Acuerdo de Encargado del Tratamiento

Partes

• Responsable del tratamiento: el cliente titular de la cuenta de Rugest, cuyos datos identificativos constan en su cuenta y en su facturación.
• Encargado del tratamiento: Leticia Ribeiro Camargo, con domicilio en La Iglesuela del Cid, 44142 Teruel, España, correo info@rugest.com.

Este acuerdo forma parte de las condiciones del servicio y se acepta al contratarlo. En lo relativo a protección de datos, prevalece sobre ellas.

1. Objeto y duración

El encargado tratará los datos personales necesarios para prestar al responsable los servicios de Rugest que tenga contratados. El tratamiento durará lo que dure la relación contractual; al terminar se aplica la cláusula 10.

2. Naturaleza, finalidad y alcance

La naturaleza y finalidad del tratamiento, los tipos de datos y las categorías de interesados se detallan en el Anexo 1. El encargado trata los datos únicamente para prestar el servicio y no los utiliza para fines propios, ni los cede ni los vende a terceros distintos de los subencargados del Anexo 3.

3. Instrucciones del responsable

El encargado tratará los datos siguiendo exclusivamente las instrucciones documentadasdel responsable, incluidas las que resultan del uso normal de la aplicación y de este acuerdo, salvo que una obligación legal exija otra cosa. Si una instrucción infringiera la normativa de protección de datos, el encargado lo advertirá antes de ejecutarla.

4. Confidencialidad

El encargado garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.

5. Seguridad del tratamiento

El encargado aplica las medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, descritas en el Anexo 2, para garantizar un nivel de seguridad adecuado al riesgo.

6. Subencargados

El responsable autoriza al encargado a recurrir a los subencargados listados en elAnexo 3, publicado y actualizado enla lista de subencargados. El encargado impondrá a cada uno obligaciones de protección de datos equivalentes a las de este acuerdo.

Antes de incorporar o sustituir un subencargado, el encargado lo notificará con al menos15 días naturales de antelación. Durante ese plazo el responsable podrá oponerse por motivos razonables de protección de datos y, si no se alcanza una solución, resolver el contrato sin penalización.

7. Asistencia al responsable

El encargado asistirá al responsable, en la medida de lo posible, para:

• Atender las solicitudes de ejercicio de derechos de los interesados.
• Cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (EIPD) cuando procedan.

8. Violaciones de seguridad

El encargado notificará al responsable, sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales, con la información necesaria para que el responsable pueda cumplir sus obligaciones de notificación ante la Agencia Española de Protección de Datos y, en su caso, ante los interesados.

9. Transferencias internacionales

Algunos de los subencargados del Anexo 3 tienen su matriz fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Esas transferencias se amparan en elEU-US Data Privacy Framework y/o en lascláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas adicionales que resulten necesarias. El detalle, proveedor a proveedor, está enla lista de subencargados.

10. Fin del tratamiento: devolución o supresión

Al terminar la prestación del servicio, el encargado —a elección del responsable— devolverá o suprimirá los datos personales y las copias existentes, salvo que deba conservarlos por obligación legal. El responsable puede pedir en cualquier momento una copia de sus datos en un formato reutilizable. Con carácter general, los datos se eliminan a los30 días de la baja.

11. Auditoría

El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá y contribuirá a auditorías, incluidas inspecciones, con preaviso razonable y respetando la confidencialidad y la seguridad de los datos del resto de clientes.

12. Responsabilidad y disposiciones finales

Cada parte responde del cumplimiento de sus propias obligaciones bajo el RGPD. En caso de conflicto entre este acuerdo y las condiciones del servicio en materia de protección de datos, prevalece este acuerdo. Se rige por la legislación española.

Anexo 1 · Alcance del tratamiento

• Objeto: prestación de las aplicaciones de Rugest contratadas por el responsable; por ejemplo, la gestión de alojamientos y sus reservas (Aloja) o la de las reservas de mesa de un restaurante.
• Naturaleza y finalidad: almacenamiento, organización, consulta, modificación y comunicación de los datos por cuenta del responsable.
• Categorías de interesados: huéspedes y contactos de reserva del alojamiento; clientes que reservan mesa; miembros del equipo del responsable.
• Categorías de datos: identificativos y de contacto (nombre, apellidos, correo electrónico, teléfono); datos del documento de identidad, fecha de nacimiento, nacionalidad y dirección cuando el responsable cumple el registro de viajeros; datos de la reserva e importes; alergias o preferencias que el interesado facilite voluntariamente.
• Duración: mientras dure la relación contractual (ver cláusula 10).

Anexo 2 · Medidas técnicas y organizativas

• Cifrado de las comunicaciones en tránsito (HTTPS/TLS).
• Aislamiento de los datos de cada cliente mediante seguridad a nivel de fila en la base de datos, de forma que la separación entre clientes la aplica el propio motor de base de datos y no solo el código de la aplicación.
• Control de acceso basado en roles dentro de cada cuenta.
• Contraseñas guardadas con hash, nunca en claro; acceso también mediante enlace de un solo uso.
• Copias de seguridad cifradas, con un procedimiento de restauración probado.
• Minimización: los datos del documento de identidad se tratan solo en la medida necesaria para el cumplimiento legal del responsable.
• Revisión periódica de las medidas y de los permisos de acceso.

Anexo 3 · Subencargados autorizados

La lista actualizada, con el servicio que presta cada uno, su ubicación y la garantía aplicable a las transferencias internacionales, está publicada enrugest.com/subprocesadores y forma parte de este acuerdo.