Este contrato regula el tratamiento de datos personales que Noddal SL, con NIF C-5737378 y domicilio en Calle Franco 56, 28770 Colmenar Viejo (Madrid) («Noddal» o el «Encargado») realiza por cuenta de cada empresa que contrata Noddal (el «Cliente» o el «Responsable»), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD.
Forma parte de los Términos y condiciones y se entiende aceptado con ellos. Si el Cliente ha firmado otro contrato de encargo con Noddal, prevalece ese.
1. Objeto
Noddal tratará los datos personales que el Cliente introduzca o genere en el servicio solo para prestárselo. Los datos afectados, las personas a las que se refieren y las operaciones de tratamiento se describen en el Anexo I.
2. Duración
Este contrato dura lo mismo que la relación del Cliente con Noddal y, después, el tiempo necesario para devolver o suprimir los datos según el apartado 11.
3. Instrucciones del Cliente
- Noddal tratará los datos solo siguiendo las instrucciones documentadas del Cliente. Son instrucciones estos Términos, la configuración que el Cliente hace en el servicio (módulos, permisos, ubicación en el fichaje, envío de avisos) y las que nos dé por escrito.
- El Cliente encarga también a Noddal tratar los datos para mantener, proteger y mejorar el servicio (seguridad, copias, detección de errores y analítica de uso), sin cederlos a terceros.
- Si, a juicio de Noddal, una instrucción infringe la normativa de protección de datos, se lo dirá de inmediato al Cliente.
- Noddal no usará los datos para fines propios, salvo que una ley lo exija; en ese caso, informará al Cliente antes, salvo que la ley lo prohíba.
4. Confidencialidad
Las personas de Noddal autorizadas a tratar los datos se han comprometido a guardar confidencialidad o están obligadas por ley. Su acceso se limita a lo necesario para prestar el servicio, dar soporte o garantizar la seguridad, y queda registrado.
5. Seguridad
Noddal aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo, y las revisa periódicamente. Puede mejorarlas siempre que no rebaje el nivel de protección.
6. Subencargados
- El Cliente autoriza de forma general a Noddal a recurrir a los subencargados del Anexo III.
- Noddal avisará de cualquier alta o sustitución de un subencargado con al menos treinta (30) días de antelación, por correo electrónico o dentro del servicio. El Cliente podrá oponerse por motivos razonables escribiendo a hola@noddal.com; si no se encuentra una solución, podrá cancelar sin penalización.
- Noddal impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos y responderá ante el Cliente de su cumplimiento.
7. Transferencias internacionales
Cuando un subencargado trate datos fuera del Espacio Económico Europeo, Noddal se asegurará de que existe una decisión de adecuación o garantías adecuadas, como las cláusulas contractuales tipo de la Comisión Europea.
8. Derechos de las personas
Si una persona pide a Noddal ejercer sus derechos sobre datos que tratamos por cuenta del Cliente, se lo trasladaremos al Cliente en un plazo máximo de cinco (5) días hábiles y no responderemos directamente salvo que el Cliente nos lo pida. Noddal ayudará al Cliente, en lo que el servicio permita, a atender esas solicitudes (por ejemplo, con las exportaciones de cada módulo).
9. Ayuda al Cliente
Noddal ayudará al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, a cumplir sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas a la autoridad de control.
10. Violaciones de seguridad
Noddal notificará al Cliente, sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad que afecte a sus datos, con la información disponible: su naturaleza, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Notificar a la autoridad de control y a los afectados corresponde al Cliente como responsable.
11. Fin del encargo
- Durante la relación, el Cliente puede exportar sus datos desde cada módulo.
- Al terminar, Noddal los mantendrá sesenta (60) días para que el Cliente pueda exportarlos o pedir su devolución. Pasado ese plazo, los suprimirá, incluidas las copias, salvo que el Cliente le pida por escrito que conserve bloqueados, a su disposición, los que él está obligado a guardar (por ejemplo, el registro de jornada durante cuatro años), o que deban conservarse bloqueados mientras puedan derivarse responsabilidades de la relación (artículo 33.3 de la LOPDGDD).
- Las copias de seguridad se eliminan conforme a su ciclo de rotación.
12. Información y auditorías
Noddal pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. El Cliente podrá realizar una auditoría, por sí o mediante un auditor sujeto a confidencialidad, avisando con treinta (30) días de antelación, como máximo una vez al año salvo que haya habido una violación de seguridad, y a su cargo.
13. Obligaciones del Cliente
- Tener una base jurídica para los datos que introduce y para cada uso que configura.
- Informar a sus empleados, comensales y proveedores del tratamiento y de que Noddal actúa como encargado.
- Si activa la ubicación en el fichaje, informar antes a sus trabajadores y respetar su normativa (artículo 90 de la LOPDGDD). El servicio recoge la autorización de cada trabajador con el texto que vio y le permite retirarla.
- Subir datos de salud (como justificantes médicos) solo cuando sea imprescindible, y nunca datos que no necesite.
- Configurar los roles y permisos de su equipo y revisarlos, y custodiar los códigos de verificación de los informes de jornada.
- Obtener el consentimiento de sus comensales antes de enviarles comunicaciones comerciales.
14. Responsabilidad y ley aplicable
Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD y a los límites de los Términos y condiciones, en lo que la ley permita. Este contrato se rige por la legislación española y por la normativa europea de protección de datos.
Anexo I. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Personas afectadas | Empleados y antiguos empleados del Cliente; comensales y clientes del Cliente; personas de contacto de sus proveedores; usuarios a los que el Cliente da acceso |
| Datos | Identificación y contacto (incluido DNI o NIE); datos laborales (puesto, centro, jornada, contratos y salario, nóminas y documentos); registro de jornada (fechas y horas, dirección IP, dispositivo y, si el Cliente la activa y el trabajador la autoriza, ubicación); ausencias; formación; reservas (fecha, personas, observaciones y preferencias de comunicación); datos de contacto de proveedores en albaranes, facturas y pedidos |
| Categorías especiales | Datos de salud que el Cliente decida incluir: justificantes médicos de ausencias y alergias o intolerancias que un comensal indique en su reserva |
| Operaciones | Recogida, registro, almacenamiento, consulta, organización, modificación, cálculo de informes, envío de avisos por correo en nombre del Cliente, exportación, bloqueo y supresión |
| Finalidad | Prestar el servicio Noddal al Cliente |
| Duración | La de la relación, más el plazo de devolución y supresión del apartado 11 |
Anexo II. Medidas de seguridad
- Separación entre empresas en la base de datos mediante políticas de seguridad a nivel de fila, y control de acceso por roles y permisos dentro de cada empresa.
- Cifrado de las comunicaciones (TLS) y cifrado en reposo del proveedor de infraestructura.
- Archivos en almacenamiento privado, accesibles solo con enlaces firmados de corta duración.
- Registros de jornada inmutables, con trazabilidad de correcciones, y registros de auditoría de las acciones relevantes.
- Informes oficiales sellados con huella SHA-256 y verificables.
- Acceso con contraseña o código de un solo uso, con límites de intentos.
- Acceso del personal de Noddal limitado a lo necesario y registrado.
- Copias de seguridad gestionadas por el proveedor de base de datos.
- Cabeceras de seguridad en la web y revisión automática de secretos en el código.
Anexo III. Subencargados
| Subencargado | Servicio | Ubicación y garantías |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de archivos | UE (Irlanda) |
| Vercel | Alojamiento de la aplicación | EE. UU. y otras regiones: Marco de Privacidad o cláusulas contractuales tipo |
| Google (Gemini API) | Lectura de documentos, carta desde fotos y asistente Noddal IA | Google Ireland / Google LLC: cláusulas contractuales tipo y Marco de Privacidad |
| Resend | Envío de correos en nombre del Cliente (reservas, avisos de RRHH, pedidos) | EE. UU.: Marco de Privacidad o cláusulas contractuales tipo |
| PostHog | Analítica de uso y errores de la aplicación (las grabaciones de sesión pueden recoger lo que se ve en pantalla) | UE |
| OpenStreetMap (Nominatim) | Situar en el mapa la dirección de un centro de trabajo | Reino Unido (decisión de adecuación) |
Las conexiones con el TPV u otras herramientas que el Cliente active se hacen por su decisión, y ese proveedor trata los datos según su propia relación con el Cliente.