Acuerdo de tratamiento (artículo 28 RGPD)

1. Objeto, naturaleza y duración

Recogida, registro, organización, consulta, extracción, análisis, comunicación autorizada, conservación y borrado para módulos activos: personal, turnos, fichajes, APPCC, stock, producción, documentos, ventas, eventos y comunicación. Dura el servicio y las operaciones pactadas de devolución/eliminación.

2. Personas y datos

Personal, colaboradores, administradores, contactos de proveedores/clientes y personas en archivos. Identidad, contactos, contrato/salario, identificadores sociales en documentos, turnos, fichajes, ausencias, fotos, firmas, ubicación enviada en funciones activas, mensajes, archivos y metadatos. Documentos médicos pueden ser del artículo 9: minimizar, identificar condición válida y dar instrucciones específicas.

3. Instrucciones y licitud

Solo instrucciones documentadas, incluidas transferencias, salvo obligación legal; informar antes salvo prohibición. Incluyen contrato, ajustes y solicitudes autorizadas. Informar inmediatamente de instrucciones consideradas ilícitas y pedir aclaración. Los fines propios del proveedor, como facturación, se separan en privacidad.

4. Confidencialidad y seguridad

Confidencialidad de personas autorizadas y medidas proporcionales del artículo 32: acceso por organización/centro, autenticación, transmisión protegida, incidentes, continuidad y revisión. Infraestructura y backups deben describirse en anexos, no presumirse. Algunas imágenes compartidas son accesibles por URL: limitar publicación confidencial.

5. Proveedores y autorización

Lista en /legal/privacy y /legal/mentions-legales: Supabase, Vercel, Google Firebase, Resend, Google Gemini, OpenAI, Google Maps Platform, Gurtam UAB (flespi) para el módulo Flota; Stripe gestiona pagos con posibles fines propios. No todos son subencargados de cada actividad. Identificar aplicables y autorización específica/general en contrato.

Avisar de altas/sustituciones con tiempo para objeción motivada; acordar solución, alternativa o cese del tratamiento afectado. Imponer deberes equivalentes por escrito y seguir responsable ante el cliente. No se afirma revisión realizada de todos los acuerdos.

6. Transferencias e IA

Garantías válidas del capítulo V para transferencias RGPD; documentar países, mecanismos y medidas reales. Alojamiento europeo no excluye transferencias.

La IA puede enviar texto, contexto autorizado, contratos, imágenes y audio a Google Gemini/OpenAI, en flujos automáticos activos también. Evaluar necesidad, categorías e instrucciones; no presumir autorización ilimitada de datos especiales. Decisiones importantes con revisión humana.

7. Derechos

Asistir con medidas técnicas/organizativas en artículos 15–22 según naturaleza del tratamiento. Trasladar solicitudes al cliente sin decidir por cuenta propia bases de conservación. Export personal no garantiza por sí solo todos los archivos o registros asociados.

8. Incidentes, evaluaciones y consulta

Notificar brechas sin demora indebida tras conocimiento, aportando progresivamente naturaleza, categorías, impacto, contacto y medidas. Asistir en artículos 32–36, evaluación de impacto y consulta previa según información disponible. Las 72 horas del artículo 33 son del responsable ante autoridad, no espera permitida al encargado.

9. Devolución, borrado y conservación

La solicitud no activa borrado automático de todas las copias en servicios de IA o notificaciones. Los datos ya transmitidos requieren verificar condiciones, plazos y procedimientos del destinatario, y solicitudes adicionales cuando proceda.

Al terminar devolver o borrar a elección del cliente y borrar copias salvo deber legal, documentando métodos, plazos y ciclos de backups. Acceso residual limitado. Anonimizar perfil no borra nombres en mensajes/archivos: comprobar irreversibilidad y residuos. Los plazos del cliente siguen la ley.

10. Información y auditorías

Aportar información del artículo 28 y permitir/contribuir a auditorías e inspecciones del cliente o auditor, con medidas proporcionales para otros clientes. Límites organizativos no pueden vaciar derechos legales.

11. Contacto y completar

Solicitudes/instrucciones: admin@mtdigitalservices.net. Completar identidad/contacto, módulos, categorías especiales admitidas, duración, medidas, subencargados y mecanismos. El cliente mantiene deberes de información, bases y trabajo; el proveedor sus deberes RGPD.