Contrato de encargo de tratamiento

Este contrato, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), forma parte de las condiciones de contratación y se acepta al registrarse en TuGuardés. TuGuardés guarda la fecha y la versión aceptada.

1. Partes

• Responsable del tratamiento: el cliente que se registra en el Servicio, titular o gestor de uno o varios alojamientos turísticos, identificado con los datos de su cuenta.
• Encargado del tratamiento: el titular de TuGuardés, identificado en el aviso legal, con correo de contacto [email protected].

2. Objeto

El encargado trata datos personales por cuenta del responsable exclusivamente para prestar el Servicio descrito en las condiciones de contratación. El acceso del encargado a esos datos no constituye una comunicación de datos (art. 33.1 LOPDGDD).

3. Duración

El contrato dura mientras el responsable mantenga una cuenta en el Servicio, incluida la prueba gratuita y el modo solo lectura, y hasta que se complete la devolución o la supresión de los datos conforme a la cláusula 12. Las obligaciones de confidencialidad se mantienen después de su finalización.

4. Naturaleza y finalidad del tratamiento

Las operaciones incluyen recogida, registro, estructuración, conservación, consulta, transmisión, cotejo, exportación, supresión y destrucción.

5. Tipos de datos y categorías de interesados

• Huéspedes y viajeros: nombre, apellidos, sexo, fecha de nacimiento y nacionalidad; tipo y número del documento de identidad y, en su caso, número de soporte; domicilio, teléfono y correo electrónico; fechas de entrada y salida, número de viajeros y relación de parentesco cuando la exija la normativa; datos de la reserva y del pago que exija la normativa (sin datos completos de la tarjeta).
• Personal de limpieza y colaboradores del responsable: nombre, correo electrónico o teléfono, tareas asignadas, fotos, notas e incidencias que registren y registros de acceso.
• No se tratan categorías especiales de datos. El responsable se compromete a no introducirlas en los campos libres (notas, incidencias).

6. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son las contenidas en este contrato y en la configuración y el uso que haga del Servicio, también respecto de las transferencias internacionales. Si considera que una instrucción infringe la normativa, se lo comunicará de inmediato.
• No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal. Si lo hiciera, se convertiría en responsable de ese tratamiento (art. 33.2 LOPDGDD).
• Garantizar que las personas con acceso a los datos están sujetas a confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 8.
• Ayudar al responsable a cumplir los artículos 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consulta previa), según la información de que disponga.
• Llevar, cuando el artículo 30.2 del RGPD lo exija, el registro de las actividades de tratamiento que realiza por cuenta de sus clientes.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, conforme a la cláusula 13.

7. Subencargados

El responsable autoriza con carácter general la contratación de los siguientes subencargados:

Stripe interviene únicamente en el cobro de la suscripción del responsable y no recibe datos de huéspedes ni de personal de limpieza. El encargado informará al responsable por correo de cualquier incorporación o sustitución de subencargados con al menos 30 días de antelación, indicando el proveedor, el servicio y la ubicación de los datos, para que pueda oponerse de forma motivada; si no se llega a una solución, el responsable podrá cancelar el Servicio sin penalización antes de que el cambio se aplique. El encargado impondrá a los subencargados obligaciones equivalentes a las de este contrato y responderá ante el responsable de su cumplimiento. Los posibles accesos desde fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor esté adherido, o en cláusulas contractuales tipo.

8. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS/TLS).
• Cifrado de los datos del documento de identidad de los viajeros almacenados y almacenamiento en la Unión Europea.
• Acceso sin contraseña mediante enlaces de un solo uso que caducan en 15 minutos y cookies de sesión seguras (HttpOnly, Secure).
• Separación lógica de los datos de cada cliente y control de acceso por roles: el personal de limpieza no ve nombres, teléfonos, importes ni documentos de los huéspedes.
• Limitación de intentos de acceso y de envíos, y registro de las operaciones relevantes.
• Fotos y adjuntos en almacenamiento privado, accesibles solo mediante URL firmadas de corta duración.
• Copias de seguridad diarias con rotación (se conservan las 14 más recientes) y procedimiento de restauración probado.
• Minimización: supresión automática de las fotos de limpieza a los 90 días.
• Posibilidad de exportar y suprimir los datos por el propio responsable.

9. Asistencia al responsable

El encargado ayudará al responsable, teniendo en cuenta la naturaleza del tratamiento, a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). El Servicio permite al responsable consultar, corregir, exportar y suprimir los datos directamente. Si el encargado recibe una solicitud de un interesado, la trasladará al responsable sin demora y, como máximo, en 5 días hábiles, y no la responderá por su cuenta salvo instrucción del responsable.

10. Brechas de seguridad

El encargado notificará al responsable, sin dilación indebida y como máximo en 48 horas desde que tenga constancia de ella, cualquier violación de la seguridad de los datos personales, por correo a la dirección de la cuenta y con la información disponible: naturaleza, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un contacto para más información. Si no es posible dar toda la información a la vez, se facilitará de forma gradual. La notificación a la AEPD y a los interesados, cuando proceda, corresponde al responsable, con la ayuda del encargado.

11. Registro de viajeros y SES.Hospedajes

Las obligaciones de registro documental y de comunicación de datos de viajeros (art. 25 de la Ley Orgánica 4/2015 y Real Decreto 933/2021) corresponden al responsable como titular de la actividad de hospedaje. El encargado genera el fichero XML del parte de viajeros; el responsable lo presenta en SES.Hospedajes con sus propias credenciales dentro del plazo legal (de forma inmediata y, como máximo, en 24 horas, según el art. 6.3 del RD 933/2021) y revisa previamente que los datos son correctos.

12. Conservación, devolución y supresión de los datos

• Datos de viajeros: se conservan durante tres años desde la finalización de la estancia, plazo fijado por el artículo 5.3 del RD 933/2021, y después se suprimen automáticamente.
• Fotos de limpieza: 90 días desde su captura.
• Resto de datos: mientras la cuenta esté activa o hasta que el responsable los suprima.
• Fin del encargo: el responsable puede exportar sus datos desde la aplicación, también en modo solo lectura. Si da de baja la cuenta, dispone de 30 días para exportarlos; pasado ese plazo, el encargado suprimirá todos los datos, salvo que una norma exija conservarlos. Las copias de seguridad se eliminan conforme a su ciclo de rotación.
• Si una norma obliga a conservar los datos (como los registros de viajeros), el encargado los devuelve al responsable mediante la exportación, y es el responsable quien debe garantizar su conservación durante el plazo legal (art. 33.3 LOPDGDD).
• El encargado podrá conservar, debidamente bloqueados, los datos necesarios mientras puedan derivarse responsabilidades de su relación con el responsable (art. 33.4 LOPDGDD).

13. Auditorías e información

El encargado facilitará al responsable, a petición escrita, la información necesaria para demostrar el cumplimiento de este contrato (descripción de las medidas de seguridad, lista de subencargados, certificaciones de los proveedores). El responsable podrá realizar o encargar auditorías con un preaviso mínimo de 30 días, sin afectar a otros clientes ni a la seguridad del Servicio, como máximo una vez al año salvo violación de seguridad o requerimiento de una autoridad, y a su cargo.

14. Obligaciones del responsable

• Disponer de base jurídica para tratar los datos e informar a los interesados (puede usar la información para huéspedes, que enlaza el formulario de check-in).
• Cumplir sus obligaciones de registro y comunicación de viajeros.
• Introducir solo los datos necesarios y mantenerlos actualizados.
• Gestionar los accesos de sus usuarios y custodiar sus credenciales.

15. Responsabilidad y ley aplicable

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD; en lo no previsto, se aplica la limitación de responsabilidad de las condiciones de contratación en la medida en que lo permita la normativa de protección de datos. Este contrato se rige por el RGPD, la LOPDGDD y demás normativa española aplicable, con la jurisdicción prevista en las condiciones de contratación.