Legal

Contrato de encargado del tratamiento

Última actualización:

Anexo a las Condiciones del servicio para negocios, según el artículo 28 del RGPD.

1. Partes

Responsable del tratamiento: el negocio que contrata Flame, con los datos que figuran en su cuenta.

Encargado del tratamiento: , NIF , con domicilio en y email .

Personas de contacto: por el negocio, su dueño, es decir, quien administra el panel, en el email de su cuenta; por Flame, quien administra la sociedad, en .

Este contrato se acepta al contratar Flame y forma parte de las Condiciones del servicio para negocios.

2. Objeto

El encargado trata los datos personales de los clientes y del equipo del negocio solo para prestarle el servicio Flame: agenda, reservas, fichas de clientes, tarjeta de fidelidad, tarjetas regalo, promociones, recordatorios y avisos, y descarga de datos.

3. Duración

Dura lo mismo que el contrato del servicio. Al terminar, se aplica el punto 7.

4. Datos e interesados

Qué datos y de quién

Interesados: Clientes del negocio (incluidas las personas que reciben una tarjeta regalo o vienen invitadas por otro cliente) y personas del equipo del negocio.
Datos: Nombre, teléfono, citas e historial, servicios y gasto, notas del negocio, cancelaciones tardías y "No vino", sellos y premios, tarjetas regalo, si aceptan promociones y cómo llegaron (por ejemplo, por Descubrir o invitados). Del equipo: nombre, teléfono, foto, horario, ausencias y permisos.
Datos sensibles: Flame no está pensado para datos de salud ni otros datos especiales. El negocio no debe anotarlos, salvo lo estrictamente necesario para prestar el servicio y con el consentimiento del cliente (por ejemplo, una alergia a un producto). El panel lo recuerda junto al campo de notas.
Operaciones: Recogida, registro, conservación, consulta, modificación, envío de avisos, copia de seguridad, exportación y borrado.

5. Obligaciones del encargado (Flame)

Instrucciones: tratar los datos solo siguiendo las instrucciones del negocio, que son las que da al usar Flame y las de este contrato. Si una instrucción le parece contraria a la ley, se lo dirá.
Fines: no usar los datos para fines propios ni cederlos a terceros, salvo a los subencargados del punto 6 o cuando la ley lo obligue.
Confidencialidad: las personas autorizadas a tratar los datos se comprometen por escrito a guardar secreto.
Seguridad: aplicar las medidas del artículo 32 del RGPD: cifrado de las conexiones, separación de los datos de cada negocio, control de accesos y permisos, copias de seguridad y revisión periódica de las medidas. Flame entregará al negocio un resumen de estas medidas si lo pide, y publica lo esencial en la página Seguridad.
Ayuda con los derechos: ayudar al negocio a responder a las peticiones de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una petición llega a Flame, se la pasará al negocio en un plazo máximo de 5 días hábiles.
Brechas de seguridad: avisar al negocio sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, con la información disponible para que pueda notificarla si corresponde.
Ayuda con otras obligaciones: ayudar al negocio, cuando proceda, en las evaluaciones de impacto, en las consultas previas y en los avisos a la Agencia Española de Protección de Datos.
Información y auditorías: poner a disposición del negocio la información necesaria para demostrar que cumple este contrato. Las auditorías se hacen revisando esa documentación; solo se harán en sus instalaciones tras una brecha de seguridad o si lo pide la autoridad de control, y siempre con aviso previo.

6. Subencargados

El negocio da a Flame una autorización general para usar subencargados. Esta es la lista publicada, y Flame tiene con todos ellos contratos con las mismas obligaciones de protección de datos:

Supabase: base de datos y acceso, con los datos alojados en la Unión Europea.
Cloudflare: alojamiento de la web, correo y protección contra robots en formularios y accesos.
Twilio (Twilio Inc., Estados Unidos): envío de códigos de entrada por SMS.
Meta (WhatsApp Business) o su proveedor autorizado: envío de recordatorios y avisos por WhatsApp.
Servicios de notificaciones del navegador (Google, Apple o Mozilla): entrega de las notificaciones de la app a los clientes que las activan.
Resend: envío de emails.

Si alguno trata datos fuera del Espacio Económico Europeo, se hace con cláusulas contractuales tipo de la Comisión Europea o con el Marco de Privacidad de Datos UE-EE. UU. Flame avisará al negocio con al menos 30 días de antelación antes de añadir o sustituir un subencargado. El negocio podrá oponerse en ese plazo por motivos razonables; si no se llega a una solución, podrá darse de baja antes de que el cambio se aplique.

7. Al terminar el contrato

El negocio puede descargar sus datos en cualquier momento. Al darse de baja tiene 30 días para hacerlo; después, Flame borra los datos, también de las copias de seguridad en cuanto se renueven, salvo lo que la ley obligue a conservar, que quedará bloqueado. A petición del negocio, Flame le confirmará el borrado.

8. Obligaciones del negocio (responsable)

Informar a sus clientes y a su equipo del tratamiento de sus datos y tener una base legal para cada uso.
Recoger el consentimiento de sus clientes para las promociones (Flame le da la casilla opcional para ello) y respetar cuando lo retiren.
Dar instrucciones conformes al RGPD y no pedir a Flame tratamientos ilícitos.
Dar acceso a Flame solo a las personas de su equipo que lo necesiten, con los permisos adecuados.
Responder a las peticiones de derechos de sus clientes y notificar las brechas a la autoridad cuando corresponda.
Supervisar el tratamiento, incluidas las revisiones del punto 5.

9. Responsabilidad

Si Flame usa los datos para otros fines, los comunica o incumple este contrato, será considerado responsable del tratamiento en lo que haya incumplido y responderá de ello.