Contrato de encargo del tratamiento de datos
Versión 2026-10. Entre el Cliente que acepta en la app ("Responsable") y Edwinmar Colina, que opera con el nombre comercial Loopwise ("Encargado"). Se acepta electrónicamente al dar de alta el restaurante; queda registrada la fecha, la persona y la versión.
Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y sirve también como contrato de tratamiento a efectos de otras leyes aplicables al Cliente (por ejemplo, LGPD de Brasil, LFPDPPP de México, Ley 1581 de Colombia, Ley 25.326 de Argentina, Ley 29733 de Perú, Ley 81 de Panamá, UK GDPR).
0. En resumen
- El restaurante (Responsable) es el dueño de los datos y decide qué se hace con ellos. Responde de su uso ante su personal y las autoridades.
- Loopwise (Encargado) solo los guarda por cuenta del restaurante para que la app funcione. No los usa para fines propios, no los vende ni cede, no entrena IA con ellos y no accede a ellos salvo para soporte pedido por el restaurante o por obligación legal.
1. Objeto y duración
El Encargado trata datos personales por cuenta del Responsable solo para prestar Yield, mientras dure el servicio y, después, solo para devolverlos o borrarlos según el punto 10.
2. Datos y personas afectadas
| Personas | Datos | Para qué |
|---|---|---|
| Responsables con cuenta (dueño, chef, jefe de bar) | Email, nombre visible, rol | Acceso y avisos |
| Personal sin cuenta | Nombre de pila, PIN cifrado, horas de entrada y salida (plan Pro), autoría de registros (temperaturas, lotes, checklist) | Registro de jornada y autocontrol de higiene |
| Proveedores | Datos que aparecen en facturas y tiques | Control de compras |
No se tratan categorías especiales de datos ni datos biométricos.
3. Instrucciones
El Encargado trata los datos solo siguiendo las instrucciones documentadas del Responsable y nunca para fines propios, que son estas condiciones y el uso que el Responsable haga de la app. Si una instrucción le parece ilegal, lo avisará.
4. Confidencialidad
Las personas que acceden a los datos en nombre del Encargado están obligadas a confidencialidad.
5. Seguridad
- Cifrado en tránsito (HTTPS) y en reposo en el proveedor de base de datos.
- Separación por restaurante y por rol a nivel de base de datos (cada consulta comprueba a qué restaurante y rol pertenece quien la hace).
- PIN guardado con cifrado de un solo sentido; bloqueo tras 5 intentos fallidos.
- Registros que no se pueden editar (APPCC) o que solo se corrigen con motivo y queda constancia (jornada).
- Registro de auditoría de altas, cambios, bajas y consultas de la inspección.
- Copias de seguridad diarias del proveedor de base de datos.
6. Subencargados
El Responsable autoriza a estos subencargados:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Supabase Inc. | Base de datos, acceso y archivos | Unión Europea |
| Cloudflare Inc. | Publicación de la app | Red global |
| Anthropic PBC | Lectura de facturas y tiques con IA | EE. UU. (con cláusulas contractuales tipo / mecanismo de transferencia válido) |
El Encargado avisará en la app con 30 días de antelación antes de añadir o cambiar un subencargado; el Responsable puede oponerse y cancelar sin coste.
7. Transferencias internacionales
Los datos se alojan en la UE. Cuando un subencargado los trate fuera, se usará un mecanismo válido (decisión de adecuación o cláusulas contractuales tipo). Para Clientes fuera de la UE, el alojamiento en la UE se considera una transferencia a un país con protección adecuada según su ley o se cubre con las cláusulas de este contrato.
8. Derechos de las personas
La app permite al Responsable exportar todos los datos de una persona, corregirlos y darla de baja. El Encargado ayudará al Responsable a responder las solicitudes que reciba.
9. Brechas de seguridad
El Encargado avisará al Responsable sin demora indebida y como máximo en 48 horas desde que conozca una brecha que afecte a sus datos, con la información disponible para que el Responsable pueda notificar a la autoridad en plazo (72 horas en la UE).
10. Fin del contrato
Al terminar el servicio, el Responsable dispone de 30 días para exportar los datos. Después el Encargado los borra, salvo los que la ley obligue a conservar (por ejemplo, el registro de jornada durante el plazo legal del país del restaurante), que se guardan bloqueados, solo para ese fin, y se borran al vencer el plazo.
11. Auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables con aviso previo.
12. Responsabilidad y ley aplicable
Se aplican la limitación de responsabilidad y la ley de las Condiciones de uso, sin perjuicio de las normas imperativas de protección de datos.
Versión 2026-10 · huella sha256 c1601d25e24a100dc49ee1f28868df6ab372de5f68c77d55b8c54329ba66a004