Contrato de encargo de tratamiento

Este contrato se celebra entre el negocio que usa Zero POS («tú»), como responsable del tratamiento, y Colossus Investments Limited («nosotros»), como encargado del tratamiento.

Forma parte de nuestras condiciones del servicio y se aplica siempre que tratamos datos personales por tu cuenta al prestarte Zero POS. Los términos definidos en las condiciones, como espacio de trabajo, usuarios y datos de clientes, tienen aquí el mismo significado.

Recoge lo que el artículo 28 del RGPD del Reino Unido (UK GDPR) y del Reglamento General de Protección de Datos de la UE (RGPD) exige entre un responsable y un encargado del tratamiento, y se aplica del mismo modo con arreglo a la normativa de protección de datos de Gibraltar y de Andorra. En este contrato, todas ellas se denominan normativa de protección de datos.

Si este contrato y las condiciones discrepan en lo relativo a los datos de clientes, prevalece este contrato.

Objeto: tratar datos de clientes para prestarte Zero POS.

Duración: mientras estén vigentes las condiciones y, después, hasta que se supriman los datos de clientes como se indica en Supresión y devolución.

Naturaleza y finalidad: almacenar datos de clientes y consultarlos, organizarlos, hacer cálculos con ellos, mostrarlos, imprimirlos, enviarlos y exportarlos según lo que pidáis tú y tus usuarios, por ejemplo para registrar una venta a nombre de un cliente, enviar un recibo o una confirmación de cita, preparar un cuadrante o calcular comisiones; y mantener Zero POS en funcionamiento y seguro.

Personas a las que se refieren los datos:

• tus clientes, incluidas las personas que reservan citas online y las que reciben una tarjeta regalo o un vale regalo;
• tu personal y cualquier otra persona a la que des acceso a tu espacio de trabajo;
• las personas con las que tratas en tus proveedores;
• cualquier otra persona cuyos datos registréis tú o tus usuarios.

Tipos de datos personales, según decidas registrarlos, y los que Zero POS registra por sí mismo:

• de clientes: nombre y tratamiento (Sr., Sra.), datos de contacto (email, teléfono y dirección), fecha de nacimiento, número de identificación, notas, compras, tratamientos y citas, puntos de fidelidad, saldo a favor, tarjetas regalo y vales regalo, y si han aceptado recibir ofertas y, cuando cambian esa preferencia desde el enlace de un email de ofertas, cuándo lo hicieron y la dirección IP y el navegador desde los que lo hicieron;
• del personal: nombre, sexo (si se registra), datos de contacto, nombre de usuario, foto, rol y permisos, disponibilidad, cuadrantes, horas de entrada y salida, ausencias, incluidas las vacaciones y las bajas por enfermedad, días de vacaciones que le corresponden, tarifas de retribución, comisiones, bonificaciones, objetivos, ventas y la retribución que calcula Zero POS;
• de los contactos de proveedores: nombre y datos de contacto;
• de todas las personas que usan tu espacio de trabajo: el historial de actividad de quién cambió qué y cuándo.

Parte de ellos pueden pertenecer a categorías especiales de datos, como las bajas por enfermedad o los datos de salud anotados en una nota de tratamiento. Zero POS no guarda documentos médicos ni pide diagnósticos: de una baja por enfermedad registra las fechas, si se entregó un parte de baja y qué días cubre. Si registras datos de salud, te corresponde contar con una base jurídica para hacerlo.

Solo tratamos los datos de clientes siguiendo tus instrucciones documentadas, también en lo relativo a las transferencias a otros países, salvo que la ley nos obligue a otra cosa. En ese caso, te lo comunicaremos antes, salvo que la ley lo prohíba.

Tus instrucciones son las condiciones, este contrato y lo que tú y tus usuarios hacéis en Zero POS, como registrar una venta, enviar una oferta o descargar un informe. Cualquier otra instrucción debe darse por escrito; basta con un email.

Si consideramos que una instrucción infringe la normativa de protección de datos, te lo comunicaremos.

Respondes de los datos de clientes que registras y de tus instrucciones: de contar con una base jurídica, de informar a las personas de cómo usas sus datos y de obtener cualquier consentimiento necesario, por ejemplo antes de enviar ofertas por email.

No usamos los datos de clientes para nuestros propios fines, no los vendemos ni los usamos con fines publicitarios.

Solo pueden acceder a los datos de clientes las personas que lo necesitan para prestar Zero POS o darle soporte, y todas ellas están obligadas a guardar confidencialidad.

Nuestro equipo de soporte solo entra en tu espacio de trabajo como indican las condiciones: con el permiso del propietario o, sin él, solo para consultar, salvo que deje constancia del motivo por el que debe cambiar algo. Cada visita queda reflejada en el historial de actividad de tu espacio de trabajo.

Aplicamos medidas técnicas y organizativas apropiadas para proteger los datos de clientes frente a su destrucción, pérdida o alteración accidental o ilícita, y frente a su comunicación o acceso no autorizados. Nuestra página de seguridad describe las principales, y las revisamos periódicamente.

Entre ellas:

• mantener los datos de cada espacio de trabajo separados de los de los demás;
• permisos por rol, comprobados en nuestros servidores y no solo en pantalla;
• contraseñas guardadas solo de forma irreversible (un hash), acceso con claves de acceso y límites a los intentos repetidos de inicio de sesión;
• conexiones cifradas (HTTPS) entre los dispositivos y Zero POS;
• un historial de actividad de los cambios importantes, que nadie puede modificar desde la aplicación;
• un segundo factor para nuestro propio personal antes de poder abrir, descargar o cerrar un espacio de trabajo.

Tú te encargas de la seguridad de tus propios dispositivos y cuentas, como indican las condiciones.

Nos das una autorización general para recurrir a subencargados del tratamiento. Los que usamos ahora son:

• Vercel, que aloja Zero POS;
• MongoDB Atlas, de MongoDB, Inc., la base de datos en la que Zero POS guarda sus datos;
• Resend, que entrega emails que envía Zero POS, como los recibos de las tiendas que no han conectado su propia cuenta de email;
• Sentry, que recibe informes de los errores de nuestros servidores; un informe puede incluir ocasionalmente algún dato de clientes, como el identificador de un registro o el dominio de una dirección de email, nunca la dirección completa.

Cada subencargado está obligado por un contrato escrito que protege los datos de clientes como lo hace este contrato, y seguimos respondiendo ante ti de su trabajo.

Antes de incorporar o sustituir a un subencargado, lo comunicaremos por email al propietario del espacio de trabajo y actualizaremos esta lista. Si tienes motivos razonables para oponerte, dínoslo; si no podemos resolver tu objeción, podrás cerrar tu espacio de trabajo antes de que el cambio surta efecto.

Cuando conectas tu propio proveedor, como tu propia cuenta de email para recibos y ofertas, ese proveedor no es subencargado nuestro: trabaja para ti, con arreglo a tu propio contrato con él.

Algunos de nuestros subencargados tienen su sede fuera del Reino Unido, Gibraltar, Andorra y el Espacio Económico Europeo, por ejemplo en Estados Unidos.

Solo transferimos datos de clientes en la medida en que lo permite la normativa de protección de datos: a países reconocidos como garantes de un nivel de protección adecuado, o con garantías adecuadas, como las cláusulas contractuales tipo.

Las personas pueden pedirte ver, rectificar o suprimir sus datos, u oponerse a cómo los usas. En Zero POS puedes buscar y corregir lo que tienes sobre una persona y descargar tus registros. Si necesitas algo más, te ayudaremos a responder en la medida en que razonablemente podamos.

Si alguien se dirige a nosotros por datos de clientes, te trasladaremos la solicitud sin dilación indebida y no la responderemos nosotros, salvo que nos lo pidas.

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispongamos, también te ayudaremos a cumplir tus propias obligaciones en materia de seguridad, notificación de brechas, evaluaciones de impacto relativas a la protección de datos y consulta previa a una autoridad de protección de datos.

Si tenemos conocimiento de una violación de la seguridad de los datos personales («brecha») que afecte a datos de clientes, lo comunicaremos por email al propietario del espacio de trabajo sin dilación indebida.

Te contaremos lo que sepamos, y lo ampliaremos a medida que sepamos más: qué ha ocurrido, qué tipos de datos y cuántas personas, aproximadamente, se ven afectados, las consecuencias probables y qué estamos haciendo al respecto, para que puedas cumplir tus propias obligaciones de notificación.

Tomaremos medidas razonables para contener la brecha y limitar sus efectos.

Mientras tu espacio de trabajo esté abierto, y durante los 30 días siguientes a su cierre, el propietario puede descargar todos sus datos en cualquier momento (Ajustes → Espacio y datos).

Transcurridos esos 30 días, suprimimos el espacio de trabajo y los datos de clientes que contiene, salvo que la ley nos obligue a conservar parte de ellos. Los datos suprimidos pueden permanecer un tiempo en las copias que guardamos para recuperarnos de un fallo, hasta que esas copias se sustituyen.

Pondremos a tu disposición la información que razonablemente necesites para demostrar que cumplimos las obligaciones de este contrato.

Si esa información no basta, tú, o un auditor que designes y que esté sujeto a confidencialidad, podéis auditar nuestro cumplimiento de este contrato: con un preaviso razonable, no más de una vez al año salvo que lo exijan una brecha o una autoridad de protección de datos, y de forma que los datos de otros negocios queden protegidos.

Las cláusulas de las condiciones sobre responsabilidad también se aplican a este contrato, en la medida en que lo permita la normativa de protección de datos.

Este contrato se rige por la misma ley que las condiciones, y las controversias sobre él corresponden a los mismos tribunales.

Podemos actualizar este contrato cuando cambien la ley o nuestros subencargados. Antes de que se aplique un cambio que te afecte, lo comunicaremos por email al propietario del espacio de trabajo.

Para cualquier cuestión sobre este contrato, escribe a info@zerolines.life.