Aviso importante. El presente Acuerdo de encargo del tratamiento (DPA, por sus siglas en inglés; en adelante, el «Acuerdo») es un borrador pendiente de revisión jurídica. Regula el tratamiento de datos personales que Nitro Cloud LTD («ARPCLEAN») lleva a cabo por cuenta de sus clientes empresariales, tal como exige el artículo 28 del Reglamento General de Protección de Datos de la UE (RGPD). Forma parte integrante de nuestras Condiciones del servicio y se aplica automáticamente a todo cliente que utilice la plataforma ARPCLEAN.

1. Partes

El presente Acuerdo se celebra entre:

Encargado del tratamiento: Nitro Cloud LTD, sociedad constituida con arreglo al Derecho de la República de Bulgaria, inscrita en el Registro Mercantil búlgaro con el UIC 207555451, con domicilio social en Akad. Mihail Arnaudov 3, Et. 3, 7005 Ruse, Bulgaria, representada por su administrador (Managing Director), Bekir Özalp (el «Encargado», «ARPCLEAN», «nosotros»).

Responsable del tratamiento: el cliente empresarial que ha contratado una suscripción al servicio ARPCLEAN con arreglo a nuestras Condiciones del servicio (el «Cliente», el «Responsable», «usted»).

2. Definiciones

Salvo que se definan de otro modo en el presente Acuerdo, los términos en mayúscula tienen el significado que les atribuye el RGPD. En particular, «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado», «autoridad de control» y «violación de la seguridad de los datos personales» tendrán el significado establecido en el art. 4 del RGPD.

3. Objeto, duración, naturaleza y finalidad del tratamiento

Objeto. El Encargado trata datos personales por cuenta del Responsable con la única finalidad de prestar la plataforma ARPCLEAN y los servicios conexos descritos en las Condiciones del servicio.

Duración. El tratamiento se lleva a cabo durante la vigencia de la suscripción del Cliente y durante cualquier plazo legal de conservación posterior. La exportación y la supresión de los datos tras la extinción se rigen por la cláusula 12 siguiente.

Naturaleza del tratamiento. El tratamiento consiste en la recogida, el registro, la organización, la estructuración, la conservación, la consulta, la utilización, la comunicación a los subencargados enumerados en el Anexo B, la supresión y la destrucción de datos personales, así como en operaciones técnicas tales como la copia de seguridad, la restauración, el cifrado y la conversión de formatos, en cada caso en la medida necesaria para prestar el servicio.

Finalidad. La finalidad del tratamiento es permitir al Responsable gestionar las operaciones de limpieza y housekeeping de hoteles, incluidas la asignación de tareas, la coordinación de equipos, los flujos de inspección, la comunicación multilingüe, el apoyo a la facturación y la integración con sistemas de gestión hotelera.

4. Tipos de datos personales y categorías de interesados

Tipos de datos personales (Anexo A):

datos identificativos y de contacto (nombre, dirección de correo electrónico, teléfono, cargo);
datos laborales (pertenencia a equipos, información sobre turnos, conocimientos de idiomas);
datos de autenticación (contraseñas con hash, identificadores de OAuth, tokens de sesión);
datos operativos (asignaciones de tareas, marcas de tiempo, actualizaciones de estado, notas);
datos de imágenes y documentos (fotografías de habitaciones, objetos perdidos, documentos de incorporación);
metadatos de comunicación (mensajes intercambiados dentro de la plataforma);
datos limitados del dispositivo (dirección IP, agente de usuario, preferencia de idioma, tokens de notificaciones push).

Categorías de interesados:

empleados y contratistas del Responsable que utilizan la plataforma;
huéspedes de hoteles a los que se hace referencia en tareas o incidencias (por ejemplo, objetos perdidos);
miembros del personal de hoteles a los que el Responsable hace referencia en tareas, comunicaciones o informes.

El Encargado no trata intencionadamente categorías especiales de datos personales en el sentido del art. 9 del RGPD, y el Cliente se compromete a no cargar tales datos sin un acuerdo escrito específico.

5. Obligaciones del Encargado

El Encargado deberá:

(a) Instrucciones documentadas. Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, inclusive con respecto a las transferencias de datos personales a un tercer país, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al Encargado. En tal caso, el Encargado informará al Responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. Las Condiciones del servicio, la configuración de la plataforma y cualesquiera instrucciones escritas adicionales emitidas por el Responsable a través de la plataforma constituirán las instrucciones documentadas del Responsable.

(b) Confidencialidad. Garantizar que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal adecuada.

(c) Seguridad. Aplicar medidas técnicas y organizativas apropiadas de conformidad con el art. 32 del RGPD para garantizar un nivel de seguridad adecuado al riesgo, según se describe con más detalle en la cláusula 8 (Medidas técnicas y organizativas).

(d) Subencargados. Respetar las condiciones indicadas en el art. 28, apdos. 2 y 4, del RGPD para recurrir a subencargados. La lista vigente de subencargados está publicada en /subprocessors y los cambios se notifican al Responsable según lo establecido en la cláusula 7 siguiente.

(e) Derechos de los interesados. Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes de los interesados que ejerzan sus derechos en virtud del capítulo III del RGPD.

(f) Asistencia en relación con los arts. 32 a 36 del RGPD. Ayudar al Responsable a garantizar el cumplimiento de sus obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado.

(g) Supresión y devolución. A elección del Responsable, suprimir o devolver al Responsable todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimir las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija la conservación de los datos personales. La cláusula 12 establece el calendario de supresión por defecto.

(h) Información para auditorías. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD, así como permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por el Responsable, con sujeción a la cláusula 11 siguiente.

6. Obligaciones del Responsable

El Responsable deberá:

seguir siendo responsable de la licitud del tratamiento, incluida la existencia de una base jurídica para todo tratamiento de datos personales que el Responsable inicie a través de la plataforma;
dar instrucciones al Encargado únicamente de conformidad con la legislación aplicable en materia de protección de datos;
garantizar que los usuarios de la plataforma estén autorizados para actuar en nombre del Responsable y que sus derechos de acceso sean adecuados;
informar al Encargado sin dilación indebida de cualquier error o irregularidad relativos al tratamiento de datos personales;
responder a las solicitudes de los interesados recibidas directamente del Encargado;
cumplir las obligaciones de notificación y transparencia aplicables frente a los interesados, incluida la entrega de la información prevista en los arts. 13 y 14 del RGPD.

7. Subencargados

El Responsable otorga al Encargado una autorización general por escrito para recurrir a subencargados para la prestación del servicio, de conformidad con el art. 28, apdo. 2, del RGPD. La lista vigente de subencargados está disponible en /subprocessors.

El Encargado impondrá a todo subencargado, mediante contrato, las mismas obligaciones de protección de datos que las estipuladas en el presente Acuerdo, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con los requisitos del RGPD.

El Encargado notificará al Responsable, con al menos 30 días de antelación, cualquier cambio previsto en la lista de subencargados, dando al Responsable la oportunidad de oponerse por motivos razonables relacionados con la protección de datos en un plazo de 14 días desde la notificación. Cuando dicha oposición no pueda resolverse de buena fe, el Responsable tendrá derecho a resolver por justa causa la parte afectada del servicio.

Si el subencargado incumple sus obligaciones de protección de datos, el Encargado seguirá siendo plenamente responsable ante el Responsable por lo que respecta al cumplimiento de las obligaciones de dicho subencargado.

8. Medidas técnicas y organizativas (art. 32 del RGPD)

El Encargado aplica y mantiene medidas técnicas y organizativas apropiadas para proteger los datos personales contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción, daño, alteración o comunicación accidentales. En la actualidad, estas medidas incluyen, en particular:

Control de acceso: control de acceso basado en roles, credenciales protegidas con hash mediante algoritmos estándar del sector, contraseñas robustas obligatorias, autenticación multifactor para el acceso administrativo.
Cifrado en tránsito: TLS 1.2+ con conjuntos de cifrado estándar del sector para todo el tráfico externo y, cuando proceda, para la comunicación interna entre servicios.
Cifrado en reposo: cifrado a nivel de base de datos para las columnas sensibles; almacenamiento de objetos configurado con cifrado en reposo.
Segmentación de red: las bases de datos, los servidores de caché y el servidor de correo no están expuestos directamente a la internet pública y se comunican únicamente dentro de una red privada.
Registro y supervisión: registros de auditoría de las acciones administrativas, los eventos de autenticación y los cambios en registros sensibles; conservación de los registros acorde con las necesidades de seguridad y los requisitos legales.
Copias de seguridad y recuperación: copias de seguridad automatizadas periódicas de las bases de datos y del almacenamiento de objetos; procedimientos de restauración probados periódicamente.
Gestión de cambios: control de versiones de todo el código fuente; procedimientos de publicación con revisión de código.
Desarrollo seguro: análisis de dependencias, aplicación oportuna de las actualizaciones de seguridad, separación de los entornos de desarrollo, preproducción y producción.
Seguridad del personal: compromisos de confidencialidad del personal con acceso a datos personales; principio de mínimo privilegio; procedimientos de baja del personal.
Respuesta ante incidentes: procedimiento documentado de respuesta ante incidentes, que incluye la notificación a los Responsables afectados en un plazo de 72 horas desde que se tenga constancia de una violación de la seguridad de los datos personales.

El Encargado podrá actualizar estas medidas con el tiempo, siempre que no se reduzca el nivel global de seguridad. El Responsable puede solicitar un resumen actualizado.

9. Notificación de violaciones de la seguridad de los datos personales

El Encargado notificará al Responsable sin dilación indebida las violaciones de la seguridad de los datos personales de las que tenga conocimiento. Dicha notificación deberá, como mínimo:

describir la naturaleza de la violación;
indicar, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados;
comunicar el nombre y los datos de contacto de un punto de contacto en el que pueda obtenerse más información;
describir las posibles consecuencias de la violación;
describir las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información podrá facilitarse de manera gradual sin más dilación indebida.

10. Evaluaciones de impacto relativas a la protección de datos (EIPD)

Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Encargado prestará una asistencia razonable al Responsable en la realización de evaluaciones de impacto relativas a la protección de datos con arreglo al art. 35 del RGPD y en las consultas a la autoridad de control con arreglo al art. 36 del RGPD, cuando dichas evaluaciones o consultas guarden relación con el tratamiento efectuado en virtud del presente Acuerdo.

11. Derechos de auditoría

El Responsable tiene derecho a auditar una vez al año el cumplimiento del presente Acuerdo por parte del Encargado. Las auditorías podrán ser realizadas por el Responsable o por un auditor externo independiente sujeto a una obligación de confidencialidad. Las auditorías se llevarán a cabo en horario laboral habitual, con un preaviso razonable por escrito (de al menos 30 días) y de un modo que no perturbe indebidamente la actividad empresarial del Encargado. El Encargado podrá satisfacer el derecho de auditoría facilitando informes de auditoría de terceros (por ejemplo, ISO 27001, SOC 2) o cuestionarios estándar del sector cumplimentados (por ejemplo, CAIQ), cuando estén disponibles y resulten aplicables.

Si el Responsable solicita auditorías presenciales adicionales a la primera auditoría anual, o requiere actuaciones específicas, el Encargado podrá facturar sus costes razonables.

12. Supresión y devolución de los datos personales

A la extinción de la suscripción del Cliente, el Encargado facilitará una exportación de los datos en un formato común y de lectura mecánica (por ejemplo, CSV, JSON) durante un periodo de 30 días naturales. Transcurrido este periodo de exportación, el Encargado suprimirá de forma irreversible todos los datos personales tratados por cuenta del Responsable en un plazo adicional de 60 días naturales, salvo que las obligaciones legales de conservación exijan un plazo más largo. Los datos anonimizados y agregados utilizados con fines estadísticos no se verán afectados.

Previa solicitud por escrito, el Encargado confirmará dicha supresión al Responsable.

13. Transferencias internacionales

Los datos personales se tratan principalmente en servidores situados en la Unión Europea. Cuando la prestación del servicio requiera transferencias de datos personales a terceros países (en particular, a los proveedores de servicios de los Estados Unidos enumerados en el anexo de subencargados), dichas transferencias se realizarán sobre la base de:

una decisión de adecuación de la Comisión Europea (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU., cuando proceda); o
las cláusulas contractuales tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo 2 o módulo 3, según corresponda), complementadas con las medidas adicionales apropiadas cuando sea necesario; o
cualquier otro mecanismo de transferencia lícito permitido por el capítulo V del RGPD.

14. Responsabilidad

La responsabilidad de las Partes en virtud del presente Acuerdo se rige por las Condiciones del servicio. Las disposiciones sobre responsabilidad que estas contienen se aplicarán, mutatis mutandis, a toda reclamación derivada del presente Acuerdo o relacionada con él, sin perjuicio de los derechos que el RGPD reconoce a los interesados.

15. Disposiciones finales

Prevalencia lingüística. El presente Acuerdo se publica en inglés y en alemán. En caso de discrepancia o contradicción entre ambas versiones, prevalecerá la versión inglesa.

Relación con las Condiciones del servicio. El presente Acuerdo forma parte integrante de las Condiciones del servicio. En caso de conflicto entre las Condiciones del servicio y el presente Acuerdo en lo relativo al tratamiento de datos personales, prevalecerá el presente Acuerdo.

Nulidad parcial. Si alguna disposición del presente Acuerdo fuera o deviniera inválida o inaplicable, la validez de las restantes disposiciones no se verá afectada.

Actualizaciones. El Encargado podrá actualizar periódicamente el presente Acuerdo para reflejar los cambios en la legislación aplicable, en las directrices regulatorias o en el servicio. Las modificaciones sustanciales se notificarán al Responsable con al menos 30 días de antelación, según lo establecido en las Condiciones del servicio.

16. Legislación aplicable y fuero

El presente Acuerdo se rige por el Derecho sustantivo de la República de Bulgaria, sin perjuicio de las disposiciones imperativas del Derecho de la UE en materia de protección de datos. El fuero exclusivo para las controversias derivadas del presente Acuerdo o relacionadas con él es Ruse (Bulgaria), sin perjuicio de las disposiciones imperativas de protección del país de residencia habitual del Cliente con arreglo al Reglamento (CE) n.º 593/2008 (Roma I) y al Reglamento (UE) n.º 1215/2012 (Bruselas I bis).

17. Contacto

Las preguntas relativas al presente Acuerdo o a nuestras prácticas de tratamiento de datos pueden dirigirse a:

Nitro Cloud LTD
Akad. Mihail Arnaudov 3, Et. 3
7005 Ruse, Bulgaria
Correo electrónico: [email protected]