Contrato de encargo de tratamiento — Brymio

Cuando tu organización usa Brymio para guardar datos de otras personas —tus clientes y proveedores, tus empleados, quienes se presentan a tus ofertas, quienes compran en tu tienda—, la responsable de esos datos es tu organización, y Krokanti Games SL los trata por su cuenta como encargada del tratamiento. Este contrato fija cómo lo hacemos, como exigen el artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD).

Forma parte de los términos del servicio y se acepta con ellos: al crear una cuenta o usar Brymio en nombre de una organización, lo aceptas en su nombre, sin firmar nada aparte. Si tu empresa necesita una copia firmada, pídela en info@brymio.com y te la enviamos firmada, con este mismo texto.

1. Partes

Responsable del tratamiento: la organización —empresa o profesional autónomo— que usa Brymio, representada por quien acepta los términos del servicio en su nombre. En este contrato, «tú».
Encargado del tratamiento: Krokanti Games SL (NIF B22786248, Avenida Costera 6, 46185 La Pobla de Vallbona, Valencia, España), que presta el servicio Brymio (www.brymio.com). En este contrato, «nosotros».

2. Objeto

Este contrato regula el tratamiento que hacemos por tu cuenta de los datos personales que tu organización sube a Brymio, conecta con Brymio o recibe a través de Brymio, mientras te prestamos el servicio.

No cubre los datos de los que somos responsables nosotros —las cuentas de usuario, el cobro de la suscripción, la web pública, la ayuda y las novedades por correo—, que se rigen por la política de privacidad.

3. Duración

Dura lo que dure el uso de Brymio por tu organización: empieza cuando empieza a usarlo y termina cuando se elimina. Lo previsto para el final —devolución, borrado y conservación de lo que exige la ley— y el deber de confidencialidad siguen vigentes mientras conservemos algún dato tuyo.

4. Naturaleza y finalidad

Tratamos los datos solo para prestarte el servicio, con los módulos que tengas activados: los recogemos a través de los formularios, las importaciones y las integraciones que conectas; los guardamos, los organizamos y los mostramos a las personas de tu organización según su rol; calculamos con ellos (impuestos, saldos de horas, resultados de búsqueda); los enviamos a quien tú indicas (los correos a tus clientes, empleados y candidatos, tu tienda, las integraciones que configures y, si activas Veri*factu, la Agencia Tributaria), y los borramos. Además los tratamos en lo imprescindible para mantener el servicio seguro y en marcha: copias de seguridad, diagnóstico de errores, prevención de abusos y aplicación de los límites del plan.

No los usamos para nada propio: no los vendemos, no los cedemos a terceros con fines comerciales ni publicitarios, no hacemos perfiles con ellos y no los usamos para entrenar modelos de inteligencia artificial.

Las funciones de inteligencia artificial reciben solo lo que necesita cada tarea —leer un justificante, resumir una página, proponer una ficha de producto, explicar una auditoría—, como detalla la política de privacidad. Contratación no usa inteligencia artificial: no entrega los currículos a ningún proveedor para que los lea o los interprete. Y Brymio no toma decisiones automatizadas sobre las personas: no descarta candidaturas ni decide nada sobre un empleado; eso lo decide tu equipo.

5. Qué datos tratamos y de quién

Según los módulos que actives, tratamos por tu cuenta estas categorías de datos de estas personas:

Facturación — tus clientes y proveedores y sus personas de contacto: nombre o razón social, NIF, dirección, correo y teléfono; las facturas, presupuestos y gastos con sus justificantes; y datos bancarios: las cuentas que figuren en ellos y los movimientos de los extractos que importes, con su concepto y quién paga o cobra.
Equipo — tus empleados y colaboradores: identificación y contacto; contrato y jornada prevista; el registro de jornada, con cada fichaje a la hora del servidor; la ubicación en el instante de fichar, si la tienes activada y el empleado lo ha consentido; ausencias y vacaciones con su motivo; las nóminas y documentos que publiques, con su acuse de recibo; la fecha de nacimiento, si el empleado la indica; la foto del quiosco, si activas esa opción; y sus medios de acceso (contraseña guardada de forma irreversible, llaves de acceso, PIN de quiosco, vinculación con Telegram y avisos del navegador). Las respuestas al pulso de ánimo son anónimas.
Contratación — quienes se presentan a tus ofertas: lo que escriben en el formulario (nombre, correo, teléfono, mensaje y respuestas), su currículo y demás adjuntos, y el aviso de privacidad que aceptaron y cuándo; y lo que hace tu equipo con cada candidatura: fases, notas, valoraciones y entrevistas.
Comercio — quienes compran en tu tienda: nombre, correo, teléfono, direcciones de envío y de facturación, pedidos y devoluciones, tal como llegan de tu Shopify o tu WooCommerce.
Buscador — quienes visitan tu tienda: lo que buscan, cuántos resultados obtienen y en qué producto hacen clic. No guardamos su dirección IP ni su navegador, solo un código con clave que cambia cada día.
Proyectos — lo que escriban o suban las personas de tu organización: páginas, tareas, comentarios, menciones, historial y adjuntos. Puede contener cualquier dato, y eso lo decides tú. Las notas seguras se cifran en el navegador y no podemos leerlas.
Salud de tienda — las direcciones públicas de las webs que auditas, los resultados y las capturas de esas páginas. Normalmente no contiene datos personales.
En todos los módulos — las personas de tu organización, en lo que hacen dentro de ella: quién creó o cambió cada cosa, comentarios, asignaciones y el registro de actividad. Sus cuentas de usuario las tratamos como responsables, según la política de privacidad.

Brymio no necesita categorías especiales de datos (salud, afiliación sindical, origen étnico y las demás del artículo 9 del RGPD) ni datos penales, y no te los pide. Pero pueden aparecer si los introduces: una ausencia por enfermedad, una nómina con la cuota sindical, un currículo o un documento con datos de salud. En ese caso eres tú quien debe contar con una base jurídica para tratarlos, y nosotros les aplicamos las mismas medidas que al resto.

6. Tus instrucciones

Tratamos los datos siguiendo tus instrucciones documentadas: este contrato, los términos del servicio y lo que tú y tu equipo configuráis y hacéis en Brymio —los módulos que activas, los ajustes, los permisos de cada persona, las tiendas, los tokens de API, los webhooks y las integraciones que conectas—. Si necesitas una instrucción distinta, escríbenos a info@brymio.com.

Solo nos apartaríamos de tus instrucciones si una ley de la Unión Europea o de España nos obligara; en ese caso te avisaríamos antes, salvo que esa misma ley lo prohíba. Si creemos que una instrucción tuya infringe el RGPD u otra norma de protección de datos, te lo diremos de inmediato.

Como responsable, te corresponde tener una base jurídica para tratar los datos que subes; informar a las personas afectadas (por ejemplo, a tus empleados del registro de jornada y de la geolocalización, y a tus candidatos con el aviso de privacidad que editas en Contratación); recoger los consentimientos que hagan falta; decidir quién de tu organización accede a qué; y elegir y contratar las herramientas de terceros que conectes por API, MCP o webhooks, que no son subencargados nuestros.

7. Confidencialidad

Solo acceden a los datos las personas de Krokanti Games SL que mantienen el servicio, y solo cuando hace falta para mantenerlo, resolver una incidencia o atender una petición tuya. Todas están sujetas al deber de confidencialidad del artículo 5 de la LOPDGDD, que sigue vigente cuando termina su relación con nosotros. No consultamos el contenido de tu organización para nada propio.

8. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (artículo 32 del RGPD). Estas son las que hay hoy, descritas tal cual:

Ubicación: la base de datos y la ejecución de la aplicación están en Fráncfort (Alemania). Los archivos se guardan en Cloudflare R2; los currículos y adjuntos de Contratación, en un almacén aparte con jurisdicción de la Unión Europea.
Cifrado en tránsito: todas las conexiones con Brymio van por HTTPS (TLS), con HSTS para que el navegador no acepte una conexión sin cifrar, y la aplicación se conecta a la base de datos por un canal cifrado. Las cabeceras de seguridad impiden incrustar la aplicación en otra web.
Cifrado en reposo: los proveedores de base de datos y de almacenamiento cifran en disco todo lo que guardan. Además, las credenciales de conexión de las tiendas de Comercio y los secretos de las apps de Shopify los ciframos nosotros con AES-256-GCM antes de guardarlos.
Credenciales de acceso: las contraseñas nunca se guardan en claro (bcrypt para los miembros, scrypt para los empleados), y los tokens de API, los enlaces de acceso y los PIN de quiosco se guardan solo como huella criptográfica. Las notas seguras de Proyectos se cifran en el navegador y nosotros no podemos leerlas.
Separación y permisos: cada dato pertenece a una organización y toda consulta se filtra por ella, con una comprobación automática en el código que lo vigila. Dentro de tu organización, cada persona ve lo que le permiten su rol (propietario, administrador, miembro, contable u observador), los módulos que le hayas abierto y, en Equipo y Contratación, el permiso específico de personal o de selección. Un token de API nunca tiene más poder que quien lo creó, y no puede gestionar miembros, la suscripción ni la cuenta.
Acceso de las personas: bloqueo temporal tras cinco intentos fallidos, doble factor opcional, enlaces de acceso de un solo uso que caducan y sesiones que caducan. Restablecer la contraseña, cerrar sesión en todos los dispositivos o eliminar la cuenta invalidan al instante todas las sesiones abiertas. Los formularios públicos tienen límites de uso y una comprobación anti-robots.
Archivos: las nóminas y documentos de Equipo, los currículos y los justificantes de gastos solo se descargan a través de la aplicación, con sesión y permiso, y no desde una dirección pública.
Trazabilidad: las acciones sensibles —cambios de miembros, roles y módulos, acciones de seguridad de la cuenta, descargas de facturas, justificantes y currículos, conciliaciones y exportaciones— quedan en un registro de auditoría con quién y cuándo. Cada fichaje va encadenado por huella con el anterior, de modo que una alteración se detecta, y cada corrección se guarda aparte con su autor y su motivo.
Copias de seguridad: una copia completa de la base de datos cada noche, en un almacenamiento separado, y otra antes de cada actualización del servicio, en equipos de Krokanti Games SL; unas y otras se borran a los 35 días. Los archivos no entran en esas copias; dependen de la redundancia del propio almacenamiento.
Diagnóstico de errores: los informes de fallo llevan solo los identificadores internos de la persona y de la organización; antes de salir se les quitan los correos, los tokens, los códigos de acceso de las direcciones web, las cookies y el contenido de las peticiones.
Equipo: la ubicación solo se guarda en el instante del fichaje, si la empresa la tiene activada y el empleado lo ha consentido; no hay seguimiento continuo. La foto del quiosco viene desactivada y, si se activa, se borra a los 90 días.

No tenemos certificación ISO 27001 ni SOC 2, y no decimos lo contrario. Revisamos periódicamente la seguridad del código y corregimos lo que encontramos; si una de estas medidas cambia de forma relevante, lo reflejaremos aquí.

9. Subencargados

Nos das una autorización general para recurrir a los subencargados de esta lista. Nos comprometemos a que cada uno quede obligado por contrato a proteger los datos con garantías equivalentes a las de este contrato en lo que le corresponde, y respondemos ante ti de su cumplimiento (artículo 28.4 del RGPD).

La lista vigente, la misma que publica la política de privacidad:

Vercel — alojamiento y ejecución de la aplicación, y medición de visitas y de velocidad sin cookies (las direcciones que llevan una clave de acceso se envían tachadas). Las funciones que tratan tus datos se ejecutan en su región de Fráncfort (Alemania). Empresa estadounidense.
Neon — base de datos PostgreSQL donde vive todo lo que guarda la plataforma, alojada en Fráncfort (Alemania). Empresa estadounidense.
Cloudflare R2 — almacenamiento de archivos: nóminas, documentos y fotos de quiosco del equipo, currículos y adjuntos de las candidaturas (estos, en un almacén situado en la Unión Europea), justificantes de gastos, las exportaciones de facturas en ZIP (siete días), adjuntos de proyectos, capturas de las auditorías, logotipos, fotos de perfil y las copias de seguridad de la base de datos. Empresa estadounidense.
Brevo — envío del correo: el de tu cuenta y del servicio (verificación, enlaces de acceso, avisos y recordatorios), el que tu organización manda desde Brymio a sus clientes, empleados y candidatos (facturas y presupuestos con su PDF, recordatorios de pago, avisos de nóminas, ausencias y candidaturas, códigos de acceso), los mensajes del formulario de contacto, que nos llegan por correo, y las novedades a quien se suscribe. Empresa francesa, tratamiento en la Unión Europea.
Cloudflare Turnstile — comprobación anti-robots en los formularios públicos de alta, de candidatura, de contacto y de suscripción a novedades. Analiza señales técnicas del navegador para distinguir a una persona de un programa automático y no se usa para publicidad ni analítica. Empresa estadounidense.
OpenRouter — pasarela por la que pasan todas las funciones de inteligencia artificial de Brymio, también el asistente de la burbuja de ayuda. Encamina cada petición a un modelo de un proveedor como Google u OpenAI (en Microsoft Azure) y solo recibe el contenido de esa petición. Brymio exige en cada petición proveedores que no guardan lo recibido ni lo usan para entrenar (retención cero); si un modelo no tiene un proveedor así, no se usa. Brymio tampoco usa ese contenido para entrenar modelos. Empresa estadounidense.
Inngest — coordina los trabajos en segundo plano: en Comercio, las importaciones de catálogo, pedidos y clientes, la sincronización de tiendas, los cambios masivos en la tienda y la emisión de facturas de pedidos (también la automática al cobrarse un pedido); en Facturación, la exportación de facturas en ZIP; la construcción del índice del Buscador; y las auditorías de Salud de tienda (las programadas y los reintentos). Los avisos que le mandamos llevan identificadores (y, en Salud de tienda, la dirección pública auditada), nunca credenciales; de cada paso guarda un resultado técnico (estados, contadores e identificadores y, en Salud de tienda, las mediciones de la web auditada). Empresa estadounidense.
Sentry (Functional Software, Inc.) — diagnóstico de errores: cuando algo falla en la aplicación recibe el informe técnico del fallo (dónde ocurrió, el navegador y la pila de llamadas) para que podamos corregirlo. Los datos se guardan en su región de la Unión Europea (Fráncfort, Alemania). Solo lleva los identificadores internos de la persona y de la empresa, nunca su nombre, su correo ni su dirección IP, y antes de enviar nada se quitan de las direcciones web los códigos de acceso y los datos personales. Empresa estadounidense.
GitHub — ejecuta cada noche la copia de seguridad de la base de datos y la deja en Cloudflare R2. La copia pasa por sus servidores mientras dura el proceso y no se guarda allí. Empresa estadounidense.
Telegram — solo si un empleado o un miembro vincula su cuenta con el bot, para fichar o para recibir avisos. En ese caso Telegram trata sus mensajes con el bot, su identificador de usuario y el texto de los avisos que le mandamos (una asignación, una mención, la respuesta a una ausencia). Si nadie lo vincula, no interviene.
Servicios de notificaciones del navegador (Google, Mozilla, Apple o Microsoft, según el navegador) — solo si activas las notificaciones push. Llevan el aviso hasta tu dispositivo; el contenido viaja cifrado y ellos no pueden leerlo.

No son subencargados: Stripe, que cobra tu suscripción (de eso somos responsables nosotros); Google Analytics, que mide el uso de Brymio para nosotros y solo si quien navega acepta las cookies analíticas; el inicio de sesión con Google, que solo interviene si quien entra lo elige; Google PageSpeed Insights, Thum.io y la API pública de GitHub, que solo reciben la dirección pública de la web que auditas o el nombre de un repositorio público; ni tu tienda Shopify o WooCommerce, que es proveedora tuya y no nuestra. Tampoco lo son las herramientas que tú conectes por API, MCP o webhooks.

Antes de añadir o sustituir un subencargado avisaremos por correo a la persona propietaria de tu organización con al menos 30 días de antelación, y actualizaremos esta lista y su fecha. Si el cambio es urgente para mantener el servicio o su seguridad, avisaremos en cuanto lo sepamos. Si te opones por motivos razonables de protección de datos, escríbenos en ese plazo: buscaremos una alternativa y, si no la hay, podrás cancelar antes de que el cambio se aplique y te devolveremos la parte proporcional de lo que hayas pagado por adelantado y no llegues a usar.

10. Transferencias internacionales

La base de datos y la aplicación están en la Unión Europea, pero varios subencargados son empresas estadounidenses y algunos —como OpenRouter y los proveedores de los modelos de inteligencia artificial, Inngest y GitHub, por cuyos servidores pasa cada noche la copia de la base de datos— pueden tratar datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU. Si necesitas el detalle de un proveedor concreto, pídenoslo.

11. Derechos de las personas

Atender los derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición te corresponde a ti, y Brymio te da herramientas para hacerlo sin pasar por nosotros:

Equipo: cada empleado tiene en sus ajustes «Tus datos», donde descarga lo que guardamos sobre él y pide el borrado de lo que no hay obligación de conservar, que se aplica al momento: su ficha pasa a un seudónimo y sus fichajes pierden la ubicación y la foto.
Contratación: quien se presenta a una oferta puede, con el enlace de su candidatura y un código que le llega al correo, consultarla, corregir lo que escribió mientras el proceso siga abierto, descargar sus datos, salir de la bolsa de talento o borrarla. Al vencer el plazo de conservación que fijes, cada candidatura se anonimiza sola, salvo mientras su oferta siga abierta y las de quien acabas contratando.
Comercio: atendemos las peticiones de acceso y de borrado que Shopify envía en nombre de quien te compra; el borrado elimina su ficha de cliente y quita de sus pedidos lo que le identifica, y deja los importes y las facturas emitidas, que hay que conservar. Si necesitas borrar a otro comprador, pídenoslo.
En todos los módulos puedes consultar y corregir lo que guardas, borrar lo que la ley no obliga a conservar y exportarlo en los formatos que se indican en el punto 13.

Si una persona se dirige a nosotros para ejercer un derecho sobre datos de tu organización, no le responderemos sobre el fondo: te trasladaremos la petición sin dilación indebida y le indicaremos que se dirija a ti. Si algo no se puede resolver con las herramientas del producto, te ayudaremos en lo que esté en nuestra mano.

También te daremos la información de que dispongamos para tus evaluaciones de impacto y consultas previas (artículos 35 y 36 del RGPD) y para demostrar que cumples.

12. Violaciones de seguridad

Si sufrimos una violación de la seguridad que afecte a datos de tu organización, te la notificaremos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tengamos constancia de ella, por correo a la persona propietaria y a los administradores. Te contaremos lo que sepamos —qué ha pasado, qué datos y cuántas personas pueden verse afectadas, las consecuencias probables, qué hemos hecho y qué te recomendamos— y lo iremos completando a medida que lo averigüemos. Documentaremos cada violación, sus efectos y las medidas tomadas.

Notificar a la Agencia Española de Protección de Datos y, cuando proceda, a las personas afectadas te corresponde a ti como responsable (artículos 33 y 34 del RGPD); te ayudaremos con lo que necesites.

13. Al terminar: devolución y borrado

Cuando tu organización deja de usar Brymio:

Devolución: antes de eliminarla puedes llevarte los datos con las exportaciones de cada módulo: facturas y presupuestos en PDF, justificantes en ZIP y resúmenes fiscales en CSV; el registro de jornada en PDF o CSV; las candidaturas en CSV; las páginas y bases de datos de Proyectos en un ZIP con HTML y CSV; el catálogo en CSV y, con la descarga de datos de los ajustes, los productos, pedidos y clientes de Comercio en JSON; y los informes de Salud de tienda. Si necesitas algo que esas exportaciones no cubren, pídenoslo en info@brymio.com antes de eliminarla y te lo entregaremos en un formato estructurado.
Borrado: al eliminar la organización deja de ser accesible al instante para sus miembros, sus empleados y sus candidatos, y durante 30 días podemos restaurarla si nos lo pides. Después la borramos definitivamente cuando la persona propietaria nos lo pida por correo: los datos de todos los módulos, sus archivos, los tokens, las conexiones con tiendas y las integraciones. Ese borrado lo ejecutamos nosotros, no es automático, y te confirmaremos por escrito cuando esté hecho.
Lo que la ley obliga a conservar a tu organización no se borra con ella: las facturas emitidas con los datos de sus clientes y, si usas Veri*factu, sus registros encadenados (cuatro años a efectos tributarios y seis los libros y documentos contables), y el registro de jornada con sus correcciones, contratos y nóminas (cuatro años). Lo conservamos bloqueado, por tu cuenta y sin usarlo para nada más, para que puedas cumplir esa obligación y atender una inspección, y lo eliminamos al vencer esos plazos. Las personas de tu plantilla pasan a un seudónimo y sus fichajes pierden la ubicación y la foto. Si prefieres custodiarlo tú, pídenos que te lo entreguemos y lo borraremos en cuanto lo tengas.
Copias de seguridad: lo borrado desaparece de la aplicación al momento, pero puede seguir en las copias de seguridad hasta que caducan, a los 35 días. Esas copias solo se usan para restaurar el servicio.

Las cuentas de usuario de las personas de tu organización no se borran con ella: cada una es de su titular, que la conserva o la elimina, como explica la política de privacidad.

14. Auditorías

Pondremos a tu disposición la información necesaria para demostrar que cumplimos este contrato: este documento, las medidas de seguridad, la lista de subencargados y respuestas por escrito a tus preguntas razonables. Si con eso no basta, podrás auditarnos tú o un auditor independiente obligado a confidencialidad, avisando con al menos 30 días de antelación, una vez al año como máximo salvo que lo exija una autoridad o lo justifique una violación de seguridad, a tu cargo, en horario laboral y sin acceder a datos de otros clientes ni comprometer la seguridad del servicio.

15. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD o este contrato, en los términos del artículo 82 del RGPD. Entre nosotros se aplica la limitación de responsabilidad de los términos del servicio en la medida en que la ley lo permita; esa limitación no afecta a los derechos de las personas cuyos datos se tratan ni a la responsabilidad que no puede excluirse.

16. Legislación aplicable

Este contrato se rige por la legislación española, el RGPD y la LOPDGDD. Para cualquier disputa serán competentes los juzgados y tribunales de España.

17. Aceptación, prioridad y cambios

Este contrato se acepta con los términos del servicio, sin firmar nada aparte, y obliga a las dos partes desde que tu organización empieza a usar Brymio. Si necesitas una copia firmada, pídela en info@brymio.com.

Si los términos del servicio dicen algo distinto sobre el tratamiento de datos personales por nuestra parte, prevalece este contrato.

Podemos actualizar este contrato, por ejemplo al añadir un módulo o cambiar un subencargado. Si el cambio es relevante, te avisaremos por correo o dentro de la aplicación antes de que se aplique. La fecha de arriba indica la última revisión.

Contacto

Para cualquier cuestión sobre este contrato o sobre los datos que tratamos por tu cuenta, escríbenos a info@brymio.com.