El Españolito
Registro de Actividades de Tratamiento (R.A.T.)
Última actualización 16/09/2026
Responsable del Tratamiento
- Nombre de la empresa: GESTIÓN PATRIMONIAL ADVANCED URBAN, S.L. (en adelante "GPAU")
• CIF: B88234109
• Dirección: Calle de la Montera 32, 28013 Madrid
• Email: contacto@elespanolito.es
Delegado de Protección de Datos (DPO)
- Empresa: NOXDATA SOLUCIONES DIGITALES, S.L.
• Nombre del Delegado: José María Braunstein
• Contacto DPO: protecciondedatos@noxdata.es
Descripción de la actividad de tratamiento
Fecha de registro: 16 de septiembre de 2026
Obligación legal
El presente Registro de Actividades de Tratamiento se elabora en cumplimiento de lo dispuesto en el artículo 30 del Reglamento (UE) 2016/679 (RGPD) y el artículo 31 de la Ley Orgánica 3/2018 (LOPDGDD), en aplicación del principio de responsabilidad proactiva.
Responsable del tratamiento
Órgano de administración de GPAU
Descripción de la actividad de tratamiento
GPAU es una empresa dedicada a la elaboración, preparación y venta de comidas para llevar, incluyendo la gestión de pedidos a domicilio mediante canales telefónicos, presenciales y plataformas digitales.
En el desarrollo de su actividad, la empresa trata datos personales de clientes, potenciales clientes, empleados, repartidores, proveedores y colaboradores. El tratamiento incluye la recepción de pedidos, gestión de entregas, facturación, atención al cliente y gestión de incidencias.
Asimismo, el negocio puede implicar el uso de plataformas externas de delivery o pedidos online, lo que conlleva la interacción con terceros encargados del tratamiento. También se gestionan datos de localización asociados al reparto, así como preferencias de consumo en determinados casos.
El tratamiento de datos se realiza mediante sistemas informáticos, aplicaciones de gestión de pedidos, TPV, bases de datos internas y soportes documentales, garantizando la confidencialidad y seguridad de la información.
Base legal del tratamiento
- RGPD: 6.1.b ejecución de contrato de compraventa y entrega de pedidos
- RGPD: 6.1.c cumplimiento de obligaciones legales
- RGPD: 6.1.f interés legítimo en la gestión del negocio y atención al cliente
- RGPD: 6.1.a consentimiento para comunicaciones comerciales (cuando proceda)
- Ley Orgánica 3/2018 de Protección de Datos Personales
Finalidad del tratamiento
- Gestión de pedidos y entregas a domicilio
- Atención al cliente
- Facturación y cobros
- Gestión de incidencias
- Gestión de relaciones comerciales
- Cumplimiento de obligaciones legales
Datos personales tratados
- Datos identificativos (nombre, apellidos)
- Datos de contacto (teléfono, email)
- Dirección de entrega
- Datos de pedidos (historial, preferencias)
- Datos económicos (pagos, facturación)
- Datos de localización para reparto
- Datos de empleados y repartidores
Transferencia Internacional de datos
Con carácter general, no se realizan transferencias internacionales de datos. En caso de uso de plataformas tecnológicas o proveedores ubicados fuera del Espacio Económico Europeo (por ejemplo, plataformas de pedidos o servicios cloud), se garantizará el cumplimiento de los artículos 44 a 49 del RGPD mediante la adopción de garantías adecuadas.
Plazo supresión
Los datos se conservarán durante la relación comercial y posteriormente durante los plazos legales establecidos en materia fiscal, contable y de consumo.
Medidas de seguridad implementadas
- Control de accesos a sistemas
- Autenticación de usuarios
- Cifrado de datos en plataformas digitales
- Copias de seguridad
- Control de acceso a información de pedidos
- Políticas internas de seguridad
- Formación del personal
Departamento Administración
Fecha de registro: 16 de septiembre de 2026
Responsable del tratamiento
Departamento de Administración de GPAU
Descripción de la actividad de tratamiento
Gestión administrativa, contable y financiera de la empresa, incluyendo la facturación, control de ingresos, pagos a proveedores y cumplimiento de obligaciones fiscales.
Base legal del tratamiento
- RGPD: 6.1.b ejecución contractual
- RGPD: 6.1.c cumplimiento de obligaciones legales
- RGPD: 6.1.f interés legítimo organizativo
Finalidad del tratamiento
- Facturación
- Gestión de cobros y pagos
- Relación con proveedores
- Cumplimiento fiscal
Datos personales tratados
- Datos identificativos
- Datos de contacto
- Datos bancarios
- Datos fiscales
- Datos contractuales
Transferencia Internacional de datos
No se realizan
Plazo supresión
Conforme a normativa fiscal y mercantil
Medidas de seguridad implementadas
- Acceso restringido
- Protección de sistemas contables
- Copias de seguridad
- Control documental
Gestión de RRHH
Fecha de registro: 16 de septiembre de 2026
Responsable del tratamiento
Departamento de Recursos Humanos
Descripción de la actividad de tratamiento
Gestión del personal de cocina, atención al cliente y reparto, incluyendo procesos de selección, contratación, gestión laboral y cumplimiento de normativa laboral.
Base legal del tratamiento
- RGPD: 6.1.b relación laboral
- RGPD: 6.1.c cumplimiento de obligaciones legales
- RGPD: 9.2.b tratamiento de datos de salud laboral
Finalidad del tratamiento
- Selección de personal
- Contratación
- Gestión de nóminas
- Prevención de riesgos laborales
- Control de jornada
Datos personales tratados
- Datos identificativos
- Datos laborales
- Datos económicos
- Datos de formación
- Datos de salud laboral
Transferencia Internacional de datos
No se realizan
Plazo supresión
Durante la relación laboral y plazos legales posteriores
Medidas de seguridad implementadas
- Acceso restringido
- Confidencialidad del personal
- Custodia de expedientes
Atención a los Derechos de las Personas
Fecha de registro: 16 de septiembre de 2026
Responsable del tratamiento
Área de Cumplimiento Normativo
Descripción de la actividad de tratamiento
Gestión de solicitudes de ejercicio de derechos por parte de clientes, empleados y otros interesados en relación con sus datos personales.
Base legal del tratamiento
- RGPD: 6.1.c obligación legal
Finalidad del tratamiento
- Atender derechos ARSULIPO
- Registrar solicitudes
- Responder dentro de plazo
Datos personales tratados
- Datos identificativos
- Datos de contacto
- Datos de la solicitud
Transferencia Internacional de datos
No se realizan
Plazo supresión
5 años
Medidas de seguridad implementadas
- Registro documental
- Control de accesos
- Procedimientos internos
Gestión de Brechas de Datos Personales
Fecha de registro: 16 de septiembre de 2026
Responsable del tratamiento
Área de Seguridad y Cumplimiento
Descripción de la actividad de tratamiento
Gestión de incidentes de seguridad que puedan afectar a datos personales, incluyendo datos de clientes y pedidos, especialmente en entornos digitales y plataformas de delivery.
Base legal del tratamiento
- RGPD: 6.1.c obligación legal
- RGPD: artículos 32, 33 y 34
Finalidad del tratamiento
- Detección de incidentes
- Evaluación de riesgos
- Notificación a la AEPD
- Comunicación a afectados
- Aplicación de medidas correctivas
Datos personales tratados
- Datos del incidente
- Datos afectados
- Registros técnicos
Transferencia Internacional de datos
No se realizan
Plazo supresión
Durante el tiempo necesario para cumplimiento legal
Medidas de seguridad implementadas
- Protocolos de incidentes
- Registro de brechas
- Control de accesos
- Evaluación de riesgos
- Medidas correctivas
Gestión de videovigilancia
Fecha de registro: 16 de septiembre de 2026
Responsable del tratamiento
Área de Seguridad de GPAU
Descripción de la actividad de tratamiento
GPAU dispone de sistemas de videovigilancia en sus instalaciones (zona de cocina, acceso al local y áreas de atención al público) con la finalidad de garantizar la seguridad de empleados, clientes y bienes, así como prevenir incidentes y actos ilícitos.
Base legal del tratamiento
- RGPD: 6.1.f interés legítimo en la seguridad
- Ley Orgánica 3/2018 (LOPDGDD) en materia de videovigilancia
Finalidad del tratamiento
- Garantizar la seguridad del establecimiento
- Controlar accesos
- Prevenir robos o incidentes
- Proteger a empleados y clientes
Datos personales tratados
- Imágenes de clientes, empleados, repartidores y proveedores
- Registros de acceso
Transferencia Internacional de datos
No se realizan
Plazo supresión
Máximo 30 días salvo requerimiento legal
Medidas de seguridad implementadas
- Acceso restringido a grabaciones
- Almacenamiento seguro
- Control de acceso a sistemas
- Cartelería informativa conforme a normativa
CONCLUSIÓN
GPAU mantiene el presente Registro de Actividades de Tratamiento como herramienta esencial de cumplimiento del RGPD y la LOPDGDD, garantizando un tratamiento adecuado de los datos personales en el desarrollo de su actividad de restauración y reparto a domicilio.
La empresa aplica un enfoque basado en el riesgo, implementando medidas técnicas y organizativas adecuadas, incluyendo sistemas de videovigilancia conforme a la normativa vigente, asegurando la confidencialidad, integridad y disponibilidad de los datos personales tratados.
