Acuerdo de encargo de tratamiento

Reunidos

DE UNA PARTE, [CLIENTE], con NIF [●] y domicilio en [●].

DE OTRA PARTE, MEETRA TECH, S.L., con NIF B93930857 y domicilio en calle Jordi Girona, 31 (Edifici C3 – Campus Nord), 08034 Barcelona.

Intervienen

El primero, D./D.ª [●], en nombre y representación de [CLIENTE], en calidad de [●], en adelante, el “RESPONSABLE DEL TRATAMIENTO”, el “Responsable” o el “Cliente”.

Los segundos, D. Martí Cervantes i Cabàs y D. Robert Mas i Soria, en nombre y representación de MEETRA TECH, S.L., en calidad de administradores mancomunados, en adelante, el “ENCARGADO DEL TRATAMIENTO”, el “Encargado” o “MEETRA”.

Ambas partes se reconocen recíprocamente plena capacidad jurídica para contratar y obligarse y, en particular, la capacidad necesaria para formalizar el presente acuerdo de encargo de tratamiento y, a tal efecto,

Manifiestan

I. Que el RESPONSABLE DEL TRATAMIENTO ha contratado el acceso y uso de la plataforma tecnológica MEETRA, prestada en modalidad Software as a Service (SaaS), para la gestión de las reservas de sus clientes a través de WhatsApp.

II. Que el RESPONSABLE DEL TRATAMIENTO es quien recaba los datos personales de sus propios clientes cuando estos se ponen en contacto con él a través de su número de WhatsApp Business para reservar una cita, y que, para la adecuada prestación del servicio contratado, MEETRA debe acceder y tratar dichos datos.

III. Que el RESPONSABLE DEL TRATAMIENTO determina los fines y medios esenciales del tratamiento y que MEETRA tratará dichos datos exclusivamente por cuenta de aquel y siguiendo sus instrucciones documentadas.

IV. Que las partes desean regular el acceso y tratamiento de datos personales de conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos (“RGPD”), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y demás normativa aplicable.

V. Que el presente acuerdo forma parte inseparable del contrato de licencia SaaS o de los términos y condiciones aceptados entre las partes.

VI. Que, cuando el Cliente contrate a través del sitio web o de la Plataforma, el presente acuerdo se entenderá celebrado por medios electrónicos, conforme al artículo 28.9 del RGPD, en el momento en que el Cliente lo acepte junto con los Términos y Condiciones, sin necesidad de firma. En tal caso, los datos identificativos del Cliente y de su representante serán los facilitados en el proceso de alta.

VII. En virtud de lo anterior, ambas partes acuerdan formalizar el presente ACUERDO DE ENCARGO DE TRATAMIENTO, de conformidad con los siguientes

Pactos

Primero.- Objeto y vinculación contractual

El presente acuerdo tiene por objeto regular las condiciones conforme a las cuales el ENCARGADO DEL TRATAMIENTO tratará, por cuenta del RESPONSABLE DEL TRATAMIENTO, los datos personales necesarios para prestar la plataforma SaaS MEETRA.

En caso de contradicción entre el presente acuerdo y el contrato principal en materia de protección de datos personales, prevalecerá el presente acuerdo.

Segundo.- Duración

El tratamiento tendrá la misma duración que la relación contractual principal. Finalizada esta, el tratamiento podrá continuar únicamente durante el tiempo estrictamente necesario para la devolución o supresión de los datos conforme a lo previsto en este acuerdo.

Las obligaciones de confidencialidad y seguridad subsistirán tras la terminación durante el tiempo que resulte legalmente exigible.

Tercero.- Naturaleza y finalidad del tratamiento

MEETRA tratará los datos personales exclusivamente para prestar los servicios contratados. En particular, podrá realizar operaciones de recogida, registro, organización, estructuración, conservación, consulta, modificación, comunicación a los usuarios autorizados por el Cliente, interconexión, limitación, supresión y destrucción.

Las finalidades del tratamiento comprenderán:

a) la recepción y respuesta automatizada de los mensajes que los clientes finales envían al número de WhatsApp Business del Responsable;

b) el registro de las reservas realizadas en la página de reserva, incluido, en su caso, el nombre de la persona para la que se reserva;

c) la gestión de las citas, sus cambios, cancelaciones y reprogramaciones, y del historial de citas de cada cliente final;

d) la creación de calendarios de Google en la cuenta de MEETRA y su compartición con el administrador y los profesionales del Responsable;

e) el envío de confirmaciones, recordatorios, avisos de cancelación y reprogramación, encuestas de satisfacción, el enlace a la ficha del Responsable en Google Maps y la información de ubicación o servicios solicitada por el cliente final;

f) el soporte técnico y el mantenimiento de la seguridad y continuidad del servicio;

g) la interpretación automatizada del contenido de los mensajes recibidos, mediante un sistema de inteligencia artificial prestado a través de la API de OpenAI, con la única finalidad de identificar la acción solicitada por el cliente final;

h) el almacenamiento y la publicación en los perfiles de reserva de las fotografías de los empleados o profesionales que el Responsable decida incorporar;

i) cuando el Responsable active esta funcionalidad, la gestión técnica de los cobros y ventas que realice a sus clientes finales a través de Stripe Connect.

Cuarto.- Categorías de interesados

Los datos tratados podrán referirse a los clientes finales del Responsable que solicitan o reciben sus servicios; a las personas para las que se realiza una reserva, incluidos, en su caso, menores de edad, cuya cita solicitarán sus progenitores o representantes legales cuando sean menores de catorce (14) años; y a los profesionales, empleados y usuarios autorizados del Responsable.

Quinto.- Categorías de datos

Podrán tratarse datos identificativos y de contacto (nombre, número de teléfono y nombre de perfil de WhatsApp), datos de la cita (servicio, profesional, día, hora y estado), historial de citas, mensajes necesarios para gestionar la reserva, respuestas a encuestas de satisfacción y datos identificativos y correo electrónico de los profesionales del Responsable.

Asimismo, podrán tratarse la imagen (fotografía) de los empleados o profesionales que el Responsable decida incorporar a los perfiles de reserva y, cuando el Responsable active la funcionalidad de cobro, los datos de los pedidos y pagos de sus clientes finales (concepto, importe y estado), sin que MEETRA acceda a los datos completos de las tarjetas bancarias, que se facilitan directamente a Stripe.

La Plataforma está destinada exclusivamente a la reserva de citas. El Responsable no incorporará dolencias, diagnósticos, historias clínicas u otras categorías especiales de datos personales, y utilizará denominaciones de los servicios con el mínimo detalle necesario.

Sexto.- Obligaciones del responsable del tratamiento

Corresponde al RESPONSABLE DEL TRATAMIENTO:

a) Garantizar que los datos personales de sus clientes finales han sido obtenidos y son tratados lícitamente.

b) Facilitar al ENCARGADO DEL TRATAMIENTO instrucciones documentadas, lícitas y coherentes con el servicio contratado.

c) Cumplir las obligaciones de información frente a sus clientes finales y disponer de una base jurídica válida para el tratamiento, incluido, cuando sea exigible, el envío de encuestas o comunicaciones comerciales.

d) Determinar los plazos de conservación de los datos de sus clientes finales.

e) Gestionar los accesos de sus profesionales y usuarios autorizados a la Plataforma y a los calendarios compartidos.

f) Supervisar el tratamiento realizado por el Encargado.

g) Contar con el consentimiento previo, expreso y por escrito de sus empleados o profesionales para la incorporación y publicación de su fotografía en la Plataforma, y retirarla cuando revoquen su consentimiento o dejen de prestar servicios.

h) Informar a sus clientes finales de que sus mensajes son tratados mediante un sistema automatizado que utiliza inteligencia artificial para identificar la acción que solicitan.

Séptimo.- Instrucciones del responsable

MEETRA tratará los datos personales únicamente conforme a las instrucciones documentadas del Cliente, incluidas las contenidas en el contrato principal, en el presente acuerdo y en la configuración funcional de la Plataforma realizada por el Cliente.

Si MEETRA considera que una instrucción infringe el RGPD, la LOPDGDD o cualquier otra disposición aplicable, lo comunicará sin demora al Cliente y podrá suspender su ejecución hasta recibir aclaración o modificación suficiente.

Octavo.- Obligaciones del encargado del tratamiento

MEETRA, incluido el personal a su cargo, se obliga a:

a) Tratar los datos únicamente para las finalidades previstas y conforme a las instrucciones documentadas del Cliente, sin utilizarlos para fines propios.

b) Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad. A la fecha del presente acuerdo, únicamente tienen acceso a los datos los dos socios de MEETRA.

c) Aplicar las medidas técnicas y organizativas previstas en el Anexo II.

d) Llevar, cuando proceda, el registro de actividades de tratamiento previsto en el artículo 30.2 del RGPD.

e) No comunicar datos personales a terceros salvo instrucción documentada, autorización válida u obligación legal.

f) Poner a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento del presente acuerdo.

g) No utilizar los datos personales ni el contenido de los mensajes para entrenar modelos de inteligencia artificial, propios o de terceros, y limitar los datos que se envían al sistema de inteligencia artificial a los estrictamente necesarios para identificar la acción solicitada.

Noveno.- Deber de confidencialidad

MEETRA y todas las personas autorizadas para acceder a los datos personales mantendrán el secreto y la confidencialidad respecto de estos, tanto durante la vigencia de la relación contractual como después de su finalización.

Décimo.- Asistencia en el ejercicio de derechos

MEETRA asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, para que pueda atender las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.

Cuando MEETRA reciba directamente una solicitud relativa a datos tratados por cuenta del Cliente, la comunicará a este sin dilación indebida y, salvo urgencia, dentro de las cuarenta y ocho (48) horas siguientes a su recepción. MEETRA no responderá al interesado salvo instrucción expresa del Cliente.

Décimo primero.- Violaciones de seguridad

MEETRA notificará al Cliente, sin dilación indebida y, en todo caso, a más tardar dentro de las cuarenta y ocho (48) horas siguientes a tener constancia, cualquier violación de seguridad de los datos personales tratados por su cuenta.

La notificación incluirá, en la medida en que se encuentre disponible:

a) La descripción de la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y registros afectados.

b) El nombre y los datos de contacto del punto de contacto para obtener información adicional.

c) La descripción de las posibles consecuencias.

d) La descripción de las medidas adoptadas o propuestas para remediar la violación.

Décimo segundo.- Evaluaciones de impacto y consultas previas

MEETRA prestará asistencia razonable al Cliente en la realización de evaluaciones de impacto y consultas previas, cuando resulten necesarias, teniendo en cuenta la naturaleza del tratamiento y la información disponible.

Décimo tercero.- Subcontratación

El Cliente autoriza con carácter general la contratación de los subencargados indicados en el Anexo I.

MEETRA informará por escrito de la incorporación o sustitución de subencargados con una antelación mínima de treinta (30) días naturales. El Cliente podrá formular una objeción motivada por razones relacionadas con la protección de datos dentro de los quince (15) días naturales siguientes. Cuando no resulte posible resolver la objeción y el subencargado sea necesario para la prestación del servicio, cualquiera de las partes podrá resolver el contrato principal.

MEETRA formalizará con cada subencargado un contrato que imponga obligaciones de protección de datos equivalentes a las previstas en este acuerdo.

La cuenta de WhatsApp Business y el número de teléfono son de titularidad del Cliente, quien contrata directamente con Meta Platforms Ireland Limited el uso de WhatsApp Business y abona el coste de los mensajes. MEETRA accede a ellos con la autorización del Cliente, como proveedor tecnológico conectado a la API de WhatsApp.

Cuando el Responsable active la funcionalidad de cobro, Stripe tratará los datos de pago de sus clientes finales en virtud del acuerdo que el Responsable suscriba directamente con Stripe, por lo que no tendrá la consideración de subencargado de MEETRA.

Décimo cuarto.- Transferencias internacionales

MEETRA no realizará transferencias internacionales de datos personales salvo que estén identificadas en el Anexo I y se fundamenten en una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable, cláusulas contractuales tipo u otro mecanismo válido conforme al Capítulo V del RGPD.

Décimo quinto.- Medidas de seguridad

MEETRA aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Las medidas mínimas aplicables se recogen en el Anexo II y podrán actualizarse siempre que no se reduzca el nivel de protección.

Décimo sexto.- Auditorías y acreditación del cumplimiento

El Cliente podrá solicitar, una vez al año, información razonable y proporcionada para verificar el cumplimiento del presente acuerdo.

Cuando dicha información resulte insuficiente, podrá solicitar una auditoría documental con un preaviso mínimo de treinta (30) días naturales, evitando interferencias indebidas y garantizando la protección de la información confidencial y de los datos de otros clientes. Los costes de la auditoría serán asumidos por el Cliente, salvo que se constate un incumplimiento imputable a MEETRA.

Décimo séptimo.- Destino de los datos a la finalización

Finalizada la prestación del servicio, MEETRA, a elección del Cliente, devolverá o suprimirá de forma segura los datos personales tratados por su cuenta, así como las copias existentes, salvo que una norma exija su conservación. Asimismo, dejará de compartir los calendarios asociados al Cliente.

Décimo octavo.- Responsabilidad

La responsabilidad de las partes se regirá por el contrato principal, sin perjuicio de las responsabilidades que no puedan limitarse o excluirse conforme al RGPD.

Cuando MEETRA determine por sí misma los fines y medios de un tratamiento, o trate datos al margen o en contra de las instrucciones lícitas del Cliente, responderá respecto de dicho tratamiento en los términos previstos por la normativa.

Décimo noveno.- Comunicaciones

Las comunicaciones relativas al presente acuerdo, incluidas las solicitudes de derechos, notificaciones de incidentes y cambios de subencargados, se dirigirán a los contactos indicados en el Anexo IV.

Vigésimo.- Legislación y jurisdicción

El presente acuerdo se regirá por la legislación española y europea aplicable en materia de protección de datos. Para cualquier controversia, las partes se someten a la jurisdicción prevista en el contrato principal.

Y en prueba de conformidad, ambas partes firman el presente acuerdo, por duplicado y a un solo efecto, en [●], a [●] de [●] de [●].

Anexo I. Subencargados y transferencias internacionales

Anexo II. Medidas técnicas y organizativas

• Acceso a los datos limitado a los socios de MEETRA, con compromiso de confidencialidad.
• Acceso al panel del Cliente mediante autenticación con cuenta de Google.
• Segregación lógica de los datos de cada Cliente.
• Cifrado de las comunicaciones en tránsito.
• Alojamiento en infraestructura de Google Cloud.
• Configuración del servicio de OpenAI sin uso de los datos para el entrenamiento de modelos y minimización de los datos que se le envían.
• Copias de seguridad y procedimientos de recuperación.
• Gestión de actualizaciones y credenciales.
• Procedimiento de gestión y notificación de incidentes.
• Retirada de accesos y de calendarios compartidos a instancia del Cliente o a la finalización del servicio.
• Revisión periódica de las medidas de seguridad.

Anexo III. Concreción de los tratamientos a realizar

☒ Recogida ☒ Registro ☒ Estructuración ☒ Conservación ☒ Consulta ☒ Modificación ☒ Interconexión ☒ Limitación ☒ Supresión ☒ Destrucción ☒ Comunicación a usuarios autorizados por el Cliente

Otros: respuesta automatizada y envío de mensajes por WhatsApp; gestión de calendarios compartidos; interpretación automatizada de mensajes mediante inteligencia artificial; publicación de fotografías de profesionales; gestión técnica de cobros a través de Stripe Connect.

Colectivos o categorías de interesados: Clientes finales del Responsable; personas para las que se realiza una reserva; menores de edad y sus progenitores o representantes legales; profesionales y usuarios autorizados del Responsable.

Tipos de datos: Datos identificativos y de contacto; datos de las citas e historial; mensajes necesarios para gestionar la reserva; respuestas a encuestas de satisfacción; imagen de los profesionales; datos de pedidos y pagos.

Anexo IV. Datos de contacto

Contacto de privacidad de MEETRA: contact@meetra.es.

Contacto de privacidad del Cliente: [●].

Canal para la notificación de incidentes de seguridad: MEETRA: contact@meetra.es / Cliente: [●].