1. Las partes y sus funciones
Responsable: la empresa que gestiona un programa de fidelidad en stmpr y de cuyos clientes proceden los datos.
Encargado: Leimeter Roland e.v., con domicilio en Dabas, Hungría, contacto [email protected]. NIF 69246054-2-33. Número de registro 52907795.
El encargado trata los datos de los clientes únicamente siguiendo instrucciones documentadas del responsable. El uso previsto del servicio cuenta como tal instrucción: emitir la tarjeta, sellar, canjear una recompensa y enviar los mensajes que el cliente haya consentido.
2. Objeto, duración, naturaleza y finalidad
El objeto es la prestación del servicio de tarjeta de fidelidad digital: la incorporación de clientes, el registro de sellos y recompensas, la emisión y actualización de tarjetas de Apple Wallet y Google Wallet, y las notificaciones consentidas.
La duración es la de la relación de servicio entre el responsable y el encargado. Cuando termina, se aplica el apartado 9.
La finalidad es prestar el servicio y nada más. El encargado no usa los datos de los clientes para fines propios, no los analiza junto con los de otro cliente y no los vende.
3. Interesados y categorías de datos
Interesados: los clientes que se han incorporado al programa de fidelidad del responsable.
Datos tratados: los datos identificativos y de contacto que facilita el cliente, en la medida en que el responsable los pida en el formulario de alta; el estado de la tarjeta, es decir el historial de sellos, recompensas y canjes; el idioma de la tarjeta; marcas de tiempo de actividad; y el hecho, el momento y la redacción del consentimiento de marketing, incluida una copia del texto que el cliente aceptó.
- El servicio ni está construido para categorías especiales de datos del artículo 9 ni debe usarse para ellas, los datos de salud incluidos.
- El responsable se ocupa de no pedir en el formulario de alta más de lo que el programa de fidelidad necesita.
4. Obligaciones del encargado
El encargado trata los datos únicamente siguiendo instrucciones documentadas del responsable, incluida cualquier transferencia a un tercer país, salvo que lo exija el Derecho de la Unión o de un Estado miembro. En ese caso informa al responsable antes del tratamiento, salvo que el Derecho prohíba esa información.
El encargado garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
5. Medidas de seguridad
El encargado aplica las medidas técnicas y organizativas que exige el artículo 32. Están descritas en la página de seguridad, que forma parte de este contrato.
- Conexiones cifradas en el sitio público y en las interfaces.
- Las credenciales de las integraciones de terceros se guardan cifradas.
- Acceso por roles, verificación en dos pasos y claves de acceso en las cuentas.
- El acceso del personal puede limitarse a una ubicación y a un rol.
- Las copias de seguridad se cifran y se guardan en un servidor separado de la aplicación.
6. Subencargados
El responsable otorga autorización general para subencargados. El encargado vincula a cada uno a obligaciones equivalentes a las de este contrato y responde de su trabajo.
Los subencargados actuales son:
- Rackforest Kft. (Hungría): alojamiento, base de datos y almacenamiento de las copias de seguridad. Los datos se guardan en Hungría, dentro de la Unión Europea, y las copias también.
- Resend (envío de correo): mensajes transaccionales a los clientes, por ejemplo al alcanzar una recompensa.
- Apple Inc.: emisión y actualización de la tarjeta de Apple Wallet y envío de sus notificaciones.
- Google LLC: emisión y actualización de la tarjeta de Google Wallet y envío de sus notificaciones.
7. Cuando un cliente ejerce sus derechos
Responder a una solicitud del interesado corresponde al responsable. El encargado ayuda con las herramientas del servicio: los datos de los clientes pueden consultarse, corregirse, exportarse y borrarse desde el panel.
Si una solicitud llega directamente al encargado, no la responde en cuanto al fondo, sino que la traslada al responsable sin dilación.
8. Violación de la seguridad de los datos
En cuanto tiene conocimiento de una violación que afecte a datos cubiertos por este contrato, el encargado informa al responsable sin dilación, indicando los hechos disponibles.
Notificar a la autoridad de control y a los interesados corresponde al responsable. El encargado pone a su disposición la información de que dispone.
9. Supresión y devolución al terminar el encargo
Al terminar la relación de servicio, el encargado devuelve o suprime los datos de los clientes según elija el responsable. A falta de otra instrucción, tras el cierre de la cuenta hay un periodo de gracia y después los datos se borran de forma definitiva.
Quedan excluidos los datos cuya conservación exija el Derecho de la Unión o de un Estado miembro, como los justificantes contables.
Los datos borrados siguen en las copias de seguridad mientras estas se conserven, unas cinco semanas, y después desaparecen también de ahí. La restauración solo sirve para reparar una incidencia, nunca para recuperar un registro concreto.
10. Auditorías e información
El encargado pone a disposición la información necesaria para demostrar el cumplimiento de este contrato y permite auditorías.
La auditoría se acuerda con antelación, se realiza en horario laboral, sin perturbar el negocio de forma irrazonable, y lo que revele es confidencial.
11. Transferencias fuera del Espacio Económico Europeo
Los datos de los clientes se guardan en Hungría, dentro de la Unión Europea.
En el caso de Apple y Google, del apartado 6, el tratamiento puede implicar almacenamiento fuera del Espacio Económico Europeo. Esos proveedores actúan al amparo de las cláusulas contractuales tipo adoptadas por la Comisión Europea o de una decisión de adecuación.
12. Vigencia, cambios e idioma que prevalece
Este contrato entra en vigor con el uso del servicio y rige hasta que termine la relación de servicio.
El encargado puede modificar este contrato cuando lo exija un cambio normativo o del servicio, e informa al responsable con antelación de cualquier cambio sustancial.
Prevalece la versión húngara de este contrato. Las demás versiones lingüísticas sirven para su comprensión. Derecho aplicable: el de Hungría. Para dudas o un ejemplar firmado: [email protected].