Contrato de encargo del tratamiento

1. Partes y objeto

Responsable del tratamiento: el titular de la cuenta de Glam Studio Cloud (la persona o empresa que contrata el servicio para uno o varios negocios), en adelante «el negocio».

Encargado del tratamiento: Raúl Real, NIF 24442001Q, con domicilio en Calle San Vicente de Paul 9, Ecomerce 24, 46160 Llíria (Valencia), España, titular de Glam Studio Cloud (en adelante, «nosotros»).

El objeto es el tratamiento de los datos personales que el negocio introduce en la aplicación, o que sus clientes introducen al reservar, pagar o rellenar un formulario del negocio, con la única finalidad de prestarle el servicio descrito en las condiciones. Los datos de la propia cuenta (quien contrata, su facturación) no forman parte de este encargo: de esos somos responsables, y se rigen por la política de privacidad.

2. Duración

Dura lo mismo que la cuenta: desde el alta hasta que los datos se eliminan al terminar el servicio (apartado 13). Las obligaciones de confidencialidad siguen después.

3. Naturaleza y finalidad del tratamiento

Guardar, ordenar, consultar, modificar, mostrar, enviar en nombre del negocio, exportar y suprimir los datos, en servidores en la nube, para que el negocio pueda gestionar su agenda, sus reservas online, sus cobros, sus clientes, su equipo y su web pública, y para enviar a sus clientes los avisos que el negocio tiene activados (correo y, si lo activa, WhatsApp). Las categorías de datos y de interesados están en el anexo I.

4. Instrucciones documentadas

Tratamos los datos únicamente siguiendo las instrucciones del negocio. Son instrucciones documentadas: este contrato, las condiciones del servicio, lo que el negocio hace en la aplicación (dar de alta un cliente, apuntar una reserva, cobrar, borrar) y lo que configura en Ajustes (qué módulos activa, qué avisos se envían, qué publica en su web). Cualquier otra instrucción debe darse por escrito a [email protected].

No usamos los datos para ningún fin propio: no los vendemos, no los cedemos, no los usamos para publicidad ni para entrenar sistemas de inteligencia artificial, y no contactamos con los clientes del negocio salvo para enviar, en su nombre, los avisos que él tiene activados. Solo los comunicaremos a una autoridad si una ley de la Unión o de España nos obliga; en ese caso avisaremos antes al negocio, salvo que la propia ley lo prohíba.

5. Confidencialidad

Hoy la única persona con acceso a los datos es el titular de Glam Studio Cloud, sujeto al deber de confidencialidad (artículo 5 de la Ley Orgánica 3/2018), también después de terminar el servicio. Solo accede a datos concretos de un negocio cuando hace falta para darle soporte o resolver una incidencia. Si en el futuro otra persona tuviera acceso, lo tendrá solo en la medida necesaria, con un compromiso de confidencialidad por escrito y la formación adecuada.

6. Seguridad

Aplicamos las medidas técnicas y organizativas del anexo II, adecuadas al riesgo (artículo 32 RGPD), y las revisamos periódicamente. Podemos mejorarlas, pero no rebajar su nivel de protección.

7. Subencargados

El negocio nos da una autorización general para recurrir a otros proveedores (subencargados) en la medida en que los necesitamos para prestar el servicio. La lista vigente, con qué hace cada uno, dónde y con qué garantías, está en glamstudio.cloud/subencargados.

• A cada subencargado le imponemos por contrato obligaciones de protección de datos equivalentes a las de este encargo, y respondemos ante el negocio de lo que haga.
• Antes de añadir o sustituir un subencargado avisamos por correo con al menos 30 días de antelación. El negocio puede oponerse con un motivo razonable relacionado con la protección de datos; si no encontramos una solución, puede terminar el servicio sin coste antes de que el cambio se aplique.

8. Transferencias internacionales

Los datos se guardan en la Unión Europea (base de datos en Irlanda y servidor de la aplicación en la Unión Europea). Algunos subencargados son empresas de Estados Unidos (envío de correos y de WhatsApp, red y protección del dominio, almacén de copias ya cifradas). Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de ejecución (UE) 2023/1795) y, como respaldo, en las cláusulas contractuales tipo de la Comisión (Decisión de ejecución (UE) 2021/914). El detalle de cada uno está en la lista de subencargados.

9. Ayuda con los derechos de las personas

La aplicación permite al negocio atender por sí mismo los derechos de sus clientes y de su equipo: consultar y corregir una ficha, exportar sus datos y borrarlos. Si una persona nos escribe directamente para ejercer sus derechos sobre datos de un negocio, no decidimos por él: le trasladamos la petición en un plazo máximo de 48 horas y le ayudamos a responderla en lo que haga falta.

10. Violaciones de seguridad

Si sufrimos una violación de seguridad que afecte a datos del negocio, se lo comunicaremos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tengamos constancia, por correo al email de la cuenta. Le daremos la información que tengamos, aunque sea por fases: qué ha pasado, qué datos y cuántas personas pueden estar afectadas, consecuencias probables, medidas tomadas y propuestas, y un contacto. Así el negocio puede notificar a la autoridad de control en sus 72 horas y, si procede, informar a los afectados (artículos 33 y 34 RGPD). Le ayudaremos a hacerlo.

11. Evaluaciones de impacto y consulta previa

Si el negocio necesita hacer una evaluación de impacto (por ejemplo, porque trata a gran escala datos de salud o de menores) o consultar a la autoridad de control, le daremos la información que tengamos sobre cómo funciona la aplicación y cómo se protegen los datos. Ofrecemos un modelo de partida a quien lo pida en [email protected].

12. Funciones e integraciones que activa el negocio

Algunas funciones solo tratan datos si el negocio las activa: avisos por WhatsApp, web pública, fichas de menores, datos de salud, documento de identidad o carné, registro de viajeros, cobros con tarjeta. Al activarlas, el negocio decide que ese tratamiento es necesario y asume informar a sus clientes y contar con la base jurídica que corresponda.

Si el negocio conecta su calendario externo (Google Calendar, Microsoft 365, Cal.com, Acuity Scheduling o SimplyBook.me), la sincronización se hace por su cuenta y con un proveedor que ha elegido él: ese proveedor no es subencargado nuestro. Los cobros de Stripe Connect los gestiona Stripe como responsable independiente en su parte.

13. Fin del servicio: devolución y supresión

• Mientras la cuenta existe, el negocio puede descargar sus datos cuando quiera (copia de seguridad en JSON y exportaciones en CSV de Ajustes). El detalle de qué se exporta está en el apartado de cambio de proveedor de las condiciones.
• Si el negocio pide la baja, sus datos se eliminan de forma definitiva a los 30 días. Si solo cancela la suscripción, los datos se conservan en solo lectura hasta que pida la baja, con los plazos de la política de privacidad.
• Las copias de seguridad cifradas se conservan como máximo 14 meses y no se pueden modificar una a una: los datos eliminados desaparecen de ellas cuando caducan. Si alguna vez hubiera que restaurar una, antes de volver a poner el servicio en marcha se aplican de nuevo las supresiones ya atendidas.
• Solo conservaremos datos después si una ley nos obliga, y únicamente para ese fin.

14. Información y auditorías

Ponemos a disposición del negocio la información necesaria para demostrar que cumplimos este contrato: este texto, la lista de subencargados y, si la pide en [email protected], la descripción de nuestras medidas de seguridad. Si aun así necesita una auditoría o inspección, por él o por un auditor obligado a confidencialidad, la acordaremos con un preaviso razonable (al menos 30 días), sin afectar a la seguridad de los demás clientes ni dar acceso a sus datos, y a costa del negocio. Atenderemos siempre lo que pida una autoridad de control.

15. Instrucciones contrarias a la ley

Si consideramos que una instrucción del negocio infringe el RGPD u otra norma de protección de datos, se lo diremos de inmediato y podremos no aplicarla hasta que la confirme o la cambie.

16. Obligaciones del negocio

• Contar con una base jurídica para los datos que introduce y para las funciones que activa, e informar a sus clientes y a su equipo de que usa Glam Studio Cloud (con un enlace a la política de privacidad, por ejemplo).
• En datos de salud y de menores, recabar las autorizaciones que exige la ley y valorar si necesita una evaluación de impacto.
• No introducir datos innecesarios para su servicio, y borrar los que ya no necesite.
• Custodiar sus contraseñas y avisarnos si sospecha de un acceso indebido.

17. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o el RGPD, en los términos del artículo 82 del RGPD. Respondemos como encargado cuando no cumplamos las obligaciones que el RGPD nos impone o actuemos al margen de las instrucciones lícitas del negocio. Lo demás, incluidos los límites de responsabilidad, se rige por las condiciones del servicio, sin que esos límites se apliquen donde la ley no lo permita.

Anexo I. Datos y personas afectadas

Personas

• Clientes del negocio y personas que reservan, pagan o se apuntan a la lista de espera.
• Personas del equipo del negocio.
• Menores, si el negocio trabaja con ellos, y sus madres, padres o tutores.
• Personas atendidas en negocios de salud y bienestar.
• Huéspedes y viajeros, en alojamientos.
• Propietarios de las mascotas que se atienden o alojan.

Datos

• Identificación y contacto: nombre, teléfono, correo, dirección si el negocio la pide.
• Agenda: reservas, estancias, servicios, notas y preferencias.
• Cobros: importes, servicios, método de pago, quién cobró, mensualidades y bonos.
• Equipo: nombre, foto si el negocio la sube, horario y ventas atribuidas.
• Categorías especiales: datos de salud (notas de sesión, diagnósticos, tratamientos, alergias anotadas en cualquier sector).
• Menores: nombre, edad, tutor y alergias.
• Documentos: foto del documento de identidad o del carné de conducir, y datos del registro de viajeros (documento, fecha de nacimiento, nacionalidad, domicilio).
• Tarjetas: solo a través de Stripe. Nosotros no vemos ni guardamos el número de la tarjeta, solo una referencia que da Stripe.
• Comunicaciones: los avisos que se envían a los clientes y su estado de entrega.

Anexo II. Medidas de seguridad

• Cifrado en tránsito: todas las conexiones desde el navegador van por HTTPS (TLS).
• Aislamiento entre cuentas: la base de datos tiene seguridad a nivel de fila, de forma que una cuenta solo puede leer y modificar sus propios datos.
• Documentos aparte: los documentos de identidad y carnés se guardan en un almacén privado; solo se pueden ver con enlaces firmados que caducan a los pocos minutos y que solo puede pedir el propio negocio.
• Contraseñas: nunca se guardan en claro, solo un resumen criptográfico.
• Verificación en dos pasos opcional para las cuentas: el negocio puede exigir, además de la contraseña, un código de una app de su móvil al entrar; con ella activada, ver documentos de identidad, cambiar los datos legales o dar de baja la cuenta también lo exige.
• Credenciales de terceros cifradas: las claves con las que el negocio conecta su calendario externo se guardan cifradas.
• Copias de seguridad diarias de la base de datos, cifradas con age antes de salir del servidor (el servidor no tiene la clave para descifrarlas), con aviso si una falla y restauración probada. Se conservan como máximo 14 meses.
• Acceso restringido: solo el titular de Glam Studio Cloud administra el servidor y la base de datos. El panel de administración está protegido además con Cloudflare Access; el servidor solo admite acceso por clave y bloquea los intentos repetidos.
• Servidor mantenido: actualizaciones de seguridad automáticas y cada servicio con su propio usuario sin privilegios.
• Registros y vigilancia: registros técnicos de acceso para detectar abusos e incidentes, que se borran solos (máximo 90 días), comprobaciones automáticas del estado del servidor cada pocos minutos, y límites de intentos en el inicio de sesión y en los formularios públicos.
• Minimización: las visitas a las webs públicas se cuentan sin cookies y con un resumen de la IP que se borra a las 48 horas.