Acuerdo de Encargo del Tratamiento

1. Partes y alcance

Este Acuerdo de Encargo del Tratamiento ("DPA") forma parte de los Términos de HOSTELELLA y regula el tratamiento de datos personales que HERMANOS VARELA LUIS SL ("HOSTELELLA") realiza por cuenta del Cliente cuando presta el Servicio.

La aceptación de los Términos o del flujo legal de HOSTELELLA implica la aceptación de este DPA por el Cliente cuando la realiza una persona con autoridad suficiente para vincularlo. Los Usuarios sin dicha autoridad aceptan sus obligaciones de uso, confidencialidad, seguridad y cumplimiento en la máxima medida permitida por la ley, sin sustituir la responsabilidad del Cliente como Responsable del tratamiento.

2. Roles

Para los datos personales contenidos en documentos, registros, mensajes, datos de personal/turnos o información de negocio cargada o configurada por el Cliente, el Cliente actúa como Responsable del tratamiento y HOSTELELLA como Encargado del tratamiento. HOSTELELLA actúa como Responsable independiente para cuentas, seguridad, pruebas, suscripciones, facturación, pagos, prevención de fraude, soporte y comunicaciones del Servicio. Los datos tratados por Stripe para cobrar a HOSTELELLA o al Cliente no se convierten por ese solo hecho en Datos del Cliente sujetos a este DPA; los roles de Stripe dependen de la actividad concreta y se describen en la Política de Privacidad y el Anexo de Subencargados.

Asistencia de Ella. Ella, la asistente con IA del Servicio, puede escribir primero a cada persona usuaria autorizada del Cliente dentro de la App. En ese tratamiento concurren dos roles, que HOSTELELLA mantiene separados:

• Como Encargado, dentro de este DPA: mostrar a cada persona usuaria los datos del propio negocio a los que ya accede por su rol (por ejemplo, el resultado de un documento, las ventas de la semana o sus próximos turnos), lo que incluye buscar entre esos datos lo que puede serle útil (un documento leído, un proveedor al que le falta el correo, sus próximos turnos o los totales de la semana), enviando al proveedor de IA únicamente el expediente mínimo necesario para redactar el mensaje. Antes de activar la asistencia, personal autorizado de HOSTELELLA puede revisar, sin identificadores y durante un máximo de treinta (30) días, los textos preparados en modo de prueba para controlar su calidad. Es parte de la prestación del Servicio al Cliente, también cuando el mensaje llega por correo porque esa persona ha activado las guías y resúmenes de Ella.
• Como Responsable independiente, fuera de este DPA: decidir si se contacta a la persona, cuándo y por qué canal; registrar los contactos y su resultado; mantener su estado y su memoria de relación; y, solo respecto de quien gestiona el plan, sugerir el plan que encaja. Para estos fines HOSTELELLA utiliza exclusivamente datos de los que es responsable: cuenta, rol, eventos de uso del Servicio (qué acción se hizo y cuándo, sin el contenido del registro), plan y estado de la prueba o suscripción.

HOSTELELLA no entrega al Cliente información sobre cómo usa la App cada persona de su equipo, ni su memoria de relación ni su registro de contactos, y no utiliza los datos de registro de jornada, turnos o ausencias para evaluar el rendimiento o el comportamiento laboral de las personas trabajadoras. La asistencia de Ella a una persona trabajadora se limita a lo suyo y nunca incluye contenido comercial.

Marketing propio de HOSTELELLA. Cuando HOSTELELLA escribe a una persona usuaria sobre su propio producto —novedades, consejos, ofertas, o las sugerencias de plan de Ella— actúa como Responsable independiente y fuera del ámbito de este DPA: con el consentimiento de esa persona en el correo electrónico y, en las sugerencias de plan dentro de la App, sobre la base de su interés legítimo y con derecho de oposición. Esa actividad nunca se alimenta de los Datos del Cliente: ni de los documentos, ni del equipo dado de alta, ni de turnos, fichajes, proveedores, productos o importes. Las sugerencias de plan se apoyan solo en el plan, el estado de la prueba o suscripción y medidas de uso del Servicio, y se dirigen únicamente a quien gestiona el plan. Los correos opcionales solo se envían a quien los ha activado en su centro de preferencias.

Correos que el Cliente envía desde la plataforma. Los pedidos y reclamaciones que el Cliente dirige a sus proveedores a través del Servicio se tratan por cuenta del Cliente y bajo su instrucción. El Cliente es el remitente material y el responsable de la licitud de esos envíos frente a sus destinatarios; HOSTELELLA no los convierte en comunicaciones propias ni los usa para ninguna finalidad comercial.

3. Objeto, duración y naturaleza del tratamiento

4. Categorías de interesados y datos

5. Instrucciones del Cliente

HOSTELELLA tratará datos personales únicamente conforme a: (i) los Términos y este DPA, (ii) la configuración y acciones del Cliente, (iii) instrucciones documentadas razonables, también respecto de las transferencias internacionales, y (iv) obligaciones legales del Derecho de la Unión o de un Estado miembro; en este último caso, HOSTELELLA informará al Cliente de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba por razones de interés público. HOSTELELLA informará de inmediato al Cliente si considera que una instrucción infringe la normativa de protección de datos.

Las instrucciones deben constar por escrito o por medios verificables, incluyendo configuración del Servicio, tickets de soporte, órdenes de pedido, contratos o comunicaciones desde un administrador autorizado. HOSTELELLA podrá rechazar instrucciones no razonables, inseguras, ilícitas, incompatibles con la arquitectura del Servicio o que comprometan a otros clientes.

5.1 Instrucciones adicionales: aprendizaje protegido (no disponible)

HOSTELELLA está diseñando una función de aprendizaje protegido por la que el Cliente podría instruir que señales agregadas sobre la calidad de lectura de sus documentos contribuyan a mejorar la precisión del Servicio para todos los negocios. Esta función no está disponible y no puede activarse bajo este DPA en su versión actual. Mientras no lo esté, ningún dato del Cliente sale de su perímetro hacia un aprendizaje compartido.

Cuando llegue a ofrecerse, se regirá por estas condiciones, que se incorporarán a este DPA en su versión correspondiente:

• constituirá una instrucción adicional y específica del Cliente, otorgada por la persona con rol de propietario del negocio, nunca una autorización implícita del contrato;
• será prospectiva: solo alcanzará a los eventos posteriores a la instrucción, jamás al histórico;
• será revocable en cualquier momento y con efecto inmediato sobre las contribuciones futuras;
• de los Datos del Cliente no saldrán documentos, textos, nombres, NIF, proveedores, productos ni importes, sino únicamente señales agregadas en cohortes de tamaño mínimo y con retardo de publicación;
• HOSTELELLA no publicará ningún resultado agregado sin superar los umbrales mínimos de negocios y muestras definidos en su evaluación de impacto;
• la instrucción del Cliente no sustituye la base jurídica que el propio Cliente deba tener frente a las personas cuyos datos aparezcan en sus documentos, ni corrige una base inválida;
• si un resultado derivado siguiera siendo atribuible a un Cliente concreto, se eliminará o reconstruirá al revocarse la instrucción; los agregados de los que se haya demostrado que son verdaderamente anónimos no son atribuibles ni reversibles individualmente, y así se advertirá antes de solicitar la instrucción.

6. Obligaciones del Cliente

• Disponer de base jurídica y cumplir los deberes de información respecto de empleados, personas trabajadoras, clientes, proveedores y terceros.
• Cumplir la normativa laboral aplicable a la planificación de turnos (jornada, descansos, trabajo nocturno, protección de menores) y, cuando exista representación legal de las personas trabajadoras, informarla de los parámetros, reglas e instrucciones de los sistemas algorítmicos o de IA que afecten a las condiciones de trabajo (art. 64.4.d del Estatuto de los Trabajadores).
• No cargar datos innecesarios, ilícitos, excesivos o especialmente sensibles sin base legal y salvaguardas.
• Configurar roles, permisos y accesos conforme al principio de mínimo privilegio. En particular, respecto del registro diario de jornada (art. 34.9 ET): el Cliente es responsable de a quién concede permisos de gerente, administrador o propietario, que conllevan ver y corregir los fichajes de las personas de rango inferior; de mantener la confidencialidad del registro frente al resto de la plantilla; y de decidir si comparte con el equipo la presencia («quién está trabajando ahora») que el Servicio ofrece como función opcional sin horas ni desviaciones.
• Restringir o no activar cualquier función que no pueda utilizar lícitamente en su país, sector, convenio o centro de trabajo. La disponibilidad técnica de una función no constituye asesoramiento ni autorización legal.
• Organizar y documentar el registro de jornada conforme a la norma laboral (negociación colectiva, acuerdo de empresa o decisión empresarial previa consulta a la representación legal), informar a su plantilla de su existencia y finalidad, incluirlo en su registro de actividades de tratamiento y, si activa la verificación de ubicación, cumplir el deber de información del art. 90 LOPDGDD y documentar su proporcionalidad.
• Aplicar la revisión humana exigida a las propuestas generadas por IA antes de su publicación o aplicación, y no usarlas como única base de decisiones con efecto significativo sobre las personas.
• Informar a su plantilla de que el Servicio incluye una asistente con IA (Ella) que puede dirigirle mensajes dentro de la App sobre su propia operativa, y no utilizar esa asistencia para supervisar o evaluar a las personas trabajadoras.
• Atender derechos de interesados cuando HOSTELELLA actúe como encargado.
• Mantener copias o exportaciones propias cuando la normativa o el riesgo operativo lo requiera.

7. Personal autorizado y confidencialidad

HOSTELELLA limitará el acceso a personal autorizado que necesite tratar datos para prestar o proteger el Servicio. Dicho personal estará sujeto a obligaciones de confidencialidad contractuales o legales. El acceso para soporte, seguridad, continuidad, cumplimiento o investigación de incidentes estará sujeto a mínimo privilegio, necesidad de conocer y trazabilidad proporcional al riesgo; no se permite acceso comercial indiscriminado.

8. Medidas de seguridad

HOSTELELLA aplicará medidas técnicas y organizativas apropiadas al riesgo, incluyendo control de acceso, mínimo privilegio, cifrado en tránsito, gestión de secretos, registros de actividad, monitorización, copias de seguridad, continuidad, segregación lógica y proceso de respuesta a incidentes. La Política de Seguridad describe las medidas principales y se incorpora por referencia.

Las medidas podrán evolucionar para mejorar seguridad, cumplimiento o resiliencia, siempre manteniendo un nivel de protección no materialmente inferior para los datos tratados como encargado.

9. Tratamientos automatizados e inteligencia artificial

Cuando el Cliente habilite funciones de IA (p. ej., extracción documental, asistente o generación asistida de turnos), HOSTELELLA tratará los datos por cuenta del Cliente y conforme a estas garantías:

• Apoyo a la decisión con revisión humana: las funciones de IA son herramientas de asistencia; las propuestas de turnos requieren aprobación de una persona con rol de gerente o superior. No se adoptan decisiones exclusivamente automatizadas con efectos jurídicos o significativos en el sentido del art. 22 RGPD.
• Minimización y pseudonimización: antes de enviar información a proveedores de IA se excluyen datos no necesarios y, cuando es posible, se pseudonimiza (p. ej., el generador de turnos opera con iniciales y datos operativos, no con nombres completos; no se transmite el motivo/tipo de las ausencias).
• No entrenamiento: HOSTELELLA no utiliza Datos del Cliente para entrenar modelos propios o de terceros, salvo autorización expresa o contrato específico. Los subencargados de IA están sujetos contractualmente a controles de no entrenamiento sobre datos comerciales.
• Asistencia proactiva de Ella: el expediente que recibe el modelo se proyecta según el rol de la persona destinataria (una persona trabajadora nunca recibe importes, agregados del negocio ni datos de otras personas; un gerente, sin cifras globales ni otras personas); el modelo no ejecuta acciones, solo propone un mensaje que el código valida antes de entregarlo; las cifras y los nombres se insertan desde los datos reales y no los escribe el modelo; y este tratamiento utiliza un despliegue de Azure OpenAI en la zona de datos de la UE.
• Transparencia (art. 50 del Reglamento (UE) 2024/1689): Ella se identifica como sistema de IA en su primer mensaje a cada persona, en la cabecera permanente de su conversación y en el remitente y la firma de sus correos.
• Marco de IA (UE 2024/1689): HOSTELELLA puede ser proveedor o proveedor posterior del sistema integrado y el Cliente responsable del despliegue; cada parte conserva sus obligaciones imperativas. Ambas adoptarán medidas para apoyar la alfabetización en IA de su personal y de quienes operen el sistema por su cuenta (art. 4). El Cliente clasificará y documentará el uso laboral, seguirá las instrucciones, garantizará supervisión humana competente y con autoridad, informará previamente a trabajadores y representación cuando proceda, conservará los registros bajo su control y notificará incidentes graves a HOSTELELLA.

10. Subencargados

El Cliente autoriza a HOSTELELLA a utilizar subencargados para prestar el Servicio, siempre que, mediante contrato u otro acto jurídico, queden sujetos a las mismas obligaciones de protección de datos que establece este DPA, con garantías suficientes de medidas técnicas y organizativas apropiadas (art. 28.4 RGPD). La lista principal se mantiene en el Anexo de Subencargados, que incluye, entre otros, los proveedores de IA utilizados cuando las funciones correspondientes están habilitadas.

HOSTELELLA notificará cambios materiales en subencargados con al menos treinta (30) días de antelación cuando sea razonablemente posible. En cambios urgentes por seguridad, continuidad o sustitución de proveedor, la notificación podrá realizarse tan pronto como sea viable. El Cliente podrá oponerse por motivos fundados de protección de datos dentro de los diez (10) días hábiles siguientes a la notificación; si la objeción impide prestar el Servicio, las partes colaborarán para buscar una alternativa razonable o terminar el servicio afectado. HOSTELELLA seguirá siendo responsable frente al Cliente por el cumplimiento de las obligaciones de los subencargados conforme al RGPD.

11. Transferencias internacionales

Cuando exista transferencia internacional fuera del EEE, HOSTELELLA aplicará un mecanismo válido conforme a los artículos 44 a 49 RGPD, incluyendo decisiones de adecuación, Cláusulas Contractuales Tipo, el EU-US Data Privacy Framework cuando sea aplicable y medidas complementarias cuando proceda. Para transferencias encargado-subencargado se aplicará el módulo correspondiente de SCC u otro mecanismo válido. Determinados proveedores de IA y comunicaciones están ubicados en Estados Unidos. HOSTELELLA verificará la certificación de adecuación cuando se invoque, formalizará el módulo aplicable de la Decisión (UE) 2021/914 cuando corresponda y documentará la evaluación de transferencia y medidas complementarias necesarias. El Cliente puede solicitar información sobre las garantías aplicables.

12. Asistencia al Cliente

Teniendo en cuenta la naturaleza del tratamiento, HOSTELELLA asistirá razonablemente al Cliente en:

• ejercicio de derechos de interesados;
• seguridad del tratamiento y brechas de datos personales;
• evaluaciones de impacto y consultas previas cuando sean necesarias, incluida la geolocalización/control laboral o el uso de IA en el ámbito laboral cuando puedan entrañar alto riesgo;
• eliminación, exportación o devolución razonable de datos.

13. Brechas de datos personales

HOSTELELLA notificará al Cliente sin dilación indebida tras tener conocimiento de una brecha de datos personales que afecte a datos tratados como encargado. HOSTELELLA tendrá como objetivo realizar una notificación inicial dentro de las cuarenta y ocho (48) horas cuando sea razonablemente posible. La notificación incluirá la información disponible razonablemente y podrá completarse por fases.

14. Eliminación y devolución

Al finalizar la prestación, a elección del Cliente, HOSTELELLA devolverá los datos tratados como encargado y eliminará las copias restantes, o los eliminará directamente, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos. Los registros que HOSTELELLA deba conservar como responsable independiente para facturación, seguridad, fraude o defensa se separarán, minimizarán y bloquearán para esos únicos fines: no prorrogan el encargo ni autorizan conservar el contenido del Cliente. Las copias de seguridad se suprimirán conforme a su ciclo técnico, hoy a los siete (7) días y en ningún caso después de noventa (90); mientras tanto quedarán aisladas y no se restaurarán salvo continuidad o incidente.

15. Auditorías

HOSTELELLA pondrá a disposición información razonable para demostrar el cumplimiento de este DPA. Las auditorías directas deberán solicitarse con antelación razonable, limitarse a lo necesario, no comprometer seguridad o confidencialidad de otros clientes y podrán estar sujetas a costes razonables cuando sean extraordinarias o reiterativas, nunca de forma que impida ejercer el derecho del artículo 28.3.h RGPD. Salvo incidente relevante o exigencia de autoridad, no se realizará más de una auditoría directa por año natural.

16. Responsabilidad

La responsabilidad derivada de este DPA se rige por los límites de responsabilidad de los Términos, salvo que la ley aplicable imponga otro régimen. El Cliente responde por las instrucciones, datos y bases jurídicas que determine como Responsable, así como por el cumplimiento de la normativa laboral y de las obligaciones de información derivadas del uso de funciones de IA en el ámbito laboral.