Contrato de encargo del tratamiento
Last updated: 29 July 2026encargado-es-2026-08-25-v125 de agosto de 2026
These legal documents are published in Spanish, which is the binding version. If you need a translation before signing anything, ask us and we'll provide one.
Modelo del contrato previsto en el artículo 28 del Reglamento (UE) 2016/679, que regula el tratamiento de datos personales que Dovitec Systems, S.L. realiza por cuenta de cada establecimiento usuario de Brío. Se suscribe junto con las condiciones de contratación del servicio y forma parte inseparable de ellas.
1.Partes y objeto
Es RESPONSABLE del tratamiento el establecimiento o el organizador del evento que contrata el servicio. Es ENCARGADO del tratamiento Dovitec Systems, S.L., con NIF B88910666 y domicilio en Silveira 84, 36331 Vigo (Pontevedra).
El encargado tratará por cuenta del responsable los datos personales necesarios para prestar el servicio contratado, y únicamente para esa finalidad.
2.Descripción del tratamiento
| Concepto | Detalle |
|---|---|
| Objeto y naturaleza | Alojamiento y tratamiento de los datos generados por el uso de la aplicación: pedidos, cobros, preparación, terminal de venta, entradas, control de acceso, saldos, fidelización e informes. |
| Categorías de interesados | Clientela final del establecimiento y personal del establecimiento con acceso al sistema. |
| Categorías de datos | Datos identificativos y de contacto, datos de los pedidos y consumos, importes y método de pago (sin datos completos de tarjeta, que trata directamente la pasarela), saldos y bonos, entradas y accesos, valoraciones y, respecto del personal, credenciales, perfil de acceso y registros de jornada y de actividad. |
| Duración | La del contrato de prestación del servicio y, tras su terminación, el plazo de devolución o supresión previsto más abajo. |
3.Obligaciones del encargado
- Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales, e informarle si considera que una instrucción infringe la normativa de protección de datos.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad, con carácter indefinido.
- Aplicar las medidas técnicas y organizativas apropiadas conforme al artículo 32 del Reglamento, atendiendo al estado de la técnica y al riesgo del tratamiento.
- No subcontratar sin autorización previa. Se entienden autorizados los subencargados relacionados en el apartado siguiente; cualquier alta o baja se comunicará con antelación suficiente para que el responsable pueda oponerse.
- Asistir al responsable, en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
- Asistir al responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del Reglamento: seguridad, notificación de violaciones de seguridad y evaluaciones de impacto.
- Notificar al responsable, sin dilación indebida y en todo caso dentro de las cuarenta y ocho horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos, con la información necesaria para que pueda cumplir su deber de notificación.
- A elección del responsable, devolver o suprimir los datos al terminar la prestación, así como las copias existentes, salvo que deba conservarlos por obligación legal.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías, incluidas inspecciones, en los términos del apartado correspondiente.
- No aplicar ni utilizar los datos para fines distintos de los pactados, ni comunicarlos a terceros, ni siquiera para su conservación.
- Llevar registro de las categorías de tratamientos efectuados por cuenta del responsable.
4.Subencargados autorizados
El responsable autoriza expresamente la intervención de los siguientes subencargados, con los que el encargado mantiene contrato conforme al artículo 28.4 del Reglamento:
| Subencargado | Servicio | Ubicación y garantías |
|---|---|---|
| Cloudflare, Inc. | Resolución de nombres, red de distribución y túnel cifrado de acceso. | Estados Unidos. Cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU. |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos. Actúa además como responsable independiente respecto de los datos de pago que trata por obligación legal propia. | Irlanda, con tratamientos en Estados Unidos amparados por cláusulas contractuales tipo. |
| Resend, Inc. | Envío de correo electrónico transaccional: recibos, entradas y confirmaciones. | Estados Unidos. Cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU. |
| Alojamiento: España | Servidor de aplicación y base de datos. | Según la ubicación indicada. |
5.Obligaciones del responsable
- Entregar al encargado los datos necesarios para la prestación del servicio.
- Realizar el tratamiento con base jurídica válida e informar a los interesados en los términos de los artículos 13 y 14 del Reglamento.
- Realizar, cuando proceda, la evaluación de impacto relativa a la protección de datos.
- Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del Reglamento por parte del encargado.
- Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.
6.Auditorías
El responsable podrá auditar el cumplimiento de este contrato una vez al año, previa comunicación con quince días de antelación, en horario laboral y sin interrumpir la prestación del servicio. Los costes de la auditoría serán a su cargo, salvo que se constate un incumplimiento relevante del encargado.
El encargado podrá satisfacer estas solicitudes aportando certificaciones o informes de auditoría de tercero independiente que cubran el alcance solicitado.
7.Devolución o supresión
A la terminación del servicio, el encargado pondrá los datos a disposición del responsable en un formato estructurado y de uso común durante treinta días naturales. Transcurrido ese plazo, los suprimirá junto con las copias de seguridad, conforme a sus ciclos de rotación, y lo acreditará por escrito si se le solicita.
Podrá conservar, debidamente bloqueados, los datos estrictamente necesarios para atender responsabilidades legales, durante los plazos de prescripción aplicables.
8.Responsabilidad
Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el Reglamento le impone directamente, en los términos de su artículo 82.