OBLIGACIONES QUE ASUME HADDOCK COMO ENCARGADO DEL TRATAMIENTO DE LOS DATOS PERSONALES DEL CLIENTE

En el ejercicio de su actividad, HADDOCK APP, S.L. (en adelante, “HADDOCK”) ofrece una solución de software para la gestión integral de restaurantes que permite, entre otras funcionalidades, digitalizar facturas y albaranes, gestionar compras y proveedores, controlar costes y precios, elaborar escandallos dinámicos, calcular márgenes e integrarse con sistemas TPV. Asimismo, cuenta con funcionalidades de recursos humanos que abarcan el registro de jornada, la planificación y gestión de turnos, la gestión de vacaciones y ausencias, así como otras herramientas orientadas a la organización y administración del personal. Asimismo, la solución incorpora agentes inteligentes destinados a automatizar determinadas tareas y procesos operativos. Su finalidad es facilitar la gestión del negocio y optimizar los procesos de toma de decisiones de los clientes.

Para prestar este servicio, HADDOCK trata datos personales por cuenta y nombre de sus clientes. En este contexto, el cliente actúa como responsable del tratamiento y HADDOCK como encargado del tratamiento. De acuerdo con lo previsto en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, “RGPD”), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, dicha gestión de datos está sujeta a las obligaciones que HADDOCK asume frente al cliente y que se detallan en los siguientes apartados.

En todo caso, el presente compromiso no regula los datos personales de los visitantes de la web haddock.app ni de las personas que contactan con HADDOCK a través de la misma, de los que HADDOCK es responsable del tratamiento y que se rigen por la Política de Privacidad de nuestra web (https://haddock.app/politica-de-privacidad).

1. Actividades del tratamiento.

Como consecuencia del servicio que HADDOCK presta a sus clientes, es necesario tratar determinados datos personales. Las categorías de interesados y de datos que tratará HADDOCK como encargado del tratamiento dependerán de las funcionalidades contratadas y del uso que el cliente haga de la plataforma. De forma enumerativa y no exhaustiva, podrá tratar datos de usuarios de la plataforma, empleados y colaboradores del cliente, proveedores del cliente y sus personas de contacto (incluidos empresarios individuales y profesionales autónomos) y, en su caso, de clientes del establecimiento cuyos datos consten en los documentos o sistemas que el cliente conecte a la plataforma, como el TPV.

Asimismo, las categorías de datos podrán incluir datos identificativos y de contacto (nombre y apellidos, DNI, correo electrónico, teléfono), datos laborales, datos profesionales y de cargo, datos económico-financieros y de facturación contenidos en facturas, albaranes y pedidos, y datos de conexión y uso de la plataforma (dirección IP, registros de actividad e identificadores de dispositivo). HADDOCK no necesita tratar categorías especiales de datos personales (artículo 9 del RGPD) ni datos relativos a condenas e infracciones penales para prestar el servicio. Por ello, se solicita al cliente que, en la medida de lo posible, evite incorporar este tipo de información a la plataforma.

En particular, HADDOCK podrá recoger, registrar, estructurar, modificar, conservar, extraer, consultar, cotejar, limitar y suprimir todos aquellos datos personales que sean transmitidos o puestos a su disposición por el cliente (por ejemplo, mediante fotografía, PDF, correo electrónico o integración con el TPV) de acuerdo con la prestación de servicios contratada, incluyendo su lectura y extracción automatizada y su análisis mediante herramientas de inteligencia artificial.

2. Finalidades y uso de los datos.

Los datos personales a los que tenga acceso HADDOCK en virtud de la prestación de servicios antes indicada no serán utilizados para fines distintos a dicha prestación y su uso queda restringido al seguimiento de las instrucciones documentadas que en cualquier momento establezca el cliente. Si HADDOCK considerase que alguna instrucción infringe la normativa de protección de datos, informará de ello inmediatamente al cliente. Sin perjuicio de lo anterior, HADDOCK podrá utilizar los datos en la medida estrictamente necesaria para el mantenimiento, soporte, y mejora de las funcionalidades de la solución prestada al cliente, siempre dentro del marco de la prestación de los servicios contratados y sin utilizarlos para fines propios incompatibles con dicha prestación.

Los agentes de inteligencia artificial de HADDOCK tratan los datos únicamente para ejecutar las tareas solicitadas por el cliente. Los datos del cliente no se utilizarán para entrenar modelos de inteligencia artificial, ni propios ni de terceros.

3. Conservación de datos.

Una vez cumplida o finalizada la prestación contractual, HADDOCK, a elección del cliente, le devolverá los datos de carácter personal a los que haya tenido acceso o los suprimirá, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento.

La supresión comportará para HADDOCK la obligación de eliminar electrónicamente cualquier dato o metadato del cliente mediante un proceso de borrado seguro y, a petición del cliente, acreditar dicha supresión mediante un certificado. Sin perjuicio de ello, el encargado podrá conservar una copia de los datos, debidamente bloqueados, mientras puedan derivarse responsabilidades legales en la ejecución de la prestación de servicios.

4. Comunicación de datos a terceros.

HADDOCK no comunicará los datos personales obtenidos a terceros sin consentimiento previo, expreso y por escrito del cliente, ni siquiera a efectos de su conservación, salvo que se trate de una comunicación necesaria para la prestación de los servicios y/o se hubiera obtenido autorización expresa del cliente y/o lo exija la normativa aplicable o las autoridades competentes. En este último caso, HADDOCK informará previamente al cliente de dicha exigencia, salvo que la ley se lo prohíba por razones de interés público.

No se considerarán comunicaciones a terceros los accesos de los subencargados del tratamiento a los que se refiere el apartado siguiente ni las conexiones con proveedores de TPV, sistemas contables u otras herramientas que el propio cliente solicite activar en la plataforma, que se realizarán siempre siguiendo sus instrucciones.

5. Subcontratación. Subencargados del tratamiento.

HADDOCK se apoya en partners tecnológicos con la finalidad de prestar un mejor servicio. A tal efecto, HADDOCK podrá nombrar subencargados del tratamiento para la adecuada prestación de sus servicios, como, por ejemplo, alojamiento y servicios cloud, almacenamiento y gestión de datos, ficheros o archivos, copias de seguridad, servicios de correo electrónico, lectura automatizada de documentos, gestión de RRHH, y servicios de inteligencia artificial. De acuerdo con lo anterior, el cliente autoriza con carácter general la subcontratación de dichos proveedores en la medida en que resulte necesaria para la correcta ejecución de los servicios contratados.

Las empresas subcontratadas por HADDOCK deberán cumplir en todo caso con las obligaciones establecidas en la normativa de protección de datos y asumirán, mediante contrato, las mismas obligaciones de protección de datos que HADDOCK asume frente al cliente.

HADDOCK asume plena responsabilidad frente al cliente en lo que respecta al cumplimiento de las obligaciones de cualquiera de los subencargados del tratamiento que intervengan en la prestación de servicios.

HADDOCK se compromete a transferir datos únicamente a subcontratistas establecidos en países ubicados dentro del Espacio Económico Europeo (EEE) o en terceros países con un nivel adecuado de protección reconocido por la Comisión Europea.

En caso de que el subencargado del tratamiento no se encuentre en ninguno de los supuestos anteriormente mencionados, HADDOCK se asegurará de que existan las garantías adecuadas previstas en el capítulo V del RGPD (como las cláusulas contractuales tipo).

6. Confidencialidad y medidas de seguridad.

HADDOCK se compromete a respetar la necesaria confidencialidad de los datos personales transmitidos por el cliente y a garantizar que las personas autorizadas para tratarlos se hayan comprometido a respetar dicha confidencialidad o estén sujetas a una obligación legal de naturaleza similar, que subsistirá aun después de finalizada la relación con el cliente. Asimismo, adoptará las medidas de índole técnica y organizativa adecuadas a la categoría de datos tratados a fin de garantizar la seguridad de los datos de carácter personal y de evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos.

Del mismo modo, de conformidad con lo establecido en la normativa aplicable, HADDOCK implementará las medidas de seguridad resultantes de las evaluaciones de impacto, en su caso, realizadas, o bien de los códigos de conducta, sellos o certificaciones que pueda adquirir en cada momento. En cualquier caso, se compromete a implementar mecanismos para:

• garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;

• restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico;

• verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento; y

• seudonimizar y cifrar los datos personales en caso de que la normativa así lo exija.

HADDOCK tratará los datos de carácter personal, cuyo responsable es el cliente, cumpliendo siempre los requisitos y condiciones que por vía legal o reglamentaria se establecen en cuanto a la integridad y seguridad de los datos y de los centros de tratamiento, locales, equipos, sistemas y programas donde se tratan los mismos.

7. Brechas de seguridad.

HADDOCK notificará al cliente, sin dilación indebida, cualquier incidencia o brecha de seguridad que haya sufrido HADDOCK o cualquiera de los subencargados del tratamiento, según lo previsto en la normativa legal aplicable al efecto, en caso de que afecte a los datos personales objeto del servicio. Se entenderá por incidencia, a título enunciativo y no limitativo, las siguientes situaciones:

• acceso de un tercero no autorizado al sistema;

• pérdida de información o imposibilidad de acceso a la misma;

• borrado involuntario de datos personales; o

• alteración involuntaria de datos personales.

HADDOCK facilitará al cliente toda la información relativa a la incidencia de la que disponga. Si no resultara posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

En particular, se facilitará información sobre la naturaleza de la brecha de seguridad, los datos que se hayan podido ver comprometidos, el número aproximado de afectados, la descripción de las posibles consecuencias y de las medidas adoptadas para resolver o mitigar el daño causado. HADDOCK colaborará con el cliente para que este pueda cumplir, en su caso, sus obligaciones de notificación a la autoridad de control y de comunicación a los interesados.

8. Ejercicio de derechos.

Cuando cualquier interesado ejerza ante HADDOCK o ante cualquiera de los subencargados del tratamiento alguno de los derechos reconocidos por el RGPD (acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individuales automatizadas), HADDOCK deberá informar de ello al cliente sin dilación indebida para que pueda atender la solicitud en tiempo y forma.

Asimismo, HADDOCK asistirá al cliente, teniendo en cuenta la naturaleza del tratamiento y mediante medidas técnicas y organizativas apropiadas, para que este pueda atender las solicitudes de ejercicio de derechos.

9. Plazo.

Las obligaciones antes mencionadas serán de aplicación mientras HADDOCK siga prestando sus servicios al cliente. Las obligaciones de confidencialidad y las relativas a la devolución o supresión de los datos subsistirán tras la finalización de la relación contractual.

10. Otras obligaciones.

HADDOCK dará apoyo al cliente en la realización de las evaluaciones de impacto relativas a la protección de datos y, en su caso, en las consultas previas a la autoridad de control que este último pueda realizar y que afecten a los datos objeto de tratamiento.

HADDOCK llevará un registro de las actividades de tratamiento efectuadas por cuenta del cliente conforme al artículo 30.2 del RGPD y pondrá a disposición del responsable del tratamiento la información que sea relevante con el fin de demostrar el cumplimiento de sus obligaciones en materia de protección de datos, permitiendo y contribuyendo a la realización de auditorías, incluidas inspecciones, por parte del cliente o de otro auditor autorizado por este, con un preaviso razonable y respetando la confidencialidad de la información y la seguridad de los sistemas de HADDOCK.

11. Contacto.

Para cualquier cuestión relacionada con este compromiso o con el tratamiento de datos personales por parte de HADDOCK como encargado del tratamiento, el cliente puede dirigirse a privacidad@haddock.app.