Contrato de encargo del tratamiento

1. Partes

Este contrato lo celebran cada negocio que contrata Fidelign y el prestador del servicio, y se acepta al crear la cuenta.

• El responsable del tratamiento: la persona física o jurídica que contrata Fidelign para su negocio (“el negocio” o “tú”), con la razón social, el NIF, la dirección y el email de privacidad que indica en “Configuración”.
• El encargado del tratamiento: Fernando Redondo Sánchez, profesional autónomo, NIF 48336001Y, con domicilio en Calle San Francisco 4, 03590 Altea (Alicante) y email hola@fidelign.es (“Fidelign” o “nosotros”).

Al crear la cuenta marcas la casilla con la que aceptas las Condiciones de compra y este contrato. Guardamos una prueba de esa aceptación: la fecha, la versión del texto y el origen. Quien acepta en nombre de una empresa declara tener poder para obligarla.

2. Objeto

Para prestarte el servicio de Fidelign tratamos, por tu cuenta, los datos personales de tus clientes y de tu personal. Tú decides para qué y cómo se usan; nosotros los tratamos solo para prestarte el servicio y siguiendo tus instrucciones.

Este contrato cubre:

• Los datos de los clientes que se apuntan a tus tarjetas de sellos o de puntos.
• El registro de las operaciones que hace tu personal en el panel.

No cubre los datos de las cuentas de los dueños y empleados (nombre, email, contraseña, rol), ni tus datos de suscripción y facturación. De esos datos somos responsables nosotros y se tratan como explica la Política de Privacidad.

Si este contrato y las Condiciones de Compra se contradicen en materia de protección de datos, prevalece este contrato.

3. Descripción del tratamiento

Finalidad: gestionar tu programa de fidelización (dar de alta a tus clientes, sumar y canjear puntos y sellos, enseñarles su saldo y su tarjeta en el móvil o en Wallet), enviarles los avisos y promociones que tú decidas, darte el panel y los informes, y registrar las operaciones de tu personal para prevenir errores y fraudes.

Interesados: tus clientes, que deben tener al menos 14 años, y tu personal (dueños, encargados y empleados con acceso al panel).

Operaciones: recogida, registro, organización, conservación, consulta, modificación, selección de destinatarios de avisos y promociones, comunicación a los subencargados del apartado 6, exportación, anonimización y supresión.

Datos de tus clientes:

Datos de tu personal: nombre, email y rol de quien hace cada operación en el panel, con la acción, la fecha y la hora y el cliente afectado, y los avisos de patrones poco habituales que se derivan. Se conservan 6 años. Si se eliminan los datos de un cliente, su nombre se borra de este registro.

No se tratan categorías especiales de datos (art. 9 RGPD) ni datos de menores de 14 años.

Duración: la misma que el servicio. Los plazos de la tabla son los que aplica la plataforma por defecto.

4. Nuestras obligaciones

Como encargados del tratamiento, nos comprometemos a:

• Seguir tus instrucciones. Tus instrucciones son este contrato y lo que configuras y haces en el panel: qué tarjetas creas, a quién das de alta, qué avisos y promociones envías, a quién das acceso y qué datos exportas o eliminas. Si una instrucción nos parece contraria a la normativa de protección de datos, te avisaremos de inmediato.
• No usar los datos para otra cosa. No los usamos para fines propios, no los vendemos y no los comunicamos a terceros, salvo a los subencargados del apartado 6 o por obligación legal. Si una ley nos obliga a comunicarlos, te avisaremos antes, salvo que la propia ley lo prohíba.
• Guardar confidencialidad. Solo acceden a los datos las personas autorizadas por Fidelign que lo necesiten para prestar el servicio, darte soporte o mantener la plataforma, con un compromiso de confidencialidad que sigue vigente al terminar este contrato.
• Aplicar medidas de seguridad adecuadas al riesgo (art. 32 RGPD), descritas en el Anexo II.
• Ayudarte a atender los derechos de tus clientes y tu personal (acceso, rectificación, supresión, oposición, limitación y portabilidad). El panel te permite consultar, corregir, exportar y eliminar los datos de cada cliente, y cada cliente puede descargar o eliminar sus datos y darse de baja de WhatsApp desde su tarjeta. Si alguien nos escribe a nosotros, te trasladaremos su petición en un máximo de 5 días hábiles y no la contestaremos por nuestra cuenta.
• Ayudarte a cumplir con la seguridad del tratamiento, la notificación de brechas, las evaluaciones de impacto y las consultas previas a la AEPD (arts. 32 a 36 RGPD), con la información de que dispongamos.
• Llevar un registro de las actividades de tratamiento que hacemos por tu cuenta (art. 30.2 RGPD).
• Demostrar el cumplimiento: te daremos la información necesaria para demostrar que cumplimos este contrato y permitiremos las auditorías del apartado 8.

No hemos designado delegado de protección de datos porque no estamos obligados a ello. Para cualquier cuestión de este contrato, escríbenos a hola@fidelign.es.

5. Tus obligaciones

Como responsable del tratamiento, te comprometes a:

• Rellenar tus datos legales en “Configuración” (razón social, NIF, dirección y email de privacidad) y mantenerlos al día. Sin ellos la plataforma no deja dar de alta clientes, porque se les muestran como responsable de sus datos.
• Tener base legal para el tratamiento y cumplir el deber de informar. La plataforma muestra a tus clientes la información básica al apuntarse y en su tarjeta, en “Tus datos”; si usas los datos de otra forma, informarles tú.
• Enviar avisos y promociones solo a quien los haya aceptado o cuando la ley lo permita sin consentimiento, con contenido lícito y relacionado con tu negocio.
• Informar a tu personal de que sus operaciones en el panel quedan registradas con su nombre (art. 20.3 del Estatuto de los Trabajadores y arts. 87 a 91 LOPDGDD).
• Controlar los accesos de tu equipo: dar a cada persona el rol que necesita, custodiar las contraseñas y quitar el acceso a quien deje de necesitarlo.
• No introducir categorías especiales de datos (salud, ideología, religión y similares) ni datos de menores de 14 años, tampoco en los nombres, los premios ni los textos de tus mensajes.
• Atender los derechos de tus clientes y tu personal, con las herramientas del panel o con nuestra ayuda.
• Supervisar el tratamiento, incluida la realización de las auditorías que necesites.

6. Subencargados y transferencias internacionales

Nos autorizas a recurrir a los subencargados del Anexo I para prestar el servicio.

• Cada subencargado trata solo los datos que necesita para su parte del servicio, con un contrato que le impone las mismas obligaciones de protección de datos que este (art. 28.4 RGPD). Respondemos ante ti de su cumplimiento.
• Si añadimos o cambiamos un subencargado, te avisaremos por email o en el panel con 30 días de antelación. Si te opones por motivos razonables de protección de datos, puedes darte de baja antes de que se aplique el cambio, sin coste y con la devolución de la parte pagada y no disfrutada.
• La base de datos está en la Unión Europea (Fráncfort, Alemania). Cuando un subencargado los trata fuera del Espacio Económico Europeo, lo hace con garantías adecuadas (arts. 44 a 49 RGPD): el Marco de Privacidad de Datos UE-EE. UU., si está adherido, o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

Apple y Google, además, tratan los datos como responsables cuando tu cliente guarda el pase en sus apps, según sus propias políticas. Esa parte depende de la relación del cliente con ellos y no de este contrato.

7. Seguridad y brechas de seguridad

Aplicamos las medidas técnicas y organizativas del Anexo II y las revisamos cuando cambia el servicio o el riesgo. Podemos mejorarlas, pero no rebajar el nivel de protección que dan.

Si sufrimos una brecha de seguridad que afecte a los datos de este contrato:

• Te avisaremos sin dilación indebida y, como máximo, en 48 horas desde que la conozcamos, al email de tu cuenta.
• Te daremos la información que tengamos para que puedas notificarla a la AEPD en 72 horas y, si hace falta, a los afectados (art. 33.3 RGPD): qué ha pasado, qué datos y cuántas personas afecta, sus posibles consecuencias y qué medidas hemos tomado o proponemos. Si no la tenemos toda a la vez, te la iremos dando.
• Tomaremos las medidas necesarias para contenerla y reducir sus efectos.

Notificar la brecha a la AEPD y a los afectados te corresponde a ti como responsable, salvo que nos pidas por escrito que lo hagamos en tu nombre.

8. Auditorías

Puedes comprobar que cumplimos este contrato. Primero te daremos por escrito la información y la documentación que nos pidas. Si no basta, puedes hacer una auditoría, por ti o por un auditor obligado a confidencialidad, con estas condiciones:

• avisándonos con 30 días de antelación;
• una vez al año como máximo, salvo tras una brecha de seguridad o si lo exige una autoridad de control;
• a tu cargo, sin afectar al servicio de otros negocios ni dar acceso a sus datos.

Las auditorías de nuestros subencargados se acreditan con sus certificaciones e informes (por ejemplo, SOC 2 o ISO 27001).

9. Fin del servicio: devolución y supresión

Al terminar el servicio, por cualquier motivo, dejamos de tratar los datos y los suprimimos en un máximo de 30 días.

• Antes de la baja puedes exportar los datos desde el panel o pedirnos una copia de los datos de tus clientes en un formato estructurado (CSV o JSON). Si nos la pides dentro de esos 30 días, te la enviaremos antes de suprimirlos.
• Si te das de baja durante la prueba gratuita, la cuenta se elimina con sus datos al acabar la prueba.
• Las tarjetas de tus clientes dejan de funcionar y sus pases de Wallet dejan de actualizarse. Avisar a tus clientes te corresponde a ti.
• Solo conservaremos, bloqueados, los datos que una ley nos obligue a guardar y durante el plazo que fije. Las copias de seguridad se borran en su ciclo ordinario de rotación.
• Si nos lo pides, te confirmaremos por escrito la supresión.

10. Duración, responsabilidad y ley aplicable

• Este contrato dura lo mismo que el servicio. Las obligaciones de confidencialidad y de supresión siguen vigentes al terminar.
• Si incumplimos este contrato o tratamos los datos para otros fines, seremos considerados responsables del tratamiento en esa parte y responderemos de las infracciones en que incurramos (art. 28.10 RGPD). La responsabilidad de cada parte se rige por el art. 82 RGPD y, en lo demás, por las Condiciones de compra.
• Si la normativa cambia o una autoridad lo exige, actualizaremos este contrato y te avisaremos como se prevé en las Condiciones de compra.
• Este contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Altea.

Anexo I. Subencargados

No son subencargados de este contrato, porque no tratan datos de tus clientes ni el registro de operaciones: el proveedor de email (emails de las cuentas de dueños y empleados), Stripe (cobro de tu suscripción), Cloudflare Turnstile (alta de negocios por la web) y los servicios de análisis y publicidad de fidelign.es. Se explican en la Política de privacidad.

Anexo II. Medidas de seguridad

Cifrado y alojamiento

• Todas las comunicaciones van cifradas (HTTPS).
• La base de datos está en la UE, en la infraestructura de Supabase, cifrada en reposo por el proveedor.
• Las contraseñas se guardan cifradas y nunca se pueden leer.

Control de acceso

• Cada negocio solo accede a los datos de sus propios clientes: la base de datos lo impone fila a fila.
• Acceso por roles. El empleado no ve la lista de clientes: en el escáner solo ve al cliente que tiene delante, con el teléfono oculto. Editar, eliminar y exportar clientes lo pueden hacer el dueño y el encargado con permiso.
• Nadie del equipo de un negocio lee directamente las tablas de clientes, movimientos o tarjetas: todo pasa por funciones del servidor que comprueban sus permisos.
• Las cuentas de los administradores de Fidelign exigen verificación en dos pasos. Solo acceden a los datos de un negocio para darle soporte o mantener la plataforma.

Integridad y trazabilidad

• Los saldos solo cambian mediante operaciones del servidor, que quedan registradas con quién, qué y cuándo, y no se pueden editar ni borrar.
• Avisos al dueño de los patrones poco habituales del registro, que revisa siempre una persona.

Protección de la tarjeta del cliente

• El QR que enseña el cliente lleva un código que solo entiende el escáner: una foto o una captura no dan acceso a sus datos.
• El equipo nunca tiene el enlace de la tarjeta. Para que un cliente la recupere, el escáner genera un enlace de un solo uso que caduca a los 10 minutos.
• Un teléfono ya registrado no muestra la tarjeta de otra persona.

Minimización y conservación

• Las altas tienen límites de intentos por conexión. De la IP solo se guarda un resumen irreversible (hash), que se borra a las 24 horas.
• Un proceso diario borra los datos al cumplir los plazos del apartado 3.
• Al eliminar a un cliente, su nombre se borra del registro de operaciones, se cancelan sus mensajes pendientes y su pase de Wallet queda anulado y sin sus datos.

Organización

• Compromiso de confidencialidad de las personas autorizadas por Fidelign.
• Contratos de encargo con cada subencargado del Anexo I.
• Procedimiento de gestión de brechas de seguridad y registro de las actividades de tratamiento.