Acuerdo de encargo del tratamiento de datos personales

1. Partes

Responsable: la empresa que contrata AutoBill Restaurante para gestionar sus locales. Encargado: Maryury Garzon Forero, titular de AutoBill. Este acuerdo forma parte de las condiciones aceptadas al crear la cuenta.

2. Objeto

1. Registrar ventas, emitir facturas simplificadas y conservar sus registros encadenados.
2. Remitir a la AEAT los registros de facturación en nombre del responsable, cuando este lo active y haya otorgado el apoderamiento correspondiente (VERI*FACTU).
3. Gestionar la carta, el inventario y los informes de ventas y costes.
4. Guardar la ficha de la plantilla y el registro diario de jornada, con sus correcciones.
5. Copias de seguridad, mantenimiento y, al terminar, supresión.

3. Personas y datos afectados

Plantilla: nombre y apellidos, DNI o NIE, número de la Seguridad Social, teléfono, correo, IBAN, puesto, tipo de contrato, horas de contrato, coste por hora y registro de entradas y salidas. Usuarios del responsable: correo y rol. Las facturas simplificadas no contienen datos de los clientes del restaurante. No se tratan categorías especiales de datos.

4. Obligaciones del encargado

• Tratar los datos solo según las instrucciones del responsable, que son las derivadas de usar el servicio.
• Garantizar la confidencialidad de quien intervenga en la prestación.
• Aplicar las medidas del anexo A (art. 32 RGPD).
• Recurrir solo a los subencargados del anexo B y avisar antes de cambiarlos.
• Ayudar a atender los derechos de los interesados y trasladar sin dilación las solicitudes que reciba.
• Comunicar sin dilación indebida las violaciones de seguridad y colaborar en su gestión.
• Al terminar, suprimir los datos salvo los que la ley obliga a conservar (registros de facturación y registro de jornada), que se bloquean hasta que vence su plazo.

5. Obligaciones del responsable

Tener base jurídica para tratar los datos de su plantilla, informarla, introducir solo los datos necesarios y dar instrucciones lícitas. Contacto del encargado: asesoriaygestion.mar@autobill.lat.

Anexo A. Medidas de seguridad implantadas

• Aislamiento entre empresas y locales: seguridad a nivel de fila en todas las tablas y claves foráneas compuestas que impiden que un dato apunte a otra empresa o local. Se verifica con pruebas automáticas con varias empresas y locales.
• Roles: las cuentas de sala no pueden ver la ficha de la plantilla, los costes ni los informes; solo los propietarios.
• Acceso: correo confirmado y contraseña; la sesión se valida en el servidor en cada petición.
• Inalterabilidad: las facturas emitidas no pueden modificarse ni borrarse, ni siquiera con acceso de administración a la base de datos; las correcciones del registro de jornada quedan fechadas.
• Comunicaciones: solo HTTPS; cabeceras que impiden incrustar la aplicación en otras webs. El envío a la AEAT usa TLS mutuo con certificado.
• Datos en reposo: cifrados por el proveedor de base de datos, con copias de seguridad gestionadas por él.

Anexo B. Subencargados

• Supabase Inc.: base de datos, autenticación y copias de seguridad. Datos en Frankfurt (UE).
• Vercel Inc.: alojamiento de la aplicación, con funciones en Frankfurt (UE). Empresa de EE. UU. adherida al Marco de Privacidad de Datos UE-EE. UU.

La AEAT no es un subencargado: recibe los registros de facturación por obligación legal del responsable.