Acuerdo de encargo del tratamiento de datos

1. Partes

Este acuerdo se celebra entre:

• El cliente: la persona o empresa que se da de alta en VenFácil y acepta este acuerdo al registrarse. Actúa como responsable del tratamiento.
• VenFácil: VENFACIL TECHNOLOGIES, S.L., con NIF B05663224 y domicilio social en Avenida Cesáreo Alierta 103, 5.º 1.ª, 50013 Zaragoza (España). Contacto para protección de datos: info@venfacil.es. Actúa como encargado del tratamiento.

Este acuerdo forma parte de las condiciones de contratación. Si algo de esas condiciones contradice este acuerdo en materia de protección de datos, prevalece este acuerdo.

2. Objeto y papel de cada parte

VenFácil presta al cliente un programa de gestión en la nube (ventas, facturación, inventario, compras, clientes, agenda, tesorería, informes y los módulos de su sector). Para prestarlo, VenFácil trata por cuenta del cliente los datos personales que el cliente o sus usuarios introducen o generan en el programa.

VenFácil Crece. Si el cliente usa VenFácil Crece, incluido en su cuenta, VenFácil también trata por su cuenta: (a) los datos de las cuentas de servicios externos que el cliente decide conectar (Google Analytics, Google Search Console y, cuando estén disponibles, Meta, LinkedIn y TikTok), solo para mostrarle sus estadísticas en Crece, y deja de leerlos en cuanto el cliente desconecta la cuenta; (b) el contenido de las páginas públicas del sitio web que el cliente ha verificado en Google Search Console, que VenFácil revisa con su programa VenFacilCreceBot para la función «Salud de tu web», en las condiciones descritas en venfacil.es/venfacil-crece.html; y (c) los datos que el cliente introduzca o genere en las demás herramientas de Crece que utilice. En todos los casos, solo para prestarle el servicio.

VenFácil tratará esos datos solo para prestar el servicio y siguiendo las instrucciones documentadas del cliente. Son instrucciones del cliente este acuerdo, las condiciones de contratación y lo que el cliente hace o configura dentro del programa.

Este acuerdo no cubre los datos que VenFácil trata como responsable propio (por ejemplo, los de facturación de la suscripción o los de contacto con el cliente), que se rigen por la Política de privacidad.

3. Duración

El acuerdo empieza cuando el cliente lo acepta al darse de alta y dura mientras el cliente tenga cuenta en VenFácil, incluidos los periodos de prueba. Las obligaciones de confidencialidad y de supresión siguen vigentes después de su fin.

4. Datos que se tratan

El detalle está en el anexo I. Depende de lo que use cada cliente: datos de contacto e identificación de sus clientes, proveedores, empleados y usuarios; datos económicos de ventas, cobros y pagos; y, solo si el cliente usa módulos de su sector, otros datos (por ejemplo, de pacientes, alumnos o huéspedes).

Si el cliente usa VenFácil Crece: estadísticas de visitas y de búsquedas de su web y de sus redes (normalmente agregadas, sin identificar a personas concretas), la dirección de correo de las cuentas externas que conecta y, en «Salud de tu web», el contenido de las páginas públicas de su web, que puede incluir datos personales que el propio cliente haya publicado en ellas (por ejemplo, nombres o teléfonos de contacto).

Datos especialmente protegidos. Si el cliente usa funciones que guardan datos de salud u otras categorías especiales, es el cliente quien debe contar con la base jurídica y, en su caso, con el consentimiento de los interesados. VenFácil aplica a esos datos las medidas reforzadas del anexo II.

5. Obligaciones de VenFácil

VenFácil se compromete a:

• tratar los datos solo siguiendo las instrucciones documentadas del cliente, también en lo relativo a transferencias internacionales; si una norma le obliga a otra cosa, informará antes al cliente, salvo que esa norma lo prohíba;
• informar de inmediato al cliente si considera que una instrucción infringe la normativa de protección de datos;
• garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad;
• aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el anexo II;
• respetar las condiciones para recurrir a otros encargados (apartado 7);
• ayudar al cliente a atender las solicitudes de ejercicio de derechos (apartado 10);
• ayudar al cliente a cumplir los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga;
• devolver y suprimir los datos al terminar el servicio (apartado 13);
• poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías (apartado 12);
• llevar el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD); y
• no utilizar los datos para fines propios, no venderlos y no comunicarlos a terceros, salvo lo previsto en este acuerdo o lo exigido por la ley.

6. Obligaciones del cliente

El cliente se compromete a:

• contar con una base jurídica para cada tratamiento y haber informado a los interesados, incluida la obtención de su consentimiento cuando sea necesario;
• introducir solo los datos necesarios para su actividad;
• gestionar los accesos de su equipo, dando a cada persona solo los permisos que necesita y retirándolos cuando deje de necesitarlos;
• custodiar sus credenciales y avisar a VenFácil si sospecha un acceso indebido; y
• supervisar el tratamiento, incluidas las auditorías del apartado 12.

7. Subencargados

El cliente otorga a VenFácil una autorización general para recurrir a los subencargados del anexo III.

Antes de añadir o sustituir un subencargado, VenFácil lo comunicará con al menos 15 días de antelación, actualizando el anexo III y avisando por correo electrónico o dentro del programa. El cliente podrá oponerse por motivos razonables relacionados con la protección de datos. Si no se alcanza una solución, el cliente podrá dar de baja el servicio sin penalización antes de que el cambio se aplique.

VenFácil impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que este acuerdo y seguirá siendo responsable ante el cliente de su cumplimiento.

8. Seguridad

VenFácil aplica medidas técnicas y organizativas adecuadas al riesgo, descritas en el anexo II, y las revisa y actualiza periódicamente. Podrá modificarlas siempre que el nivel de protección no disminuya.

9. Violaciones de la seguridad

Si VenFácil tiene conocimiento de una violación de la seguridad que afecte a datos del cliente, se lo notificará sin dilación indebida y, como máximo, en 48 horas, con la información disponible:

• qué ha ocurrido y cuándo;
• las categorías y el número aproximado de interesados y de registros afectados;
• las consecuencias probables;
• las medidas adoptadas o propuestas; y
• una persona de contacto.

Si no fuera posible facilitar toda la información a la vez, se facilitará de forma gradual. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al cliente como responsable; VenFácil le ayudará a realizarla.

10. Derechos de los interesados

El programa permite al cliente consultar, rectificar, exportar y suprimir los datos para atender los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Si un interesado se dirige directamente a VenFácil, VenFácil trasladará la solicitud al cliente sin resolverla por su cuenta, salvo que el cliente se lo encargue.

11. Transferencias internacionales

Los datos del cliente se alojan en servidores situados en Francia, dentro de la Unión Europea. VenFácil no los transferirá fuera del Espacio Económico Europeo salvo con las garantías previstas en el capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo aprobadas por la Comisión Europea), lo que se indicará en el anexo III.

12. Auditorías

VenFácil facilitará al cliente, cuando lo solicite, la información razonable para demostrar el cumplimiento de este acuerdo. Si esa información no fuera suficiente, el cliente podrá realizar una auditoría, directamente o mediante un auditor sujeto a confidencialidad, con un preaviso mínimo de 30 días, en horario laboral, como máximo una vez al año salvo violación de la seguridad o requerimiento de una autoridad, y sin acceso a datos de otros clientes. Cada parte asumirá sus propios costes.

13. Fin del servicio: devolución y supresión

Mientras la cuenta esté activa, el cliente puede exportar sus datos desde el programa. Al terminar el servicio, el cliente dispondrá de 30 días para exportarlos. Transcurrido ese plazo, VenFácil suprimirá los datos del cliente.

Las copias de seguridad se eliminan por su propio ciclo de rotación, en un plazo máximo de 90 días; mientras tanto se conservan cifradas y no se utilizan.

VenFácil solo conservará, debidamente bloqueados, los datos que una norma le obligue a mantener y durante el plazo que esa norma establezca.

14. Responsabilidad

Cada parte responderá de los daños que le sean imputables conforme al artículo 82 del RGPD y a la legislación aplicable. Si VenFácil determinase los fines y medios de algún tratamiento, o tratase los datos incumpliendo las instrucciones del cliente, será considerada responsable del tratamiento respecto de ese tratamiento.

Ninguna cláusula de este acuerdo excluye ni limita las responsabilidades que legalmente no puedan excluirse o limitarse.

15. Cambios del acuerdo

VenFácil podrá actualizar este acuerdo por cambios legales, técnicos o del servicio. Cada versión lleva un código y una fecha. Los cambios se comunicarán con al menos 30 días de antelación; si el cliente no está de acuerdo, podrá dar de baja el servicio antes de que se apliquen. El programa guarda qué versión aceptó cada cliente y cuándo.

16. Legislación aplicable y jurisdicción

Este acuerdo se rige por la legislación española y por el Derecho de la Unión Europea.

Cuando el cliente tenga la condición de consumidor, las controversias se someterán a los juzgados y tribunales que correspondan conforme a la normativa imperativa. En las relaciones con empresarios o profesionales, y siempre que la ley permita pactarlo, las partes se someten a los juzgados y tribunales de Zaragoza capital.

Anexo I · Descripción del tratamiento

Anexo II · Medidas de seguridad

Acceso y separación

• Los datos de cada empresa están separados de los de las demás: cada usuario solo accede a las empresas a las que pertenece.
• Permisos por función y por persona: cada miembro del equipo solo accede a lo que el cliente le autoriza.
• Contraseñas almacenadas de forma no reversible y sesiones con caducidad.
• Registro de las acciones relevantes (quién hizo qué y cuándo).

Cifrado y copias de seguridad

• Comunicaciones cifradas entre el navegador y el servidor (HTTPS).
• Datos de salud cifrados en la base de datos con una clave por empresa, con registro de cada acceso y sin pasar a los registros generales.
• Copias de seguridad periódicas y cifradas, con pruebas de restauración.

Infraestructura y organización

• Entorno de producción separado del de pruebas; las pruebas no utilizan datos de clientes.
• Acceso al servidor restringido al personal autorizado y aplicación de actualizaciones de seguridad.
• Vigilancia del servicio con avisos de incidencias.
• Compromiso de confidencialidad de las personas con acceso a los datos.

Anexo III · Subencargados autorizados

Los servicios externos que el cliente conecta en VenFácil Crece (Google, Meta, LinkedIn o TikTok) no son subencargados de VenFácil: son proveedores del propio cliente, que este autoriza al conectar su cuenta y puede desconectar en cualquier momento.

Si VenFácil incorpora un servicio que trate datos del cliente (por ejemplo, la lectura automática de facturas a partir de una foto), lo añadirá a esta lista con el aviso previo del apartado 7.