Contrato de encargo de tratamiento
Versión 1.1 · 9 de octubre de 2026.
Entre el comercio que crea su cuenta en TiPiVi (el «Responsable del tratamiento», identificado en su alta) y Teodor Chavdarov Karadzhov, NIF X8562855R, que presta el servicio con el nombre comercial TiPiVi (el «Encargado del tratamiento»). Se acepta electrónicamente al crear la cuenta; queda registrada la versión aceptada, la fecha y la dirección IP.
1. Objeto
El Encargado trata datos personales por cuenta del Responsable únicamente para prestar el servicio TiPiVi: punto de venta, facturación, control horario, reservas, fidelización, catálogo y copias de seguridad.
2. Duración
Mientras esté vigente la relación de servicio. A su fin se aplica la cláusula 10.
3. Naturaleza y finalidad
Tratamiento automatizado en la nube, con el núcleo de los datos alojado en la Unión Europea, con la finalidad exclusiva de operar el servicio contratado. El Encargado no usa los datos para fines propios.
4. Datos y personas afectadas
- Personas: clientes del comercio, su equipo y sus contactos.
- Datos: identificativos y de contacto, NIF, historial de compras, citas y fidelización, notas de cliente y registros de jornada. En algunos sectores (estética, nutrición) las notas pueden incluir datos de salud: el Responsable debe tener base legal para tratarlos y limitarse a los necesarios.
5. Obligaciones del Encargado
- Tratar los datos solo siguiendo las instrucciones del Responsable; el uso del servicio es la instrucción.
- Garantizar la confidencialidad de quienes traten los datos.
- Aplicar las medidas de seguridad de la cláusula 7.
- Respetar las condiciones de la cláusula 8 para recurrir a subencargados.
- Ayudar al Responsable a atender los derechos de las personas (acceso, rectificación, supresión, portabilidad…), con las funciones del propio sistema.
- Ayudarle a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Notificarle sin dilación indebida cualquier brecha de seguridad que afecte a sus datos.
- Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
- Devolver o suprimir los datos al terminar, según la cláusula 10.
6. Obligaciones del Responsable
Tener base legal para los datos que introduce, informar a las personas afectadas y usar el servicio conforme a la ley, en especial con datos de categorías especiales.
7. Medidas de seguridad
Aislamiento entre comercios en la propia base de datos, cifrado en tránsito y de las copias, contraseñas protegidas con algoritmos robustos y doble factor disponible, control de acceso por roles y permisos, copias de seguridad inmutables, registro de eventos, detección de anomalías y plan de continuidad.
8. Subencargados
El Responsable autoriza a los siguientes subencargados, todos con garantías adecuadas:
| Subencargado | Para qué | Dónde |
|---|---|---|
| Hetzner Online | Alojamiento del servidor y la base de datos | Alemania (UE) |
| Backblaze (B2) | Copias de seguridad cifradas | Países Bajos (UE) |
| Verifacti (Bilbabit S.L.) | Envío de registros de facturación a Hacienda | España (UE) |
| Stripe Payments Europe | Cobro de la suscripción | Irlanda (UE) |
| Resend | Correo transaccional (avisos, recordatorios de citas) | UE / EE. UU. (CCT) |
| Anthropic | Funciones de asistencia con IA, si se usan | EE. UU. (CCT) |
| Tarjetas de fidelización en Google Wallet y calendario, si se activan | EE. UU. (CCT) |
Avisaremos con antelación razonable de cualquier alta o cambio de subencargado, y el Responsable podrá oponerse.
9. Transferencias internacionales
Las transferencias fuera del Espacio Económico Europeo se amparan en las cláusulas contractuales tipo de la Comisión Europea y en medidas complementarias. La base de datos y las copias de seguridad permanecen en la Unión Europea.
10. Fin del encargo y conservación
Si la cuenta queda en pausa (prueba terminada sin contratar, baja o impago), los datos se conservan 90 días, durante los que el Responsable puede reactivar el servicio o pedir una copia en formato utilizable. Se le avisa por correo a los 30, 60 y 83 días. Pasado ese plazo, el Encargado suprime los datos del comercio. Las copias de seguridad que pudieran contenerlos se eliminan al cumplirse su ciclo de conservación.
Si el comercio llegó a emitir registros de facturación a Hacienda, que está obligado a conservar, no se suprimen sin habérselos entregado antes.
11. Responsabilidad
Cada parte responde de sus propios incumplimientos conforme al RGPD y la normativa aplicable.
12. Contacto
Para cualquier cuestión sobre este contrato o sobre los datos, escríbenos a info@tipivi.es.