Contrato de Encargo de Tratamiento de Datos Personales

Artículo 28 RGPD · Reglamento (UE) 2016/679 y Ley Orgánica 3/2018 (LOPDGDD)

Al aceptar los presentes términos mediante la casilla de verificación (Clickwrap) habilitada en el proceso de registro, la Empresa de Catering (en adelante, el "Responsable del Tratamiento") y AGPH (en adelante, el "Encargado del Tratamiento") acuerdan someterse a las siguientes estipulaciones.

Cláusula Primera. Objeto y Duración

El objeto del presente acuerdo es regular las condiciones bajo las cuales el Encargado del Tratamiento realizará el tratamiento de los datos personales titularidad del Responsable del Tratamiento. Dicho tratamiento se limita estricta y exclusivamente a la prestación del servicio del software SaaS (Software as a Service) de gestión integral para empresas de hostelería y catering provisto por AGPH.

El presente encargo de tratamiento tendrá una duración idéntica a la vigencia de la suscripción del Responsable del Tratamiento a la plataforma. Una vez finalizada la relación contractual por cualquier causa, las obligaciones de seguridad y confidencialidad persistirán en los términos exigidos por la legislación vigente.

Cláusula Segunda. Naturaleza y Finalidad del Tratamiento

El Encargado del Tratamiento interviene como un mero proveedor de infraestructura tecnológica, sin poder de decisión sobre la relación laboral subyacente. La naturaleza y finalidades específicas del tratamiento encomendado consisten en:

El alojamiento seguro de la información en la nube (Cloud Hosting).
La estructuración, mantenimiento y segmentación de bases de datos para la planificación de turnos y gestión de recursos humanos.
La generación asíncrona de documentos en formato PDF, específicamente contratos laborales y registros de jornada diaria.
La ejecución de procesos de firma criptográfica y validación de identidad mediante la introducción de un código PIN personal y la generación de Hashes SHA-256 para asegurar la integridad de los documentos.

Cláusula Tercera. Tipología de Datos y Categorías de Interesados

Para la correcta prestación del servicio SaaS, el Encargado del Tratamiento tendrá acceso y procesará las siguientes categorías de datos personales correspondientes a los empleados, candidatos y personal eventual del Responsable del Tratamiento:

Datos identificativos: Nombre y apellidos, Documento Nacional de Identidad (DNI/NIE/Pasaporte), direcciones IP de conexión y metadatos de firma digital.
Datos bancarios y financieros: Códigos de cuenta corriente (IBAN) requeridos para la gestión y emisión de nóminas.
Datos de detalles de empleo: Categoría profesional, recibos de salarios, registro detallado de las horas trabajadas y metadatos resultantes del proceso automatizado de verificación de identidad (KYC).

Cláusula Cuarta. Obligaciones del Encargado del Tratamiento (AGPH)

En estricto cumplimiento de lo establecido en el artículo 28 del RGPD, el Encargado del Tratamiento asume contractualmente las siguientes obligaciones:

Instrucciones documentadas: Tratar los datos personales única y exclusivamente bajo las instrucciones documentadas del Responsable del Tratamiento. El uso normal, técnico y operativo de las funcionalidades de la aplicación por parte del cliente B2B se considerará la instrucción documentada.
Confidencialidad: Garantizar que todas las personas autorizadas por AGPH para procesar datos personales (empleados, desarrolladores o colaboradores) se han comprometido de forma expresa y vinculante a respetar el secreto profesional y mantener la más estricta confidencialidad sobre la información tratada.
Asistencia en Derechos ARCO: Asistir al Responsable del Tratamiento, mediante las herramientas técnicas y organizativas de la propia plataforma, para que este pueda dar respuesta efectiva a las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición ejercidos por sus trabajadores.

Cláusula Quinta. Subcontratación (Subencargados del Tratamiento)

El Responsable del Tratamiento otorga a AGPH una autorización general y expresa para recurrir a subencargados del tratamiento que resulten indispensables para proveer la infraestructura tecnológica del SaaS (tales como proveedores de infraestructura cloud, servidores de Amazon Web Services - AWS, y proveedores de bases de datos).

AGPH asume la obligación ineludible de suscribir con dichos proveedores terceros los correspondientes contratos de encargo de tratamiento, exigiéndoles normativamente las mismas garantías de protección de datos, confidencialidad y seguridad estipuladas en el presente documento.

Cláusula Sexta. Medidas de Seguridad Tecnológica

Considerando el estado de la técnica y los riesgos inherentes al tratamiento de datos laborales, el Encargado del Tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar la disponibilidad, autenticidad, integridad y confidencialidad de la información, incluyendo de forma enunciativa pero no limitativa:

El cifrado robusto de las contraseñas de acceso de todos los usuarios de la plataforma.
La aplicación sistemática de algoritmos de hashing criptográfico (SHA-256) para garantizar firmas inmutables y la integridad absoluta de los registros horarios y contratos firmados digitalmente.
La implementación de un Control de Acceso Basado en Roles (RBAC) sustentado en una arquitectura lógica Multi-tenant, lo cual garantiza la segregación estanca de las bases de datos impidiendo cualquier acceso cruzado entre las diferentes empresas de catering que utilicen AGPH.

Cláusula Séptima. Destino de los Datos a la Finalización del Servicio

Una vez concluida la prestación del servicio y cancelada la suscripción, el Encargado del Tratamiento procederá a la supresión y destrucción irreversible de todos los datos personales procesados, así como a la eliminación de las copias existentes en sus sistemas y servidores. Únicamente se conservarán, debidamente bloqueados y cifrados, aquellos datos cuya retención venga impuesta para dar cumplimiento a obligaciones legales exigibles a AGPH, manteniéndose exclusivamente durante los plazos de prescripción legalmente establecidos. Transcurridos dichos plazos, los datos bloqueados serán destruidos permanentemente.