Contrato de Encargo de Tratamiento (art. 28 RGPD) — TPV Prowisio

Este contrato es anexo inseparable de las Condiciones Generales de Contratación del servicio TPV Prowisio y se acepta electrónicamente en el alta (art. 28.9 RGPD: "constará por escrito, inclusive en formato electrónico").

Versión 1.1.0. Incorpora el cifrado de extremo a extremo selectivo activado en el Servicio (cláusula 9 y Anexo II-bis) y sustituye a la versión 1.0.1 aceptada por los Clientes operativos. Esta versión se acepta electrónicamente en la aplicación (art. 28.9 RGPD), con constancia de la versión, la huella criptográfica del texto, la fecha, el dispositivo y la dirección IP, sin firma en papel: la aceptación del Servicio es exclusivamente electrónica.

1. Partes y roles

• Responsable del tratamiento: el cliente del Servicio («el Cliente»), titular del negocio que incorpora los datos.
• Encargado del tratamiento: Prowisio, S.L., NIF B16418592 («Prowisio»), prestador del servicio TPV Prowisio.

2. Objeto

Prowisio trata por cuenta del Cliente los datos personales necesarios para prestar el servicio de terminal punto de venta en la nube: alojamiento, sincronización entre dispositivos, generación y conservación de documentos de venta y registros de facturación, control horario, informes y copias de seguridad. El detalle del tratamiento consta en el Anexo I.

3. Duración

La del contrato de servicio. A su terminación se aplica la cláusula 7 (destino de los datos).

4. Obligaciones de Prowisio (encargado) — art. 28.3 RGPD

a) Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente. Las funciones del Servicio que el Cliente ejecuta u configura constituyen instrucciones documentadas. Prowisio informará inmediatamente si considera que una instrucción infringe el RGPD u otra norma de protección de datos. No se realizarán transferencias internacionales salvo instrucción o exigencia legal, informando en tal caso.

b) Garantizar que las personas autorizadas a tratar datos están sujetas a deber de confidencialidad.

c) Aplicar las medidas de seguridad del art. 32 RGPD descritas en el Anexo II.

d) Respetar el régimen de subencargados de la cláusula 5 y el Anexo III.

e) Asistir al Cliente en la respuesta al ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad): si un interesado ejerce un derecho ante Prowisio, se lo comunicará al Cliente sin dilación; el Servicio incorpora además herramientas de consulta y exportación que permiten al Cliente atender esos derechos por sí mismo.

Para las categorías cifradas de extremo a extremo (Anexo II-bis), la asistencia de Prowisio consiste, atendida la naturaleza del tratamiento (art. 28.3.e RGPD), en mantener las herramientas del Servicio con las que el Cliente puede, por sí mismo y en sus dispositivos con sus claves, consultar, buscar y rectificar dichos datos, así como en ejecutar, por instrucción del Cliente y sobre los identificadores que este le facilite, la supresión de los registros correspondientes. Prowisio no puede acceder, localizar ni producir el contenido de dichas categorías, por carecer de las claves.

f) Asistir al Cliente en el cumplimiento de los arts. 32 a 36 RGPD. En particular, notificará al Cliente, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad de los datos tratados por su cuenta (art. 33.2 RGPD), con la información disponible para que el Cliente pueda, en su caso, notificar a la autoridad en 72 horas y comunicar a los interesados.

El cifrado de extremo a extremo (cláusula 9 y Anexo II-bis) no modifica la obligación de notificación anterior: Prowisio notificará al Cliente toda violación de seguridad que afecte a datos tratados por su cuenta, aunque los datos afectados estuvieran cifrados. A estos efectos, las partes concretan que la notificación se realizará sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a que Prowisio tenga conocimiento de la violación, cualquiera que sea la categoría de datos afectada, cifrada o no. La notificación indicará, con la información a disposición de Prowisio (art. 28.3.f), qué registros u objetos resultaron afectados, si pertenecen al perímetro cifrado y el estado de compromiso de las claves, para que el Cliente pueda realizar su evaluación conforme a los arts. 33.1 y 34.3.a RGPD (guía en el Anexo IV); el plazo de 72 horas del Cliente ante la autoridad se computa desde que él tenga conocimiento. Si la complejidad del incidente impidiera disponer de toda la información en ese plazo, la notificación inicial se realizará igualmente dentro de él y se completará de forma escalonada (art. 33.4 RGPD).

g) Al finalizar la prestación, a elección del Cliente, suprimir o devolver los datos personales y suprimir las copias existentes, salvo que deba conservarse algún dato por obligación legal (en cuyo caso se conservará bloqueado — art. 32 LOPDGDD). Procedimiento en la cláusula 7.

h) Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a las auditorías del Cliente conforme a la cláusula 6.

Prowisio no utilizará los datos para fines propios ni los comunicará a terceros salvo lo previsto en este contrato o por obligación legal.

5. Subencargados (arts. 28.2 y 28.4 RGPD)

5.1. El Cliente otorga autorización general para los subencargados del Anexo III.

5.2. Prowisio informará al Cliente de cualquier cambio previsto (incorporación o sustitución) con una antelación mínima de 30 días naturales, dándole la oportunidad de oponerse por motivos razonables. La lista vigente estará siempre disponible en la aplicación (Ajustes → Legal, anexo del contrato de encargo) y en el sitio web.

5.3. Prowisio impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que las aquí estipuladas. Si el subencargado incumple, Prowisio seguirá siendo plenamente responsable ante el Cliente (art. 28.4).

6. Auditorías

Prowisio atenderá las solicitudes razonables de información del Cliente para verificar el cumplimiento. Dado el carácter multicliente de la plataforma, las auditorías se satisfarán preferentemente mediante documentación, certificaciones e informes; las inspecciones que afecten a infraestructura compartida se acordarán en alcance y forma que no comprometan la seguridad ni los datos de otros clientes.

7. Fin de la prestación — destino de los datos (28.3.g)

7.1. Terminado el servicio, el Cliente dispone de 30 días naturales para optar entre: (a) devolución — exportación con las herramientas del producto (documentos de venta, catálogo, fichajes, informes, copia fiscal local ya existente en su terminal); o (b) supresión certificada. Para las categorías cifradas de extremo a extremo (Anexo II-bis, parte A), la devolución consiste en la entrega del contenido cifrado tal como obra en la plataforma, cuya legibilidad requiere las claves que solo el Cliente posee; la supresión es la ordinaria. Se hace constar que la información que una norma obliga a conservar bloqueada y legible tras la terminación (cláusula 7.2) está excluida por diseño del cifrado de extremo a extremo (Anexo II-bis, parte B), por lo que dicha obligación no resulta afectada.

7.2. Transcurrido el plazo sin elección, Prowisio procederá a la supresión, conservando únicamente, bloqueados, los datos que una norma exija (p. ej., registros vinculados a obligaciones fiscales o la constancia de este contrato), durante los plazos de prescripción, y destruyéndolos después.

7.3. Se recuerda que la conservación de la documentación fiscal del negocio durante los plazos legales (6 años, art. 30 CCom) es obligación del Cliente como obligado tributario; el Servicio le proporciona durante la vigencia los medios de exportación y una copia local en su terminal.

8. Responsabilidad

Cada parte responde de sus propias infracciones del RGPD (art. 82). El Cliente, como responsable, garantiza la licitud de los datos que incorpora y el cumplimiento de sus deberes de información (ver Kit RGPD, Anexo IV); Prowisio responde como encargado en los términos de este contrato.

9. Datos cifrados de extremo a extremo — custodia de claves y reparto de riesgo

9.1. Mecanismo. El cifrado de extremo a extremo selectivo (Anexo II y Anexo II-bis) forma parte del Servicio y se activa de forma automática, cuando la funcionalidad está habilitada en la plataforma, en el primer dispositivo emparejado en el que inicia sesión la cuenta del titular del Cliente. En la activación, el titular recibe una clave de recuperación, que se muestra una única vez para su custodia y cuya transcripción se le exige confirmar. Dicha clave no obra en poder de Prowisio, que no conserva copia alguna de ella.

9.2. Instrucción documentada. La confirmación de custodia por el Cliente durante la activación y la aceptación expresa de la advertencia del apartado 9.3 —que se recaba mediante casilla específica, separada de la confirmación de custodia y sin marcar por defecto— constituyen instrucción documentada a los efectos del art. 28.3.a RGPD. De ambas queda constancia registrada (versión y huella criptográfica del texto aceptado, fecha, dispositivo y dirección IP).

9.3. Advertencia, custodia y conservación (esfera del Cliente).

(i) El Cliente es el único custodio de su clave de recuperación. Si la pierde y no conserva ningún dispositivo emparejado, el contenido cifrado resulta técnicamente irrecuperable, sin que Prowisio pueda restaurarlo; el Servicio permite en tal caso reiniciar el cifrado con una clave nueva para continuar la operación, sin que ello recupere el contenido anterior. Dicha irrecuperabilidad, derivada de la pérdida de elementos bajo custodia exclusiva del Cliente, no constituye defecto del Servicio ni incumplimiento de Prowisio. La información fiscal y demás categorías del Anexo II-bis, parte B, no se ven afectadas.

(ii) El Cliente acepta esta advertencia de forma expresa y separada durante la activación, en los términos del apartado 9.2.

(iii) Deber de conservación del Cliente. Prowisio almacena y respalda el contenido cifrado (apartado 9.4), pero su legibilidad depende exclusivamente de elementos que solo el Cliente posee. Corresponde por ello al Cliente, con la diligencia que le es exigible como empresario: (a) custodiar la clave de recuperación en lugar seguro, fuera de los propios dispositivos del Servicio; (b) mantener operativo al menos un dispositivo emparejado —los dispositivos emparejados conservan una copia local de trabajo, legible mientras mantengan su emparejamiento y funcionamiento—; y (c) conservar por sus propios medios, en sus equipos o soportes, las copias de la información de su negocio que precise. La inobservancia de este deber es riesgo del Cliente en los términos del punto (i). La conservación de la documentación fiscal no se ve alterada por esta cláusula: está excluida del cifrado (Anexo II-bis, parte B) y se rige por la cláusula 7.3 de este contrato y la cláusula 13.2 de las Condiciones Generales.

9.4. Esfera de Prowisio (subsistente). Prowisio sigue respondiendo, en los términos del contrato, de: (a) la integridad y disponibilidad del contenido cifrado almacenado, incluidas sus copias de seguridad (art. 32.1.b y c RGPD); (b) el correcto funcionamiento de la implementación criptográfica declarada en el Anexo II; y (c) las restantes medidas de seguridad. Nada en esta cláusula limita la responsabilidad por dolo o culpa grave (cláusula 11.2 de las Condiciones Generales).

9.5. Requerimientos de autoridades. Si Prowisio recibe un requerimiento judicial o administrativo que alcance a contenido cifrado de extremo a extremo, entregará la información de que disponga (contenido cifrado y metadatos), haciendo constar la imposibilidad técnica de descifrado, e informará al Cliente salvo prohibición legal. La aportación material del contenido corresponde al Cliente, que posee las claves. La información exigible en virtud de los deberes de colaboración tributaria (arts. 93 y 94 LGT) —los registros de facturación y demás información fiscal— está excluida del cifrado por diseño (Anexo II-bis, parte B).

9.6. Eficacia temporal y periodo transitorio. Lo previsto en este contrato para las categorías cifradas de extremo a extremo se entiende referido al cifrado activado en cada Cliente desde su fecha de activación, de la que consta constancia electrónica (aceptación del texto de la ceremonia de activación, versión 1.0.1, con fecha, huella y dispositivo — apartado 9.2). Durante el periodo transitorio descrito en la nota 4 del Anexo II-bis, los datos transmitidos sin cifrar por dispositivos del Cliente que aún no ejecuten la versión de la aplicación que incorpora el cifrado quedan protegidos por las restantes medidas del Anexo II.

Anexo I — Detalle del tratamiento

Categorías de interesados: clientes finales del negocio; empleados del negocio; usuarios de la cuenta.

Tipos de datos:

• Clientes finales: identificación (nombre/razón social), NIF, domicilio fiscal, email, teléfono, fecha de nacimiento (opcional), historial de compras y facturación.
• Empleados: identificación, email, rol y permisos, PIN (con hash), registros de jornada (entradas/salidas/pausas — conservación 4 años, art. 34.9 ET), y, SOLO si el Cliente la activa e informa a sus trabajadores, geolocalización del fichaje.
• Operación: ventas, líneas, pagos, propinas, documentos y registros de facturación, reservas, auditoría de acciones.
• Certificado electrónico de facturación del Cliente — SOLO metadatos: titular y emisor del certificado (que en un certificado de representante o de persona física incluyen el nombre de una persona física), NIF contenido en el certificado, fechas de validez, huella digital (SHA-256), equipo que lo custodia y usuario que lo instaló. El archivo del certificado y su contraseña NO se tratan: permanecen cifrados en el terminal del Cliente y no se transmiten a Prowisio ni se conservan en el servidor (ver Anexo II).
• No se tratan categorías especiales (art. 9). El fichaje es por PIN — no hay biometría.

Naturaleza y fines: recogida, registro, estructuración, conservación, consulta, comunicación entre los dispositivos del propio Cliente, copia de seguridad y supresión — con el único fin de prestar el Servicio.

Ubicación: servidores en España (UE). Copia local cifrada en los terminales del Cliente.

Nota — categorías cifradas de extremo a extremo: para las categorías del Anexo II-bis, parte A, la «conservación», «consulta» y «comunicación entre dispositivos» se realizan sobre contenido cifrado que Prowisio no puede leer; dichas categorías siguen constituyendo datos personales tratados por cuenta del Cliente a todos los efectos de este contrato.

Anexo II — Medidas de seguridad (art. 32 RGPD) — las implementadas realmente por el producto

• Cifrado en tránsito TLS en todas las comunicaciones.
• Cifrado en reposo en servidor; base de datos local de los terminales cifrada (SQLCipher).
• Aislamiento por cliente en la plataforma (esquema de datos separado por negocio + control de acceso por pertenencia).
• Control de acceso por roles y permisos granulares; PIN por empleado con bloqueo por reintentos; credenciales con hash.
• Registros inmutables donde la ley lo exige (facturación, jornada, auditoría): sin actualización ni borrado a nivel de base de datos.
• Copias de seguridad cifradas con verificación de restauración; plan de respuesta a incidentes documentado (severidades, plazos, notificación de brechas).
• Registro de aceptaciones y acciones sensibles con trazabilidad (quién, cuándo, desde qué dispositivo).
• Custodia del certificado electrónico en el terminal del Cliente: el archivo y su contraseña se guardan cifrados (AES-256-GCM) en el propio equipo, con la clave en el almacén seguro del sistema operativo, y no se transmiten a Prowisio; el servidor conserva únicamente los metadatos del Anexo I. Así la clave privada permanece bajo control exclusivo de su titular.
• Seudonimización/anonimización de identidad del personal en trazas históricas cuando un trabajador ejerce supresión (procedimiento controlado, conservando la traza fiscal).
• Cifrado de extremo a extremo selectivo: determinadas categorías de datos personales (relacionadas en el Anexo II-bis) se cifran en los dispositivos del Cliente antes de su envío, con claves bajo control exclusivo del Cliente (una clave de recuperación custodiada por su titular y claves internas de cada dispositivo emparejado). Prowisio almacena y transporta únicamente el contenido cifrado y carece de las claves y de medios técnicos para descifrarlo. El resto de categorías — en particular los registros de facturación y demás información que una norma exige mantener legible y accesible en el sistema (Anexo II-bis, parte B) — queda protegido por las restantes medidas de este Anexo. Esta medida se aplica a los datos creados o modificados desde la activación del cifrado en cada Cliente por los dispositivos que ejecutan la versión de la aplicación que la incorpora (periodo transitorio y re-cifrado del histórico: Anexo II-bis, nota 4).

Anexo II-bis — Perímetro exacto del cifrado de extremo a extremo

Las referencias de este contrato a la «parte A» de este Anexo comprenden conjuntamente las partes A.1 y A.2 (estas últimas, desde el momento en que la funcionalidad que las capture exista); las referencias a la «parte B» designan las categorías excluidas.

Parte A.1 — categorías cifradas de extremo a extremo OPERATIVAS desde la activación (el servidor solo recibe contenido cifrado de los dispositivos que ejecutan la versión de la aplicación que incorpora el cifrado — nota 4):

Parte A.2 — categorías que se incorporarán al cifrado CUANDO exista la funcionalidad que las capture (hoy el Servicio no recoge estos datos, por lo que no hay contenido que cifrar; su incorporación no requerirá acción del Cliente):

Parte B — categorías EXCLUIDAS del cifrado de extremo a extremo (permanecen legibles en el sistema, protegidas por las restantes medidas del Anexo II), con su motivo:

Notas: (1) el mismo dato puede constar cifrado en el directorio y en claro en los registros de facturación en los que se incorporó por obligación legal — son tratamientos con finalidad y base distintas; (2) el registro de jornada es inmutable: el cifrado opera únicamente hacia adelante desde la activación; (3) los metadatos técnicos (existencia, longitud, fechas y dispositivo de origen de cada valor) no quedan ocultos; (4) datos anteriores a la activación y periodo transitorio: la activación cifra lo que se cree o modifique desde ese momento en los dispositivos que ejecutan la versión de la aplicación que incorpora el cifrado. Los dispositivos del Cliente que ejecuten una versión de la aplicación anterior a la que incorpora el cifrado siguen transmitiendo estas categorías sin cifrar hasta que se actualicen a la versión que Prowisio pone a su disposición. El cifrado completo de las categorías de la parte A.1 requiere que todos los dispositivos emparejados estén actualizados y que el titular haya ejecutado el re-cifrado del histórico («Cifrar datos antiguos», disponible en los ajustes del Servicio para el titular; proceso que puede repetirse hasta completarse). La fecha de activación del cifrado en cada Cliente consta en la constancia de su ceremonia de activación. Las reservas anteriores a la activación no se re-cifran (caducan por su propia naturaleza) y el registro de jornada anterior es inmutable (parte B).

Anexo III — Subencargados autorizados

Sin transferencias fuera del EEE. Los servicios de cobro con tarjeta (Redsys/Stripe) los contrata el Cliente directamente con su proveedor — no son subencargados de Prowisio. Si en el futuro se incorporase un proveedor nuevo, se seguirá el procedimiento de la cláusula 5.2 ANTES de usarlo.

Anexo IV — Kit RGPD del Cliente (obligaciones PROPIAS del responsable)

Recordatorio y materiales para que el Cliente cumpla lo que SOLO él puede cumplir:

1. Registro de jornada: no requiere consentimiento del trabajador (base: obligación legal, art. 34.9 ET — criterio oficial AEPD), pero sí informar. Modelo de cláusula informativa para empleados: Modelo 1 del Kit RGPD («Información a trabajadores sobre el registro de jornada»), que se entrega junto a este contrato.
2. Dispositivos del empleador (art. 87.3 LOPDGDD): establecer criterios de uso, con participación de los representantes si los hay, e informar a los trabajadores.
3. Geolocalización del fichaje (art. 90 LOPDGDD): si el Cliente la activa, debe informar de forma expresa, clara e inequívoca a los trabajadores. Viene desactivada por defecto.
4. Videovigilancia (art. 89): si el local tiene cámaras, es un tratamiento del Cliente ajeno al Servicio — cartelería e información obligatorias; prohibida en zonas de descanso.
5. Clientes finales: informar del tratamiento (cartel/cláusula en el local o en la factura) — modelo: Modelo 2 del Kit RGPD («Cartel y cláusula informativa para clientes finales»), que se entrega junto a este contrato. Si el Cliente usa los emails de sus clientes para marketing, necesita base propia (art. 21 LSSI).
6. Prohibición de biometría en el fichaje dentro del Servicio: no existe y no debe implantarse por otros medios sin evaluación conforme a la guía AEPD de control de presencia biométrico (nov-2023).
7. Violaciones de seguridad comunicadas por Prowisio (arts. 33 y 34 RGPD): la evaluación del riesgo y, en su caso, la notificación a la AEPD y la comunicación a los interesados corresponden al Cliente como responsable; Prowisio le avisa y le asiste (cláusula 4.f). Guía de una página: la hoja de evaluación siguiente.

Anexo IV — Hoja de evaluación: qué hacer cuando Prowisio le comunica una violación de seguridad

Prowisio, como encargado, le notificará toda violación de seguridad que afecte a datos tratados por su cuenta sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de ella (cláusula 4.f), aunque los datos afectados estuvieran cifrados. La evaluación y las decisiones siguientes son del Cliente, como responsable; Prowisio le asiste con la información de que disponga (art. 28.3.f RGPD).

Paso 1 — Qué le comunica Prowisio. Con la información disponible en ese momento (completada de forma escalonada si es necesario, art. 33.4): qué ha ocurrido y cuándo; qué registros u objetos se han visto afectados; si pertenecen o no al perímetro cifrado de extremo a extremo (Anexo II-bis); si las claves de cifrado —que solo el Cliente posee— pueden considerarse comprometidas; y las medidas adoptadas o propuestas.

Paso 2 — Registre el incidente siempre (art. 33.5): hechos, efectos y medidas adoptadas, aunque finalmente no proceda notificar. Este registro es del Cliente y puede requerirlo la autoridad.

Paso 3 — ¿Notificar a la AEPD? (art. 33.1). La regla es notificar dentro de las 72 horas desde que el Cliente tiene conocimiento (plazo que se computa desde la comunicación de Prowisio), salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas. Para valorarlo, distinga:

• Datos del perímetro cifrado (Anexo II-bis, parte A) con claves íntegras: el contenido es ininteligible para quien lo haya obtenido. Es un factor de gran peso para concluir que el riesgo es improbable, pero la valoración es caso por caso (alcance, integridad de las claves, medidas declaradas en el Anexo II) y le corresponde al Cliente: el cifrado no exime por sí solo de notificar.
• Datos fuera del perímetro cifrado (parte B: registros de facturación, documentos de venta, constancias, rastro de auditoría) o datos transmitidos sin cifrar por dispositivos no actualizados durante el periodo transitorio (Anexo II-bis, nota 4): evalúe la violación como ordinaria; el cifrado no la mitiga.
• Si las claves pueden estar comprometidas (p. ej., robo de un dispositivo emparejado o de la clave de recuperación): trate los datos cifrados como legibles a efectos de esta evaluación.

Paso 4 — ¿Comunicar a los interesados? (art. 34). Solo si la violación entraña un alto riesgo para las personas. No es exigible cuando los datos afectados estaban protegidos con medidas que los hacen ininteligibles para terceros no autorizados, como un cifrado cuyas claves no han sido comprometidas (art. 34.3.a) — la única exención expresa por cifrado.

Paso 5 — Documente la decisión (por qué se notificó o no) y conserve la comunicación de Prowisio junto al registro del paso 2.

Referencias: EDPB, Guidelines 9/2022 on personal data breach notification under GDPR (v2.0, 28-03-2023); AEPD, Guía para la notificación de brechas de datos personales (junio de 2021). Sede electrónica de la AEPD para notificar: sedeagpd.gob.es.

Este contrato surte efectos desde su aceptación electrónica y se entiende referido a los tratamientos realizados desde el inicio efectivo del servicio. La versión 1.1.0 surte efectos desde su aceptación electrónica por el titular y, en cuanto a las categorías cifradas de extremo a extremo, se entiende referida al cifrado activado en cada Cliente desde su fecha de activación (cláusula 9.6).