Acuerdo de Encargado de Tratamiento (DPA)

Este Acuerdo de Encargado de Tratamiento (en adelante, «DPA») forma parte de los Términos y Condiciones y regula el tratamiento de datos personales que Iker López Bravo (en adelante, «Tappeo», el «Encargado») realiza por cuenta del cliente (el «Responsable»), de conformidad con el artículo 28 del RGPD. La aceptación de los Términos por el Responsable implica la aceptación de este DPA.

1. Objeto y alcance

El Encargado tratará datos personales únicamente para prestar el servicio descrito en los Términos (captación y gestión de reseñas y funcionalidades del panel), por cuenta y según las instrucciones documentadas del Responsable.

2. Detalles del tratamiento

• Naturaleza y finalidad: registro de valoraciones y reseñas de los clientes finales del Responsable, alertas de reseñas negativas y asistencia en la respuesta a reseñas.
• Tipo de datos personales: valoración y texto de la reseña y, en su caso, nombre u otros datos de contacto que el cliente final facilite voluntariamente al dejar la reseña.
• Categorías de interesados: clientes finales del Responsable que interactúan con la placa NFC.
• Duración: mientras esté vigente el contrato principal, más los plazos de devolución o supresión previstos en este DPA.

3. Obligaciones del Encargado

De conformidad con el artículo 28.3 del RGPD, Tappeo se compromete a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas técnicas y organizativas apropiadas para garantizar la seguridad del tratamiento (art. 32 RGPD).
• Asistir al Responsable para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones de seguridad y evaluaciones de impacto (arts. 32 a 36 RGPD).
• A elección del Responsable, suprimir o devolver los datos personales una vez finalizada la prestación, así como suprimir las copias existentes, salvo que deba conservarlas por obligación legal.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables.

4. Sub-encargados

El Responsable autoriza con carácter general a Tappeo a recurrir a los sub-encargados listados en la Política de Privacidad para la prestación del servicio. Tappeo impondrá a dichos sub-encargados, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA. Si Tappeo prevé incorporar o sustituir un sub-encargado, lo informará al Responsable con una antelación razonable (orientativamente, 30 días) a través de la actualización de la lista o por correo electrónico; el Responsable podrá oponerse por motivos razonables de protección de datos en dicho plazo y, de no alcanzarse una solución, podrá resolver el servicio.

5. Transferencias internacionales

Cuando un sub-encargado trate datos fuera del Espacio Económico Europeo, el tratamiento se realizará con las garantías adecuadas previstas en el Capítulo V del RGPD, en particular las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o la adhesión a un marco de adecuación reconocido.

6. Violaciones de seguridad

Tappeo notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos que le afecte, facilitando la información razonablemente disponible para que el Responsable pueda cumplir sus obligaciones de notificación (arts. 33 y 34 RGPD).

7. Responsabilidad

Cada parte responderá conforme al artículo 82 del RGPD. El Responsable garantiza que dispone de una base jurídica válida para el tratamiento de los datos de sus clientes finales y que ha facilitado la información exigida por el RGPD, y mantendrá indemne a Tappeo frente a reclamaciones derivadas del incumplimiento de dichas obligaciones. El reparto de responsabilidad entre las partes se entiende sin perjuicio de la limitación de responsabilidad establecida en los Términos y Condiciones.

8. Vigencia

Este DPA estará vigente mientras Tappeo trate datos por cuenta del Responsable. En caso de conflicto entre este DPA y los Términos en materia de protección de datos, prevalecerá este DPA.