Acuerdo de encargo del tratamiento

1.Partes y ámbito

Este Acuerdo de encargo del tratamiento (el «Acuerdo de tratamiento») se celebra entre el negocio que tiene una cuenta de Hournook (el «Responsable», «tú») y Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), empresario individual que opera con el nombre comercial DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Número de identificación fiscal (ΑΦΜ) 169481343, Registro General Mercantil de Grecia (Γ.Ε.ΜΗ.) n.º 186989906000 (el «Encargado», «nosotros»). Forma parte de las Condiciones del servicio y se aplica automáticamente, sin necesidad de firma aparte, siempre que tratemos datos personales por tu cuenta al prestar Hournook.

Términos como «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les da el Reglamento (UE) 2016/679 (el «RGPD»). Si este Acuerdo de tratamiento y las Condiciones se contradicen en materia de protección de datos, prevalece este Acuerdo de tratamiento.

2.Detalles del tratamiento

• Objeto y finalidad: prestarte Hournook: alojar tu página de reservas, recibir y gestionar reservas, almacenar fichas de clientes, enviar correos de citas en tu nombre, estadísticas, exportaciones y soporte.
• Duración: mientras uses Hournook y hasta que los datos se eliminen como se describe más abajo.
• Naturaleza del tratamiento: recogida a través de la página de reservas o de lo que introduzcas, conservación, organización, consulta, presentación a ti y a tu equipo, transmisión por correo electrónico, exportación y supresión.
• Interesados: tus clientes y posibles clientes que reservan o a quienes añades; tu personal y los miembros de tu equipo.
• Categorías de datos personales: nombre, dirección de correo electrónico, número de teléfono, detalles de las citas (servicio, miembro del personal, fecha, hora, precio, estado, historial), mensajes de los clientes, notas que escribas, y nombres y horarios del personal.
• Categorías especiales: Hournook no está diseñado para categorías especiales de datos (como los datos de salud). No las introducirás salvo que la ley te lo permita y hayas asegurado las garantías necesarias; si lo haces, las medidas de seguridad de este Acuerdo de tratamiento también se les aplican.

3.Tratamiento solo siguiendo tus instrucciones

Tratamos los datos personales únicamente siguiendo tus instrucciones documentadas, que son estas Condiciones y este Acuerdo de tratamiento, así como los ajustes y acciones que utilices en Hournook. No los usamos para nuestros propios fines, no los vendemos ni los combinamos con otros datos, salvo que el Derecho de la UE o el Derecho griego nos obliguen a tratarlos; en ese caso te informaremos previamente, salvo que la ley lo prohíba.

Te informaremos inmediatamente si, en nuestra opinión, una instrucción infringe el RGPD u otra normativa de protección de datos.

4.Confidencialidad

Todas las personas autorizadas por nosotros para acceder a los datos personales están sujetas a un deber de confidencialidad y solo acceden a ellos en la medida necesaria para prestar, proteger o dar soporte al servicio.

5.Medidas de seguridad (artículo 32)

Aplicamos medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costes y los riesgos. Actualmente incluyen:

• Cifrado en tránsito (HTTPS con HSTS; conexiones cifradas a la base de datos).
• Cifrado en reposo proporcionado por nuestros proveedores de alojamiento y de base de datos.
• Separación lógica de los datos de cada negocio, aplicada en cada solicitud, y permisos basados en funciones para los miembros del equipo.
• Hash unidireccional robusto de las contraseñas, cookies de sesión seguras, limitación de intentos de inicio de sesión y bloqueo de cuentas, y limitación de frecuencia de las acciones sensibles.
• Una política de seguridad de contenidos y otras cabeceras de seguridad en todas las páginas.
• Un registro de auditoría de las acciones relevantes sobre cuentas y datos.
• Copias de seguridad mantenidas por nuestro proveedor de base de datos que permiten la restauración tras un incidente.
• Acceso a los sistemas de producción restringido al titular del proveedor, con autenticación multifactor en las cuentas de los proveedores.
• Minimización de datos y eliminación automática según lo previsto en nuestra política de privacidad.

Podemos actualizar estas medidas siempre que no se reduzca el nivel global de seguridad.

6.Subencargados del tratamiento

Nos otorgas una autorización general para recurrir a subencargados del tratamiento. Los subencargados que tratan actualmente los datos de tus clientes son:

Imponemos a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo de tratamiento y seguimos siendo responsables ante ti de su cumplimiento. Avisaremos por correo electrónico a los titulares de cuentas con al menos 30 días de antelación antes de añadir o sustituir un subencargado. Puedes oponerte por motivos razonables de protección de datos dentro de ese plazo; si no podemos atender razonablemente tu objeción, puedes resolver el servicio afectado y recibir el reembolso proporcional de las cuotas pagadas por adelantado.

7.Transferencias internacionales

Cuando un subencargado trate datos personales fuera del Espacio Económico Europeo, nos aseguramos de que la transferencia cumpla el capítulo V del RGPD, mediante una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU. para proveedores certificados) o las cláusulas contractuales tipo de la Comisión Europea con medidas complementarias cuando sea necesario.

8.Asistencia con las solicitudes de los interesados y el cumplimiento

Hournook te permite responder tú mismo a la mayoría de las solicitudes: consultar, rectificar y exportar datos de clientes, borrar a un cliente y eliminar tu negocio. Si recibimos una solicitud directamente de uno de tus clientes, no la responderemos nosotros (salvo para remitirle a ti) y te la trasladaremos sin dilación indebida.

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, también te ayudaremos razonablemente a cumplir tus obligaciones en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa (artículos 32 a 36 del RGPD).

9.Violaciones de la seguridad de los datos personales

Te notificaremos sin dilación indebida, y en cualquier caso en un plazo de 48 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a tus datos, mediante correo electrónico al titular de la cuenta. La notificación describirá, en la medida en que se conozca en ese momento, la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Adoptaremos medidas razonables para contener la violación y facilitaremos más información a medida que esté disponible, para que puedas cumplir tus propias obligaciones de notificación a la autoridad de control y de comunicación a los interesados.

10.Supresión y devolución de los datos

Puedes exportar tus datos en cualquier momento. Cuando borras a un cliente, sus datos personales se eliminan de inmediato y solo quedan registros de citas anónimos para tus estadísticas. Cuando eliminas tu negocio, todos sus datos se borran de inmediato de nuestros sistemas en producción. En ambos casos, los datos se sobrescriben en las copias de seguridad de nuestro proveedor de base de datos en un plazo de 30 días, salvo que el Derecho de la UE o el Derecho griego nos obliguen a conservarlos. Si tu suscripción termina sin que elimines tu negocio, tus datos siguen a tu disposición hasta que los elimines.

11.Información y auditorías

Pondremos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y responderemos a tus preguntas por escrito sobre nuestro tratamiento. Si no fuera suficiente, puedes auditar nuestro cumplimiento, también a través de un auditor independiente sujeto a confidencialidad, con un preaviso por escrito de al menos 30 días, no más de una vez al año (salvo que lo exija una autoridad de control o tras una violación), en horario laboral y de forma que no comprometa los datos de otros clientes ni nuestra seguridad. Cada parte asume sus propios costes.

12.Responsabilidad y duración

La responsabilidad derivada de este Acuerdo de tratamiento está sujeta a las limitaciones de las Condiciones, salvo que la ley no las permita. Este Acuerdo de tratamiento finaliza automáticamente cuando dejamos de tratar datos personales por tu cuenta; las obligaciones de supresión y confidencialidad se mantienen hasta entonces. Se rige por la misma ley y los mismos tribunales que las Condiciones.

13.Contacto

Preguntas sobre este Acuerdo de tratamiento o solicitudes de una copia firmada también por nosotros: devtaskhub@devtaskhub.com.