Contracte d'encàrrec de tractament

Aquest contracte regula com DameHora tracta les dades personals dels clients i de l'equip del negoci per compte del negoci, conforme a l'article 28 del Reglament general de protecció de dades (RGPD). Forma part de les condicions del servei i l'accepta el propietari del negoci en el seu nom.

1. Parts

• Responsable del tractament, el negoci que fa servir DameHora.
• Encarregat del tractament, Teodoro Salas García, NIF 43141584R, titular de DameHora, amb correu info@damehora.com.

2. Objecte, naturalesa, finalitat i durada

DameHora tracta les dades només per prestar al negoci el servei d'agenda, reserves en línia, fitxes de clients, cobraments, avisos i recordatoris, mentre duri la subscripció i el període de només consulta que la segueix.

Les operacions són les que necessita aquest servei. Recollir les dades que el negoci i els seus clients introdueixen, registrar-les, organitzar-les, guardar-les, consultar-les, modificar-les, enviar-les al client i a l'equip per correu o en avisos de l'aplicació, mostrar-les a l'aplicació, fer-ne còpies de seguretat i esborrar-les.

3. Dades i interessats

• Interessats, els clients del negoci i les persones del seu equip.
• Dades de clients, el seu nom, telèfon, correu, cites, serveis, cobraments, historial i les notes que el negoci decideixi apuntar.
• Dades de l'equip, el seu nom, correu, horaris, absències, serveis que fa i activitat a l'aplicació.
• Si el negoci apunta dades de salut, per exemple al·lèrgies, són una categoria especial de dades. A més d'una base de l'article 6 del RGPD, el negoci necessita una excepció de l'article 9.2, per exemple el consentiment explícit del client, i és responsable de tenir-la. DameHora les tracta només per aquest encàrrec i amb les mateixes mesures que la resta. El formulari públic de reserva no demana dades de salut.

4. Instruccions

DameHora tracta les dades només seguint les instruccions documentades del negoci, que són les que dona en fer servir l'aplicació i les d'aquest contracte. Si una instrucció li sembla contrària a la normativa de protecció de dades, l'hi dirà al negoci immediatament. DameHora no fa servir aquestes dades per a fins propis, llevat dels tractaments de l'apartat 9, que fa com a responsable i que no formen part d'aquest encàrrec.

5. Confidencialitat

DameHora garanteix que les persones que accedeixen a les dades s'han compromès a mantenir-ne la confidencialitat o hi estan obligades per llei.

6. Seguretat

DameHora aplica les mesures de l'article 32 del RGPD, entre elles connexions xifrades, contrasenyes xifrades, separació de les dades de cada negoci, permisos per paper, registre de les accions importants, una base de dades que no és accessible des d'internet, còpies de seguretat periòdiques a la Unió Europea i un accés de suport limitat, de només lectura, amb motiu i registrat.

7. Assistència al negoci

• DameHora ajuda el negoci a atendre les sol·licituds d'accés, rectificació, supressió, oposició, limitació i portabilitat dels seus clients i del seu equip.
• L'ajuda, quan escaigui, en les avaluacions d'impacte i en les consultes a l'autoritat de control.
• Posa a la seva disposició la informació necessària per demostrar el compliment d'aquest contracte.

8. Violacions de seguretat

DameHora avisarà el negoci sense dilació indeguda, i en tot cas en un termini de 48 hores des que en tingui constància, de qualsevol violació de seguretat que afecti les seves dades. Li donarà la informació disponible sobre el que ha passat, les dades i les persones afectades, les conseqüències probables i les mesures preses o proposades, i l'anirà completant a mesura que la tingui.

9. El que DameHora tracta com a responsable

DameHora fa, com a responsable i no com a encarregat, aquests tractaments amb algunes dades de l'agenda, i els explica als clients a la seva política de privadesa:

• La seguretat general de la reserva en línia i la prevenció d'abusos, per exemple comprovar amb un codi el correu de qui reserva i aturar les reserves automàtiques o repetides. Fa servir les dades de contacte de la reserva i dades tècniques, com una empremta de l'adreça IP.
• Les opinions verificades, que són convidar a opinar qui ho autoritza en reservar, publicar la seva opinió i moderar-la. Fa servir el seu nom, el seu correu i la cita completada.

Fora d'aquests dos tractaments, les mesures de seguretat que DameHora aplica a les dades del negoci formen part d'aquest encàrrec.

10. Subencarregats

El negoci autoritza DameHora a fer servir aquests subencarregats, tots amb contracte i amb obligacions equivalents a les d'aquest contracte:

• Hetzner Online GmbH (Gunzenhausen, Alemanya). Allotja els servidors, la base de dades i les còpies de seguretat. Tracta totes les dades del servei, només als seus centres de la Unió Europea, i no fa transferències.
• Mailjet SAS (París, França), del grup Sinch. Envia els correus als clients i a l'equip. Tracta el nom, el correu i el contingut de cada missatge, guardats en centres de Google Cloud a Alemanya i Bèlgica. Una empresa del seu grup als Estats Units i alguns proveïdors de suport hi poden accedir, amb les clàusules contractuals tipus de la Comissió Europea i, per a aquesta empresa, també el Marc de Privadesa de Dades UE-EUA.
• Google, amb Firebase Cloud Messaging. Lliura els avisos de l'aplicació als aparells de l'equip que els activen. Tracta l'identificador de l'aparell i el contingut de l'avís, per exemple una cita nova, i ho pot fer a qualsevol país on Google tingui instal·lacions, amb el Marc de Privadesa de Dades UE-EUA per als Estats Units i les clàusules contractuals tipus per a altres països. A l'iPhone i l'iPad, l'avís arriba a través del servei de notificacions d'Apple.

No són subencarregats d'aquest encàrrec, perquè no tracten dades del negoci per compte seu:

• reCAPTCHA de Google, que DameHora fa servir per a la seva pròpia seguretat de la reserva (apartat 9).
• Stripe, que cobra al negoci la seva subscripció amb DameHora.
• Google Maps, que rep l'adreça de les seus quan el negoci les col·loca al mapa, com a responsable independent.
• Bilteo, que el negoci contracta i connecta pel seu compte per facturar. DameHora li envia les dades de cada cobrament per instrucció del negoci.

DameHora avisarà el negoci de qualsevol subencarregat nou amb almenys 30 dies d'antelació, i el negoci s'hi podrà oposar per motius raonables. Si no s'arriba a un acord, es podrà donar de baixa.

11. Auditories

DameHora permet i facilita les auditories i inspeccions que faci el negoci o un auditor que aquest designi, amb un avís previ raonable, en horari laboral i sense accés a les dades d'altres negocis.

12. Obligacions del negoci

Facilitar a DameHora les dades necessàries per al servei, informar els seus clients i el seu equip del tractament, tenir una base legal per a les dades que guarda i supervisar el tractament.

13. Fi de l'encàrrec, devolució i supressió

En acabar la subscripció, el negoci disposa de 90 dies d'accés de només consulta per revisar les seves dades i demanar-ne una còpia, que DameHora li lliurarà en un format estructurat. Si ho prefereix, pot demanar que les esborrem abans. En acabar aquest termini, DameHora les esborra, i demana als seus subencarregats que esborrin les que guardin. Desapareixen de les còpies de seguretat com a molt 15 dies després, i si calgués restaurar una còpia abans, DameHora tornaria a aplicar els esborrats. Les que una llei obligui a conservar es guarden bloquejades durant el termini legal i no es fan servir per a res més.