Acord d'encàrrec de tractament de dades

1. Objecte, durada i naturalesa

L'Encarregat tracta dades personals per compte del Responsable amb l'únic fi de prestar la plataforma de reserves: allotjar i gestionar les reserves, comunicar-se amb els viatgers (confirmacions i avisos), processar la informació necessària per al cobrament i emetre els extractes. Durada: la del contracte de servei, més el temps necessari per retornar o suprimir les dades conforme a la clàusula 9.

2. Tipus de dades i d'interessats

• Interessats: viatgers i persones que reserven, i acompanyants les dades dels quals s'indiquin a la reserva.
• Dades: identificació i contacte (nom, correu electrònic, telèfon), dades de la reserva (activitat, data, nombre de persones, import, estat del pagament), i la informació que el viatger faciliti voluntàriament en reservar (p. ex. notes o necessitats).
• No es preveu el tractament de categories especials de dades. El Responsable no les ha de sol·licitar a través de la plataforma tret que sigui imprescindible i ho comuniqui a l'Encarregat.

3. Obligacions de l'Encarregat

1. Tractar les dades només seguint les instruccions documentades del Responsable, entre les quals s'inclouen aquests termes i l'ús configurat de la plataforma, també pel que fa a transferències internacionals. Si considera que una instrucció infringeix la normativa, n'informarà el Responsable.
2. Garantir que les persones autoritzades a tractar les dades s'han compromès a respectar la confidencialitat.
3. Aplicar les mesures de seguretat de l'article 32 RGPD descrites a l'Annex II.
4. Respectar les condicions dels subencarregats (clàusula 6).
5. Assistir el Responsable, tenint en compte la naturalesa del tractament, per atendre les sol·licituds d'exercici de drets dels interessats, traslladant-li sense demora les que rebi directament.
6. Assistir el Responsable en el compliment de les obligacions de seguretat, avaluacions d'impacte i consulta prèvia, quan escaigui.
7. Notificar al Responsable, sense dilació indeguda i en tot cas en un termini màxim de 48 hores des que en tingui coneixement, qualsevol violació de la seguretat de les dades, amb la informació disponible perquè la pugui notificar a l'autoritat.
8. Posar a disposició del Responsable la informació necessària per demostrar el compliment i permetre auditories raonables, amb un avís previ de 30 dies, en horari laboral i subjectes a confidencialitat, sense comprometre la seguretat d'altres clients.

4. Obligacions del Responsable

El Responsable garanteix que té base legal per tractar les dades i encarregar-ne el tractament, que ha informat els viatgers conforme als articles 13 i 14 RGPD, que farà servir les dades només per prestar l'activitat i complir les seves obligacions legals, i que no carregarà dades que no siguin necessàries.

5. Finalitats pròpies de l'Encarregat

Aquest Acord no cobreix els tractaments que For Holidays fa com a responsable independent (cobrament i prevenció del frau, facturació i comptabilitat, seguretat de la plataforma i compliment legal), descrits a la política de privacitat.

6. Subencarregats

El Responsable autoritza de manera general l'ús dels subencarregats de l'Annex III. L'Encarregat informarà de qualsevol incorporació o substitució amb almenys 15 dies d'antelació, per correu electrònic o des del panell, i el Responsable s'hi podrà oposar per motius raonables de protecció de dades en aquest termini; si no es resol, podrà donar de baixa el servei. L'Encarregat imposarà als subencarregats obligacions equivalents a les d'aquest Acord i respondrà davant el Responsable del seu compliment.

7. Transferències internacionals

Quan un subencarregat tracti dades fora de l'EEE, l'Encarregat s'assegurarà que hi ha una garantia adequada conforme al capítol V del RGPD (decisió d'adequació, inclòs el Marc de Privacitat de Dades UE-EUA per a proveïdors certificats, o clàusules contractuals tipus).

8. Exercici de drets i bretxes

Les sol·licituds dels interessats sobre dades de reserves s'hauran d'adreçar al Responsable. Si es reben a l'Encarregat, es traslladaran al Responsable sense demora, tret que l'Encarregat actuï com a responsable independent.

9. Devolució o supressió

En finalitzar el servei, i a elecció del Responsable, l'Encarregat retornarà o suprimirà les dades personals i les còpies existents en un termini de 90 dies, tret que el dret de la Unió o d'Espanya n'exigeixi la conservació (per exemple, obligacions comptables i fiscals del mateix Encarregat). Fins aleshores les conservarà bloquejades.

10. Responsabilitat i llei aplicable

Cada part respon conforme a l'article 82 RGPD i a les limitacions previstes en els termes per a operadors, en el que permeti la llei. Aquest Acord es regeix per la llei espanyola i els tribunals competents són els indicats en els termes per a operadors.

Annex I — Descripció del tractament

• Operacions: recollida, registre, estructuració, emmagatzematge, consulta, comunicació per transmissió (correu electrònic a viatgers i operador), supressió.
• Finalitat: prestació de la plataforma de reserves per compte del Responsable.
• Periodicitat: contínua mentre duri el servei.
• Termini de conservació: l'indicat a la clàusula 9.

Annex II — Mesures tècniques i organitzatives

• Xifratge de les comunicacions mitjançant HTTPS/TLS.
• Control d'accés per compte d'operador (seguretat a nivell de fila a la base de dades) i separació lògica de les dades de cada operador.
• Accés del personal limitat al necessari i amb credencials individuals.
• No s'emmagatzemen dades de targeta: les gestiona Stripe.
• Claus i secrets de servidor gestionats com a variables d'entorn protegides, fora del codi i del navegador.
• Limitació de peticions per protegir davant abusos.
• Procediment de gestió d'incidents i notificació de bretxes conforme a la clàusula 3.
• [COMPLETAR: afegir còpies de seguretat, política de contrasenyes/MFA i registres d'accés només si es confirmen a la pràctica].

Annex III — Subencarregats autoritzats

• Supabase — base de dades i autenticació. Ubicació: [COMPLETAR: regió del projecte Supabase].
• Vercel — allotjament i execució de l'aplicació. Ubicació: [COMPLETAR: regió de funcions de Vercel].
• Stripe — processament de pagaments i reemborsaments (també responsable independent per a les seves obligacions reguladores).
• Google (Gmail API i, si l'Operador l'activa, Calendar) — enviament de correus transaccionals i sincronització d'esdeveniments.
• Upstash — limitació de peticions (adreces IP, transitori), quan és actiu.