Acuerdo de tratamiento de datos (DPA)

El responsable del tratamiento es el Cliente, es decir, el negocio (peluquería, centro de estética, spa, barbería, estudio u otro) que usa Styla y decide los fines y medios del tratamiento de los datos de sus clientes y colaboradores.

El encargado del tratamiento es TP53 S.r.l., Via Pomposa 153, 44121 Ferrara (FE), Italia, NIF-IVA 02203290388, que trata dichos datos exclusivamente para prestar el Servicio.

El tratamiento consiste en la recogida, registro, organización, conservación, consulta, elaboración, comunicación (por ejemplo el envío de recordatorios) y supresión de los datos, en la medida necesaria para ofrecer las funciones de Styla: agenda y reservas, fichas de clientes, gestión del personal, caja, mensajes, informes y asistente IA. El tratamiento dura lo mismo que el contrato de servicio y, tras su finalización, el tiempo necesario para devolver y suprimir los datos.

Algunos negocios (por ejemplo centros de estética, de masaje o de bienestar) pueden registrar en las fichas información relativa a la salud, como alergias, contraindicaciones o tratamientos anteriores, que son categorías especiales de datos (art. 9 RGPD). El responsable debe recogerlas solo cuando sean necesarias y con una base jurídica válida; TP53 las trata con las mismas medidas de seguridad reforzadas aplicadas a todos los datos del Servicio.

TP53 trata los datos solo siguiendo instrucciones documentadas del responsable. El contrato, la configuración establecida en el software y las solicitudes enviadas al soporte constituyen las instrucciones. Si, a juicio de TP53, una instrucción infringe el RGPD u otras normas, TP53 lo comunica de inmediato al responsable. TP53 no usa los datos para fines propios, no los vende ni los usa para entrenar modelos de inteligencia artificial.

TP53 autoriza al tratamiento solo al personal que lo necesita para prestar o dar soporte al Servicio, sujeto a una obligación de confidencialidad contractual o legal y debidamente formado. El personal de soporte accede a los datos de la cuenta solo cuando es necesario para resolver una solicitud del responsable.

Según el art. 32 RGPD, TP53 adopta, entre otras, las siguientes medidas:

• cifrado de los datos en tránsito (TLS 1.2 o superior) y en reposo;
• separación lógica de los datos de cada cliente y controles de acceso a nivel de fila;
• autenticación segura, gestión de roles y permisos para los usuarios del responsable;
• copias de seguridad automáticas con pruebas periódicas de restauración;
• registro y supervisión de los accesos administrativos;
• gestión de vulnerabilidades y actualización de los componentes de software;
• principio de mínimo privilegio para el personal de TP53 y procedimientos de gestión de incidentes.

El responsable autoriza de forma general a TP53 a recurrir a otros encargados ("subencargados"), a los que TP53 impone por contrato obligaciones de protección equivalentes a las de este acuerdo. TP53 comunica por email la incorporación o sustitución de un subencargado con al menos 30 días de antelación; el responsable puede oponerse por motivos razonables relacionados con la protección de datos y, si no se encuentra una solución, resolver el contrato sin penalización. TP53 sigue siendo plenamente responsable de la actuación de los subencargados.

Las integraciones elegidas por el responsable (por ejemplo servicios externos de mensajería, calendarios o pagos) se activan bajo su responsabilidad y se rigen por los términos del proveedor correspondiente.

Los datos se conservan prioritariamente en el Espacio Económico Europeo. Las posibles transferencias fuera del EEE solo se realizan sobre la base de una decisión de adecuación (incluido el EU-US Data Privacy Framework) o de las Cláusulas contractuales tipo de la Comisión Europea, previa evaluación del riesgo de la transferencia.

Teniendo en cuenta la naturaleza del tratamiento, TP53 asiste al responsable:

• en la respuesta a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad), también mediante las funciones de exportación y eliminación del software, reenviándole sin demora las solicitudes recibidas directamente;
• en la evaluación de impacto (EIPD) y la consulta previa a la autoridad de control, cuando sean necesarias;
• en el cumplimiento de las obligaciones de seguridad y de notificación de violaciones.

TP53 informa al responsable sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga conocimiento, de cualquier violación de los datos personales tratados por su cuenta. La comunicación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas, para que el responsable pueda notificarla a la autoridad de control en 72 horas según el art. 33 RGPD.

TP53 pone a disposición del responsable la información necesaria para demostrar el cumplimiento del art. 28 RGPD. El responsable puede realizar verificaciones, directamente o mediante un auditor sujeto a confidencialidad, con un preaviso de al menos 30 días, no más de una vez al año salvo violaciones o requerimientos de la autoridad, de forma que no se comprometa la seguridad de otros clientes. Los costes corren a cargo del responsable.

Al finalizar el contrato, el responsable puede exportar sus datos durante 30 días. Después, y en todo caso en 90 días, TP53 suprime los datos personales tratados por cuenta del responsable, también de las copias de seguridad según el ciclo de rotación, salvo obligaciones de conservación previstas por el derecho de la Unión o italiano. Previa solicitud, TP53 confirma por escrito la supresión.

El responsable garantiza que dispone de una base jurídica válida para los tratamientos encargados, que ha facilitado a los interesados la información exigida por los arts. 13 y 14 RGPD, que recoge los consentimientos necesarios (por ejemplo para el marketing por SMS, email o mensajería) y que configura el Servicio de forma coherente con sus instrucciones.

Este acuerdo permanece en vigor durante todo el tratamiento. En caso de contradicción entre este acuerdo y los Términos del servicio en materia de protección de datos, prevalece este acuerdo. Se aplican la ley italiana y la jurisdicción indicada en los Términos del servicio. Las partes responden según el art. 82 RGPD.