Contrato de encargo del tratamiento

Para qué es esto

En cuanto apuntas el teléfono de una clienta en BOOK, la ley considera que hay dos partes: tú, que decides qué datos guardas y para qué, y nosotros, que los custodiamos siguiendo tus instrucciones. El artículo 28 del RGPD exige que eso esté por escrito.

Sin este documento el incumplimiento no sería sólo nuestro: también tuyo, porque la obligación de tener el contrato es del responsable. Por eso está aquí y se acepta al darse de alta, en lugar de mandarte un PDF que nadie imprime.

Quién es quién

Responsable del tratamiento

El negocio que contrata BOOK. Es decir, tú.

Encargado del tratamiento

Almaruc (BOOK), con domicilio en Almería (España).

Qué datos, de quién y para qué

Si en las notas escribes datos de salud —alergias, tratamientos, una lesión— pasan a ser datos de categoría especial (art. 9 RGPD). BOOK los cifra igual que el resto, pero quien decide si se apuntan eres tú, y con ello asumes las obligaciones añadidas que eso conlleva. Apunta lo que necesites para trabajar y nada más.

A qué nos comprometemos

Los apartados son los del artículo 28.3, en su orden, para que se pueda comprobar.

1. Tratar los datos sólo siguiendo tus instrucciones. Las instrucciones son el uso normal del programa. No los usamos para nada más: ni para publicidad, ni para estadísticas propias, ni para entrenar nada.
2. Confidencialidad. Quien tenga acceso por nuestra parte está obligado a guardarla, y sigue obligado después de dejar de trabajar con nosotros.
3. Medidas de seguridad. Aislamiento de los datos de cada negocio en la propia base de datos, cifrado de los campos que identifican a una persona, contraseñas guardadas sólo como resumen criptográfico, verificación en dos pasos para las acciones críticas y cifrado en tránsito. Se detallan en la política de privacidad.
4. Subencargados. Sólo los de la lista de abajo, y se avisa antes de añadir o cambiar alguno para que puedas oponerte. Cada uno queda obligado por escrito a lo mismo que nosotros.
5. Ayudarte con los derechos de tus clientes. El propio panel te deja resolverlos: buscar a alguien, exportar sus datos o borrar los personales conservando lo que la contabilidad obliga a guardar. Si necesitas algo que el panel no cubra, escríbenos.
6. Ayudarte con lo demás: notificación de brechas, evaluaciones de impacto y consultas previas, en la medida en que dependa de nosotros.
7. Devolverte o borrar los datos al terminar. Tú eliges. Puedes llevártelos tú mismo desde el panel en cualquier momento y sin avisarnos.
8. Darte lo que necesites para comprobarlo y permitir auditorías razonables.

Si hay una brecha

Te avisamos sin dilación indebida desde que la conocemos, con lo que sepamos: qué ha pasado, a qué datos afecta, qué consecuencias probables tiene y qué estamos haciendo. Lo hacemos aunque todavía no tengamos la investigación cerrada — que te enteres tarde es peor que enterarte con datos incompletos.

Quien notifica a la Agencia y, si procede, a los afectados, eres tú: la ley se lo pide al responsable. Nosotros te damos todo lo que haga falta para hacerlo.

Quién más interviene

La lista es corta porque BOOK no llama a ningún servicio de terceros mientras se usa. No hay analítica, ni CDN, ni pasarela de pago, ni proveedor de notificaciones. Cuantos menos, menos sitios donde pueden acabar los datos de tus clientes.

Duración

Este encargo dura lo que dure tu suscripción. Al terminar, y salvo que nos digas otra cosa en treinta días, borramos los datos personales conservando sólo lo que la ley obligue a guardar.