Acuerdo de Encargo del Tratamiento (DPA)

PARTES Y ROLES

Responsable del tratamiento: el Cliente/Esercente (o la Gestoría por cuenta de sus clientes), titular de los datos de facturación y de sus clientes.
Encargado del tratamiento: BANNO MIRKO ("EasyTPV"), que trata datos por cuenta del Responsable para prestar el servicio.
Subencargados: proveedores cloud/KMS (Anexo II).

1. Objeto

Regular el tratamiento de datos personales que EasyTPV realiza por cuenta del Responsable en el marco de la prestación del servicio EasyTPV (TPV Veri*factu).

2. Detalle del tratamiento (art. 28.3 RGPD)

Elemento	Descripción
Naturaleza y finalidad	Emisión de facturas, generación de registros Verifactu, remisión a la AEAT, soporte y —si el Responsable activa el módulo— custodia del registro de jornada* de su plantilla y generación del informe mensual
Duración	La del contrato de servicio + plazos legales de conservación fiscal
Tipo de datos	Identificativos y fiscales (NIF, nombre, domicilio), datos de facturación; en ramo B, certificado digital (dato personal); con el módulo de control horario activo, nombre, horas de entrada y salida y trazo de la firma de las personas trabajadoras y, si el Responsable los informa, su NIF o NIE, su número de afiliación a la Seguridad Social y su fecha de alta; en la ficha de la plantilla que el Responsable completa desde el panel (desde el 28/09/2026), también su teléfono y correo, la fecha de baja, el tipo de contrato, la jornada pactada, el puesto o categoría y la tienda — nunca domicilio, datos bancarios, salario, datos de salud ni copia del documento; de la empresa, el código de cuenta de cotización y el centro de trabajo; con el programa de puntos del comercio (desde el 28/09/2026), de los clientes que se apuntan: nombre, teléfono o correo, código de tarjeta, fecha de alta, consentimiento a las comunicaciones comerciales con su fecha y movimientos de puntos — nunca fecha de nacimiento, sexo ni dirección (`legal/13` E12)
Categorías de interesados	Esercente, sus clientes destinatarios de factura, personal autorizado, —con el módulo de control horario— las personas trabajadoras del Esercente y —con el programa de puntos— los clientes del Esercente que se apuntan a él
Categorías especiales	No se prevén (art. 9 RGPD). Si las hubiere, medidas reforzadas. La firma del registro de jornada no es dato biométrico: se conserva el trazo, no la dinámica (presión, tiempos, velocidad)
Conservación específica	Registro de jornada: 4 años (art. 34.9 ET), suprimido automáticamente por el sistema

3. Obligaciones de EasyTPV (encargado)

a) Tratar los datos solo según instrucciones documentadas del Responsable.
b) Garantizar la confidencialidad del personal autorizado.
c) Aplicar las medidas de seguridad del art. 32 RGPD (cifrado, KMS, firma servidor, aislamiento tenant, MFA, auditoría).
d) No recurrir a subencargados sin autorización (Cláusula 5).
e) Asistir al Responsable en el ejercicio de derechos de los interesados.
f) Asistir en las obligaciones de los arts. 32–36 (seguridad, brechas, DPIA, consulta previa).
g) Notificar brechas de seguridad sin dilación indebida, y en todo caso en un máximo de 48 h, tras tener conocimiento.
h) A elección del Responsable, suprimir o devolver los datos al finalizar (incluida destrucción segura / *crypto-shredding* de certificados).
i) Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías.

4. Obligaciones del Responsable

a) Facilitar instrucciones lícitas y por escrito.
b) Garantizar la base jurídica del tratamiento y los consentimientos.
c) Cumplir sus propias obligaciones como responsable.

5. Subencargados

5.1. El Responsable autoriza el uso de los subencargados del Anexo II (p. ej. proveedor cloud/KMS). EasyTPV impondrá a cada subencargado obligaciones equivalentes a las de este DPA.

5.2. EasyTPV informará de cambios de subencargados con 15 días de antelación, pudiendo el Responsable oponerse por motivos fundados.

6. Transferencias internacionales

No se realizarán transferencias fuera del EEE salvo con garantías adecuadas (cláusulas contractuales tipo, decisión de adecuación). Preferencia por infraestructura en el EEE.

7. Registro de actividades

Ambas partes mantendrán el registro de actividades de tratamiento (art. 30).

8. Responsabilidad

Cada parte responde conforme al art. 82 RGPD. EasyTPV responde de los daños solo cuando haya incumplido las obligaciones que el RGPD impone a los encargados o haya actuado al margen de las instrucciones lícitas del Responsable.

9. Duración

Vigente mientras EasyTPV trate datos por cuenta del Responsable. A su fin, aplica la Cláusula 3.h.

10. Ley y jurisdicción

Legislación española y RGPD; sumisión a los Juzgados y Tribunales de Eivissa.

En Eivissa, en la fecha de su aceptación electrónica en el alta del servicio.

El Responsable	El Encargado (EasyTPV)
El Cliente, por aceptación electrónica en el alta (con fecha y hora)	BANNO MIRKO, NIF Y3194712A

Anexo I — Instrucciones de tratamiento

Las operaciones del apartado 2, y solo esas.

Control horario (solo si el Responsable activa el módulo):

Custodiar los fichajes que suben los terminales del Responsable.
Generar el informe mensual en PDF y ponerlo a disposición del Responsable.
Suprimir los fichajes con más de 4 años sin instrucción previa: la supresión es automática y forma parte del encargo.
No utilizar estos datos para ninguna finalidad propia, ni para estadística agregada, ni para entrenar modelos.
El Responsable declara haber entregado a su plantilla la información del art. 13 RGPD antes del primer fichaje.

Anexo II — Subencargados autorizados

Subencargado	Servicio	Ubicación	Garantías
Google Cloud (Cloud Run, Cloud SQL, Secret Manager, Logging)	Hosting, base de datos y custodia de secretos	europe-southwest1 (Madrid)	Contrato de encargo del proveedor; datos en el EEE
Google Cloud — Vertex AI (Gemini)	Lectura asistida de cartas, listines y facturas que el Responsable fotografía, para proponer productos o entradas de almacén	europe-southwest1 (Madrid)	Mismo contrato de encargo. El procesamiento de aprendizaje automático ocurre en la región de la petición. Sin entrenamiento con el contenido enviado y sin retención tras la respuesta. Uso voluntario: si el Responsable no lo utiliza, no se envía nada
Supabase	Base de datos y API del catálogo comercial de la webapp (sin registros fiscales)	eu-west-1 (Irlanda, EEE)	[contrato de encargo art. 28 pendiente de firma; si la región está fuera del EEE, cláusulas tipo y evaluación de transferencia]
Hostinger	Envío de la factura al destinatario por correo (`smtp.hostinger.com`)	UE	[...]