Política de Privacidad

1. Responsable del tratamiento

• Razón social: Josue Paz Adern (profesional autónomo, marca comercial "ASAD")
• CIF: 78564381S
• Domicilio: Calle Marqués de Celada 70, 38203 San Cristóbal de La Laguna, Santa Cruz de Tenerife
• Email de contacto: josueadern@gmail.com
• Delegado de Protección de Datos: No designado por no superar los umbrales del Art. 37 RGPD. Las cuestiones de protección de datos se atienden directamente por el titular.

2. Roles en el tratamiento de datos

ASAD Hostelería es una plataforma SaaS contratada por restaurantes ("Restaurante Cliente"). El Restaurante Cliente actúa como Responsable del Tratamiento de los datos de sus empleados, proveedores y demás interesados. ASAD Hostelería actúa como Encargado del Tratamiento en los términos del Art. 28 RGPD, conforme al contrato de encargo (DPA) firmado con cada Restaurante Cliente.

3. Datos que tratamos y finalidad

3.1 Empleados de los Restaurantes Clientes

• Identificación: nombre, apellidos, teléfono opcional, email opcional, PIN de acceso, rol, puesto.
• Datos laborales: jornada planificada, horas reales de entrada/salida (registro horario), fichajes, incidencias, ubicación aproximada en el momento del fichaje (opcional, solo si el empleado lo consiente).
• Identificadores de mensajería: chat ID de Telegram si el empleado vincula su cuenta.
• Registros sanitarios: firma con PIN de los registros APPCC realizados.

Finalidad: cumplir la obligación legal de registro diario de la jornada (RDL 8/2019, art. 34.9 ET), permitir la operativa del establecimiento y los registros de seguridad alimentaria (Reglamento CE 852/2004).

3.2 Administradores y gestores

• Cuenta: email, nombre, rol, contraseña cifrada.
• Actividad: auditoría de acciones críticas (eliminaciones, cambios de configuración).

3.3 Visitantes web (cookies)

Identificadores anónimos para analítica de uso (Firebase Analytics), si el visitante consiente. Ver Política de Cookies.

4. Base jurídica del tratamiento

• Cumplimiento de obligación legal (Art. 6.1.c RGPD): registro horario, registros APPCC, conservación documental.
• Ejecución del contrato (Art. 6.1.b RGPD): prestación del servicio SaaS al Restaurante Cliente.
• Interés legítimo (Art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude, auditoría interna.
• Consentimiento (Art. 6.1.a RGPD): cookies analíticas, geolocalización en fichaje, vinculación a Telegram.

5. Plazos de conservación

• Registros horarios: 4 años desde su generación (Disposición adicional 3ª RDL 8/2019).
• Registros APPCC: mínimo 2 años (5 para productos de larga vida útil) según Reglamento CE 852/2004.
• Datos contables: 6 años (Art. 30 Código de Comercio).
• Datos de cuenta inactiva: hasta 24 meses tras el cese de la relación contractual; después se eliminan o anonimizan.
• Copias de seguridad: 30 días en rotación.

6. Destinatarios y transferencias

Los datos NO se ceden a terceros salvo obligación legal. Recurrimos a los siguientes encargados de tratamiento sujetos a contrato con garantías equivalentes al RGPD:

• Google Cloud / Firebase (almacenamiento, base de datos, autenticación). UE (Frankfurt) cuando es posible.
• Vercel Inc. (hosting del front-end). Cláusulas contractuales tipo CCT.
• Hetzner Online GmbH (servidor de automatismos y copias de seguridad). UE (Alemania/Finlandia).
• Telegram (mensajería opcional al empleado vinculado).

Cuando un servicio implica transferencia internacional fuera del EEE, ASAD Hostelería aplica las garantías exigidas por el Art. 46 RGPD (cláusulas contractuales tipo o decisión de adecuación).

7. Derechos del interesado

Puedes ejercer los siguientes derechos enviando un correo a josueadern@gmail.com:

• Acceso (Art. 15 RGPD).
• Rectificación (Art. 16 RGPD).
• Supresión (Art. 17 RGPD), siempre que no exista obligación legal de conservación.
• Limitación del tratamiento (Art. 18 RGPD).
• Portabilidad (Art. 20 RGPD).
• Oposición (Art. 21 RGPD).
• Retirar el consentimiento en cualquier momento.
• Reclamación ante la AEPD (Agencia Española de Protección de Datos): www.aepd.es.

Si eres empleado de un Restaurante Cliente y tu solicitud afecta a sus datos laborales, te dirigiremos al Restaurante (Responsable del Tratamiento) o tramitaremos la solicitud en su nombre, según corresponda.

8. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (Art. 32 RGPD): cifrado en tránsito (TLS 1.2+) y en reposo, autenticación de doble factor para administradores, controles de acceso por rol, auditoría inmutable de acciones críticas, copias de seguridad cifradas con rotación de 30 días, hardening del servidor (firewall, fail2ban, actualizaciones automáticas), revisión periódica de los permisos de Firestore y rotación de secretos.

9. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales o de servicio. La versión vigente es siempre la publicada en esta URL. En el caso de cambios sustanciales, los usuarios serán avisados por email o aviso en plataforma.