Contrato de encargo del tratamiento

1. Objeto, naturaleza y finalidad

El Encargado tratará datos personales por cuenta del Responsable con la única finalidad de prestarle el servicio Fidolio: crear y mostrar las tarjetas de fidelidad de sus clientes, registrar sellos, recompensas y canjes, generar los pases de Apple Wallet y Google Wallet, y ofrecer al Responsable el panel, los informes y la exportación de datos.

Las operaciones de tratamiento son: recogida, registro, conservación, consulta, modificación, exportación, comunicación a los subencargados indicados y supresión.

2. Duración

Dura lo mismo que el contrato del servicio. Al terminar se aplica la cláusula 10 (devolución y supresión).

3. Datos y personas afectadas

El servicio no está pensado para tratar categorías especiales de datos (art. 9 RGPD) ni datos de menores de 14 años; el Responsable no debe introducirlos.

4. Instrucciones del Responsable

El Encargado tratará los datos solo siguiendo las instrucciones documentadas del Responsable, que son las de este contrato y las que dé a través de la configuración del panel (por ejemplo, qué datos pedir a sus clientes o borrar los datos de un cliente). Si el Encargado considera que una instrucción infringe la normativa de protección de datos, se lo comunicará de inmediato al Responsable.

Si la ley obliga al Encargado a tratar datos para otro fin, informará antes al Responsable, salvo que la ley lo prohíba.

5. Confidencialidad

Las personas autorizadas por el Encargado para tratar los datos se comprometen por escrito a mantener la confidencialidad o están sujetas a una obligación legal de confidencialidad. Solo accederán a los datos cuando sea necesario para prestar el servicio o resolver una incidencia.

6. Seguridad

El Encargado aplicará las medidas del artículo 32 del RGPD descritas en el Anexo y las mantendrá actualizadas según el estado de la técnica y el riesgo.

7. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados del Anexo. El Encargado avisará al Responsable con al menos 30 días de antelación de cualquier alta o cambio de subencargado, y el Responsable podrá oponerse; si la oposición impide prestar el servicio, podrá darse de baja sin penalización.

El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato, y responderá ante el Responsable de su cumplimiento.

Las transferencias fuera del Espacio Económico Europeo se basan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo de la Comisión Europea.

8. Derechos de los interesados

El Encargado ayudará al Responsable a atender los derechos de sus clientes. El servicio ya permite al cliente ver, cambiar y borrar sus datos desde su tarjeta, y al Responsable exportarlos y borrarlos desde el panel. Si un interesado se dirige al Encargado, este trasladará la petición al Responsable en un plazo máximo de 5 días hábiles, sin responderla por su cuenta.

9. Violaciones de seguridad y otras ayudas

El Encargado notificará al Responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que el Responsable pueda notificarla a la autoridad de control y, en su caso, a los interesados.

También le ayudará, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en las evaluaciones de impacto y consultas previas que pudieran ser necesarias.

10. Fin del contrato: devolución y supresión

Antes de terminar, el Responsable puede descargar los datos de sus clientes desde el panel (exportación CSV). Terminado el contrato, el Encargado suprimirá los datos personales en un plazo máximo de 30 días, y de las copias de seguridad cuando estas caduquen (30 días), salvo que la ley obligue a conservarlos; en ese caso, los mantendrá bloqueados solo mientras dure esa obligación.

11. Información y auditorías

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías razonables, avisadas con al menos 30 días de antelación, a cargo del Responsable y sin acceso a los datos de otros negocios.

12. Obligaciones del Responsable

El Responsable garantiza que tiene una base legal para tratar los datos de sus clientes, que les informa (puede usar la política de privacidad que Fidolio genera para su negocio) y que solo pide los datos necesarios para su programa.

Anexo I. Medidas de seguridad

• Conexiones cifradas (HTTPS) y cabeceras de seguridad, incluida una política de seguridad de contenidos.
• Aislamiento de los datos de cada negocio en la aplicación y en la base de datos (seguridad a nivel de fila).
• Acceso por roles (propietario, encargado, empleado); solo propietarios y encargados ven, exportan o borran datos personales de clientes. Retirar el acceso a un empleado tiene efecto inmediato.
• Contraseñas guardadas con un algoritmo de derivación resistente (scrypt); sesiones con caducidad y límite de intentos de acceso.
• Registro de actividad y libro de movimientos que no se pueden modificar ni borrar.
• Tarjetas anónimas por defecto; email y teléfono se muestran enmascarados en la tarjeta del cliente.
• Base de datos alojada en la Unión Europea con cifrado en reposo del proveedor.
• Copias de seguridad diarias cifradas, con prueba de restauración, conservadas 30 días.
• Conexión de la aplicación con un usuario de base de datos con los mínimos permisos necesarios.

Anexo II. Subencargados autorizados

Cuando se active el envío de emails a clientes o el cobro, se avisará del proveedor correspondiente según la cláusula 7.