Borrador pendiente de revisión legal. Los campos en amarillo están por completar.
Anexo · Contrato de encargo de tratamiento
Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la LOPDGDD.
Este Anexo forma parte de las Condiciones generales de contratación. El Cliente lo acepta al aceptar dichas Condiciones.
1. Partes
- Responsable del tratamiento: el Cliente (la empresa que contrata Sí, Jefa).
- Encargado del tratamiento: MilliwaysDelivery S.L. (en constitución), NIF [pendiente] («Sí, Jefa»).
2. Objeto y alcance
2.1. Sí, Jefa trata datos personales por cuenta del Cliente únicamente para gestionar el beneficio de comida de sus empleados:
- alta, modificación y baja de Usuarios;
- registro de la presencia o ausencia y de los platos consumidos por Usuario y día;
- descuento del saldo;
- generación de informes y exportaciones para nómina o retribución flexible.
2.2. Fuera del encargo. No forman parte de este encargo los tratamientos que Sí, Jefa realiza como responsable para prestar directamente el servicio a cada Usuario: la cuenta, los avisos, las preferencias de dieta y las alergias, y la entrega. Esos tratamientos se rigen por la Política de privacidad.
3. Datos y personas afectadas
- Personas afectadas: empleados y colaboradores del Cliente dados de alta como Usuarios. Administradores del panel.
- Categorías de datos: identificativos (nombre, apellidos, email profesional, teléfono), datos profesionales (oficina, equipo, centro de coste, identificador interno si el Cliente lo facilita), datos de consumo (días, platos e importes).
- Sin datos de categorías especiales. El encargo no incluye datos de categorías especiales. Las alergias no se comunican al Cliente.
4. Duración
Mientras esté vigente el contrato de Servicio.
5. Obligaciones de Sí, Jefa
Sí, Jefa se compromete a:
a) tratar los datos solo siguiendo instrucciones documentadas del Cliente, incluidas las que se dan mediante el uso del panel. Si una instrucción le parece contraria a la normativa de protección de datos, se lo comunicará de inmediato;
b) no usar los datos para fines propios ni comunicarlos a terceros, salvo obligación legal;
c) garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad;
d) aplicar las medidas de seguridad del art. 32 RGPD, como mínimo:
- cifrado en tránsito y en reposo cuando sea posible;
- control de accesos por perfiles y autenticación robusta;
- registro de accesos;
- copias de seguridad;
- procedimientos de recuperación;
- revisión periódica de las medidas;
e) subencargados:
- El Cliente autoriza de forma general a Sí, Jefa a recurrir a los subencargados que figuran en la Política de privacidad: alojamiento, email, mensajería, pagos y servicios de IA.
- Sí, Jefa informará al Cliente de cualquier cambio con al menos 15 días de antelación. En ese plazo, el Cliente puede oponerse de forma motivada; si no se llega a una solución, puede resolver el contrato.
- Sí, Jefa impone a cada subencargado las mismas obligaciones que asume en este Anexo y responde de su cumplimiento;
f) transferencias internacionales: solo se realizan con las garantías del Capítulo V del RGPD: decisión de adecuación, Data Privacy Framework o cláusulas contractuales tipo;
g) agentes de IA:
- Cuando los datos se procesan mediante agentes o servicios de IA, Sí, Jefa usa proveedores que se comprometen contractualmente a no usar los datos para entrenar sus modelos.
- No adopta decisiones automatizadas con efectos jurídicos o significativos sobre los Usuarios;
h) asistencia al Cliente:
- Ayuda al Cliente a atender los derechos de los interesados. Si recibe una solicitud dirigida al Cliente, se la traslada en un máximo de 5 días hábiles.
- Le ayuda a cumplir sus obligaciones de seguridad, evaluación de impacto y consulta previa;
i) brechas de seguridad: notificar al Cliente, sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que el Cliente pueda notificarla a la autoridad en el plazo legal;
j) auditorías: poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Anexo y permitir auditorías razonables, avisadas con 30 días de antelación, como máximo una vez al año salvo brecha;
k) registro de actividades: llevar un registro de las actividades de tratamiento realizadas por cuenta del Cliente (art. 30.2 RGPD).
6. Obligaciones del Cliente
El Cliente se compromete a:
- facilitar los datos necesarios y garantizar que puede comunicarlos lícitamente;
- informar a sus empleados de este tratamiento;
- dar instrucciones conformes a la normativa;
- supervisar el tratamiento.
7. Fin del encargo
Al terminar el contrato, Sí, Jefa pondrá a disposición del Cliente, durante 30 días, una exportación de los consumos en formato CSV. Pasado ese plazo, suprimirá los datos tratados por cuenta del Cliente.
Sí, Jefa podrá conservarlos debidamente bloqueados mientras puedan derivarse responsabilidades o lo exija la ley (por ejemplo, la normativa fiscal y mercantil sobre facturación).
Versión 1.0 · [pendiente]