Contrato de encargo del tratamiento

Cuando un negocio usa nuestro sistema de reservas o le alojamos su web, nosotros guardamos y tratamos datos de sus clientes por cuenta suya. Este contrato regula ese tratamiento, como exigen el artículo 28 del Reglamento General de Protección de Datos (RGPD, UE 2016/679) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta de forma electrónica al contratar el servicio o desde el panel, y forma parte del contrato de servicio.

1. Partes

Encargado del tratamiento: Nuevo Norte Digital («NND»), con los datos identificativos que figuran en el Aviso legal.
Responsable del tratamiento: el negocio titular de la cuenta («el Responsable»), con los datos que facilitó al darse de alta.

2. Objeto, naturaleza y finalidad

NND trata los datos solo para prestar el servicio contratado:

Recibir y guardar las reservas y la lista de espera del Responsable, y mostrárselas en su panel.
Enviar en nombre del Responsable los emails del servicio: confirmaciones, cambios, cancelaciones, recordatorios, avisos de la lista de espera y, si el Responsable los activa, peticiones de valoración tras la visita.
Avisar al Responsable de reservas nuevas, cambios y cancelaciones (email, notificaciones o Telegram, según configure).
Calcular estadísticas para el propio Responsable.
Proteger el servicio frente a abusos (verificación anti-bots y límites de uso) y mantenerlo en funcionamiento.

3. Datos y personas afectadas

Clientes del Responsable que reservan o se apuntan a la lista de espera: nombre, email, teléfono, día, hora y número de personas, ocasión, notas que escriban (pueden incluir alergias o intolerancias, que son datos de salud), historial de reservas y asistencia, valoraciones y las notas o etiquetas que añada el Responsable.
Usuarios del panel (titular y personal del Responsable): nombre, email, contraseña (guardada de forma irreversible, nunca en claro) y permisos.
Datos técnicos (dirección IP, navegador) para seguridad y prevención de abusos.

4. Duración

Este contrato dura lo mismo que el servicio. Al terminar, se aplica la cláusula 11.

5. Obligaciones de NND

Tratar los datos solo siguiendo las instrucciones documentadas del Responsable: las de este contrato y las que da al configurar y usar su panel. Si una instrucción le parece contraria a la normativa de protección de datos, NND se lo dirá de inmediato.
No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados de la cláusula 7 o por obligación legal.
Garantizar que las personas autorizadas a tratar los datos se han comprometido a mantener la confidencialidad.
Aplicar las medidas de seguridad de la cláusula 8 (art. 32 RGPD).
Ayudar al Responsable a atender los derechos de sus clientes (acceso, rectificación, supresión, oposición, limitación y portabilidad). El panel permite consultar, exportar y borrar los datos de un cliente. Si un cliente se dirige directamente a NND, NND trasladará la petición al Responsable lo antes posible y como máximo en 10 días.
Avisar al Responsable de cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que la conozca, con la información disponible para que pueda valorarla y, si procede, notificarla a la autoridad y a los afectados.
Ayudar al Responsable, cuando proceda, con las evaluaciones de impacto y consultas previas.
Poner a disposición del Responsable la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, con preaviso.
Llevar el registro de las actividades de tratamiento que realiza por cuenta del Responsable (art. 30.2 RGPD).

6. Obligaciones del Responsable

Tratar legítimamente los datos de sus clientes e informarles. NND ofrece una página de información de privacidad con los datos del Responsable, que se enlaza desde el formulario de reservas y los emails; el Responsable puede sustituirla por la suya desde el panel.
Configurar y usar el servicio conforme a la ley. Por ejemplo, no usar los emails, los mensajes de WhatsApp ni los datos del panel para enviar publicidad sin el consentimiento de sus clientes.
Custodiar las contraseñas de su panel y dar a su personal solo los permisos que necesite.

7. Subencargados

El Responsable autoriza de forma general a NND a apoyarse en estos proveedores, a los que NND impone por contrato las mismas obligaciones de protección de datos:

Cloudflare, Inc. — alojamiento de la web y de la base de datos, verificación anti-bots y seguridad.
Resend — envío de los emails del servicio.
Twilio Inc. — envío de SMS, solo si se activan los recordatorios por SMS.

NND avisará al Responsable por email al menos 15 días antes de añadir o cambiar un subencargado. Si el Responsable se opone de forma justificada y no hay una alternativa razonable, podrá darse de baja del servicio.

8. Medidas de seguridad

Conexiones cifradas (HTTPS) en la web, el panel y los envíos.
Acceso al panel con usuario y contraseña (guardada con hash irreversible), con permisos por persona y sesiones que caducan.
Enlaces de gestión de reservas con códigos aleatorios no adivinables.
Verificación anti-bots y límites de uso frente a abusos.
Claves y secretos fuera del código, en el proveedor de alojamiento.
Borrado automático de datos según los plazos de la cláusula 9.

9. Plazos de conservación del servicio

Las reservas y la lista de espera se borran automáticamente 90 días después de su fecha.
Las fichas de clientes se borran automáticamente tras 24 meses sin reservas, y las valoraciones a los 24 meses.
El Responsable puede borrar antes cualquier dato desde el panel.

10. Transferencias internacionales

Algunos subencargados pueden tratar datos en Estados Unidos. Esas transferencias se hacen con las garantías del capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea.

11. Fin del servicio

Antes de darse de baja, el Responsable puede exportar sus datos desde el panel. Tras la baja, NND suprimirá los datos del Responsable en un plazo máximo de 30 días, salvo que una ley obligue a conservarlos; en ese caso, los mantendrá bloqueados solo el tiempo exigido.

12. Responsabilidad

Cada parte responde de sus propios incumplimientos de la normativa de protección de datos y de este contrato, conforme al artículo 82 del RGPD.

13. Aceptación, constancia y cambios

Este contrato se acepta electrónicamente marcando la casilla correspondiente al contratar o pulsando «Aceptar» en el panel. NND guarda constancia de cada aceptación: versión del contrato, cuenta, fecha y hora, dirección IP y navegador. Si el contrato cambia, NND lo avisará y pedirá una nueva aceptación en el panel.

14. Ley aplicable

Este contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio de NND.

Relacionado: Aviso legal · Política de privacidad · Política de Cookies.