Contrato de encargo del tratamiento

Este contrato forma parte de las condiciones de contratación de Bistrops y se acepta al crear la cuenta. Regula el tratamiento de datos personales que Elevate Studio S.L. (B-75532226, C/ Maracena 3, 18101 Belicena (Granada), España, info@bistrops.com), como encargada, hace por cuenta del cliente, responsable del tratamiento, al prestarle el servicio (artículo 28 del Reglamento (UE) 2016/679, RGPD).

Mientras la cuenta esté activa, más los plazos de supresión de la cláusula 9. El tratamiento consiste en alojar, guardar, consultar, modificar y suprimir los datos necesarios para la gestión de gastos y proveedores, caja, facturación, cierres trimestrales y personal del cliente.

• Personas trabajadoras del cliente: identificativos y de contacto, PIN de fichaje (guardado como hash), registros de jornada, cuadrantes, vacaciones y ausencias, y documentos laborales como nóminas y contratos.
• Proveedores: nombre o razón social, NIF y datos de sus facturas y tickets, incluidas las imágenes. Cuando el proveedor es una persona física (por ejemplo, un autónomo), son datos personales.
• Clientes del cliente: los datos de facturación de las facturas emitidas (catering, eventos).
• Usuarios de la cuenta: dueños, encargados y gestoría, con sus accesos.

Bistrops no trata datos biométricos: el fichaje es con PIN.

• Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son el uso que este hace del servicio, y avisarle si alguna instrucción infringe la normativa.
• Garantizar la confidencialidad de quien accede a los datos.
• Aplicar las medidas de seguridad de la cláusula 7.
• Ayudar al cliente a atender los derechos de los interesados, en las evaluaciones de impacto y en las consultas a la autoridad de control.
• Notificarle sin dilación indebida, y en todo caso en menos de 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a sus datos.
• Devolver o suprimir los datos al terminar el servicio (cláusula 9) y poner a su disposición la información necesaria para demostrar el cumplimiento.

• Tener base jurídica para los datos que mete en el servicio e informar a sus trabajadores, proveedores y clientes.
• Decidir quién accede a la cuenta y con qué rol (dueño, gestoría, encargado, empleado).
• Incluir el tratamiento en su registro de actividades.

El cliente autoriza de forma general a los siguientes subencargados. Le avisaremos con al menos 30 días de antelación de cualquier alta o cambio, y podrá oponerse resolviendo el contrato sin penalización.

A OpenAI solo se envían las imágenes y PDF de facturas y tickets de proveedores, para extraer su contenido; nunca datos del personal. Las nóminas se reparten leyendo el PDF en nuestro propio servidor. Stripe trata los datos de facturación del cliente, no los de su equipo.

• Cifrado en tránsito (HTTPS) en todas las comunicaciones.
• Cifrado en reposo de los documentos de personal, como las nóminas, también mientras se revisa su reparto.
• Contraseñas guardadas con bcrypt y PIN de fichaje guardados como hash.
• Control de acceso por roles y aislamiento por empresa y por restaurante en cada consulta.
• Registro de auditoría de las acciones sobre datos sensibles.
• Copias de seguridad diarias con retención limitada.

Los interesados ejercen sus derechos ante el cliente. Si una solicitud llega a la encargada, la trasladará al cliente sin dilación.

El registro de jornada se conserva cuatro años, como exige el artículo 34.9 del Estatuto de los Trabajadores. Al terminar el servicio, el cliente puede descargar sus datos; tras 30 días de gracia se suprimen, salvo los que la ley obligue a conservar, que quedan bloqueados.

El cliente puede pedir una vez al año, con 30 días de preaviso, la información necesaria para verificar el cumplimiento de este contrato. Se rige por el RGPD y la Ley Orgánica 3/2018; son competentes los tribunales de Granada.