Contrato de encargo del tratamiento (DPA)

Programa de gestión para panaderías · versión 1.0 · fecha de efectos: 28 de septiembre de 2026

Identificación y alcance del contrato

Versión del DPA: 1.0. Fecha de efectos: 28 de septiembre de 2026 o, para cada cliente, la fecha en que lo acepta, si es posterior.

1. Partes y servicio contratado

Responsable del tratamiento: la persona física o jurídica titular de la cuenta que acepta este contrato al contratar el servicio, identificada con la razón social o el nombre, el NIF o la identificación fiscal y el domicilio que declara en su cuenta (Facturación → Configuración) y representada por la persona usuaria que acepta en su nombre, en adelante, el Cliente. Contacto de protección de datos del Cliente: el correo de la persona que acepta, salvo que el Cliente indique otro. Delegado de protección de datos del Cliente, si procede: el que el Cliente comunique. La plataforma conserva, junto a la aceptación, esos datos, la persona que acepta, la fecha y hora y la versión aceptada.

Encargado del tratamiento: Arturo Blanco Erquicia, profesional autónomo, con NIF 38088480C, domicilio en la Calle de Cervelló, 2, 08760 Martorell (Barcelona, España), que actúa en su propio nombre, proveedor de la aplicación «Programa de gestión para panaderías» (https://app.arturoblancopan.com), en adelante, el Proveedor. Contacto de protección de datos e incidentes: teléfono +34 652 222 410 (canal urgente) y, en segundo lugar, correo arturo@arturoblancopan.com. Delegado de protección de datos: no designado (no concurren los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD).

Contrato principal de servicios: las Condiciones del servicio publicadas en https://app.arturoblancopan.com/legal/condiciones, en la versión aceptada por el Cliente. Cuenta o entidad cliente: la panadería dada de alta en la plataforma, con su identificador interno. Las partes se reconocen capacidad para asumir las obligaciones de este contrato.

2. Objeto y delimitación de funciones

El Cliente encarga al Proveedor el tratamiento de los datos personales necesario para prestar los módulos SaaS descritos en el anexo I, incluidos el alojamiento, mantenimiento, copias de seguridad y soporte autorizado. El Cliente determina los fines del tratamiento; el Proveedor actúa por su cuenta y siguiendo sus instrucciones documentadas.

Este contrato no autoriza al Proveedor a explotar los datos del Cliente para publicidad propia, venta de información, elaboración de perfiles para fines propios ni entrenamiento de modelos generales de inteligencia artificial. Cualquier funcionalidad que requiera nuevos tratamientos deberá definirse y documentarse antes de activarse.

Los datos que el Proveedor trate para gestionar y facturar su propia relación comercial con el Cliente, o cumplir sus obligaciones legales propias, se regirán por la normativa aplicable y su información de privacidad como responsable independiente. Esta delimitación no permite reutilizar libremente los datos alojados por cuenta del Cliente.

3. Duración e instrucciones

El encargo comienza cuando se inicia el tratamiento para prestar el servicio y dura mientras exista la prestación, incluidos los periodos de devolución y supresión del anexo I. La confidencialidad y las obligaciones relativas a datos conservados subsistirán después de la terminación.

Constituyen instrucciones documentadas este contrato, sus anexos, las configuraciones del servicio y las solicitudes de administradores autorizados por los canales siguientes: las acciones realizadas en la propia plataforma por usuarios con rol de gerencia (propietario o administrador) y los correos enviados a arturo@arturoblancopan.com desde el correo de un usuario de gerencia de la cuenta. El Proveedor informará inmediatamente si considera que una instrucción infringe la normativa de protección de datos y suspenderá la operación afectada hasta su aclaración o corrección.

Si el Derecho de la Unión o de un Estado miembro obliga a realizar otro tratamiento, el Proveedor informará previamente al Cliente de esa exigencia, salvo prohibición legal por razones importantes de interés público.

4. Obligaciones del Cliente

Corresponde al Cliente disponer de una base jurídica válida, informar a los interesados, garantizar la legitimidad de los datos e instrucciones y limitar la información a la necesaria. Determinará los plazos de conservación y autorizará únicamente a los usuarios que necesiten acceso, gestionando sus permisos y bajas.

El Cliente tiene derecho a impartir instrucciones lícitas, recibir asistencia e información de cumplimiento, verificar las garantías del Proveedor y decidir sobre la devolución o supresión de sus datos. Evaluará los riesgos y, cuando proceda, realizará las evaluaciones de impacto y consultas previas con la asistencia del Proveedor.

5. Obligaciones del Proveedor y confidencialidad

El Proveedor tratará los datos únicamente para el encargo y no los comunicará salvo por instrucciones del Cliente, subcontratación autorizada o exigencia legal aplicable. Limitará el acceso a personas autorizadas sujetas a compromisos de confidencialidad o a un deber legal equivalente, y les facilitará formación e instrucciones adecuadas.

Mantendrá los registros de actividades exigibles, cooperará con la autoridad de control y designará delegado de protección de datos o representante en la Unión cuando legalmente corresponda. Facilitará sus datos de contacto al Cliente. No trasladará al Cliente las obligaciones que legalmente le correspondan como encargado.

6. Medidas técnicas y organizativas

El Proveedor implantará y mantendrá medidas apropiadas al riesgo conforme al artículo 32 del RGPD y al anexo II, considerando la naturaleza, alcance, contexto y fines del tratamiento, el estado de la técnica y los costes de aplicación. Las medidas cubrirán la confidencialidad, integridad, disponibilidad y resiliencia, la restauración tras incidentes y la verificación periódica de su eficacia.

El Proveedor revisará las medidas ante cambios y riesgos relevantes. Podrá actualizarlas sin reducir el nivel de protección acordado, dejando constancia de las modificaciones y comunicando al Cliente las que le afecten materialmente. El acceso de soporte a datos reales quedará limitado a lo necesario, autorizado y registrado según el anexo II.

7. Atención de derechos y asistencia

El Proveedor asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para atender los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y los relativos a decisiones automatizadas. Remitirá las solicitudes recibidas directamente sin dilación indebida y, como máximo contractual, en 2 días laborables. No responderá sobre el fondo salvo autorización del Cliente o exigencia legal.

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, asistirá al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD, incluidas la seguridad, gestión de brechas, evaluaciones de impacto y consultas previas. Los mecanismos y contactos se concretan en los anexos. Cualquier coste extraordinario se acordará previamente y no impedirá cumplir las obligaciones legales ni atender urgencias.

8. Violaciones de seguridad de datos personales

El Proveedor notificará al Cliente sin dilación indebida las violaciones de seguridad de datos personales de las que tenga conocimiento, mediante el contacto de incidentes del anexo I. No esperará a completar la investigación para efectuar el primer aviso.

El aviso incluirá, en cuanto esté disponible, la naturaleza del incidente; las categorías y número aproximado de personas y registros afectados; el contacto para ampliar información; las consecuencias probables; y las medidas adoptadas o propuestas para contenerlo y reducir sus efectos. Si faltan datos, los comunicará progresivamente sin dilación indebida.

El Proveedor documentará el incidente, preservará evidencias pertinentes, colaborará en su investigación y corrección y facilitará al Cliente la información necesaria para decidir las comunicaciones a autoridades e interesados. El Cliente efectuará dichas comunicaciones cuando procedan, salvo encargo documentado al Proveedor u obligación legal de este. El plazo legal de 72 horas aplicable en determinados casos al responsable no constituye un plazo de espera concedido al Proveedor.

9. Subencargados del tratamiento

El Cliente autoriza con carácter general la contratación de subencargados para las actividades descritas en este contrato. Los inicialmente previstos figuran identificados en el anexo III. La autorización no permite omitir las garantías exigibles ni sustituye los requisitos sobre transferencias internacionales.

El Proveedor comunicará por escrito cualquier incorporación o sustitución con al menos 30 días naturales de antelación, indicando identidad, actividad, localizaciones y garantías. El Cliente dispondrá de 15 días naturales desde la comunicación para formular una objeción motivada en la protección de datos.

Ante una objeción, las partes buscarán una alternativa que garantice el cumplimiento. El nuevo subencargado no tratará los datos afectados mientras la objeción permanezca sin resolver. Si no existe alternativa viable, el Cliente podrá terminar la parte afectada del servicio sin penalización por esa terminación y recuperar sus datos conforme a la cláusula 12.

El Proveedor impondrá por escrito al subencargado obligaciones de protección equivalentes a las asumidas en este contrato, comprobará sus garantías y seguirá siendo plenamente responsable frente al Cliente del cumplimiento de las obligaciones del subencargado. Facilitará información y evidencia contractual pertinentes, protegiendo únicamente secretos o datos ajenos que no sean necesarios para la verificación.

10. Localización y transferencias internacionales

El anexo III identificará los países desde los que se almacenan o tratan los datos, incluidos soporte y acceso remoto. El Proveedor no efectuará transferencias fuera del Espacio Económico Europeo sin instrucciones documentadas y sin cumplir el capítulo V del RGPD.

Cuando exista una transferencia, documentará el mecanismo aplicable y su alcance, las evaluaciones necesarias y las medidas complementarias que procedan. Este DPA no sustituye las cláusulas contractuales tipo u otras garantías para transferencias internacionales. Si una garantía deja de ser válida, se suspenderá la transferencia afectada hasta disponer de una solución lícita y se informará al Cliente.

11. Información y auditorías

El Proveedor pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este encargo y permitirá y contribuirá a auditorías e inspecciones realizadas por el Cliente o por un auditor autorizado por él.

Las partes acordarán un alcance y calendario proporcionados al riesgo y medidas de confidencialidad para proteger a otros clientes. Podrán utilizarse informes independientes y evidencias documentales cuando sean suficientes, sin excluir inspecciones necesarias. El preaviso ordinario será de 10 días laborables, salvo incidentes, indicios fundados de incumplimiento, requerimientos de autoridad o urgencias que justifiquen un plazo menor. No se exigirá revelar datos ajenos innecesarios.

12. Devolución y supresión

Al concluir el servicio, el Proveedor, a elección del Cliente, devolverá los datos en el formato y por el canal del anexo I o los suprimirá. Tras la devolución eliminará las copias existentes, salvo conservación exigida por el Derecho de la Unión o de los Estados miembros. Solicitará instrucciones antes del vencimiento y aplicará, si no recibe respuesta, la opción por defecto expresamente acordada en el anexo I.

Los datos conservados por obligación legal quedarán limitados a los estrictamente exigidos, protegidos y sin otros usos; se identificarán la norma y el plazo aplicables. El Proveedor no asumirá automáticamente la conservación fiscal de los documentos del Cliente por el mero hecho de haberlos alojado.

Las copias de seguridad se retirarán dentro del ciclo máximo del anexo I, permanecerán aisladas de usos ordinarios y, si deben restaurarse para recuperación, se reaplicarán las supresiones antes de volver al uso normal. El Proveedor confirmará por escrito la devolución o supresión e informará de las retenciones pendientes y su fecha prevista de eliminación.

13. Incumplimiento y responsabilidad

Si el Proveedor no puede cumplir este contrato, lo comunicará inmediatamente. El Cliente podrá suspender el tratamiento afectado y resolver el encargo y, si resulta necesario, el servicio relacionado cuando el incumplimiento sea grave o no se subsane dentro del plazo razonable que señale. Se mantendrán las obligaciones de protección y devolución o supresión.

Cada parte responderá conforme al RGPD y a la legislación aplicable. Ninguna estipulación del contrato principal limitará los derechos de los interesados, las facultades de las autoridades ni las responsabilidades que legalmente no puedan excluirse.

14. Integración y aceptación

Este DPA y sus anexos forman parte del contrato principal. En materia de tratamiento de datos por cuenta del Cliente, prevalecerán frente a condiciones incompatibles, sin perjuicio de la primacía de normas imperativas y de las garantías aplicables a transferencias internacionales. Los cambios sustanciales se documentarán y acordarán; las variaciones de subencargados seguirán la cláusula 9.

El contrato se rige por el RGPD y por la legislación española que resulte aplicable. La resolución de controversias seguirá el contrato principal en cuanto sea compatible con las normas imperativas y los derechos de los interesados.

Aceptación mediante contratación electrónica con constancia verificable de partes, fecha y versión, incluidos anexos. Por el Cliente: la persona usuaria que marca la casilla de aceptación al darse de alta o al aceptar una versión nueva; la plataforma guarda su nombre y correo, los datos identificativos del Cliente declarados en ese momento, la fecha y hora y la versión aceptada, y el Cliente puede consultarlo y descargar el texto aceptado desde su cuenta. Por el Proveedor: Arturo Blanco Erquicia, titular, mediante la publicación de esta versión en https://app.arturoblancopan.com/legal/dpa y su puesta a disposición del Cliente antes de contratar.

Anexo I. Descripción del tratamiento

Servicio y operaciones

Módulos incluidos: todos los que componen el servicio, que se contratan siempre juntos: catálogo (productos, clientes, proveedores y precios), pedidos y albaranes, facturación, producción (planificación, stock y compras), horarios del personal, mermas, APPCC (autocontrol higiénico), analítica con asistente de datos y recetario; además, la gestión de usuarios, equipo y suscripción. Finalidad: gestionar las operaciones del Cliente mediante esos módulos y prestar su mantenimiento y soporte.

Operaciones autorizadas: recogida, registro, organización, estructuración, almacenamiento, consulta, modificación, cálculo, exportación, comunicación por instrucción del Cliente (por ejemplo, el envío por correo de un documento a un destinatario que el Cliente indica), copias de seguridad y supresión. Frecuencia: continuada mientras dure el servicio. Volumen y escala aproximados: según el plan contratado, de 1 a más de 50 personas trabajadoras de la panadería; habitualmente, hasta unos cientos de clientes y proveedores y miles de registros de pedidos, albaranes, facturas y autocontrol al año.

Personas y datos

Categorías de interesados: usuarios de la plataforma (gerencia y personal del Cliente); personas trabajadoras del Cliente incluidas en los cuadrantes de horarios; clientes del Cliente que sean personas físicas o personas de contacto de clientes empresa; proveedores personas físicas o personas de contacto de proveedores.

Tipos de datos: nombre y apellidos; NIF o identificación fiscal; dirección postal; teléfono; correo electrónico; datos de pedidos, albaranes, facturas y cobros de su relación comercial con el Cliente (sin datos de tarjeta ni cuentas bancarias de terceros); cuadrantes, horas, turnos y ausencias del personal, sin su motivo cuando pudiera revelar datos de salud; nombre con el que una persona firma un registro (albaranes, autocontrol); fotografías que el Cliente adjunta a registros de autocontrol (limpieza, documentos), que no deben mostrar personas; identificadores de usuario, sesiones y registro de actividad en la plataforma.

Quedan excluidos los datos de los artículos 9 y 10 del RGPD. En particular, la plataforma no registra el motivo médico de una ausencia (la ausencia se anota como «ausencia justificada» u otro motivo no sanitario) y el Cliente no debe escribir datos de salud en los campos de texto libre. Las alergias o intolerancias vinculadas a una persona pueden revelar datos de salud: no se introducirán sin una ampliación documentada que especifique base jurídica, garantías y controles adecuados. La información de alérgenos de productos y recetas no está vinculada a personas y no constituye un dato de salud.

Conservación y salida

Duración durante el servicio e instrucciones de conservación: los datos se conservan mientras la cuenta esté activa; el Cliente puede modificar o eliminar sus registros desde la plataforma dentro de lo que permiten sus obligaciones legales (por ejemplo, una factura emitida no se borra: se rectifica). Procedimiento para ejecutar las instrucciones del Cliente: las funciones de la propia plataforma y, para lo que no esté en ellas, una solicitud por correo de un usuario de gerencia, que el Proveedor atiende en el plazo de la cláusula 7.

Devolución: formato JSON estándar con todos los datos de la cuenta, que el Cliente descarga en cualquier momento desde la propia plataforma (Configuración → Exportar todos los datos), también con la cuenta suspendida; los documentos y fotos adjuntos se entregan, si el Cliente lo pide, en un archivo comprimido por un enlace de descarga temporal. Plazo de disponibilidad tras la baja: 30 días naturales desde el fin de la suscripción, durante los cuales la cuenta sigue accesible para exportar. Supresión de sistemas activos: al terminar ese plazo, en un máximo de 7 días. Ciclo máximo de eliminación de copias de seguridad: 30 días desde la supresión de los sistemas activos.

Opción por defecto si el Cliente no comunica otra instrucción antes de que terminen los 30 días desde la baja: supresión, tras haber tenido los datos disponibles para su devolución durante ese plazo. Aviso previo al cierre de acceso: por correo a los usuarios de gerencia al producirse la baja y 7 días antes de la supresión. Retenciones legales específicas: ninguna sobre los datos del Cliente; el Proveedor conserva, como responsable independiente, las facturas que él mismo emite al Cliente por el servicio (legislación fiscal y mercantil, plazos de prescripción aplicables).

Contactos y asistencia

Administradores del Cliente autorizados para impartir instrucciones: los usuarios con rol de propietario o administrador (gerencia) de la cuenta. Contacto del Cliente para derechos e incidentes: el correo de esos usuarios de gerencia, salvo que el Cliente indique otro. Contacto operativo del Proveedor: Arturo Blanco Erquicia, arturo@arturoblancopan.com, +34 652 222 410; para incidentes, primero el teléfono y después el correo.

Funciones para exportar, rectificar, limitar acceso y suprimir: exportación íntegra en JSON; edición y desactivación de registros en cada módulo; gestión del equipo (invitar, cambiar el rol, limitar módulos por perfil y quitar a una persona, lo que cierra sus sesiones); cancelación de la suscripción desde la propia plataforma. Procedimiento para solicitudes que requieren soporte y asistencia en evaluaciones de impacto: correo a arturo@arturoblancopan.com desde un usuario de gerencia; respuesta en un día laborable.

Anexo II. Medidas de seguridad

Fecha y versión de estas medidas: 1.0, 28 de septiembre de 2026.

Acceso y separación de clientes

Cada persona accede con su propio usuario, con verificación de correo y contraseña de al menos 12 caracteres; la plataforma ofrece doble factor (TOTP) y llaves de acceso (passkeys) a todos los usuarios. Permisos por rol (propietario, administrador, miembro) y por perfil de trabajo, que limita los módulos que cada persona abre; la comprobación se hace en el servidor en cada página y en cada acción, no solo en la pantalla. Al quitar a una persona del equipo se cierran sus sesiones. Cada cliente opera en un espacio aislado con doble barrera: filtro por cliente en cada consulta y seguridad a nivel de fila forzada en la base de datos (todas las tablas con datos de cliente), con la aplicación conectada con un rol que no puede saltarse esa seguridad. El aislamiento se comprueba con tests automáticos en cada cambio y con una sonda que ataca la plataforma desplegada con datos de otros clientes.

Cifrado y secretos

Comunicaciones cifradas (HTTPS/TLS) entre el navegador y la plataforma y entre la plataforma y la base de datos (TLS con verificación del certificado). Datos almacenados cifrados en reposo por el proveedor de base de datos y de almacenamiento de fotos. Copias de seguridad fuera del proveedor de base de datos cifradas con clave pública antes de salir del sistema de origen; la clave privada la custodia exclusivamente el Proveedor. Las credenciales se guardan como variables cifradas del alojamiento, nunca en el código; las marcadas como sensibles no se pueden leer después de guardarlas. Se registra la fecha de caducidad de cada credencial y se avisa antes de que caduque. Las contraseñas de usuario se guardan con hash; la plataforma nunca ve ni guarda tarjetas de pago (las gestiona Stripe).

Registros y soporte

Toda acción de escritura en la plataforma deja un asiento en un registro de actividad de solo añadir (quién, qué, cuándo, sobre qué registro, antes y después), que se conserva mientras la cuenta esté activa y se suprime con ella. El alojamiento guarda registros técnicos de retención limitada. Todo acceso del Proveedor a datos reales de un Cliente fuera de la aplicación (acceso directo a la base de datos para soporte o mantenimiento) se hace con una herramienta que lo registra antes de conceder el acceso: fecha y hora, persona, motivo y cuenta afectada; el Cliente puede consultar los accesos a su cuenta desde la propia plataforma . Las solicitudes de soporte se atienden por correo y no se piden datos personales que no sean necesarios para resolverlas.

Disponibilidad y recuperación

Copia diaria de la base de datos de producción en dos ubicaciones independientes (el sistema de integración continua del Proveedor y el equipo del Proveedor, con copia en su nube personal cifrada de extremo a extremo), además del historial de recuperación del propio proveedor de base de datos y de una rama de respaldo antes de cada cambio de estructura. Simulacros periódicos de restauración que comprueban que la copia restaura entera. Entorno de desarrollo y pruebas separado de producción, sin datos reales. No se pactan objetivos de recuperación garantizados; como referencia, la pérdida máxima de datos es de 24 horas.

Desarrollo y vulnerabilidades

Todo cambio pasa por revisión y por una batería de pruebas automáticas (tipos, estilo, tests de base de datos, aislamiento entre clientes y pruebas de extremo a extremo en navegador) antes de llegar a producción; un cambio con cualquier prueba en rojo no se despliega. Los cambios de estructura de la base de datos siguen un procedimiento con ensayo previo, respaldo y cotejo. Dependencias actualizadas; producción y pruebas separadas; en desarrollo se usan datos ficticios o de cuentas de prueba.

Organización y proveedores

El Proveedor es un profesional autónomo que presta el servicio personalmente y es el único con acceso a los sistemas; está sujeto al deber de confidencialidad de este contrato. No hay otro personal con acceso. Los subencargados se eligen entre proveedores con garantías del artículo 28 del RGPD y contrato de encargo propio (anexo III). La protección física de los servidores la aportan los centros de datos de los subencargados.

Incidentes y eliminación

Vigilancia automática diaria de la plataforma (disponibilidad, copias, integridad del esquema, caducidad de credenciales) con aviso al Proveedor. Ante un incidente: contención, conservación de evidencias (registro de actividad y registros técnicos), aviso al Cliente según la cláusula 8 y registro del incidente. La supresión de una cuenta se hace con una herramienta que borra todos sus datos de todas las tablas, incluida su identidad en el sistema de acceso, en una sola operación; las copias de seguridad desaparecen al cumplirse su ciclo. El Proveedor confirma la supresión por escrito al Cliente.

Revisión y evidencia

Revisión automática diaria (vigilancia) y semanal (chequeos de salud y cuadre de datos) y revisión de seguridad completa antes de cada cambio relevante. El Cliente puede pedir las evidencias de estas revisiones que le afecten. No hay certificaciones propias; las certificaciones de seguridad de los subencargados están en su documentación pública.

Responsable de la validación de estas medidas por el Proveedor: Arturo Blanco Erquicia, titular. Obligaciones de configuración del Cliente: activar el doble factor para los usuarios de gerencia (recomendado), dar a cada persona solo los módulos que necesita y quitar del equipo a quien deje de trabajar con él.

Anexo III. Subencargados y localizaciones

Todos los subencargados con sede en Estados Unidos están adheridos al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework, decisión de adecuación de la Comisión Europea de 10 de julio de 2023), que es el mecanismo que ampara las transferencias. Fecha de autorización de todos ellos: 28 de septiembre de 2026.

Tratamiento directo por el Proveedor: desde España, donde el Proveedor administra la plataforma y accede a los datos para soporte y mantenimiento con el registro del anexo II.

Actualizaciones y documentación: siete subencargados. La lista actualizada se publica en https://app.arturoblancopan.com/legal/dpa. Los cambios se avisan individualmente por correo a los usuarios de gerencia de cada Cliente, con la antelación de la cláusula 9, y la plataforma pide aceptar la versión nueva. Se conservan las versiones históricas.

Aprobación de los anexos I a III: con la aceptación del contrato, en la versión 1.0.

Versión 1.0. Última actualización: 28 de septiembre de 2026.