Contrato de encargo de tratamiento

Contrato de encargo del tratamiento (art. 28 RGPD) entre el cliente (el negocio, responsable del tratamiento) y [RAZÓN SOCIAL O NOMBRE DEL TITULAR] (NIF [NIF]), prestador de dosmesas (encargado). Se acepta al crear la cuenta y está vigente mientras dure el servicio.

1. Objeto

El encargado trata, por cuenta del responsable, los datos necesarios para prestar el servicio: reservas, socios del club y registro de jornada del personal.

2. Datos y personas afectadas

Clientes del responsable (identificativos, contacto, fecha de nacimiento si la dan, historial de visitas y puntos). Empleados (identificativos, DNI si se introduce, horas de trabajo, y, si el responsable lo activa, foto y ubicación al fichar).

3. Obligaciones del encargado

• Tratar los datos solo siguiendo instrucciones documentadas del responsable (que son el uso del propio software).
• Confidencialidad de las personas autorizadas a tratarlos.
• Medidas de seguridad del art. 32: cifrado en tránsito, contraseñas con hash, aislamiento por cliente, copias de seguridad, registro de accesos y control de permisos por rol.
• No subcontratar sin informar. Subencargados actuales: proveedor de alojamiento en la UE, Brevo (email, UE), Stripe (solo datos de facturación del cliente) y Apple/Google (solo si el socio añade la tarjeta a su Wallet).
• Ayudar al responsable a atender los derechos de los interesados (las herramientas de exportación y borrado están en el propio panel).
• Notificar al responsable cualquier brecha de seguridad sin dilación indebida y en menos de 48 horas.
• Al terminar el servicio, devolver los datos (exportación) y borrarlos en un máximo de 90 días, salvo obligación legal de conservarlos.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento.

4. Obligaciones del responsable

Informar a clientes y empleados y contar con base legal para el tratamiento; en particular, informar por escrito a su personal si activa la foto o la ubicación al fichar.

5. Transferencias internacionales

Los datos se alojan en la UE. Si algún subencargado trata datos fuera, lo hace con garantías adecuadas (cláusulas contractuales tipo).