Contrato de encargo del tratamiento
1. Partes y objeto
El negocio que usa Quedía es el responsable de los datos de sus clientes. Quedía es el encargado y los trata solo para prestarle el servicio.
2. Qué datos y de quién
| Interesados | Clientes y potenciales clientes del negocio. |
|---|---|
| Datos | Nombre, teléfono, correo electrónico, citas, notas que el negocio escriba, mensajes enviados y recibidos, y en talleres matrícula, datos del vehículo y fotos del trabajo. |
| Tratamientos | Guardar, consultar, organizar, enviar avisos, mostrar páginas de reserva y seguimiento, hacer copias de seguridad y borrar. |
| Finalidad | Gestionar las citas y encargos del negocio y avisar a sus clientes. |
| Duración | La de la relación con el negocio. |
3. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son estas condiciones y el uso que hace de la aplicación. Si una instrucción le parece contraria a la ley, lo dirá.
- No usar los datos para fines propios ni comunicarlos a terceros salvo a los subencargados indicados.
- Garantizar que quien acceda a los datos está obligado a guardar secreto.
- Aplicar medidas de seguridad adecuadas (art. 32 RGPD): conexiones cifradas, contraseñas guardadas con algoritmo de un solo sentido, aislamiento de red de la aplicación, control de acceso por cuenta, enlaces públicos no adivinables y copias de seguridad diarias.
- Ayudar al responsable a atender los derechos de los interesados. La aplicación permite descargar y borrar los datos de cada cliente.
- Avisar al responsable sin dilación indebida, y como máximo en 48 horas, de cualquier brecha de seguridad que afecte a sus datos, con la información disponible.
- Ayudar al responsable, en lo que le corresponda, con evaluaciones de impacto y consultas a la autoridad.
- Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso.
4. Subencargados
El responsable autoriza estos subencargados. El encargado avisará de cualquier cambio con 15 días de antelación; el responsable podrá oponerse y, si no hay acuerdo, darse de baja sin coste.
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Brevo (Sendinblue SAS) | Envío de correos a los clientes del negocio | Unión Europea |
| Anthropic, PBC (solo plan Max, con el asistente activado) | Asistente IA: recibe los mensajes que los clientes escriben al negocio y los datos de citas necesarios para contestar y reservar | EE. UU., con cláusulas contractuales tipo de la Comisión Europea |
| Meta Platforms Ireland (solo con el envío automático de WhatsApp conectado) | Envío automático de avisos y respuestas por WhatsApp | Unión Europea; puede implicar transferencia a EE. UU., amparada en el Marco de Privacidad de Datos UE-EE. UU. |
Los mensajes de WhatsApp en modo manual los envía el propio negocio desde su teléfono, fuera de este encargo. Anthropic y Meta solo intervienen si el negocio activa esas funciones. Las estadísticas de visitas de la página de reservas se hacen sin cookies y en nuestro propio servidor, sin terceros.
5. Fin del encargo
Al terminar, el responsable puede descargar sus datos. El encargado los borra de la aplicación en un máximo de 30 días desde la baja, y desaparecen de las copias de seguridad cuando estas rotan, en un máximo de 14 días más, salvo que la ley obligue a conservarlos.
6. Obligaciones del responsable
- Informar a sus clientes y tener base jurídica para cada tratamiento.
- Recoger el consentimiento para las comunicaciones comerciales. La página de reservas ofrece una casilla para ello.
- No introducir datos de salud ni otros especialmente protegidos sin acuerdo previo por escrito.
- Supervisar el tratamiento y dar instrucciones al encargado.