Contrato de encargado del tratamiento

Este contrato de encargado del tratamiento (el "Contrato") establece cómo trata TicketPa los datos personales por cuenta de los negocios que lo utilizan, tal como exige el artículo 28 del Reglamento General de Protección de Datos (RGPD). Forma parte de nuestras condiciones del servicio, y usted lo acepta cuando acepta las condiciones.

Partes de este Contrato

• Usted, el negocio que utiliza TicketPa, como responsable del tratamiento.
• TicketPa, como encargado del tratamiento, gestionado por la siguiente persona: el titular del certificado de actividad individual n.º 777726, Vilna, Lituania.

Este Contrato abarca los datos personales de sus clientes y de otras personas que tratamos por cuenta de usted al prestarle TicketPa (los "datos de los clientes"). El anexo 1 describe esos datos y lo que hacemos con ellos. En cambio, sus datos personales y los de los miembros de su equipo se rigen por nuestra política de privacidad, porque respecto de esos datos somos el responsable del tratamiento.

Si este Contrato y las condiciones del servicio discrepan en materia de datos personales, se aplica este Contrato.

Qué hacemos con los datos de los clientes

Tratamos los datos de los clientes únicamente para prestarle TicketPa y únicamente siguiendo sus instrucciones documentadas. Sus instrucciones son las condiciones del servicio y este Contrato, y la forma en que usted configura y utiliza TicketPa: su configuración, lo que usted y su equipo hacen en la aplicación y lo que nos pide por escrito.

Si consideramos que una instrucción infringe la normativa de protección de datos, se lo comunicamos. Si la legislación de la UE o de Lituania nos obliga a tratar los datos de los clientes de otro modo, se lo comunicamos antes, salvo que esa legislación lo prohíba.

Confidencialidad

Todas las personas que pueden acceder a los datos de los clientes por nuestra parte están obligadas a mantener su confidencialidad y solo pueden utilizarlos en la medida en que lo permite este Contrato.

Seguridad

Protegemos los datos de los clientes con las medidas técnicas y organizativas del anexo 2, y las mantenemos adecuadas a los riesgos a medida que TicketPa cambia. Podemos actualizar las medidas, siempre que no pasen a ofrecer menos protección.

Subencargados del tratamiento

Usted nos autoriza a recurrir a subencargados del tratamiento, los proveedores de servicios indicados en el anexo 3, para ayudarnos a prestar TicketPa. Imponemos a cada uno, por contrato, obligaciones de protección de datos al menos tan estrictas como las nuestras en este Contrato, y seguimos siendo responsables ante usted de su trabajo.

Al menos 30 días antes de añadir o sustituir un subencargado del tratamiento, enviamos un correo electrónico a los propietarios de su negocio y actualizamos el anexo 3. Si tiene motivos razonables relacionados con la protección de datos para oponerse, comuníquenoslo dentro de ese plazo. Si no podemos resolver su objeción, puede cerrar su cuenta antes del cambio, y le reembolsamos las tarifas que haya pagado por adelantado correspondientes al periodo posterior al cierre.

Cómo le ayudamos

Le ayudamos, en la medida en que razonablemente podamos y teniendo en cuenta lo que hace TicketPa:

• con las solicitudes de sus clientes para ejercer sus derechos conforme al RGPD. Si un cliente nos escribe, le trasladamos a usted la solicitud y no la respondemos nosotros, salvo que usted nos lo pida. Muchas solicitudes puede gestionarlas usted mismo en TicketPa; para el resto, como la supresión de los datos de un cliente, escríbanos y lo hacemos por usted.
• con sus demás obligaciones en virtud de los artículos 32 a 36 del RGPD, como la seguridad, las evaluaciones de impacto relativas a la protección de datos y la consulta a una autoridad de protección de datos.

Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad que afecte a los datos de los clientes, se lo notificamos sin dilación indebida y, a más tardar, en un plazo de 48 horas. Le comunicamos lo que sabemos al respecto: qué ha ocurrido, qué categorías de datos y aproximadamente cuántas personas se ven afectadas, las consecuencias probables y lo que estamos haciendo al respecto, y le mantenemos informado a medida que sabemos más. Adoptamos medidas razonables para contener la violación y reducir sus efectos.

Cuando deje de utilizar TicketPa

Antes de que se cierre su cuenta, puede descargar sus reservas, por ejemplo con el CSV de reservas de Informes (Reports). En un plazo de 90 días desde el cierre de su negocio en TicketPa, eliminamos los datos de los clientes, salvo que la legislación de la UE o de Lituania nos obligue a conservar una parte de ellos. Después, desaparecen automáticamente de nuestras copias de seguridad en un plazo de 30 días. Previa solicitud, confirmamos la eliminación por escrito.

Información y auditorías

Le facilitamos la información que necesite para demostrar que cumplimos este Contrato. Usted, o un auditor independiente elegido por usted y sujeto a confidencialidad, puede auditar nuestro cumplimiento una vez al año, o con mayor frecuencia tras una violación de la seguridad o cuando lo solicite una autoridad de protección de datos. Avísenos con al menos 30 días de antelación. Las auditorías se realizan a su cargo, en horario laboral y sin acceso a los datos de otros negocios.

Transferencias fuera del Espacio Económico Europeo

Solo transferimos datos de los clientes fuera del Espacio Económico Europeo con las garantías que exige el capítulo V del RGPD, como una decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo. Hostinger conserva los datos de los clientes en la Unión Europea, donde también están nuestras copias de seguridad en Cloudflare. Sin embargo, las solicitudes a TicketPa pasan por la red mundial de Cloudflare, normalmente por el centro de datos más cercano a la persona que usa TicketPa, que puede estar fuera del Espacio Económico Europeo. Cloudflare, una empresa estadounidense, está certificada conforme al Marco de Privacidad de Datos UE-EE. UU., y su contrato con nosotros incluye las cláusulas contractuales tipo.

Sus responsabilidades

Usted es responsable de:

• contar con una base jurídica para los datos de los clientes que recoge y para los correos electrónicos que decide enviar, como las solicitudes de reseña;
• informar a sus clientes de cómo utiliza sus datos, en su propia política de privacidad;
• darnos únicamente instrucciones lícitas;
• no pedir a los clientes categorías especiales de datos personales, como datos de salud, salvo que realmente los necesite y cuente con una base jurídica;
• decidir quién de su equipo puede ver los datos de los clientes, mediante sus roles.

Responsabilidad y duración

La responsabilidad de cada parte en virtud de este Contrato se rige por las condiciones del servicio, en la medida en que lo permita la normativa de protección de datos. Este Contrato se aplica mientras tratemos datos de los clientes por cuenta de usted, incluso después del cierre de su cuenta, hasta que se eliminen los datos de los clientes.

Anexo 1: Detalles del tratamiento

Anexo 2: Medidas de seguridad

• Cifrado en tránsito: todas las páginas y solicitudes se sirven a través de HTTPS.
• Protección frente a ataques: todo el tráfico hacia TicketPa pasa por Cloudflare, que frena los ataques, como las avalanchas de solicitudes, antes de que lleguen a los servidores. La conexión entre Cloudflare y los servidores también está cifrada.
• Cuentas: las contraseñas se almacenan solo como hashes seguros, la autenticación de dos factores está disponible para todas las cuentas, y los intentos de inicio de sesión tienen un límite de frecuencia.
• Cifrado en reposo de los secretos: los secretos de dos factores, los códigos de recuperación y los secretos de las sesiones de pago se cifran en la base de datos.
• Separación entre negocios: cada registro pertenece a un único negocio, y TicketPa comprueba en cada solicitud que la persona que ha iniciado sesión es miembro de ese negocio. Hay pruebas automatizadas que verifican que un negocio no puede acceder a los datos de otro negocio.
• Roles dentro de su negocio: los propietarios, los responsables y los anfitriones ven cosas distintas. Los anfitriones no ven los informes ni la configuración de pagos.
• Nuestro propio acceso: solo las personas que gestionan TicketPa pueden acceder a los servidores y al panel de administración. Para iniciar sesión en los servidores hace falta una clave SSH, ya que las contraseñas están desactivadas, y una dirección que falla repetidamente al iniciar sesión se bloquea automáticamente.
• Alojamiento: los servidores están en un centro de datos de la Unión Europea, detrás de un cortafuegos que solo permite las conexiones que TicketPa necesita. Las actualizaciones de seguridad del sistema operativo se instalan automáticamente.
• Copias de seguridad: se hace una copia de seguridad de la base de datos cada 6 horas en un almacenamiento privado y cifrado de la Unión Europea, separado de los servidores. Cada copia se elimina automáticamente a los 30 días. Las fotos y los logotipos subidos se copian cada día en el mismo lugar y se conservan 7 días.
• Pagos: los datos de las tarjetas los gestiona únicamente Stripe, que cuenta con la certificación PCI DSS. TicketPa almacena los identificadores y los importes de los pagos, nunca los números de tarjeta.
• Minimización de datos: las fotos y los logotipos subidos se vuelven a codificar, lo que elimina datos ocultos como la ubicación GPS; los registros de eventos de Stripe y las tareas en segundo plano fallidas, que pueden contener datos de clientes, se eliminan al cabo de 30 días; las invitaciones caducadas se eliminan.

Anexo 3: Subencargados del tratamiento

Servicios que usted mismo conecta. Si activa los pagos online, los datos de pago de sus clientes van a su propia cuenta de Stripe, conforme a su acuerdo con Stripe. Para ello, Stripe no es nuestro subencargado del tratamiento.

Preguntas sobre este Contrato: hello@ticketpa.com.