Acuerdo de Encargo del Tratamiento (DPA)

1. Partes del Acuerdo

El presente Acuerdo de Encargo del Tratamiento (en adelante, «DPA») se suscribe entre:

• Encargado del tratamiento: Juan Luis Lloret López, con NIF 44395256N, dirección postal en Apartado de Correos 622, 02080 Albacete, España, operando bajo el nombre comercial TerollProject / Trazaly (en adelante, «Trazaly»).
• Responsable del tratamiento: La empresa cliente que contrata y utiliza el servicio SaaS Trazaly (en adelante, «el Cliente»).

Al registrarse y utilizar la Plataforma, el Cliente acepta las condiciones del presente DPA, que forma parte integrante del contrato de suscripción junto con los Términos y Condiciones y la Política de Privacidad.

2. Objeto y Naturaleza del Tratamiento

Trazaly trata datos personales por cuenta del Cliente, exclusivamente para prestar el servicio SaaS de gestión digital de seguridad alimentaria y cumplimiento APPCC contratado.

• Naturaleza: Almacenamiento, organización, consulta, transmisión y supresión de datos personales.
• Finalidad: Gestión de registros APPCC digitales, trazabilidad alimentaria, control de puntos críticos, gestión de equipos y generación de informes sanitarios.
• Categorías de datos: Nombres de empleados y supervisores, firmas digitales de registros, PINs de acceso al kiosco y datos de temperatura u otros controles vinculados a personas identificables.
• Categorías de interesados: Empleados, supervisores y personal de la empresa cliente.

3. Instrucciones del Responsable

Trazaly tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente, materializadas en el uso de la Plataforma y en los presentes términos. Si Trazaly considera que alguna instrucción infringe el RGPD u otra normativa aplicable, lo comunicará al Cliente sin dilación indebida.

4. Confidencialidad y Uso de los Datos

Trazaly se compromete a:

• No tratar los datos del Cliente para fines propios, de marketing, análisis comercial ni entrenamiento de modelos de inteligencia artificial ajenos al servicio.
• Garantizar que el personal con acceso a los datos está sujeto a deber de confidencialidad.
• Implementar medidas técnicas y organizativas adecuadas: cifrado de contraseñas, comunicaciones HTTPS, control de acceso por roles (RBAC) y aislamiento multi-tenant entre clientes.

5. Subencargados del Tratamiento

El Cliente autoriza expresamente a Trazaly a contratar los siguientes subencargados, todos ellos con garantías de cumplimiento RGPD:

• Paddle Payments Ltd. (The Academy, 42 Pearse Street, Dublín, D02 YX88, Irlanda): procesamiento de pagos y suscripciones como merchant of record.
• Totalum, Inc.: Infraestructura cloud y base de datos principal, alojada según su propia documentación en servidores de un proveedor de infraestructura ubicado en la Unión Europea, sin transferencia internacional. Totalum se apoya a su vez en Cloudflare, Inc. (EE.UU.) para la entrega de la aplicación, y en Google Cloud Storage (Google LLC, EE.UU.; Google Cloud EMEA Limited, Dublín, para clientes del EEE) para el almacenamiento de archivos adjuntos. Trazaly no contrata a Cloudflare ni a Google Cloud Storage directamente. Los datos no son utilizados para entrenamiento de modelos públicos ajenos a Trazaly.
• Resend, Inc. (Wilmington, Delaware, EE.UU.): envío de notificaciones por email vinculadas al servicio. Con garantías adecuadas conforme al Capítulo V RGPD.
• Google LLC (Gemini API): Modelo de inteligencia artificial utilizado en el módulo «Legislación IA». No se transmiten datos personales identificativos a este proveedor.

Trazaly notificará al Cliente con un preaviso de 30 días cualquier adición o sustitución de subencargados.

6. Derecho de Auditoría

Trazaly pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente Acuerdo y en el artículo 28 del RGPD, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, llevadas a cabo por el Cliente o por otro auditor autorizado por este, previo preaviso razonable y sin perjuicio de la confidencialidad debida a otros clientes de la Plataforma.

7. Notificación de Brechas de Seguridad

Trazaly notificará al Cliente sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a los datos tratados por cuenta del Cliente.

7. Asistencia al Responsable

Trazaly asistirá al Cliente, en la medida de lo técnicamente posible, para dar respuesta a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad) que presenten los interesados. Si Trazaly recibe directamente una solicitud de un interesado, la remitirá al Cliente sin dilación.

Asimismo, Trazaly asistirá al Cliente en el cumplimiento de sus obligaciones de seguridad (artículos 32 a 36 del RGPD), incluyendo, en su caso, la realización de evaluaciones de impacto relativas a la protección de datos y la consulta previa a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone Trazaly.

8. Devolución y Supresión de Datos

Tras la cancelación de la suscripción, Trazaly permitirá al Cliente exportar todos sus datos en formato PDF y Excel durante 30 días. Transcurrido dicho plazo, los datos serán eliminados de forma definitiva, salvo los que deban conservarse por imperativo legal (datos fiscales: mínimo 6 años).

9. Transferencias Internacionales de Datos

No se realizan transferencias de datos fuera del Espacio Económico Europeo sin las garantías adecuadas conforme al Capítulo V del RGPD.

10. Vigencia

El presente DPA estará vigente mientras Trazaly preste servicios al Cliente bajo el contrato de suscripción activo. La terminación del contrato implica la terminación automática del DPA, sujeta a las obligaciones de supresión de datos de la Cláusula 8.

11. Legislación Aplicable

El presente DPA se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la legislación española aplicable. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales del domicilio de Trazaly.

12. Contacto

Para cualquier consulta sobre este Acuerdo: soporte@trazaly.es