Contrato de encargado del tratamiento
Este contrato se aplica a todo negocio que usa una app de AresCore (bar, centro de estética, taller, estación ITP o empresa usuaria de Timora) y lo acepta al darse de alta. Cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD). Versión 1.0.
Partes
El Responsable es el negocio que contrata la app. El Encargado es AresCore Technologies, S.L. · CIF B05831201 · Plaza Nuevo Parque, 5, 1.º C, 21007 Huelva (España) · contacto@arescore.es.
1. Objeto
El Encargado trata por cuenta del Responsable los datos personales necesarios para prestar el servicio contratado. Los datos, las personas afectadas y la finalidad de cada app están en el Anexo I.
2. Duración
Lo que dure la licencia del servicio. Al terminar se aplica la cláusula 10.
3. Instrucciones
El Encargado trata los datos solo según las instrucciones documentadas del Responsable, que son este contrato y el uso que el Responsable hace de la app. Si una instrucción le parece contraria a la ley, lo avisará enseguida. No usará los datos para fines propios, no los venderá ni los cederá, salvo obligación legal.
4. Confidencialidad
Las personas autorizadas a tratar los datos han firmado un compromiso de confidencialidad que sigue vigente al terminar su relación con el Encargado.
5. Seguridad
El Encargado aplica las medidas del artículo 32 del RGPD resumidas en el Anexo II y las revisa al menos una vez al año.
6. Subencargados
El Responsable autoriza de forma general a los subencargados del Anexo III. El Encargado avisará por correo con 30 días de antelación de cualquier alta o cambio. El Responsable puede oponerse y, si no hay alternativa, terminar el contrato sin penalización. Cada subencargado queda obligado a lo mismo que este contrato.
7. Derechos de las personas
Si una persona pide al Encargado acceso, rectificación, supresión, oposición, limitación o portabilidad, el Encargado lo trasladará al Responsable en un máximo de 5 días hábiles y le ayudará a contestar. La app ofrece las herramientas para ver, corregir, exportar y borrar los datos.
8. Brechas de seguridad
El Encargado avisará al Responsable sin dilación y como máximo en 48 horas desde que conozca una brecha que afecte a sus datos, con la información del artículo 33.3 del RGPD de que disponga. Notificar a la Agencia Española de Protección de Datos y a los afectados corresponde al Responsable; el Encargado le ayudará.
9. Colaboración
El Encargado ayudará al Responsable con las evaluaciones de impacto y consultas previas que necesite, y le dará la información necesaria para demostrar el cumplimiento, incluidas inspecciones razonables con aviso de 30 días.
10. Fin del contrato
Al terminar, el Responsable puede descargar sus datos desde la app durante 30 días. Después el Encargado los borra, también de las copias de seguridad en cuanto caduquen (como máximo 30 días más), salvo los que una ley obligue a conservar, que quedan bloqueados. En Timora el registro de jornada se conserva bloqueado hasta cumplir 4 años si el Responsable no lo ha descargado.
11. Lugar del tratamiento
Los datos se alojan en servidores de la Unión Europea y no se transfieren fuera del Espacio Económico Europeo salvo lo indicado en el Anexo III.
12. Responsabilidad y ley aplicable
Si el Encargado usa los datos para fines propios o incumple este contrato, será considerado responsable de ese tratamiento y responderá de los daños que cause. Se rige por la ley española y el RGPD; juzgados de Huelva, salvo que la ley disponga otros.
Anexo I · Datos por app
| App | Datos que trata por cuenta del negocio |
|---|---|
| ComandGo | Del bar y su personal: datos de la cuenta, carta, pedidos, cobros y, si se usa, el registro de jornada. De los clientes del bar no pedimos datos personales: los pedidos van por número de mesa o de pedido y solo se guarda un identificador técnico del móvil para que el pedido sea suyo. |
| ServBella | De las clientas: nombre, teléfono, citas, bonos y regalos, y lo que el centro anote en su ficha (tratamientos, fotos, consentimientos y, si la clienta los da, datos de salud como alergias). De quien recibe un regalo: el nombre y el teléfono que pone al canjearlo. |
| AresCar | Del conductor: nombre, teléfono, datos del vehículo (matrícula, modelo, kilómetros), presupuestos, reparaciones y fotos del coche que haga el taller. |
| AresCar Pro | Del taller y su personal: datos de la cuenta, órdenes, presupuestos y, si se usa, el registro de jornada. De sus clientes: los que se indican en AresCar. |
| AresCar ITP | Del cliente: nombre, teléfono, matrícula y la cita. |
| Timora | Del trabajador: nombre, DNI o NIE, horario y registros de entrada, pausa y salida, que la empresa debe guardar cuatro años por ley. |
Anexo II · Medidas de seguridad
- Conexiones cifradas (HTTPS) en todos los dominios.
- Datos de cada negocio separados; cada petición se comprueba con la clave de ese negocio.
- Protección contra código malicioso en textos y fotos, y política de seguridad de contenidos en las apps.
- Límite de peticiones e intentos por dirección IP.
- Claves privadas fuera del código y carpetas de datos cerradas al exterior.
- Copias de seguridad y escritura protegida contra pérdidas.
- Acceso del personal limitado a quien lo necesita, con compromiso de confidencialidad.
- Sin librerías, fuentes ni servicios de terceros cargados desde fuera.
Anexo III · Subencargados
| Proveedor | Servicio | Ubicación |
|---|---|---|
| DonDominio (Soluciones Corporativas IP, S.L.U.) | Alojamiento de apps, datos, copias y correo | España (UE) |
| Hetzner Online GmbH | Segunda copia de seguridad, cifrada antes de salir (Hetzner no puede leerla) | Alemania (UE) |
| Servicios de avisos del navegador (Google, Apple, Mozilla, Microsoft) | Entregar las notificaciones al móvil, con el contenido cifrado | Pueden estar fuera de la UE, con las garantías del RGPD |
Cualquier cambio en esta lista se avisa a los negocios con 30 días de antelación.