Contrato de encargo del tratamiento

Responsable del tratamiento: la empresa que contrata Balles Hosteleros, identificada con los datos que facilita en el alta (en adelante, «el responsable» o «el cliente»).

Encargado del tratamiento: COMPLEJOS HOSTELEROS GOURMET, S.L., CIF B56558109, con domicilio en C/ Arte Plateresco, 3, 28905 Getafe (Madrid), España, correo balleshosteleros@gmail.com (en adelante, «el encargado»).

Este contrato regula el tratamiento de datos personales que el encargado hace por cuenta del responsable al prestarle el servicio Balles Hosteleros, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de los Términos y condiciones y se acepta en el alta con una casilla propia. En lo que se refiere a protección de datos, prevalece sobre ellos.

Este contrato está en vigor mientras el responsable tenga una cuenta en el software —incluida la prueba gratuita— y, después, hasta que el encargado haya devuelto y borrado los datos como indica el punto 12.

El encargado presta un software de gestión en la nube para hostelería. Para ello trata los datos que el responsable y sus usuarios introducen, con estas operaciones: recogida a través del propio software, registro, alojamiento y conservación, organización y estructuración, consulta, cálculo (por ejemplo, horas trabajadas o costes), extracción de datos de documentos con inteligencia artificial, envío de comunicaciones que el responsable ordena (correos, SMS, WhatsApp), copia de seguridad, exportación y supresión.

La única finalidad es prestar al responsable el servicio contratado. El encargado no trata estos datos para fines propios, no los vende, no los cede a terceros salvo a los subencargados del punto 8 y no los usa para entrenar modelos de inteligencia artificial.

Los datos que se tratan dependen de los módulos que use el responsable. Como máximo, son estos:

• Empleados y antiguos empleados: datos identificativos (nombre, DNI o NIE, número de la Seguridad Social, fotografía), de contacto, profesionales (puesto, local, contrato, formación), económicos (salario, nóminas, cuenta bancaria), de jornada (fichajes, horarios, vacaciones y ausencias, y la ubicación del fichaje si el responsable la activa) y los documentos que firman. Cuando el responsable registra bajas médicas o sube sus justificantes, también datos de salud (categoría especial del artículo 9 RGPD).
• Candidatos: currículum, datos de contacto, entrevistas, valoraciones y documentación de la candidatura.
• Clientes del restaurante: nombre, datos de contacto, reservas e historial de visitas, preferencias, fecha de cumpleaños, consentimientos de publicidad, valoraciones y reseñas, e importes y estado de los pagos de reservas o experiencias. Si el responsable anota alergias o intolerancias, también datos de salud. Los datos de tarjeta de esos pagos los trata la pasarela de pago del propio responsable, no el encargado.
• Proveedores y sus personas de contacto: nombre, datos de contacto y fiscales, pedidos, albaranes y facturas.
• Usuarios del software: nombre, correo, credenciales cifradas, rol y permisos, y registros de actividad (fecha, hora, dirección IP y dispositivo).
• Otras personas que el responsable registre en el software para su actividad, como colaboradores, inspectores o asesores externos.

El responsable decide qué datos introduce. Se compromete a no introducir categorías especiales de datos más allá de las que necesite para sus obligaciones legales y su actividad.

• El encargado trata los datos solo siguiendo las instrucciones documentadas del responsable. Son instrucciones este contrato, los Términos y la configuración y el uso que el responsable hace del software (por ejemplo, qué avisos activa o a quién manda un comunicado).
• Si el encargado considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato al responsable.
• Si una ley obliga al encargado a tratar los datos de otra forma, informará al responsable antes de hacerlo, salvo que esa ley lo prohíba.

• Solo acceden a los datos las personas del encargado que lo necesitan para prestar el servicio, y lo hacen con el mínimo acceso necesario.
• Todas ellas están obligadas por escrito a guardar confidencialidad, también después de terminar su relación con el encargado, y reciben formación en protección de datos.
• El personal del encargado no entra en la cuenta del responsable sin su permiso, que este concede desde Ajustes con fecha de caducidad y puede retirar cuando quiera. Ese acceso es de solo lectura salvo que el responsable permita modificar, y cada entrada queda registrada y a la vista del responsable (ver el punto 10 de los Términos).

El encargado aplica las medidas técnicas y organizativas del artículo 32 RGPD apropiadas al riesgo. En particular:

• Aislamiento por empresa: cada dato lleva la empresa a la que pertenece y la base de datos aplica seguridad a nivel de fila en todas sus tablas, de forma que un usuario solo puede leer y escribir los datos de las empresas a las que pertenece. La empresa activa se comprueba en el servidor en cada petición.
• Cifrado: todas las comunicaciones viajan cifradas (HTTPS/TLS). Los datos se guardan cifrados en reposo por los proveedores de infraestructura y las contraseñas, con un algoritmo de resumen irreversible.
• Control de acceso por usuario, rol y permisos por módulo, que define el propio responsable. Los documentos privados se sirven con enlaces firmados que caducan.
• Doble factor de autenticación obligatorio para los usuarios con rol de dirección y para el personal del encargado.
• Copias de seguridad diarias de la base de datos, con varios días de retención, para poder recuperar los datos ante un fallo.
• Registro de accesos del soporte: cada entrada del personal del encargado en la cuenta del responsable queda registrada, y el responsable puede consultarla.
• Infraestructura en la Unión Europea: la base de datos y la ejecución de la aplicación están en Irlanda.
• Las claves de acceso a los sistemas no se guardan en el código, solo las usa el servidor, y se revisan periódicamente las medidas y los permisos.

El responsable da su autorización general para que el encargado recurra a los subencargados que figuran en la tabla siguiente. El encargado les impone por contrato las mismas obligaciones de protección de datos que asume en este contrato y responde de su cumplimiento ante el responsable.

Antes de incorporar o sustituir un subencargado, el encargado lo comunicará al responsable con al menos 30 días de antelación, por correo y en esta página. El responsable puede oponerse por motivos razonables de protección de datos; si no se encuentra una solución, puede darse de baja sin penalización antes de que el cambio surta efecto.

Algunos subencargados pertenecen a grupos con sede fuera del Espacio Económico Europeo o pueden acceder a los datos desde fuera de él. Esas transferencias solo se hacen con las garantías del capítulo V del RGPD: una decisión de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE. UU., para las empresas adheridas) o, en su defecto, las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, con las medidas complementarias que procedan.

• El software permite al responsable consultar, corregir, exportar y borrar los datos de cada interesado, para que pueda atender por sí mismo los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
• Si un interesado se dirige al encargado para ejercer un derecho sobre datos del responsable, el encargado le trasladará la solicitud sin dilación, y como máximo en cinco días hábiles, y no la contestará por su cuenta salvo que el responsable se lo pida.
• El encargado ayudará al responsable, en la medida de lo posible, a atender esas solicitudes, y también en las evaluaciones de impacto y las consultas previas a la autoridad de control cuando procedan.

• Si el encargado tiene conocimiento de una violación de la seguridad que afecte a los datos del responsable, se lo notificará sin dilación indebida y, en cualquier caso, en un plazo máximo de 72 horas, por correo a su dirección.
• La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, sus consecuencias probables, las medidas adoptadas o propuestas para remediarla y una persona de contacto. Si no se conoce todo a la vez, se facilitará de forma gradual.
• Corresponde al responsable notificar la violación a la Agencia Española de Protección de Datos y, cuando proceda, a los interesados. El encargado le dará la ayuda que necesite para hacerlo.

• Durante todo el contrato, la dirección del responsable puede exportar todos los datos de su empresa desde Ajustes → Suscripción: un archivo con sus datos en formato abierto (CSV) y sus documentos.
• Al terminar el servicio, la cuenta queda bloqueada y el responsable puede seguir exportando. A los 90 días del final del servicio, el encargado borra definitivamente los datos y los archivos de la empresa, con un aviso por correo 15 días antes.
• Las copias de seguridad que aún contengan esos datos se sobrescriben en su ciclo ordinario de rotación y no se usan para nada más.
• Si el responsable lo pide, el encargado le certificará por escrito el borrado. Solo se conservarán, bloqueados, los datos que una ley obligue al encargado a guardar, y durante el plazo que esa ley fije.

• El encargado pondrá a disposición del responsable la información necesaria para demostrar que cumple este contrato.
• El responsable puede auditar ese cumplimiento, por sí mismo o mediante un auditor obligado a confidencialidad, avisando con al menos 30 días de antelación. Salvo que haya habido una violación de seguridad o un requerimiento de la autoridad, la auditoría se hará como máximo una vez al año, en horario laboral y sin poner en riesgo la seguridad ni los datos de otros clientes. Su coste corre a cargo del responsable.
• El encargado podrá atenderla aportando informes o certificaciones de seguridad de sus subencargados cuando sean suficientes para el fin de la auditoría.

• Contar con una base legal para cada tratamiento e informar a los interesados (sus empleados, candidatos y clientes) de que usa este software y de quién es su encargado.
• Dar al encargado instrucciones conformes con la normativa y supervisar el tratamiento.
• Gestionar los usuarios y los permisos de su equipo, y retirar el acceso a quien deje la empresa.

Este contrato se rige por el RGPD, la LOPDGDD y el resto de la legislación española, y por la misma cláusula de jurisdicción de los Términos y condiciones.

Para cualquier cuestión sobre este contrato, escribe a balleshosteleros@gmail.com o llama al 91 999 41 41.