1. Partes y funciones
El cliente es el responsable del tratamiento de los datos personales de los invitados y decide para qué y cómo se tratan. [A PREENCHER: denominação social], con número de identificación fiscal [A PREENCHER: NIF] y domicilio en [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), es el encargado del tratamiento y trata esos datos por cuenta del cliente.
El acuerdo se acepta en el momento en que el cliente crea su organización Pro, y esa aceptación queda registrada. Quien desee una copia firmada puede solicitarla a privacy@seatalia.com.
2. Objeto, duración y naturaleza del tratamiento
El objeto es la prestación del servicio Seatalia: guardar, organizar, sentar, exportar y mostrar los datos de los invitados (incluidas la página QR y el RSVP). La duración es la de la suscripción Pro, más el tiempo necesario para devolver o eliminar los datos.
3. Tipos de datos e interesados
Los interesados son los invitados y acompañantes de los eventos del cliente, y los usuarios de su organización. Los datos tratados pueden ser:
- nombre de pila, apellidos, grupo de invitados, grupo y mesa;
- adulto, niño o bebé y edad o tramo de edad;
- plato, etiquetas de dieta o alergia y notas de dieta, que pueden ser datos de salud (artículo 9);
- correo electrónico y teléfono, si el RSVP los solicita o si el cliente los introduce;
- correo electrónico y nombre de los usuarios de la organización.
4. Qué se compromete a hacer Seatalia
Como encargado del tratamiento, Seatalia se compromete a:
- tratar los datos únicamente siguiendo las instrucciones documentadas del cliente (este acuerdo y el uso que hace del servicio) e informarle si considera que una instrucción infringe el RGPD;
- garantizar que las personas autorizadas para tratar los datos estén sujetas a un deber de confidencialidad;
- aplicar las medidas de seguridad del artículo 32, descritas más abajo;
- recurrir a otros encargados del tratamiento (subencargados) únicamente con la autorización general del cliente, imponiéndoles obligaciones equivalentes. La lista está publicada y avisamos de los cambios con 30 días de antelación, pudiendo el cliente oponerse;
- ayudar al cliente a responder a las solicitudes de los interesados, con las herramientas de exportación en CSV y de eliminación del servicio;
- ayudar al cliente a cumplir las obligaciones de los artículos 32 a 36 (seguridad, violaciones de la seguridad de los datos, evaluaciones de impacto y consulta previa);
- notificar al cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y, siempre que sea posible, en las 48 horas siguientes a tener conocimiento de ella;
- al finalizar el servicio, devolver los datos (exportación) o eliminarlos, lo que ocurre automáticamente 90 días después de la fecha de cada evento, sin perjuicio de la conservación exigida por la ley. Los datos eliminados desaparecen de las copias de seguridad en el plazo de 30 días;
- poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con previo aviso;
- no transferir datos fuera del Espacio Económico Europeo sin garantías adecuadas, como las Cláusulas Contractuales Tipo.
5. Qué se compromete a hacer el cliente
El cliente se compromete a:
- contar con una base jurídica para tratar los datos de los invitados e informarles del tratamiento;
- introducir solo los datos que necesite, y registrar dietas y alergias únicamente si son necesarias para el catering;
- decidir si activa la página QR y el RSVP y durante cuánto tiempo;
- dar sus instrucciones por escrito y atender a los interesados;
- garantizar que sus usuarios utilicen el servicio de conformidad con los términos.
6. Eventos creados a través del enlace del espacio
Cuando una pareja crea su evento a través del enlace de un espacio, la pareja mantiene su cuenta y su evento. El espacio solo tiene acceso al plan después de que la pareja acepte la conexión. Los datos que recibe el espacio pasan a ser tratados por este como responsable del tratamiento, en los términos de este acuerdo.
7. Medidas de seguridad
Aplicamos, entre otras, las siguientes medidas técnicas y organizativas:
- alojamiento en la UE y conexión cifrada (TLS);
- cifrado en reposo en el disco y en las copias de seguridad, y cifrado campo a campo de las notas de dieta;
- acceso sin contraseña, mediante enlaces de un solo uso con validez de 15 minutos;
- enlaces de uso compartido, QR y RSVP con códigos aleatorios largos y límites de solicitudes;
- página QR que solo muestra el nombre de pila y la mesa, nunca dietas, y sin rastreadores;
- acceso interno a los datos de los invitados únicamente a solicitud del cliente y con registro;
- copias de seguridad con conservación de 30 días y registro de errores sin datos personales.
8. Responsabilidad
La responsabilidad de cada parte frente a los interesados se rige por el artículo 82 del RGPD. Entre las partes, se aplican los límites de los términos de uso, en la medida en que la ley lo permita.
9. Duración y ley aplicable
Este acuerdo permanece vigente mientras el cliente utilice el servicio, y las obligaciones de eliminación y de confidencialidad continúan después. Se rige por: [A PREENCHER: lei aplicável e tribunal competente].
10. Contacto
Para ejercer derechos o solicitar una copia firmada: privacy@seatalia.com.