1. Partes y objeto
Este acuerdo se celebra entre el negocio usuario del Servicio (el «Responsable del tratamiento») y el responsable de Sutempo (Lorenzo Mira Mateo, a título personal, con la sociedad en proceso de constitución) (el «Encargado del tratamiento», «Sutempo»). Establece las obligaciones de las partes en virtud del artículo 28 del Reglamento (UE) 2016/679 (RGPD) respecto a los tratamientos de datos personales que Sutempo realiza por cuenta del Responsable.
Complementa las condiciones generales y prevalece sobre ellas en todo lo relativo a la protección de datos. Se aplica desde la apertura del negocio, sin trámites adicionales.
2. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Naturaleza y finalidad | Alojamiento, almacenamiento, presentación y tratamiento de los datos necesarios para reservar citas, gestionar el calendario, enviar correos relacionados con las citas, cobrar en la cuenta de Stripe del Responsable, ofrecer el área de clientes y prestar las funciones activadas por el Responsable (clases colectivas, bonos, solicitudes de reseñas y sincronización de calendarios). |
| Duración | Durante la vigencia del contrato, seguida de la eliminación conforme a la sección 10. |
| Personas interesadas | Clientes y posibles clientes del Responsable; miembros de su equipo. |
| Categorías de datos | Identidad y datos de contacto (nombre, correo electrónico y teléfono), idioma, citas e historial, notas introducidas por el Responsable o el cliente, importes y referencias de pago (sin datos de tarjeta), consentimientos y preferencias, tokens de acceso y registro de correos. El Servicio no requiere datos de categorías especiales; el Responsable se abstendrá de introducirlos en los campos de texto libre o se asegurará de disponer de una base jurídica adecuada. |
3. Instrucciones del Responsable
Sutempo trata los datos únicamente siguiendo instrucciones documentadas del Responsable. Estas instrucciones se componen de este acuerdo, las condiciones generales y el uso de las funciones del Servicio (ajustes, acciones en el área de administración y API). Sutempo informará al Responsable si considera que una instrucción infringe el RGPD.
Sutempo no utiliza los datos de las personas interesadas por cuenta propia, salvo para estadísticas agregadas y anonimizadas de funcionamiento del Servicio, ni los cede a terceros.
4. Confidencialidad
Las personas autorizadas a tratar datos bajo la autoridad de Sutempo están sujetas a una obligación contractual de confidencialidad y solo acceden a los datos en la medida necesaria para el funcionamiento, la asistencia o la seguridad del Servicio.
5. Seguridad (artículo 32)
Sutempo aplica y mantiene las siguientes medidas:
- cifrado de datos en tránsito (TLS) y en reposo (base de datos y copias de seguridad);
- cifrado en la aplicación de los secretos y las claves de acceso almacenados en la base de datos; códigos de acceso de un solo uso almacenados mediante hash; sesiones HttpOnly, SameSite y limitadas en el tiempo;
- aislamiento de los datos por negocio, comprobado en cada solicitud, claves de acceso con permisos restringidos y principio de mínimo privilegio para los accesos del equipo;
- política estricta de seguridad de contenidos en todas las interfaces, protección frente a solicitudes entre sitios y limitación de los intentos de autenticación;
- registro de auditoría de los cambios de configuración; registros técnicos sin datos de tarjeta;
- alojamiento en la Unión Europea (Vercel, región de Fráncfort; Neon, región de Fráncfort, eu-central-1), copias de seguridad automáticas y procedimientos de restauración;
- revisión de seguridad de los cambios y pruebas automatizadas que cubren el aislamiento entre negocios y la eliminación de datos.
Estas medidas evolucionan conforme al estado de la técnica; Sutempo no las reducirá por debajo de este nivel sin informar al Responsable.
6. Subencargados del tratamiento
El Responsable autoriza de forma general el recurso a los subencargados indicados a continuación, cada uno vinculado por un contrato que impone obligaciones equivalentes a las de este acuerdo:
| Subencargado | Domicilio | Función | Ubicación y garantías |
|---|---|---|---|
| Vercel Inc. | 340 S Lemon Ave #4133, Walnut, CA 91789, Estados Unidos | Alojamiento de la aplicación y las páginas, ejecución del código y registros técnicos | Unión Europea (región de Fráncfort) para la ejecución; transferencias amparadas por el Data Privacy Framework y cláusulas contractuales tipo |
| Neon Inc. | 2261 Market Street #4459, San Francisco, CA 94114, Estados Unidos | Base de datos PostgreSQL: todos los datos de la aplicación, cifrados en reposo, y copias de seguridad | Unión Europea (región de Fráncfort, eu-central-1); cláusulas contractuales tipo |
| Stripe Payments Europe, Ltd. | 1 Grand Canal Street Lower, Dublin 2, Irlanda | Pagos online de clientes en la cuenta de Stripe del negocio (Stripe Connect), gestión de reembolsos y facturación de las suscripciones de Sutempo | Unión Europea; Stripe también actúa como responsable del tratamiento para cumplir sus propias obligaciones (prevención del fraude y KYC) |
| Resend Inc. | 2261 Market Street #5039, San Francisco, CA 94114, Estados Unidos | Envío de correos: códigos de acceso, confirmaciones, recordatorios, agradecimientos y solicitudes de reseñas | Estados Unidos; cláusulas contractuales tipo |
| Google LLC / Google Ireland Ltd. | Gordon House, Barrow Street, Dublin 4, Irlanda | Inicio de sesión con Google (a elección del usuario), sincronización con Google Calendar (activada por el negocio), mapa de Google Maps en la página pública del negocio y fuentes de Google Fonts en las interfaces de reserva | Unión Europea y Estados Unidos; Data Privacy Framework |
| Apple Inc. | One Apple Park Way, Cupertino, CA 95014, Estados Unidos | Inicio de sesión con Apple (a elección del usuario) | Estados Unidos; Data Privacy Framework |
Sutempo informará al Responsable por correo electrónico y mediante la actualización de esta página al menos 30 días antes de incorporar o sustituir a un subencargado. El Responsable podrá oponerse por un motivo legítimo; si no se llega a un acuerdo, podrá cancelar sin coste y exportar sus datos. Sutempo seguirá siendo responsable frente al Responsable del cumplimiento de las obligaciones de sus subencargados.
7. Transferencias fuera de la Unión Europea
Los datos se alojan en la Unión Europea. Cuando un subencargado trate datos desde un tercer país (envío de correos, inicio de sesión con Google o Apple, asistencia técnica), la transferencia se basará en una decisión de adecuación (Data Privacy Framework UE-Estados Unidos para proveedores certificados) o en las cláusulas contractuales tipo de la Comisión Europea, acompañadas de medidas complementarias (cifrado y minimización).
8. Asistencia al Responsable
Sutempo ayuda al Responsable a atender las solicitudes de las personas interesadas: las herramientas de administración permiten consultar, rectificar, exportar (CSV) y eliminar los datos de un cliente. La eliminación de un cliente sustituye sus datos personales por valores anónimos en toda la base de datos, incluidos el historial de envíos y los registros.
Sutempo trasladará sin demora al Responsable cualquier solicitud de una persona interesada que reciba directamente. Teniendo en cuenta la naturaleza del tratamiento y la información disponible, asistirá al Responsable en las evaluaciones de impacto, las consultas previas a la autoridad de control y la notificación de violaciones de datos. Contacto: contact@sutempo.com.
9. Violaciones de datos
Sutempo notificará al Responsable cualquier violación de datos personales que le afecte sin dilación indebida tras tener conocimiento de ella y, como máximo, en un plazo de 48 horas, mediante correo a la dirección de la cuenta. La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas. La información podrá facilitarse de manera gradual.
10. Fin del tratamiento
Al finalizar el contrato, o en cualquier momento por decisión del Responsable, este exportará sus datos desde el área de administración y eliminará su negocio. La eliminación se ejecuta inmediatamente, en una única transacción, sobre todos los datos del negocio, tal como se detalla en la política de privacidad. Las copias presentes en las copias de seguridad desaparecerán en la siguiente rotación.
Sutempo solo conserva lo exigido por ley (documentos contables) y un registro de auditoría sin contenido de clientes.
Sutempo puede eliminar un negocio que haya permanecido inactivo durante un periodo prolongado, siguiendo el mismo procedimiento, tras enviar recordatorios por correo y un preaviso.
11. Documentación y auditoría
Sutempo pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo: esta página, la política de privacidad, la descripción de las medidas de seguridad y, previa solicitud escrita, información adicional. El Responsable puede realizar, como máximo una vez al año y con un preaviso de 30 días, una auditoría documental o una auditoría presencial a su cargo y durante el horario laboral, respetando la confidencialidad de los demás negocios. Los informes de auditoría y las certificaciones de los subencargados sustituyen a la auditoría en lo que a ellos respecta.
12. Responsabilidad y legislación aplicable
Cada parte responderá por los daños causados por un tratamiento que infrinja el RGPD en las condiciones del artículo 82. Se aplicarán las limitaciones de responsabilidad de las condiciones generales, salvo cuando sean contrarias a una disposición imperativa. Este acuerdo se rige por el derecho francés; cualquier litigio corresponderá a los tribunales competentes de la jurisdicción del domicilio del responsable.