Contrato de encargado del tratamiento

Anexo I de las Condiciones del servicio. Se acepta junto con ellas (por firma, por email o en el alta online del panel).

1. Partes, objeto y roles

La barbería es la responsable de los datos de sus clientes y ReservAI los trata únicamente por su cuenta y siguiendo sus instrucciones, conforme al artículo 28 del RGPD.

• Responsable del tratamiento: el Cliente identificado en las Condiciones Generales de Contratación de ReservAI.

• Encargado del tratamiento: Eduardo Merino Ruiz (ReservAI), NIF 53703327Y, Calle Generalife 10, planta 3, puerta A, Arroyo de la Miel, 29631 Benalmádena (Málaga). Contacto de privacidad: eduardo@reservai.es.

• Objeto. Este contrato regula el tratamiento de datos personales que ReservAI realiza para prestar el servicio descrito en las Condiciones Generales.

• Naturaleza. Es el Anexo I de las Condiciones Generales y forma parte del mismo contrato. Su aceptación se produce con la firma o aceptación de estas.
• Normativa. Se aplican el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD).
• Duración. Este contrato dura lo mismo que el contrato de servicio y sus obligaciones de confidencialidad siguen vigentes después.

2. Descripción del tratamiento

ReservAI trata los datos mínimos necesarios para que los clientes de la barbería reserven y gestionen sus citas por WhatsApp.

Plazos de conservación durante el contrato. El sistema borra automáticamente los mensajes y los huecos antiguos; las citas y las fichas de cliente se conservan como historial:

Borrado de un cliente concreto. El Cliente puede borrar a un cliente en cualquier momento desde su ficha en el panel: se suprimen su ficha y sus mensajes, y sus citas se anonimizan. Al terminar el contrato se aplica la cláusula 9.

3. Obligaciones del encargado

ReservAI usa los datos solo para prestar el servicio al Cliente y nunca para fines propios.

1. Instrucciones documentadas. Tratar los datos solo siguiendo las instrucciones del Cliente, que son este contrato, las Condiciones Generales y la configuración que el Cliente hace en el panel. Si una instrucción infringe la normativa, ReservAI lo comunicará de inmediato al Cliente.
2. Sin usos propios. No usar los datos para fines distintos del servicio, no venderlos, no cederlos con fines publicitarios y no usarlos para entrenar modelos de IA.
3. Confidencialidad. Garantizar que toda persona autorizada a acceder a los datos se ha comprometido a guardar confidencialidad.
4. Seguridad. Aplicar las medidas de la cláusula 6.
5. Subencargados. Recurrir a otros encargados solo en las condiciones de la cláusula 4.
6. Asistencia. Ayudar al Cliente a atender los derechos de los interesados, notificar brechas y, cuando proceda, realizar evaluaciones de impacto (cláusula 7).
7. Registro de actividades. Mantener el registro de actividades de tratamiento que exige el artículo 30.2 del RGPD.
8. Fin del encargo. Devolver y suprimir los datos al terminar, según la cláusula 9.
9. Demostración del cumplimiento. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato (cláusula 9).

4. Subencargados

El Cliente autoriza a ReservAI a usar los subencargados de esta tabla, y ReservAI avisará con 30 días de antelación antes de añadir o cambiar alguno.

1. Meta no es subencargado de ReservAI. La API de WhatsApp Business funciona sobre la cuenta de Meta del propio Cliente, que la contrata directamente con Meta Platforms Ireland Ltd. y acepta sus condiciones de tratamiento de datos.
2. Mismas obligaciones. ReservAI impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato.
3. Oposición. Si el Cliente se opone a un nuevo subencargado por motivos razonables de protección de datos, puede darse de baja sin coste antes de que se incorpore.
4. Responsabilidad. ReservAI responde ante el Cliente del cumplimiento de sus subencargados.

5. Transferencias internacionales

Algunos subencargados tratan datos en Estados Unidos, y esas transferencias solo se hacen con las garantías que exige el RGPD.

1. Garantías. Las transferencias fuera del Espacio Económico Europeo se basan en el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está adherido, o en las Cláusulas Contractuales Tipo de la Comisión Europea.
2. Autorización. El Cliente autoriza las transferencias necesarias para usar los subencargados de la cláusula 4.
3. Preferencia por la UE. Cuando un proveedor ofrezca una región europea en condiciones equivalentes, ReservAI procurará usarla.

6. Medidas de seguridad

ReservAI aplica medidas técnicas y organizativas adecuadas al riesgo, conforme al artículo 32 del RGPD, y entre ellas, como mínimo, las siguientes.

1. Cifrado en tránsito. Todas las comunicaciones con el panel, la API de WhatsApp y los proveedores usan HTTPS (TLS).
2. Cifrado de credenciales. Los tokens de Google Calendar se guardan cifrados con AES-256-GCM. Las contraseñas del panel se guardan con hash bcrypt, nunca en claro.
3. Separación entre barberías. Cada dato está asociado a una barbería y todas las consultas filtran por ella, de modo que una barbería no puede ver datos de otra.
4. Control de acceso. El panel exige usuario y contraseña y usa sesiones firmadas que caducan a los 7 días. El acceso a la infraestructura de producción está restringido al titular de ReservAI.
5. Minimización y borrado automático. Solo se piden los datos necesarios para la cita, y los mensajes y huecos antiguos se borran automáticamente según la cláusula 2.
6. Registros sin datos sensibles. Los tokens y credenciales no se escriben en los registros del sistema.
7. Revisión. ReservAI revisa periódicamente estas medidas y las actualiza cuando cambian los riesgos o la tecnología.

7. Brechas, derechos de los interesados y asistencia

ReservAI avisa al Cliente de cualquier brecha en un máximo de 48 horas, para que este pueda notificarla a la AEPD dentro de las 72 horas que marca la ley.

1. Aviso de brecha. ReservAI avisará por email al Cliente, sin dilación indebida y en un máximo de 48 horas desde que la conozca, de cualquier brecha que afecte a sus datos.
2. Contenido del aviso. Naturaleza de la brecha, categorías y número aproximado de afectados, consecuencias probables, medidas tomadas o propuestas y un punto de contacto. Si no se dispone de toda la información, se facilitará por fases.
3. Notificación a la autoridad. Corresponde al Cliente notificar la brecha a la Agencia Española de Protección de Datos y, si procede, a los afectados. ReservAI le ayudará con la información necesaria.
4. Derechos de los interesados. Si un cliente de la barbería pide a ReservAI acceder, rectificar, suprimir u oponerse al tratamiento de sus datos, ReservAI lo trasladará al Cliente en un máximo de 5 días laborables.
5. Ejecución de los derechos. A petición del Cliente, ReservAI localizará, exportará o suprimirá los datos de un teléfono concreto en un máximo de 10 días laborables.
6. Baja de mensajes. Si un cliente pide no recibir más mensajes automáticos, ReservAI lo excluirá de los recordatorios y de las solicitudes de reseña en un máximo de 5 días laborables.
7. Evaluaciones de impacto. ReservAI facilitará al Cliente la información de que disponga si este necesita realizar una evaluación de impacto o una consulta previa a la autoridad.

8. Obligaciones del responsable

El Cliente decide para qué se usan los datos de sus clientes y responde de que su recogida sea lícita.

1. Base legal e información. Informar a sus clientes del tratamiento de sus datos, de que les atiende un asistente de IA y de cómo ejercer sus derechos, por ejemplo con un aviso en el local o en su perfil de WhatsApp.
2. Datos adecuados. No pedir ni introducir en el servicio datos innecesarios, en particular datos de salud u otras categorías especiales en notas o mensajes.
3. Instrucciones lícitas. Dar a ReservAI únicamente instrucciones conformes con la normativa.
4. Supervisión. Supervisar el tratamiento, incluidas las conversaciones del asistente, desde el panel.
5. Equipo. Garantizar que las personas de su equipo con acceso al panel guardan confidencialidad sobre los datos.

9. Fin del encargo, auditoría, responsabilidad y firma

Al terminar el servicio, el Cliente puede recuperar sus datos durante 30 días, y después ReservAI los suprime en un máximo de 60 días.

1. Devolución. Durante los 30 días siguientes a la baja, el Cliente puede pedir una copia de sus datos en formato CSV.
2. Supresión. Pasado ese plazo, ReservAI suprime los datos en un máximo de 60 días, incluidas las copias de los subencargados, y lo confirma por email al Cliente si este lo pide.
3. Bloqueo legal. ReservAI solo conserva, bloqueados, los datos que una ley le obligue a guardar y durante el plazo que esta marque.
4. Auditoría. ReservAI responde por escrito a los cuestionarios razonables del Cliente sobre el cumplimiento de este contrato, una vez al año o tras una brecha. Una auditoría presencial requiere aviso de 30 días y la paga el Cliente.
5. Responsabilidad. Cada parte responde de sus propios incumplimientos de la normativa de protección de datos, conforme al artículo 82 del RGPD. Si ReservAI usa los datos para fines propios o incumple las instrucciones, será considerado responsable del tratamiento.
6. Ley y jurisdicción. Se aplican la ley española y los juzgados de Málaga, igual que en las Condiciones Generales.