Acuerdo de encargo del tratamiento

Este acuerdo forma parte de las condiciones generales del servicio y cumple lo que exigen el artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Regula cómo tratamos los datos personales de los que es responsable el establecimiento que contrata ClebrTPV.

1. Objeto, naturaleza y finalidad

Tratamos los datos solo para prestar al Cliente el servicio que tiene contratado: los alojamos y guardamos, los mostramos en el panel, en las aplicaciones y en las páginas del establecimiento, los registramos y los modificamos según lo que hagan sus usuarios y sus clientes, hacemos copias de seguridad y los suprimimos cuando corresponde. No los usamos para fines propios, no los vendemos y no los cedemos a terceros.

2. Duración

El encargo dura lo mismo que el contrato del servicio. Cuando el contrato termina se aplica el apartado 8 (devolución y supresión).

3. Datos y personas afectadas

Dependen de los módulos que el Cliente tenga contratados:

Personas	Datos
Personal del Cliente (empleados y colaboradores con cuenta)	Nombre, apellidos, alias, correo electrónico y teléfono; credenciales de acceso; código de tarjeta o de empleado; perfil y permisos; operaciones que hace cada uno (comandas, cobros, cierres de caja). Si el Cliente usa el registro horario: NIF, PIN de la máquina de fichar y las marcas de entrada, salida y pausa. Al servidor no llega ningún dato biométrico: si la máquina se usa con huella, la huella se queda en la máquina.
Clientes del establecimiento	Pedidos a domicilio o para recoger: nombre, teléfono, correo, dirección de entrega, el pedido, sus observaciones y si acepta comunicaciones comerciales. Reservas: nombre, teléfono, correo, número de comensales y los comentarios que el cliente quiera añadir. Fichas de clientes (CRM): datos de contacto, historial de pedidos y reservas, y consentimientos. Facturas: nombre o razón social, NIF y dirección fiscal. Cobros online: importe, concepto y estado del pago. Los datos de la tarjeta los introduce el cliente en la pasarela de pago del banco del establecimiento; nosotros no los recibimos ni los guardamos.

El servicio no necesita categorías especiales de datos. Si un cliente escribe en sus comentarios información de ese tipo (por ejemplo, una alergia), se trata solo como parte de su pedido o de su reserva, para que el establecimiento la tenga en cuenta.

4. Nuestras obligaciones

• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente. Son instrucciones estas condiciones, la configuración que el Cliente hace del servicio y lo que nos pida por escrito. Si una instrucción nos pareciera contraria a la normativa, se lo diremos.
• Garantizar que las personas de nuestro equipo que acceden a los datos tienen un deber de confidencialidad, y que solo acceden cuando es necesario para el servicio o para el soporte que pida el Cliente.
• Aplicar las medidas de seguridad del apartado 5.
• Ayudar al Cliente a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si alguien nos los pide directamente, se lo trasladaremos al Cliente.
• Ayudar al Cliente, con la información de que dispongamos, en sus evaluaciones de impacto y en las consultas a la autoridad de control.
• Avisar al Cliente de cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en las 48 horas siguientes a tener constancia de ella, con la información que necesite para notificarla.
• Llevar el registro de actividades de tratamiento que hacemos por cuenta de nuestros clientes (art. 30.2 RGPD).
• Poner a disposición del Cliente la información necesaria para demostrar que cumplimos este acuerdo y permitir las auditorías que pida. Se harán con un aviso razonable y sin afectar a la seguridad ni a los datos de otros clientes; su coste lo asume el Cliente.

5. Medidas de seguridad

• Los servidores, la base de datos y los archivos están alojados en centros de datos de Amazon Web Services en la Unión Europea (Irlanda).
• Las aplicaciones y el panel se comunican con los servidores de forma cifrada (HTTPS).
• Cada usuario entra con su cuenta personal. Lo que puede ver y hacer depende de los permisos que le da el Cliente. Los intentos fallidos de acceso repetidos se frenan.
• Los datos de cada cliente están separados de los de los demás: un establecimiento no puede ver los datos de otro.
• Se hacen copias de seguridad periódicas de la base de datos.
• Los servidores guardan registros de acceso (dirección IP y fecha) para detectar y analizar incidentes.

Revisamos estas medidas cuando cambia el servicio o la situación de riesgo, para mantener un nivel de seguridad adecuado (art. 32 RGPD).

6. Subencargados

El Cliente nos autoriza a recurrir a los siguientes subencargados, que tratan los datos con las mismas obligaciones que este acuerdo nos impone:

Subencargado	Servicio y ubicación
Amazon Web Services EMEA SARL	Alojamiento de los servidores, la base de datos y los archivos. Unión Europea (Irlanda).

Si incorporamos o sustituimos un subencargado, lo comunicaremos al Cliente con al menos treinta días de antelación, para que pueda oponerse. Si se opone y no encontramos una alternativa, podrá terminar el contrato sin penalización.

No son subencargados nuestros los servicios que el Cliente contrata por su cuenta y conecta con ClebrTPV, como la pasarela de pago de su banco o su proveedor de SMS o WhatsApp. El Cliente los elige y responde de ellos.

7. Transferencias internacionales

Los datos se alojan en la Unión Europea. Si en algún caso un subencargado tuviera que tratarlos fuera del Espacio Económico Europeo, solo se haría con las garantías del capítulo V del RGPD, como una decisión de adecuación o las cláusulas contractuales tipo de la Comisión Europea.

8. Devolución y supresión al terminar

Cuando termine el contrato, el Cliente podrá pedirnos una copia de sus datos durante los treinta días siguientes, como dicen las condiciones. Después los suprimiremos, salvo que una ley nos obligue a conservar alguno; en ese caso los guardaremos bloqueados, solo durante el plazo legal. Las copias de seguridad se borran en su ciclo normal.

9. Obligaciones del Cliente

• Tratar los datos con una base legal adecuada e informar a las personas afectadas. Por ejemplo, el Cliente redacta los textos de privacidad que ven sus clientes en sus páginas de pedidos y de reservas, y el que firma su personal para el registro horario.
• Darnos instrucciones conformes con la normativa.
• Configurar los permisos de sus usuarios y supervisar el uso que hacen del servicio.