Contrato de Encargo de Tratamiento de Datos
Versión 2 — 27 de septiembre de 2026
Este documento regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), el tratamiento de datos personales que FideClientes (el "Encargado"), operado por HMGia (Heriberto Martorell Gabaldón), realiza por cuenta del negocio suscrito al Servicio (el "Responsable") sobre los datos de los clientes finales de ese negocio y de las personas que lo usan (socios y empleados).
1. Objeto y duración
El Encargado trata datos personales por cuenta del Responsable exclusivamente para prestar el Servicio de fidelización por puntos contratado. Este contrato está vigente mientras dure la suscripción del Responsable al Servicio, y sus obligaciones de confidencialidad sobreviven a su finalización.
2. Datos tratados y finalidad
| Categoría de datos | Ejemplos | Finalidad |
|---|---|---|
| Identificativos del cliente final | Nombre, teléfono | Identificar al cliente y permitirle consultar su saldo de puntos mediante un enlace personal |
| Datos de la relación de fidelización | Puntos acumulados, nivel, historial de sumas y canjes, premios canjeados, fecha de última visita | Gestionar el programa de puntos y premios del Responsable |
| Usuarios del negocio | Nombre, rol y permisos de socios y empleados; PIN (guardado cifrado mediante hash); email de los socios con acceso propio | Controlar quién accede al panel y qué puede hacer |
No se tratan categorías especiales de datos (art. 9 RGPD) ni datos de menores de forma diferenciada; el Servicio no está diseñado para recogerlos y el Responsable no debe introducirlos. No se crean perfiles ni se toman decisiones automatizadas, y los datos no se usan para entrenar sistemas de inteligencia artificial.
3. Instrucciones del Responsable
El Encargado trata los datos únicamente siguiendo las instrucciones del Responsable, materializadas en el uso ordinario del panel (alta de clientes, asignación de puntos, gestión de premios, gestión de usuarios, exportación y eliminación de datos). El Encargado informará al Responsable si considera que alguna instrucción infringe la normativa de protección de datos aplicable.
4. Confidencialidad
El Encargado garantiza que las personas autorizadas para tratar los datos (actualmente, solo su titular) se han comprometido a respetar su confidencialidad. Las herramientas de desarrollo y soporte, incluidas las basadas en inteligencia artificial, solo acceden a la estructura técnica de la base de datos, nunca a los datos personales.
5. Subencargados
El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, necesarios para prestar el Servicio:
| Subencargado | Función | Ubicación de los datos |
|---|---|---|
| Supabase (sobre infraestructura de AWS) | Base de datos, autenticación y backend de la aplicación | Unión Europea (Irlanda, eu-west-1) |
| Resend | Envío de correos transaccionales: avisos y correos de acceso al titular del negocio y recuperación de contraseña de los socios con acceso propio. Nunca a clientes finales | Estados Unidos: certificado bajo el Data Privacy Framework UE-EE. UU. |
| Hostinger | Alojamiento de los archivos de la aplicación web | Unión Europea (Alemania, Frankfurt; copias de seguridad en Francia) |
| GitHub (Microsoft) | Almacenamiento de las copias de seguridad diarias, cifradas antes de salir del sistema (la clave solo la tiene el Encargado) | Estados Unidos: Data Privacy Framework UE-EE. UU. |
El Encargado impone a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este documento, y sigue siendo responsable ante el Responsable de su cumplimiento.
El Encargado informará al Responsable por correo, con al menos 30 días de antelación, de cualquier cambio previsto en estos subencargados, dándole la oportunidad de oponerse por causas justificadas relacionadas con la protección de datos; si la oposición no puede resolverse, el Responsable podrá cancelar la suscripción sin coste.
Notas:
- PayPal trata los datos de pago del propio Responsable para gestionar el cobro de su suscripción; no interviene en los datos de los clientes finales, por lo que no es subencargado.
- Los mensajes de WhatsApp que el Responsable envía a sus clientes (por ejemplo, el enlace de saldo) los envía él mismo desde su propia cuenta: WhatsApp no es subencargado del Encargado.
- Si el Responsable enlaza un logo alojado fuera del Servicio, el servidor de ese logo lo elige el Responsable bajo su responsabilidad; al abrir el enlace de saldo, el navegador del cliente final lo descarga desde allí y ese servidor recibe su dirección IP.
6. Medidas de seguridad
- Acceso a los datos del negocio restringido mediante autenticación y control de permisos por rol (dueño, socio, encargado, empleado) dentro del propio Responsable.
- Aislamiento de los datos entre negocios distintos mediante seguridad a nivel de fila (RLS) en la base de datos, de forma que ningún negocio puede acceder a los datos de otro.
- Cifrado en tránsito (HTTPS) en todas las comunicaciones con la aplicación.
- Los PIN de acceso de los empleados se almacenan mediante hash, no en texto plano.
- El enlace de saldo del cliente final usa un código aleatorio y muestra el teléfono enmascarado.
- Copias de seguridad diarias de la base de datos, cifradas (AES-256) y conservadas 30 días.
- Verificación en dos pasos en las cuentas de administración de la base de datos, del alojamiento web y del código.
- Librerías de la aplicación servidas desde el propio dominio, sin intermediarios de terceros.
7. Plazo de conservación
Los datos personales se conservan mientras el Responsable mantenga la suscripción al Servicio y no los elimine desde el panel. El Responsable puede suprimir en cualquier momento a sus clientes finales mediante anonimización, conservando únicamente datos agregados no identificativos. Tras la baja de la suscripción se aplica lo previsto en el apartado 12. Las copias de seguridad se eliminan automáticamente a los 30 días.
8. Derechos de los interesados
El Encargado pone a disposición del Responsable las herramientas del panel para atender, respecto a los clientes finales, los derechos de acceso, rectificación y supresión (esta última mediante anonimización, conservando el historial de forma no identificativa), así como la exportación de sus datos en formato CSV y la descarga completa de los datos del negocio en un archivo ZIP. Si un cliente final se dirige directamente al Encargado ejerciendo alguno de estos derechos, el Encargado lo comunicará sin dilación indebida al Responsable correspondiente para que sea este quien lo resuelva, salvo que la normativa exija otra cosa.
9. Notificación de violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, junto con la información disponible (naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas o propuestas) para que el Responsable pueda cumplir, si procede, su propia obligación de notificación a la autoridad de control. Si no se dispone de toda la información, se facilitará de forma gradual.
10. Asistencia al Responsable
Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Encargado ayudará al Responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad, de atención de los derechos de los interesados y, en su caso, de evaluación de impacto y consulta previa a la autoridad de control.
11. Información y auditorías
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato. El Responsable podrá solicitar por escrito, con un preaviso mínimo de 30 días y como máximo una vez al año (salvo que se haya producido una violación de seguridad que le afecte), una auditoría o revisión, que se realizará preferentemente mediante cuestionario y documentación, a cargo del Responsable y respetando la confidencialidad de los datos de otros negocios.
12. Devolución o supresión de los datos
- Durante toda la suscripción, el Responsable puede exportar sus datos desde el panel (CSV por listado y ZIP con todos los datos del negocio).
- Tras la baja de la suscripción, el Responsable conserva el acceso normal al panel hasta el final del periodo ya pagado (o del periodo de prueba) y 30 días más, para descargar sus datos. Este es el mecanismo de devolución de los datos.
- Terminado ese plazo, el Encargado suprimirá los datos personales tratados por cuenta del Responsable (clientes finales, historial, premios, usuarios del negocio y sus cuentas de acceso). Las copias de seguridad que los contengan se eliminan automáticamente en un máximo de 30 días.
- Se exceptúan los datos que el Encargado deba conservar por obligación legal, que se mantendrán bloqueados durante el plazo exigido.
13. Aceptación
La aceptación de este contrato, junto con los Términos y condiciones del Servicio, se realiza de forma expresa por el Responsable en el momento de darse de alta como negocio suscrito, quedando registrada la fecha y la versión del documento aceptado.