Contrato de encargado del tratamiento

1. Partes y objeto

Este contrato se aplica cuando un cliente (el responsable) contrata con Wedonic SLU, con NIF 748385839D (Wedonic, el encargado), un servicio en el que Wedonic trata datos personales por cuenta del cliente: los productos de Wedonic (hoy, Wedonic Restaurantes) y el desarrollo, el alojamiento y el mantenimiento de software, webs y aplicaciones que hace, aloja o mantiene Wedonic. Forma parte de las Condiciones del servicio.

Tiene una parte general (puntos 1 a 11), que vale para todos los servicios, y un apéndice por servicio con qué datos se tratan y de quién: el Apéndice A, para Wedonic Restaurantes; el Apéndice B, para el desarrollo a medida, el alojamiento y el mantenimiento; y el Apéndice C, para Wedonic Belleza. A cada cliente se le aplica el apéndice de lo que tiene contratado.

Dura lo mismo que el servicio y, después, el tiempo necesario para devolver o borrar los datos (punto 9).

2. Qué hace Wedonic con los datos

Solo lo necesario para dar el servicio contratado: guardarlos, organizarlos, mostrarlos, procesarlos, enviar avisos y emails, hacer copias de seguridad y lo que diga el apéndice de cada servicio.

3. Instrucciones del responsable

Wedonic trata los datos solo siguiendo las instrucciones documentadas del responsable: este contrato, lo que configura en su panel y, en los servicios a medida, lo que se acuerda por escrito en la propuesta o después. Si una instrucción le pareciera contraria a la ley, se lo dirá.

En sus productos, Wedonic puede usar datos anonimizados y agregados (que ya no identifican a nadie) para mejorar el servicio.

4. Confidencialidad

Todas las personas de Wedonic que pueden acceder a los datos se han comprometido por escrito a guardar confidencialidad (artículo 5 de la Ley Orgánica 3/2018), también después de dejar Wedonic, y solo acceden a lo que necesitan para su trabajo. En los productos, cuando alguien de Wedonic entra en el panel de un cliente para ayudarle, queda registrado.

5. Seguridad (artículo 32 del RGPD)

Wedonic aplica medidas adecuadas al riesgo (en un desarrollo a medida o un alojamiento, además, las que fije su propuesta); entre otras:

• cifrado de las comunicaciones y de las copias;
• separación de los datos de cada cliente, de forma que ninguno puede ver los de otro (en los productos, comprobada con pruebas automáticas);
• doble factor obligatorio para el equipo de Wedonic y acceso de cada persona solo a lo que necesita;
• en los productos, contraseñas de al menos 12 caracteres, rechazando las que han salido en filtraciones, y límites contra los intentos de adivinarlas;
• registro de accesos y cambios, y vigilancia de intrusos con avisos;
• copias de seguridad y datos alojados en la Unión Europea (en un desarrollo a medida o un alojamiento, salvo que su propuesta diga otra cosa);
• borrado de lo que no hace falta guardar.

6. Subencargados

El responsable autoriza a Wedonic a contratar los subencargados que necesite cada servicio (los de cada uno, en su apéndice). Cada uno queda obligado por contrato a lo mismo que Wedonic.

Wedonic avisará por email al menos 15 días antes de añadir o cambiar uno; el responsable puede oponerse con motivos y, si no hay alternativa, darse de baja sin coste.

7. Transferencias internacionales

Si un subencargado trata datos fuera del Espacio Económico Europeo, será con las garantías del capítulo V del RGPD: decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la Comisión Europea.

8. Ayuda al responsable

Wedonic ayudará al responsable a:

• atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad): si alguien escribe a Wedonic, se lo pasaremos al responsable sin contestar por él;
• cumplir con la seguridad, con las evaluaciones de impacto y con las consultas a la autoridad, si hicieran falta;
• gestionar las brechas: Wedonic le avisará sin dilación indebida, y en todo caso en menos de 48 horas desde que la conozca, con la información que tenga, para que pueda notificarla a la Agencia Española de Protección de Datos en 72 horas si corresponde.

9. Al terminar

El responsable tiene 30 días para descargar sus datos o pedírnoslos en un formato de uso común. Después, Wedonic los borra, también de las copias de seguridad en su ciclo normal, salvo lo que la ley obliga a conservar, que queda bloqueado y solo se usa para cumplir esa obligación.

10. Auditoría

Wedonic dará al responsable la información necesaria para demostrar que cumple este contrato y permitirá auditorías, con un preaviso razonable y sin acceder a los datos de otros clientes.

11. Responsabilidad

Si Wedonic usa los datos para otra cosa, los comunica o incumple este contrato, será considerado responsable de ese tratamiento y responderá de las infracciones en que haya incurrido personalmente. En lo demás, se aplica lo pactado en las Condiciones del servicio.

Apéndice A · Wedonic Restaurantes

Se aplica a los clientes de Wedonic Restaurantes, la plataforma de gestión del restaurante. El responsable es el restaurante (su empresa); Wedonic, su encargado.

Qué hace Wedonic: guardar los datos y mostrarlos en el panel, la carta y la app del equipo, traducir y procesar textos, enviar avisos y emails, generar los registros de facturación (VERI*FACTU) y hacer copias de seguridad.

Con la representación que el restaurante le otorga (el modelo oficial de la Agencia Tributaria), Wedonic envía en su nombre sus registros de facturación a la Agencia Tributaria, solo para ese envío.

A.1. Qué datos y de quién

Según los módulos que use el restaurante:

• sus clientes que reservan: nombre, teléfono, email, número de personas, fecha, notas, celebraciones y, solo con su permiso expreso, sus alergias (datos de salud, de categoría especial);
• sus clientes que piden desde la mesa o para llevar: lo pedido, sus notas, nombre y teléfono (para llevar) y, si aceptan avisar a cocina, sus alergias;
• sus clientes que piden factura completa: nombre o razón social, NIF y dirección;
• sus clientes que le dejan una opinión privada: lo que escriben y, si quieren respuesta, su email o teléfono;
• la ficha de sus clientes (fidelización): visitas, reservas, gasto, etiquetas y notas que ponga el restaurante;
• su equipo: nombre, puesto, móvil, zonas, turnos, fichajes (el registro de jornada que exige el artículo 34.9 del Estatuto de los Trabajadores), propinas y lo que hace cada uno en la plataforma.

A.2. Lo que nunca guardamos

Las conversaciones con el asistente de la carta (se usan para responder y se descartan; solo queda, sin datos personales, lo que no supo responder). Las alergias que un cliente marca en la carta, que se quedan en su móvil salvo que acepte avisar a cocina. Los datos de las tarjetas, que solo ve la pasarela de pagos.

A.3. Cuánto tiempo

Las reservas y los pedidos, lo necesario para gestionarlos y hasta dos años después, como historial de clientes del restaurante. Lo que la ley obliga a conservar, aunque el restaurante se vaya: los registros de facturación (cuatro años, o seis como libros de la empresa) y los de jornada (cuatro años).

A.4. Los derechos de sus clientes

La plataforma le deja descargar los datos y «Olvidar a este cliente» (sus facturas se quedan, por ley).

A.5. Subencargados

Para alojamiento y base de datos (en la Unión Europea), pasarela de pagos, envío de emails, inteligencia artificial, síntesis de voz, mensajería (si se activa) y envío de registros a la Agencia Tributaria. En el panel del restaurante, en «Contrato y privacidad», está para qué es cada uno y dónde trata los datos; el nombre de cada uno se da por escrito si el responsable lo pide.

Apéndice B · Desarrollo a medida, alojamiento y mantenimiento

Se aplica cuando Wedonic desarrolla, aloja o mantiene software, webs o aplicaciones de un cliente (también las que no hizo Wedonic) y, para ello, trata datos personales de los que el cliente es responsable: los de sus usuarios, sus clientes o su equipo.

B.1. Qué datos, de quién y para qué

Las categorías de datos y de personas, lo que hace Wedonic con ellos (desarrollar, probar, alojar, hacer copias, dar soporte…) y cuánto tiempo los fija la propuesta o el contrato particular. Si no los fija, antes de que Wedonic acceda a datos reales, el cliente le dice por escrito qué tipos de datos y de personas hay (por ejemplo, sus clientes, sus usuarios o su equipo), y eso pasa a formar parte de este apéndice. Wedonic solo los trata para ese trabajo.

Si hay datos de categoría especial (de salud, por ejemplo), el cliente lo dice antes de empezar y se acuerdan por escrito las medidas para ellos.

B.2. Los accesos del cliente

Los accesos que el cliente da a Wedonic a sus sistemas se usan solo para el trabajo encargado, y el cliente los puede retirar cuando quiera.

B.3. Subencargados

Los que necesite cada trabajo (por ejemplo, el alojamiento), que se dicen en la propuesta o se dan por escrito si el cliente los pide. Los proveedores que contrata el propio cliente (su alojamiento, su pasarela de pagos…) no son subencargados de Wedonic.

B.4. Al terminar

Se aplica el punto 9: Wedonic devuelve los datos al cliente y los borra de sus sistemas y de las versiones de prueba; de las copias de seguridad, en su ciclo normal.

Apéndice C · Wedonic Belleza

Se aplica a los clientes de Wedonic Belleza, la plataforma para centros de belleza. El responsable es el centro (su empresa); Wedonic, su encargado.

Qué hace Wedonic: guardar los datos y mostrarlos en el panel, la web de citas y la app del equipo, traducir textos, enviar avisos, emails y recordatorios, generar los registros de facturación (VERI*FACTU) y hacer copias de seguridad. Con la representación que el centro le otorga, envía en su nombre sus registros de facturación a la Agencia Tributaria, como en el Apéndice A.

C.1. Qué datos y de quién

Según los módulos que use el centro:

• sus clientes que piden cita: nombre, teléfono, email, los servicios, el día y la hora, sus notas y, si la hay, la señal pagada;
• la ficha de sus clientes: visitas, gasto, bonos, tarjetas regalo, etiquetas, notas, preferencias, su cumpleaños y si quieren recibir novedades;
• sus datos de salud (de categoría especial), solo con su permiso expreso: alergias, la prueba de alergia del tinte y lo que digan en un consentimiento;
• los consentimientos firmados: el texto tal cual se firmó, el nombre de quien firma, su firma y la fecha;
• las fórmulas de color y las fotos de antes y después, en un almacén privado;
• sus clientes que piden factura completa: nombre o razón social, NIF y dirección;
• sus clientes que dejan una opinión: lo que escriben y su nombre;
• su equipo: nombre, puesto, horario, turnos, fichajes (el registro de jornada que exige el artículo 34.9 del Estatuto de los Trabajadores), comisiones, propinas y lo que hace cada uno en la plataforma.

C.2. Lo que nunca guardamos

Los datos de las tarjetas, que solo ve la pasarela de pagos. Los datos de salud sin el permiso expreso del cliente: la plataforma no deja apuntarlos sin él.

C.3. Cuánto tiempo

Las citas y la ficha, mientras sea cliente del centro; el centro puede borrar a un cliente cuando quiera con «Olvidar a este cliente». Los consentimientos firmados, mientras puedan hacer falta para acreditar lo que se hizo. Lo que la ley obliga a conservar, aunque el centro se vaya: los registros de facturación (cuatro años, o seis como libros de la empresa) y los de jornada (cuatro años). Los mensajes enviados (recordatorios y avisos), 90 días.

C.4. Los derechos de sus clientes

La plataforma le deja ver y corregir la ficha, retirar el permiso de las novedades y el de los datos de salud, y «Olvidar a este cliente» (sus tickets, por ley, y sus consentimientos firmados se quedan).

C.5. Subencargados

Los del Apéndice A (alojamiento y base de datos en la Unión Europea, pasarela de pagos, envío de emails, inteligencia artificial para las traducciones, mensajería si se activa y envío de registros a la Agencia Tributaria) y, cuando se conecte, el de los SMS. En el panel del centro, en «Contrato y privacidad», está para qué es cada uno y dónde trata los datos; el nombre de cada uno se da por escrito si el responsable lo pide.