Contrato de encargo del tratamiento
Partes y objeto
Responsable del tratamiento: el negocio que se da de alta en Noha, representado por el administrador que acepta este contrato (en adelante, el Responsable).
Encargado del tratamiento: Iker Arturo Llona Orozco, con domicilio en Ibiza (Illes Balears), contacto noha.knowhow@gmail.com. Sus datos fiscales completos se facilitan al Responsable que los solicite en ese email (en adelante, el Encargado).
Este contrato regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable para prestar el servicio Noha, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
El Encargado no ha designado delegado de protección de datos porque no está obligado a ello (artículo 37 del RGPD). Para cualquier cuestión sobre este contrato, el contacto es noha.knowhow@gmail.com.
Se acepta electrónicamente al crear el negocio. Noha registra la versión aceptada, la fecha y la persona que la aceptó.
Duración
Este contrato está en vigor mientras el Responsable use Noha. Termina cuando se elimina el negocio o finaliza el servicio por cualquier causa.
Naturaleza y finalidad del tratamiento
El Encargado aloja, guarda, organiza, consulta y suprime datos personales con una única finalidad: prestar al Responsable el servicio Noha (gestión de operaciones, equipo, formación y horarios).
El Encargado no usa los datos para fines propios, no los vende ni los cede, salvo a los subencargados indicados en este contrato o por obligación legal.
Datos y personas afectadas
Personas afectadas: el personal del Responsable (empleados, responsables y administradores) y, de forma ocasional, terceros que puedan aparecer en fotos o textos de incidencias.
Tipos de datos:
- Identificación y contacto: nombre y email.
- Datos laborales: negocio, departamento, rol, estado activo o de baja.
- Formación: certificados y sus fechas, resultados finales de los cursos, número de intentos, tiempo total, firmas y códigos de verificación.
- Horarios: turnos planificados, días libres, vacaciones y ausencias (con motivo genérico: «Permiso» u «Otro»).
- Contenido operativo: incidencias con fotos, partes de turno, checklists, manuales, recetas y eventos, con su autor y su fecha.
- Datos técnicos de acceso y uso necesarios para la seguridad del servicio.
No se tratan categorías especiales de datos (como datos de salud). El Responsable se compromete a no introducirlos.
Obligaciones del Responsable
El Responsable:
- Garantiza que tiene base legal para el tratamiento y que informa a su personal de él (el Encargado le facilita la información necesaria sobre Noha).
- Da instrucciones lícitas a través de la configuración y el uso de Noha.
- No introduce categorías especiales de datos ni datos innecesarios.
- Gestiona el acceso de su equipo (altas, bajas y roles) y protege las cuentas de administración.
Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y el uso que el Responsable hace de Noha, también en lo relativo a transferencias internacionales, que solo se harán con las garantías del capítulo V del RGPD. Si una instrucción le parece contraria a la ley, se lo comunicará de inmediato.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a confidencialidad.
- Aplicar las medidas de seguridad del apartado siguiente (artículo 32 del RGPD).
- Respetar las condiciones para recurrir a subencargados.
- Ayudar al Responsable a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad), en la medida de lo posible y con las herramientas de la app.
- Notificar al Responsable cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que la conozca, con la información disponible.
- Ayudar al Responsable, cuando proceda, en las evaluaciones de impacto y consultas a la autoridad de control.
- Al terminar el servicio, a elección del Responsable, devolverle los datos (mediante las descargas de la app) o suprimirlos, y suprimir las copias existentes, según el apartado «Fin del servicio».
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.
- Llevar un registro de las actividades de tratamiento que realiza como encargado (artículo 30.2 del RGPD).
Las comunicaciones al Responsable (brechas, cambios de subencargados, avisos) se envían al email del administrador y, cuando proceda, dentro de la app.
Medidas de seguridad
Entre otras, el Encargado aplica:
- Cifrado de las comunicaciones (HTTPS) y de los datos almacenados por el proveedor de infraestructura.
- Aislamiento por negocio: reglas de seguridad que impiden que un negocio acceda a los datos de otro.
- Control de acceso por roles (admin, manager, staff) y por departamento; las cuentas nuevas no ven nada hasta que el admin les asigna departamento.
- Autoría que no se puede falsificar en partes, incidencias, checklists y firmas, con la hora del servidor.
- Certificados con enlaces temporales (10 minutos) que no se guardan.
- Corrección de exámenes en el servidor, sin que las respuestas lleguen a la app.
- Revisión de los cambios antes de publicarlos y pruebas de las reglas de seguridad.
Subencargados
El Responsable autoriza de forma general el uso de subencargados. Los actuales son:
- Google Ireland Limited (Firebase y Google Cloud): base de datos, archivos, autenticación y funciones del servidor. La base de datos (eur3), los archivos (Fráncfort, europe-west3) y las funciones del servidor (Bélgica, europe-west1) se alojan en la Unión Europea.
- FlutterFlow, Inc. (EE. UU.): sirve los archivos de la versión web de la app mientras la web se aloje en FlutterFlow. Según FlutterFlow, su alojamiento no accede, no almacena y no recoge datos de los usuarios: los datos del negocio van directamente a Google.
Algunos servicios de Google pueden tratar datos fuera del Espacio Económico Europeo, con las garantías del Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo de la Comisión Europea.
El Encargado avisará en la app de cualquier cambio de subencargados con al menos 30 días de antelación. El Responsable podrá oponerse; si no hay acuerdo, podrá eliminar el negocio antes de que el cambio se aplique. El Encargado exige a cada subencargado las mismas obligaciones de protección de datos y sigue siendo plenamente responsable ante el Responsable de su cumplimiento (artículo 28.4 del RGPD).
Conservación
Mientras el servicio está activo, los datos se conservan según la configuración del Responsable:
- Formación: las fichas de una persona dada de baja se conservan el plazo configurado (2 años por defecto, entre 1 y 6) y después se suprimen automáticamente.
- Horarios: cada semana se conserva el plazo configurado (12 meses por defecto); los borradores que nunca se publican se suprimen a los 60 días.
- El resto del contenido se conserva hasta que el Responsable lo elimina.
Fin del servicio
Cuando el Responsable elimina el negocio:
- Antes puede descargar el registro de formación y los cuadrantes.
- El Encargado suprime todos los datos y archivos del negocio y las cuentas de su equipo.
- Las copias de seguridad de los proveedores se borran en sus ciclos ordinarios.
- Solo se conserva lo que una ley obligue a conservar, bloqueado y durante el plazo exigido.
Auditorías
El Encargado facilitará, a petición del Responsable, la información necesaria para demostrar el cumplimiento de este contrato. Las auditorías presenciales se acordarán con 30 días de antelación, como máximo una vez al año salvo que haya una brecha de seguridad, y su coste será del Responsable.
Responsabilidad y ley aplicable
Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si el Encargado trata los datos para fines propios o en contra de las instrucciones, será considerado responsable de ese tratamiento.
Este contrato se rige por la ley española. Para lo no previsto, se aplican el RGPD y la LOPDGDD.