero-enpresari behar gabeko atzerapenik gabe jakinaraztea (DBEOren 33.2 art.) kudeaketa-bulegoak urraketaren berri duenean. |
| Amaitzean itzultzea edo ezabatzea | DBEOren 28.3.g art. betebeharra: edozein ezabaketaren aurretik datuak bezero-enpresari itzultzea edo esportatzea, bere aukeran. |
| Auditoretzak eta ikuskaritzak | Betetzea egiaztatzeko informazioa eskura izatea eta auditoretza edo ikuskaritza arrazoitsuak egiteko aukera. |
Arreta berezia merezi du itzultze-klausulak: bezero-enpresa batekiko harremana amaitzean, kudeaketa-bulegoak bezeroari lan-, zerga- eta kontabilitate-datuak itzuli edo esportatu behar dizkio —formatu erabilgarri eta egituratuan—, hark bere lege-kontserbazio-epeak betetzen jarrai dezan. Ondoren bakarrik dagokio kudeaketa-bulegoaren euskarrietako ezabaketa.
Bezero-enpresarentzako informazio-klausula (DBEOren 13. art.)
DBEOren 13. artikuluko informazio-betebeharra nahitaezkoa da, oinarri juridikoa kontratu profesionalaren betearazpena bada ere. Kudeaketa-bulegoak bezero-enpresari informazio-klausula bat eman behar dio, gutxienez bi alderdi estaltzen dituena:
- Kudeaketa-bulegoak arduradun gisa tratatzen dituen bezero-enpresaren eta haren lege-ordezkarien datuak (datu identifikatzaileak, zerga-datuak, harremanetarakoak, fakturaziokoak): xedea, oinarri juridikoa (kontratu profesionalaren betearazpena, 6.1.b art.), komunikazioak, epeak eta eskubideak.
- Kudeaketa-bulegoak eragile gisa jarduten duen bezero-enpresaren langileen eta hornitzaileen datuak: berariaz aipatzea datu horiek bezero-enpresaren kontura tratatzen direla, DBEOren 28. art. kontratuaren arabera, eta bezero-enpresak berak jakinarazi behar diela bere langileei kudeaketa-bulegoa eragile gisa dagoela.
Klausula eskura egon behar da ohiko jasotze-puntuetan: enkargu-orri profesionala, hasierako aurrekontua, web-formularioa eta, kudeaketa-bulegoak buletina edo zirkular informatiboak bidaltzen baditu, harpidetza-formularioa.
Konfidentzialtasun-betebeharra eta lanbide-sekretua
Sektoreak konfidentzialtasun-betebehar indartua du bi bidetatik:
- DBEOren 5.1.f art.: osotasun- eta konfidentzialtasun-printzipioa. Datuak segurtasun egokia bermatzeko moduan tratatu behar dira, baimenik gabeko edo legez kontrako tratamenduaren aurkako babesa barne.
- Kode deontologikoak eta lanbide-estatutuak, sektorean diharduten administrazio-kudeatzaile, ekonomialari, merkataritzako titulu-dunen, gradudun sozial eta enpresa-abokatuenak. Lanbide-sekretuaren betebeharra elkargokide diren profesionalei lotzen zaie, eta bezeroaren informazio osora hedatzen da.
Praktikan, talde-kide bakoitzak (kudeatzailea, administraria, bekadun praktiketakoa, bulegora sarbidea duen garbiketako langilea) berariazko konfidentzialtasun-konpromisoa sinatu behar du lanean hasi aurretik. Sinadura hori lan-espedientean gordetzen da, eta funtzioan aldaketa esanguratsuak gertatzean berritzen da.
Kudeaketa-bulegoARI eragile habitualak: azpieragileak
Kudeaketa-bulegoak, edozein arduradunek bezala, bere kontura datuak tratatzen dituzten hornitzaileak kontratatzen ditu. Bere bezero-enpresen eragile rolean, hornitzaile horiek tratamenduaren azpieragileak dira (DBEOren 28.2 eta 28.4 art.) eta bezero-enpresarekiko kontratuan baimenduta egon behar dute —orokorrean edo zehazki—.
- Hodeiko ERPa eta kontabilitate-/lan-software-a: kudeaketa-bulegoaren bihotz operatiboa. Gida honetako hirugarren artikuluan xehetasunez garatzen da.
- SILTRA plataforma eta TGSSren Sistema RED: hemen ñabardura garrantzitsu bat dago. Gizarte Segurantzaren Diruzaintza Nagusia ez da kudeaketa-bulegoaren tratamenduaren eragilea: administrazio publiko arduradun independentea da, eta datuak lege-betebeharrak betetzeko jasotzen ditu (DBEOren 6.1.c art.). TGSSrekin komunikatzeko kudeaketa-bulegoak erabiltzen duen software-bezeroa (transmisio-sistemak, ziurtagiri digitalak) hornitzaile teknologikoa izan daiteke, azpieragile gisa jarduten duena.
- AEATen egoitza elektronikoa: araubide bera. AEAT arduradun independentea da; aurkezpen telematikoko software-a azpieragile gisa jarduten duen hornitzaile teknologikoa izan daiteke.
- Sinadura elektronikoko sistema (FNMT, konfiantza-zerbitzuen hornitzaile kualifikatuak): normalean arduradun independenteak dira ziurtagiriaren igorpen eta balidazio zatian.
- Bezero-enpresari dokumentazioa modu seguruan bidaltzeko plataforma (eremu pribatua, hodeiko dokumentu-kudeatzailea): azpieragilea.
- Web-hostinga eta posta-zerbitzaria: azpieragilea, DBEOren 28. art. kontratuarekin eta zerbitzarien kokapenaren egiaztapenarekin.
- Kanpoko mantentze-zerbitzu informatikoa kudeaketa-bulegoko ekipoetara urrutiko sarbidearekin: azpieragilea, kontratuarekin eta berariazko konfidentzialtasun-konpromisoekin.
Kudeaketa-bulegoak azpieragileen zerrenda eguneratua mantendu behar du eta bezero-enpresekiko DBEOren 28. art. kontratuetan jakinarazi —edo aipatu— behar du, sarrera berriak jakinarazteko eta aurkaritza arrazoitua egiteko prozedurarekin batera.
Kontserbazio-epeak: lan-, zerga- eta merkataritza-arlokoak
Kontserbazio-epea kudeaketa-bulegoak bezero-enpresarekin lerrokatu behar duen puntuetako bat da. Irizpide orokor gisa:
- Zerga-dokumentazioa: Zerga Lege Orokorraren 66. artikuluko preskripzio-epea lau urtekoa da. Zerga-eraginak dituen dokumentazioa epe horretan zehar gutxienez gordetzen da, eta luzatu daiteke prozedurak irekita badaude edo konpentsatu gabeko galerak badaude.
- Merkataritza-dokumentazioa: Merkataritza Kodeko 30. artikuluak enpresaburuari liburu, korrespondentzia, dokumentazio eta egiaztagiriak sei urtez gordetzera behartzen dio.
- Lan- eta Gizarte Segurantza-arloko dokumentazioa: berariazko epeak daude Langileen Estatutuan, Gizarte Segurantzaren Lege Orokorrean eta arrisku-prebentzioko arauetan, baita lan-akzioen preskripziotik eratorritakoak ere. TJEn dokumentu-mota bakoitzeko parametrizatzea komeni da.
- Bezeroarekiko kontratu-epeak: 28. art. kontratuak berariazko epeak adostu ditzake. Kudeaketa-bulegoak epe horietara egokitzen da, eta, mugaeguna iristean, bezeroari itzuli edo esportatu eta ondoren bakarrik ezabatzea egiten du.
Autonomia-erkidegoetako sektore-araudiak berariazko epeak zabaldu edo aldatu ditzake zenbait arlotan (diru-laguntzak, laguntzak, lanbide-erregistroak). Nahitaezkoa da bulego bakoitzari eta bezero bakoitzari aplikatzen zaion araudia egiaztatzea.
"En una gestoría, la mitad del cumplimiento de protección de datos se resuelve el día en que el RAT separa con claridad lo que se trata como responsable y lo que se trata por cuenta de cada cliente, y se firma un anexo del artículo 28 con cada empresa. A partir de ahí, lo demás encaja casi solo."
Mario P. Talamillo · Bazkide-zuzendaria, Certix®
Kudeaketa-bulego edo aholkularitza bat kudeatzen baduzu eta datuen babeseko dokumentazioa berrikusi nahi baduzu, Certixen kudeaketa-bulego eta aholkularitzekin lan egiten dugu zehazki. Komertzialik gabe: lehen kontaktutik espezialista batekin hitz egingo duzu.
Kudeaketa-bulego eta aholkularitzentzako datu-babeseko gida
Eduki hau soilik orientagarria eta dibulgaziozkoa da; ez du inolaz ere aholkularitza juridiko espezializatua osatzen. Autonomia-erkidegoetako araudi sektorialak estatuko arauaren epeak eta betekizunak zabaldu edo aldatu ditzake. Araudia kasu zehatz bakoitzari aplikatzeak banakako azterketa eskatzen du.