Acuerdo de Encargado del Tratamiento (DPA)
1. Objeto
El presente Acuerdo de Encargado del Tratamiento (en adelante, el "Acuerdo") regula los tratamientos de datos personales que FacturasApp, S.L., prestadora de los servicios bajo la marca comercial PeluquIA (en adelante, PeluquIA), realiza por cuenta de sus Clientes durante la prestación del Servicio, de conformidad con lo dispuesto en el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y en la demás normativa aplicable en materia de protección de datos.
El presente Acuerdo forma parte integrante de la documentación contractual de PeluquIA y complementa el Acuerdo de Prestación del Servicio, los Términos y Condiciones, la Política de Privacidad y el resto de documentos que integran la relación contractual entre las Partes.
2. Identificación de las Partes
A efectos del presente Acuerdo:
#### Cliente
Tendrá la consideración de Responsable del Tratamiento, respecto de los datos personales que incorpore a la Plataforma o cuyo tratamiento encargue a PeluquIA para la prestación del Servicio.
#### PeluquIA
Actuará como Encargado del Tratamiento, exclusivamente respecto de aquellos tratamientos realizados por cuenta del Cliente para la prestación del Servicio contratado.
3. Ámbito del encargo
El presente Acuerdo será de aplicación únicamente respecto de aquellos tratamientos de datos personales que PeluquIA realice siguiendo las instrucciones documentadas del Cliente y que resulten necesarios para la prestación del Servicio contratado.
Quedan expresamente excluidos del ámbito del presente Acuerdo los tratamientos realizados por PeluquIA en calidad de Responsable del Tratamiento para la gestión de su propia actividad empresarial, el cumplimiento de obligaciones legales, la seguridad de sus sistemas, la prevención del fraude, la mejora del Servicio, el desarrollo de nuevas funcionalidades, la investigación, la innovación tecnológica, el entrenamiento y validación de modelos propios y las restantes finalidades descritas en la Política de Privacidad.
4. Naturaleza y finalidad del tratamiento
Los tratamientos realizados por PeluquIA podrán comprender, entre otras operaciones:
- recogida;
- registro;
- organización;
- estructuración;
- conservación;
- consulta;
- utilización;
- comunicación por transmisión cuando resulte necesaria para la prestación del Servicio;
- puesta a disposición;
- limitación;
- supresión;
- destrucción;
- cualquier otra operación estrictamente necesaria para la ejecución del Servicio contratado.
La finalidad del tratamiento consistirá exclusivamente en permitir la prestación de los servicios contratados por el Cliente mediante la Plataforma PeluquIA.
5. Categorías de interesados y de datos personales
Durante la prestación del Servicio, PeluquIA podrá tratar datos personales correspondientes, entre otros, a las siguientes categorías de interesados:
- usuarios autorizados por el Cliente;
- Recursos;
- Clientes Finales;
- empleados o colaboradores del Cliente;
- proveedores del Cliente;
- otras personas cuyos datos sean incorporados por el Cliente para la utilización del Servicio.
Las categorías de datos personales tratadas podrán comprender, entre otras:
- datos identificativos;
- datos de contacto;
- información de agenda y disponibilidad;
- reservas y citas;
- conversaciones mantenidas mediante los canales habilitados;
- grabaciones de llamadas y sus transcripciones;
- información incorporada por el Cliente durante la configuración y utilización del Servicio;
- datos técnicos derivados de la utilización de la Plataforma.
6. Duración del tratamiento
El presente Acuerdo permanecerá vigente mientras PeluquIA preste el Servicio al Cliente y continúe realizando tratamientos de datos personales por cuenta de éste.
La terminación del Acuerdo de Prestación del Servicio implicará igualmente la terminación del presente Acuerdo, sin perjuicio de aquellas obligaciones que, por su naturaleza, deban mantenerse con posterioridad.
7. Obligaciones de PeluquIA como Encargado del Tratamiento
En relación con los tratamientos de datos personales realizados por cuenta del Cliente, PeluquIA asumirá las siguientes obligaciones:
7.1 Tratamiento conforme a instrucciones
PeluquIA tratará los datos personales únicamente siguiendo las instrucciones documentadas del Cliente, salvo que una disposición legal aplicable exija un tratamiento distinto. En tal caso, PeluquIA informará al Cliente, salvo que la legislación aplicable prohíba dicha comunicación por razones de interés público.
Las instrucciones del Cliente deberán ser compatibles con la finalidad del Servicio contratado, la normativa aplicable y las funcionalidades disponibles en la Plataforma.
PeluquIA no estará obligada a ejecutar instrucciones que resulten manifiestamente contrarias a la legislación vigente, técnicamente inviables o incompatibles con la prestación ordinaria del Servicio. Cuando PeluquIA considere que una instrucción del Cliente infringe la normativa aplicable en materia de protección de datos, lo pondrá en su conocimiento sin dilación indebida.
7.2 Confidencialidad
PeluquIA garantizará que todas las personas autorizadas para acceder a datos personales tratados por cuenta del Cliente se encuentren sujetas al correspondiente deber de confidencialidad, ya sea por obligación contractual, legal o profesional.
Dicho deber subsistirá incluso una vez finalizada la relación laboral, profesional o contractual correspondiente.
7.3 Personal autorizado
PeluquIA limitará el acceso a los datos personales exclusivamente al personal y colaboradores que necesiten conocer dicha información para el desempeño de sus funciones relacionadas con la prestación del Servicio.
El acceso se realizará conforme al principio de necesidad de conocimiento y aplicando mecanismos adecuados de control de acceso.
7.4 Medidas de seguridad
PeluquIA adoptará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza de los tratamientos realizados y los riesgos para los derechos y libertades de las personas físicas.
Las medidas podrán comprender, entre otras, controles de acceso, autenticación, cifrado cuando resulte apropiado, copias de seguridad, monitorización de sistemas, registros de actividad, gestión de vulnerabilidades y procedimientos de recuperación ante incidencias.
La evolución tecnológica o la incorporación de nuevas medidas de seguridad no requerirá la modificación del presente Acuerdo.
7.5 Asistencia al Cliente
Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, PeluquIA prestará al Cliente una asistencia razonable para facilitar el cumplimiento de las obligaciones que le correspondan como Responsable del Tratamiento conforme a la normativa aplicable, incluyendo, cuando resulte procedente:
- atención de solicitudes relacionadas con el ejercicio de derechos;
- gestión de incidentes de seguridad;
- evaluaciones de impacto;
- consultas formuladas por autoridades competentes;
- cualquier otra obligación legal relacionada con los tratamientos realizados por cuenta del Cliente.
La asistencia se limitará a aquella que resulte razonablemente posible atendiendo a la naturaleza del Servicio contratado y a las funcionalidades disponibles en la Plataforma.
7.6 Registro de actividades y evidencias
PeluquIA podrá mantener registros técnicos y operativos relacionados con la utilización de la Plataforma cuando ello resulte necesario para garantizar la seguridad, estabilidad, trazabilidad, continuidad del Servicio o el cumplimiento de obligaciones legales.
Cuando dichos registros incluyan datos personales tratados por cuenta del Cliente, PeluquIA los tratará conforme a lo previsto en el presente Acuerdo y en la Política de Privacidad.
8. Subencargados del Tratamiento
8.1 Autorización general
El Cliente autoriza con carácter general a PeluquIA para recurrir a terceros que actúen como subencargados del tratamiento cuando su intervención resulte necesaria para la adecuada prestación, mantenimiento, seguridad o evolución del Servicio.
Los subencargados podrán prestar, entre otros, servicios relacionados con:
- alojamiento e infraestructura tecnológica;
- almacenamiento de información;
- comunicaciones electrónicas;
- telefonía y mensajería;
- inteligencia artificial y procesamiento del lenguaje natural;
- monitorización y seguridad;
- soporte técnico;
- cualesquiera otros servicios tecnológicos necesarios para la prestación del Servicio.
8.2 Selección y contratación
PeluquIA seleccionará a los subencargados atendiendo a criterios de capacidad técnica, seguridad, fiabilidad y cumplimiento normativo.
PeluquIA formalizará con cada subencargado un acuerdo que le imponga obligaciones de protección de datos sustancialmente equivalentes a las asumidas por PeluquIA en virtud del presente Acuerdo, en la medida en que resulten aplicables a los servicios prestados por dicho subencargado.
8.3 Incorporación o sustitución de subencargados
PeluquIA podrá incorporar nuevos subencargados, sustituir los existentes o dejar de utilizar sus servicios.
Cuando la incorporación o sustitución pueda afectar al tratamiento de datos personales realizado por cuenta del Cliente, PeluquIA informará al Cliente con una antelación razonable mediante la Plataforma, correo electrónico o cualquier otro canal habitual de comunicación.
La comunicación identificará al nuevo subencargado o, cuando resulte más adecuado, la categoría de servicio prestado, su ubicación y la función que desempeñará en relación con el tratamiento.
8.4 Derecho de oposición
El Cliente podrá formular una oposición razonada a la incorporación o sustitución de un subencargado cuando existan motivos objetivos relacionados con la protección de datos personales.
La oposición deberá comunicarse a PeluquIA dentro del plazo indicado en la correspondiente notificación y deberá explicar de forma suficiente los motivos en que se fundamenta.
Las Partes procurarán alcanzar una solución razonable que permita continuar la prestación del Servicio sin comprometer el cumplimiento de la normativa aplicable.
Cuando no resulte posible alcanzar una solución razonable, PeluquIA podrá:
- abstenerse de utilizar al subencargado respecto del Cliente, cuando ello resulte técnica y comercialmente viable;
- ofrecer una alternativa razonable;
- o resolver la parte del Servicio afectada o la relación contractual, devolviendo, cuando proceda, la parte proporcional del precio correspondiente al período no disfrutado.
8.5 Responsabilidad frente al Cliente
PeluquIA continuará siendo responsable frente al Cliente del cumplimiento por parte de sus subencargados de las obligaciones que les resulten aplicables en materia de protección de datos.
La utilización de subencargados no limitará las obligaciones asumidas por PeluquIA frente al Cliente en virtud del presente Acuerdo.
8.6 Información sobre subencargados
PeluquIA mantendrá a disposición del Cliente información actualizada sobre los subencargados que intervengan materialmente en el tratamiento de datos personales realizado por cuenta del Cliente.
Dicha información podrá facilitarse mediante la Plataforma, el Sitio Web, un anexo al presente Acuerdo o cualquier otro mecanismo que PeluquIA habilite para tal fin.
9. Transferencias internacionales de datos
Cuando la prestación del Servicio implique la realización de transferencias internacionales de datos personales por cuenta del Cliente, PeluquIA garantizará que dichas transferencias se lleven a cabo de conformidad con la normativa aplicable y utilizando alguno de los mecanismos legalmente previstos para asegurar un nivel adecuado de protección.
Cuando resulte exigible, PeluquIA informará al Cliente sobre el mecanismo jurídico utilizado para legitimar dichas transferencias.
10. Violaciones de seguridad de los datos personales
Cuando PeluquIA tenga conocimiento de una violación de seguridad que afecte a datos personales tratados por cuenta del Cliente, notificará dicha circunstancia al Cliente sin dilación indebida, proporcionando la información disponible que resulte razonablemente necesaria para que éste pueda cumplir las obligaciones que le correspondan conforme a la normativa aplicable.
PeluquIA colaborará con el Cliente en la investigación del incidente y en la adopción de las medidas correctoras que resulten razonablemente necesarias, teniendo en cuenta la naturaleza del Servicio y la información de que disponga.
La notificación de una violación de seguridad no implicará, por sí sola, el reconocimiento de responsabilidad por parte de PeluquIA respecto del origen o consecuencias del incidente.
11. Obligaciones del Cliente como Responsable del Tratamiento
Corresponderá exclusivamente al Cliente, en su condición de Responsable del Tratamiento:
- determinar las finalidades y los medios esenciales del tratamiento de los datos personales incorporados a la Plataforma;
- garantizar que dispone de una base jurídica válida para el tratamiento de los datos personales cuya gestión encomiende a PeluquIA;
- cumplir las obligaciones de información frente a los interesados cuando resulten exigibles;
- garantizar que los datos incorporados a la Plataforma sean adecuados, pertinentes y limitados a las finalidades perseguidas;
- atender el ejercicio de los derechos reconocidos por la normativa de protección de datos cuando PeluquIA actúe únicamente como Encargado del Tratamiento;
- impartir a PeluquIA instrucciones compatibles con la legislación vigente, el presente Acuerdo y las funcionalidades del Servicio contratado;
- garantizar que la utilización del Servicio se ajusta a la normativa aplicable y a los derechos de terceros.
El Cliente será responsable de la exactitud, licitud y actualización de los datos personales incorporados a la Plataforma, así como de las consecuencias derivadas de su tratamiento cuando éste se realice conforme a sus instrucciones.
12. Ejercicio de derechos por los interesados
Cuando PeluquIA reciba directamente una solicitud relacionada con el ejercicio de derechos respecto de datos tratados por cuenta del Cliente, la trasladará a éste sin dilación indebida, salvo que la normativa aplicable permita o exija una actuación distinta.
PeluquIA prestará al Cliente la colaboración razonablemente necesaria para facilitar la atención de dichas solicitudes, dentro del alcance de los servicios contratados y de las funcionalidades disponibles en la Plataforma.
La responsabilidad de resolver las solicitudes corresponderá al Cliente cuando actúe como Responsable del Tratamiento.
13. Finalización del tratamiento
Finalizada la prestación del Servicio, PeluquIA dejará de tratar los datos personales por cuenta del Cliente, sin perjuicio de aquellos tratamientos que deban mantenerse por obligación legal o de aquellos respecto de los cuales PeluquIA actúe como Responsable del Tratamiento conforme a su Política de Privacidad.
A la finalización del Servicio, el Cliente podrá solicitar la devolución de los datos personales mediante las funcionalidades de exportación disponibles en la Plataforma o su eliminación definitiva, cuando resulte técnica y legalmente posible.
Si el Cliente no impartiera instrucciones al respecto, PeluquIA podrá conservar temporalmente los datos conforme a su Política de Privacidad con el fin de permitir una eventual reactivación del Servicio. Transcurrido dicho período, o cuando el Cliente solicite expresamente su eliminación, los datos serán suprimidos salvo que exista una obligación legal que justifique su conservación.
14. Auditorías e información
PeluquIA pondrá a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento de las obligaciones asumidas en virtud del presente Acuerdo.
Cuando resulte razonablemente necesario para verificar dicho cumplimiento, el Cliente podrá realizar auditorías o inspecciones, directamente o mediante un tercero sujeto a deber de confidencialidad, previa notificación con una antelación razonable y procurando no interferir en la actividad ordinaria de PeluquIA ni comprometer la seguridad o confidencialidad de la información de otros Clientes.
Las auditorías se limitarán al tratamiento de datos realizado por cuenta del Cliente y se desarrollarán conforme a criterios de proporcionalidad, buena fe y mínima afectación para la actividad de PeluquIA.
Cuando las solicitudes de información o auditoría resulten manifiestamente excesivas, repetitivas o impliquen costes extraordinarios, las Partes acordarán previamente las condiciones de su realización.
15. Responsabilidad
Cada una de las Partes responderá exclusivamente por los incumplimientos que le sean imputables conforme a la normativa aplicable y al presente Acuerdo.
PeluquIA no responderá por los tratamientos realizados por el Cliente al margen de la Plataforma, por las instrucciones impartidas por el Cliente que resulten contrarias a la legislación vigente o por los daños derivados de información incorrecta, incompleta, inexacta o ilícitamente obtenida e incorporada por el Cliente.
El Cliente responderá de las consecuencias derivadas del tratamiento de datos personales cuando actúe como Responsable del Tratamiento y, en particular, de la existencia de una base jurídica válida para los tratamientos que encomiende a PeluquIA.
La responsabilidad de PeluquIA derivada de los tratamientos realizados como Encargado del Tratamiento quedará sujeta, además de a la normativa aplicable, a las limitaciones de responsabilidad previstas en el Acuerdo de Prestación del Servicio y en los Términos y Condiciones, en cuanto resulten compatibles con la legislación de protección de datos.
16. Modificaciones del presente Acuerdo
PeluquIA podrá modificar el presente Acuerdo cuando resulte necesario para adaptarlo a cambios legislativos, criterios de las autoridades de control, evolución de la Plataforma o modificaciones en la forma de prestación del Servicio.
Cuando las modificaciones afecten de manera sustancial a las obligaciones asumidas por las Partes, PeluquIA informará al Cliente con una antelación razonable a su entrada en vigor.
17. Legislación aplicable
El presente Acuerdo se regirá por la legislación española y, en particular, por el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y las restantes disposiciones que resulten aplicables en materia de protección de datos.
En todo aquello no previsto expresamente en el presente Acuerdo, resultarán de aplicación el Acuerdo de Prestación del Servicio, los Términos y Condiciones y el resto de documentación contractual de PeluquIA.