1. Objeto y partes
Este anexo forma parte de las Condiciones Generales de Contratación de TPVenlaNUBE y regula el tratamiento de datos personales que FOS SYSTEMS SOLUTIONS S.L. («FOS»), con NIF B87180022, realiza por cuenta del cliente que contrata el servicio («el Cliente») para prestárselo, conforme al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»), y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
El Cliente es el responsable del tratamiento de los datos personales que él o sus Usuarios Autorizados introducen, generan o guardan en TPVenlaNUBE. FOS es el encargado del tratamiento. Los términos con mayúscula tienen el significado que les dan las Condiciones de uso para Usuarios Autorizados (EULA).
2. Descripción del tratamiento
- Naturaleza: alojamiento, almacenamiento, copia de seguridad, mantenimiento, actualización, soporte técnico (incluida la asistencia remota) y seguridad del servicio en la nube TPVenlaNUBE, y el envío de las comunicaciones que el Cliente programe con sus funciones, como los recordatorios de citas por SMS o las newsletters.
- Finalidad: prestar el servicio contratado, y ninguna otra.
- Interesados: los clientes del negocio del Cliente, sus empleados y colaboradores, sus Usuarios Autorizados, sus proveedores y sus personas de contacto.
- Datos: identificativos y de contacto; los de la relación del Cliente con sus clientes (compras, citas, servicios, bonos, saldos, tarjetas regalo, preferencias y notas); los de sus empleados en el programa (horarios, presencia, comisiones y objetivos); los económicos (ventas, tickets, facturas, cobros y deudas); y las credenciales de acceso.
- Duración: la del contrato, más el tiempo necesario para devolver o suprimir los datos al terminar (apartado 8).
El Cliente no debe introducir en el servicio categorías especiales de datos (por ejemplo, de salud, como las alergias de un cliente) salvo que sean necesarias y cuente con una base que lo permita. Si lo hace, debe informar a FOS para valorar juntos si hacen falta medidas adicionales.
3. Instrucciones del Cliente
FOS tratará los datos solo siguiendo las instrucciones documentadas del Cliente, que son las de este anexo y del contrato, la configuración que el Cliente haga del servicio y las que le dé por escrito. Si una instrucción le parece contraria a la normativa de protección de datos, FOS se lo dirá al Cliente de inmediato. FOS no usará los datos para fines propios, salvo que una norma le obligue, en cuyo caso se lo comunicará al Cliente antes, si la norma no lo prohíbe.
4. Confidencialidad
FOS garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando lo necesitan para prestar el servicio.
5. Seguridad
FOS aplica las medidas técnicas y organizativas apropiadas al riesgo del artículo 32 del RGPD, entre ellas: control de acceso por usuario y contraseña con permisos limitados a lo necesario, cifrado de las comunicaciones con el servicio, copias de seguridad periódicas, registro de la actividad, actualización de los sistemas y procedimientos para restablecer la disponibilidad tras un incidente. Las revisa y las mejora según el estado de la técnica.
6. Subencargados
El Cliente autoriza a FOS a recurrir a otros encargados (subencargados) para prestar el servicio, como proveedores de alojamiento e infraestructura, de envío de correo y SMS o de herramientas de soporte remoto. FOS les impondrá por contrato las mismas obligaciones de protección de datos de este anexo y responderá ante el Cliente de su cumplimiento. FOS informará al Cliente de cualquier cambio en los subencargados con al menos 30 días de antelación, para que pueda oponerse por motivos justificados; la lista actualizada está a su disposición en administracion@tpvenlanube.com.
Si algún subencargado trata los datos fuera del Espacio Económico Europeo, se hará con las garantías del capítulo V del RGPD (una decisión de adecuación o las cláusulas contractuales tipo).
7. Ayuda al Cliente
- Derechos de los interesados: si un interesado se dirige a FOS para ejercer sus derechos sobre datos del Cliente, FOS se lo trasladará sin dilación y le ayudará, en la medida de lo posible, a atenderlo. Muchas de estas peticiones las puede resolver el propio Cliente desde el programa (consultar, corregir o borrar fichas, exportar datos).
- Violaciones de seguridad: FOS notificará al Cliente, sin dilación indebida y siempre que sea posible en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que el Cliente pueda cumplir su obligación de notificarla a la autoridad y, en su caso, a los interesados.
- Evaluaciones de impacto y consultas previas: FOS dará al Cliente la información de que disponga para hacerlas, cuando sean necesarias.
8. Al terminar el servicio
Al terminar el contrato, el Cliente puede pedir que se le entreguen sus datos en los términos de la cláusula de cancelación de las Condiciones Generales de Contratación. Después, FOS suprimirá los datos y sus copias, salvo que una norma obligue a conservarlos, en cuyo caso los mantendrá bloqueados mientras dure esa obligación. Como recogen las condiciones de uso, el Cliente debe exportar antes de la fecha de terminación la información que necesite conservar.
9. Demostrar el cumplimiento y auditorías
FOS pondrá a disposición del Cliente la información necesaria para demostrar que cumple este anexo y permitirá las auditorías e inspecciones que el Cliente o un auditor autorizado por él realicen, con un preaviso razonable, sin perjudicar la seguridad ni la confidencialidad de otros clientes y a costa del Cliente, como máximo una vez al año salvo que haya habido una violación de seguridad. FOS lleva el registro de las actividades de tratamiento que hace por cuenta de sus clientes (artículo 30.2 del RGPD).
10. Obligaciones del Cliente
El Cliente se compromete a contar con una base jurídica para los datos que trata en el servicio, a informar a los interesados, a no introducir datos innecesarios, excesivos o ilícitos, a dar a cada Usuario Autorizado solo los permisos que necesite y a retirarlos cuando deje de estarlo, y a supervisar el cumplimiento de este anexo.
11. Datos técnicos del servicio
Los registros técnicos, métricas de uso y eventos de seguridad que genera el servicio los trata FOS como responsable, para la seguridad, el mantenimiento y la mejora del servicio, como recogen las condiciones de uso (cláusula 11) y la política de privacidad.
12. Responsabilidad y prevalencia
Cada parte responde de los incumplimientos que le sean imputables según el RGPD. En lo relativo a la protección de datos personales, este anexo prevalece sobre cualquier otra estipulación de las Condiciones Generales de Contratación o del EULA que lo contradiga.