Contrato de encargo de tratamiento

Este contrato regula cómo DameHora trata los datos personales de los clientes y del equipo del negocio por cuenta del negocio, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD). Forma parte de las condiciones del servicio y lo acepta el propietario del negocio en su nombre.

1. Partes

Responsable del tratamiento, el negocio que usa DameHora.
Encargado del tratamiento, Teodoro Salas García, NIF 43141584R, titular de DameHora, con correo info@damehora.com.

2. Objeto, naturaleza, finalidad y duración

DameHora trata los datos solo para prestar al negocio el servicio de agenda, reservas online, fichas de clientes, cobros, avisos y recordatorios, mientras dure la suscripción y el periodo de solo consulta que la sigue.

Las operaciones son las que necesita ese servicio. Recoger los datos que el negocio y sus clientes introducen, registrarlos, organizarlos, guardarlos, consultarlos, modificarlos, enviarlos al cliente y al equipo por correo o en avisos de la aplicación, mostrarlos en la aplicación, hacer copias de seguridad y borrarlos.

3. Datos e interesados

Interesados, los clientes del negocio y las personas de su equipo.
Datos de clientes, su nombre, teléfono, correo, citas, servicios, cobros, historial y las notas que el negocio decida apuntar.
Datos del equipo, su nombre, correo, horarios, ausencias, servicios que hace y actividad en la aplicación.
Si el negocio apunta datos de salud, por ejemplo alergias, son una categoría especial de datos. Además de una base del artículo 6 del RGPD, el negocio necesita una excepción del artículo 9.2, por ejemplo el consentimiento explícito del cliente, y es responsable de tenerla. DameHora los trata solo por este encargo y con las mismas medidas que el resto. El formulario público de reserva no pide datos de salud.

4. Instrucciones

DameHora trata los datos solo siguiendo las instrucciones documentadas del negocio, que son las que da al usar la aplicación y las de este contrato. Si una instrucción le parece contraria a la normativa de protección de datos, se lo dirá al negocio de inmediato. DameHora no usa estos datos para fines propios, salvo los tratamientos del apartado 9, que hace como responsable y que no forman parte de este encargo.

5. Confidencialidad

DameHora garantiza que las personas que acceden a los datos se han comprometido a mantener la confidencialidad o están obligadas a ello por ley.

6. Seguridad

DameHora aplica las medidas del artículo 32 del RGPD, entre ellas conexiones cifradas, contraseñas cifradas, separación de los datos de cada negocio, permisos por papel, registro de las acciones importantes, una base de datos que no es accesible desde internet, copias de seguridad periódicas en la Unión Europea y un acceso de soporte limitado, de solo lectura, con motivo y registrado.

7. Asistencia al negocio

DameHora ayuda al negocio a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de sus clientes y de su equipo.
Le ayuda, cuando proceda, en las evaluaciones de impacto y en las consultas a la autoridad de control.
Pone a su disposición la información necesaria para demostrar el cumplimiento de este contrato.

8. Violaciones de seguridad

DameHora avisará al negocio sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga constancia, de cualquier violación de seguridad que afecte a sus datos. Le dará la información disponible sobre lo ocurrido, los datos y las personas afectadas, las consecuencias probables y las medidas tomadas o propuestas, y la irá completando a medida que la tenga.

9. Lo que DameHora trata como responsable

DameHora hace, como responsable y no como encargado, estos tratamientos con algunos datos de la agenda, y los explica a los clientes en su política de privacidad:

La seguridad general de la reserva online y la prevención de abusos, por ejemplo comprobar con un código el correo de quien reserva y frenar las reservas automáticas o repetidas. Usa los datos de contacto de la reserva y datos técnicos, como una huella de la dirección IP.
Las opiniones verificadas, que son invitar a opinar a quien lo autoriza al reservar, publicar su opinión y moderarla. Usa su nombre, su correo y la cita completada.

Fuera de estos dos tratamientos, las medidas de seguridad que DameHora aplica a los datos del negocio forman parte de este encargo.

10. Subencargados

El negocio autoriza a DameHora a usar estos subencargados, todos con contrato y con obligaciones equivalentes a las de este contrato:

Hetzner Online GmbH (Gunzenhausen, Alemania). Aloja los servidores, la base de datos y las copias de seguridad. Trata todos los datos del servicio, solo en sus centros de la Unión Europea, y no hace transferencias.
Mailjet SAS (París, Francia), del grupo Sinch. Envía los correos a los clientes y al equipo. Trata el nombre, el correo y el contenido de cada mensaje, guardados en centros de Google Cloud en Alemania y Bélgica. Una empresa de su grupo en Estados Unidos y algunos proveedores de soporte pueden acceder a ellos, con las cláusulas contractuales tipo de la Comisión Europea y, para esa empresa, también el Marco de Privacidad de Datos UE-EE. UU.
Google, con Firebase Cloud Messaging. Entrega los avisos de la aplicación en los aparatos del equipo que los activan. Trata el identificador del aparato y el contenido del aviso, por ejemplo una cita nueva, y puede hacerlo en cualquier país donde Google tenga instalaciones, con el Marco de Privacidad de Datos UE-EE. UU. para Estados Unidos y las cláusulas contractuales tipo para otros países. En iPhone y iPad, el aviso llega a través del servicio de notificaciones de Apple.

No son subencargados de este encargo, porque no tratan datos del negocio por su cuenta:

reCAPTCHA de Google, que DameHora usa para su propia seguridad de la reserva (apartado 9).
Stripe, que cobra al negocio su suscripción con DameHora.
Google Maps, que recibe la dirección de las sedes cuando el negocio las coloca en el mapa, como responsable independiente.
Bilteo, que el negocio contrata y conecta por su cuenta para facturar. DameHora le envía los datos de cada cobro por instrucción del negocio.

DameHora avisará al negocio de cualquier subencargado nuevo con al menos 30 días de antelación, y el negocio podrá oponerse por motivos razonables. Si no se llega a un acuerdo, podrá darse de baja.

11. Auditorías

DameHora permite y facilita las auditorías e inspecciones que haga el negocio o un auditor que este designe, con un aviso previo razonable, en horario laboral y sin acceso a los datos de otros negocios.

12. Obligaciones del negocio

Facilitar a DameHora los datos necesarios para el servicio, informar a sus clientes y a su equipo del tratamiento, tener una base legal para los datos que guarda y supervisar el tratamiento.

13. Fin del encargo, devolución y supresión

Al terminar la suscripción, el negocio dispone de 90 días de acceso de solo consulta para revisar sus datos y pedir una copia, que DameHora le entregará en un formato estructurado. Si lo prefiere, puede pedir que los borremos antes. Al acabar ese plazo, DameHora los borra, y pide a sus subencargados que borren los que guarden. Desaparecen de las copias de seguridad como mucho 15 días después, y si hubiera que restaurar una copia antes, DameHora volvería a aplicar los borrados. Los que una ley obligue a conservar se guardan bloqueados durante el plazo legal y no se usan para nada más.