Contrato de encargado del tratamiento

1. Partes

• Responsable del tratamiento: el negocio que acepta este contrato desde su panel.
• Encargado del tratamiento: Alexis Coves Llopis, NIF 74378041C, Calle La Tarifa, 25, 35250 Ingenio (Las Palmas), titular de Taro (en adelante, Taro).

2. Objeto y duración

Taro trata datos personales por cuenta del negocio solo para prestarle el servicio de reservas: página pública, reserva online, panel de gestión y emails de las citas. El contrato dura lo mismo que el servicio.

3. Datos y personas afectadas

• Personas: clientes del negocio y personas de su equipo.
• Datos: identificativos y de contacto (nombre, teléfono, email), citas e historial, notas.
• Sin categorías especiales: el negocio se compromete a no introducir datos de salud ni otros datos especialmente protegidos en las notas.

4. Obligaciones de Taro

• Tratar los datos solo siguiendo las instrucciones del negocio, que son las que resultan del uso del servicio y de este contrato.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar medidas de seguridad adecuadas: cifrado en tránsito (TLS), separación de los datos de cada negocio en la base de datos, acceso al panel por enlace personal, acceso a los servidores restringido y copias de seguridad.
• Ayudar al negocio a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad). El panel permite consultar, corregir y anonimizar fichas de cliente.
• Avisar al negocio de cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que se conozca, con la información disponible.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del punto 5 o por obligación legal.

5. Subencargados

El negocio autoriza a Taro a usar estos proveedores:

• OVHcloud — alojamiento de la aplicación y la base de datos, en servidores de la Unión Europea.
• Resend, Inc. (Estados Unidos) — envío de los emails de las citas, desde su región de la Unión Europea (Irlanda), con Amazon Web Services como proveedor. Si hubiera acceso a los datos desde fuera de la UE, se ampara en las garantías del RGPD (cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.).

Taro avisará por email antes de añadir o cambiar un subencargado, y el negocio podrá oponerse dándose de baja.

6. Fin del contrato

Al terminar el servicio, Taro entrega al negocio sus datos de clientes y citas en CSV y los suprime en un plazo de 30 días, salvo los que la ley obligue a conservar, que quedan bloqueados.

7. Obligaciones del negocio

• Informar a sus clientes del tratamiento (la reserva online ya lo hace con la casilla de privacidad).
• Dar acceso al panel solo a personas de su equipo que lo necesiten y retirarlo cuando dejen de necesitarlo.

8. Auditoría

Taro pondrá a disposición del negocio la información necesaria para demostrar el cumplimiento de este contrato y colaborará en las auditorías razonables que pida, con aviso previo.

Texto base pendiente de revisión jurídica.