Acuerdo de encargo de tratamiento de datos

1. Objeto, duración y naturaleza

El Encargado trata datos personales por cuenta del Responsable con el único fin de prestar la plataforma de reservas: alojar y gestionar las reservas, comunicarse con los viajeros (confirmaciones y avisos), procesar la información necesaria para el cobro y emitir los extractos. Duración: la del contrato de servicio, más el tiempo necesario para devolver o suprimir los datos conforme a la cláusula 9.

2. Tipos de datos y de interesados

• Interesados: viajeros y personas que reservan, y acompañantes cuyos datos se indiquen en la reserva.
• Datos: identificación y contacto (nombre, correo electrónico, teléfono), datos de la reserva (actividad, fecha, número de personas, importe, estado del pago), y la información que el viajero facilite voluntariamente al reservar (p. ej. notas o necesidades).
• No se prevé el tratamiento de categorías especiales de datos. El Responsable no debe solicitarlas a través de la plataforma salvo que sea imprescindible y lo comunique al Encargado.

3. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, entre las que se incluyen estos términos y el uso configurado de la plataforma, también respecto de transferencias internacionales. Si considera que una instrucción infringe la normativa, informará al Responsable.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
3. Aplicar las medidas de seguridad del artículo 32 RGPD descritas en el Anexo II.
4. Respetar las condiciones de los subencargados (cláusula 6).
5. Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, para atender las solicitudes de ejercicio de derechos de los interesados, trasladándole sin demora las que reciba directamente.
6. Asistir al Responsable en el cumplimiento de las obligaciones de seguridad, evaluaciones de impacto y consulta previa, cuando proceda.
7. Notificar al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información disponible para que pueda notificarla a la autoridad.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso de 30 días, durante horario laboral y sujetas a confidencialidad, sin comprometer la seguridad de otros clientes.

4. Obligaciones del Responsable

El Responsable garantiza que tiene base legal para tratar los datos y encargar su tratamiento, que ha informado a los viajeros conforme a los artículos 13 y 14 RGPD, que usará los datos solo para prestar la actividad y cumplir sus obligaciones legales, y que no cargará datos que no sean necesarios.

5. Finalidades propias del Encargado

Este Acuerdo no cubre los tratamientos que For Holidays realiza como responsable independiente (cobro y prevención del fraude, facturación y contabilidad, seguridad de la plataforma y cumplimiento legal), descritos en la política de privacidad.

6. Subencargados

El Responsable autoriza de forma general el uso de los subencargados del Anexo III. El Encargado informará de cualquier incorporación o sustitución con al menos 15 días de antelación, por correo electrónico o desde el panel, y el Responsable podrá oponerse por motivos razonables de protección de datos en ese plazo; si no se resuelve, podrá dar de baja el servicio. El Encargado impondrá a los subencargados obligaciones equivalentes a las de este Acuerdo y responderá frente al Responsable de su cumplimiento.

7. Transferencias internacionales

Cuando un subencargado trate datos fuera del EEE, el Encargado se asegurará de que existe una garantía adecuada conforme al capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. para proveedores certificados, o cláusulas contractuales tipo).

8. Ejercicio de derechos y brechas

Las solicitudes de los interesados sobre datos de reservas deberán dirigirse al Responsable. Si se reciben en el Encargado, se trasladarán al Responsable sin demora, salvo que el Encargado actúe como responsable independiente.

9. Devolución o supresión

Al finalizar el servicio, y a elección del Responsable, el Encargado devolverá o suprimirá los datos personales y las copias existentes en un plazo de 90 días, salvo que el derecho de la Unión o de España exija su conservación (por ejemplo, obligaciones contables y fiscales del propio Encargado). Hasta entonces los conservará bloqueados.

10. Responsabilidad y ley aplicable

Cada parte responde conforme al artículo 82 RGPD y a las limitaciones previstas en los términos para operadores, en lo permitido por la ley. Este Acuerdo se rige por la ley española y los tribunales competentes son los indicados en los términos para operadores.

Anexo I — Descripción del tratamiento

• Operaciones: recogida, registro, estructuración, almacenamiento, consulta, comunicación por transmisión (correo electrónico a viajeros y operador), supresión.
• Finalidad: prestación de la plataforma de reservas por cuenta del Responsable.
• Periodicidad: continua mientras dure el servicio.
• Plazo de conservación: el indicado en la cláusula 9.

Anexo II — Medidas técnicas y organizativas

• Cifrado de las comunicaciones mediante HTTPS/TLS.
• Control de acceso por cuenta de operador (seguridad a nivel de fila en la base de datos) y separación lógica de los datos de cada operador.
• Acceso del personal limitado a lo necesario y con credenciales individuales.
• No se almacenan datos de tarjeta: los gestiona Stripe.
• Claves y secretos de servidor gestionados como variables de entorno protegidas, fuera del código y del navegador.
• Limitación de peticiones para proteger frente a abusos.
• Procedimiento de gestión de incidentes y notificación de brechas conforme a la cláusula 3.
• [COMPLETAR: añadir copias de seguridad, política de contraseñas/MFA y registros de acceso solo si se confirman en la práctica].

Anexo III — Subencargados autorizados

• Supabase — base de datos y autenticación. Ubicación: [COMPLETAR: región del proyecto Supabase].
• Vercel — alojamiento y ejecución de la aplicación. Ubicación: [COMPLETAR: región de funciones de Vercel].
• Stripe — procesamiento de pagos y reembolsos (también responsable independiente para sus obligaciones regulatorias).
• Google (Gmail API y, si el Operador la activa, Calendar) — envío de correos transaccionales y sincronización de eventos.
• Upstash — limitación de peticiones (direcciones IP, transitorio), cuando está activo.