Acuerdo de tratamiento de datos

Este Acuerdo de tratamiento de datos («acuerdo») forma parte de los Términos del servicio entre el negocio que usa Calmfill (el «responsable», «tú») y Matej Machajda, Trstená 02801 (el «encargado», «nosotros»). Se aplica siempre que tratamos datos personales por tu cuenta y cumple los requisitos del artículo 28 del RGPD. Si contradice a los Términos en materia de protección de datos, prevalece este acuerdo.

• Objeto y finalidad: prestar el servicio de reservas Calmfill: páginas de reservas, disponibilidad, calendarios, fichas de clientes y correos de confirmación, recordatorio y cambio de reserva.
• Naturaleza: recogida a través de la página de reservas, almacenamiento, organización, visualización para ti y tu equipo, envío de correos y supresión.
• Duración: mientras uses el servicio, más los plazos de supresión del apartado 9.
• Interesados: tus clientes y las personas que reservan a través de tu página de reservas; los miembros de tu equipo.
• Datos personales: nombres, direcciones de correo, teléfonos, datos e historial de citas, notas introducidas por los clientes o por ti, y registros de entrega de correos. No está previsto tratar categorías especiales de datos.

Tratamos los datos personales solo siguiendo tus instrucciones documentadas. Tus instrucciones son estos términos, tus ajustes y las acciones que tú y tu equipo realizáis en el servicio. Te avisaremos si consideramos que una instrucción infringe la normativa de protección de datos. Solo podemos tratar los datos de otro modo si lo exige el Derecho de la UE o de un Estado miembro, y te informaremos salvo que ese Derecho lo prohíba.

Todas las personas que autorizamos a acceder a datos personales están sujetas a confidencialidad y solo acceden a ellos en la medida necesaria para operar y dar soporte al servicio.

Mantenemos medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, entre ellas:

• cifrado en tránsito (HTTPS) y almacenamiento con proveedores que cifran los datos en reposo;
• separación de los datos de cada negocio, con control de acceso por rol en cada solicitud;
• hash de contraseñas scrypt con sal, sesiones que caducan y límite de solicitudes en el inicio de sesión, las reservas y los correos;
• historial de cambios de las reservas y supresión automática de los datos de clientes tras tu plazo de conservación;
• copias de seguridad periódicas de nuestro proveedor de base de datos, y limitación de nuestro propio acceso a lo que requieren el soporte y la operación.

Nos autorizas a usar los subencargados indicados en nuestra Política de privacidad (Netlify para el alojamiento, Neon para la base de datos, Resend para el correo). Les imponemos obligaciones de protección de datos no menos protectoras que este acuerdo y respondemos de ellos. Te avisaremos por correo con al menos 14 días de antelación antes de añadir o sustituir un subencargado; si te opones por motivos razonables de protección de datos, puedes terminar el acuerdo y eliminar tus datos antes de que el cambio entre en vigor.

Cuando un subencargado trate datos personales fuera del Espacio Económico Europeo, garantizamos que la transferencia esté cubierta por las cláusulas contractuales tipo de la Comisión Europea o por el Marco de Privacidad de Datos UE-EE. UU., según corresponda.

El servicio te permite ver, corregir, exportar y eliminar los datos de los clientes para que puedas atender tú mismo las solicitudes de los interesados. Si una solicitud nos llega a nosotros, te la remitiremos sin demora. Teniendo en cuenta la naturaleza del tratamiento, te ayudaremos razonablemente con la seguridad, las evaluaciones de impacto y las consultas a las autoridades.

Te notificaremos sin dilación indebida, y si es posible en un plazo de 48 horas desde que tengamos conocimiento, cualquier violación de la seguridad de los datos personales que afecte a tus datos, con la información que necesites para cumplir tus propias obligaciones de notificación.

Puedes exportar los datos de tus clientes en cualquier momento. Cuando eliminas clientes, tu negocio o tu cuenta, los datos se borran inmediatamente de nuestra base de datos activa, y de las copias de seguridad a medida que se sobrescriben en un máximo de 30 días, salvo que la ley nos obligue a conservarlos.

Pondremos a tu disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permitiremos auditorías, incluidas inspecciones realizadas por ti o por un auditor que designes sujeto a confidencialidad, con un preaviso razonable por escrito, normalmente no más de una vez al año y a tu cargo, salvo que una brecha o una autoridad exijan otra cosa.

Contacto para protección de datos: xtfmathew@gmail.com.