Acuerdo de encargo del tratamiento conforme al art. 28 del RGPD entre el Establecimiento (Responsable) y Scennio (Encargado).
El presente Acuerdo de Encargo del Tratamiento («DPA») regula el tratamiento de datos personales que NOCTION PLATFORM, S.L. («Scennio», el Encargado) realiza por cuenta del Establecimiento contratante (el Responsable) al prestar la plataforma Scennio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte integrante de las Condiciones Comerciales suscritas entre las partes.
Responsable del tratamiento: el Establecimiento contratante (restaurante, local de ocio, sala o promotor) que determina los fines y medios del tratamiento de los datos de sus clientes.
Encargado del tratamiento: NOCTION PLATFORM, S.L. (marca «Scennio»), que trata los datos únicamente por cuenta y siguiendo las instrucciones documentadas del Responsable.
El Encargado tratará datos personales por cuenta del Responsable con el único fin de prestar los servicios de la plataforma. El tratamiento durará mientras esté vigente el contrato principal; a su finalización se aplicará la cláusula de supresión o devolución.
El tratamiento comprende las operaciones necesarias para la venta de entradas, reservas, listas, pedidos, control de acceso, procesamiento de pagos, comunicación con los asistentes y las funciones analíticas y de soporte asociadas a la plataforma.
Interesados: clientes finales, asistentes y usuarios del Responsable. Datos: identificativos y de contacto (nombre, correo, teléfono), datos de reserva/compra y de pago (tokenizados) y datos técnicos de uso. No se prevé el tratamiento de categorías especiales de datos.
El Responsable determina los fines y medios del tratamiento y garantiza disponer de una base jurídica válida para los datos que pone a disposición del Encargado. Corresponde al Responsable informar a los interesados y, en su caso, recabar su consentimiento, atender el ejercicio de derechos e impartir por escrito las instrucciones del tratamiento. El Responsable manifiesta que sus instrucciones son lícitas y no infringen la normativa de protección de datos.
El Encargado tratará los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal; no destinará los datos a finalidad distinta; y asistirá al Responsable en el cumplimiento de sus obligaciones.
El Encargado informará inmediatamente al Responsable cuando, en su opinión, una instrucción infrinja el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) u otra normativa de protección de datos de la Unión o de los Estados miembros, pudiendo suspender la ejecución de dicha instrucción hasta que el Responsable la confirme o modifique.
El Encargado garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber legal de confidencialidad apropiado.
El Encargado aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluidas, según proceda, la seudonimización y el cifrado, el control de accesos, el registro de eventos, las copias de seguridad, la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, y procedimientos de verificación, evaluación y valoración periódica de su eficacia.
El Responsable autoriza con carácter general la contratación de subencargados (p. ej. proveedores de alojamiento, pago, comunicaciones y analítica). El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos e informará de altas o cambios, permitiendo al Responsable oponerse por motivos razonables. El Encargado seguirá siendo plenamente responsable ante el Responsable del cumplimiento por el subencargado de sus obligaciones en materia de protección de datos. La lista actualizada de subencargados está disponible a solicitud en info@scennio.com. Entre los subencargados pueden figurar proveedores de modelos de inteligencia artificial utilizados por las funcionalidades de asistencia de la plataforma (Scennio Copilot), a los que se aplican las mismas obligaciones y, en su caso, las garantías de transferencia internacional previstas en este DPA.
El Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, en la atención de las solicitudes de ejercicio de derechos de los interesados y en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas y evaluaciones de impacto).
El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales, aportando la información necesaria para que el Responsable cumpla sus obligaciones de notificación.
El Encargado llevará, por escrito y por cuenta del Responsable, un registro de todas las categorías de actividades de tratamiento efectuadas, conforme al artículo 30.2 del RGPD, y lo pondrá a disposición del Responsable y de la autoridad de control cuando sea requerido.
A elección del Responsable, el Encargado suprimirá o devolverá todos los datos personales una vez finalizada la prestación de los servicios, y suprimirá las copias existentes salvo obligación legal de conservación. A solicitud del Responsable, el Encargado certificará por escrito dicha supresión.
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Responsable o un auditor mandatado, con preaviso razonable.
Cuando el tratamiento implique transferencias fuera del EEE, el Encargado garantizará las garantías adecuadas del Capítulo V RGPD (decisiones de adecuación, incluido el EU-U.S. Data Privacy Framework, o Cláusulas Contractuales Tipo).
Cada parte responderá de los daños y perjuicios que cause por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. El Encargado responderá únicamente cuando haya incumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones lícitas del Responsable.
Este DPA se rige por la legislación española y por el RGPD, y forma parte de las Condiciones Comerciales entre las partes, con su misma duración. La autoridad de control competente es la Agencia Española de Protección de Datos (AEPD). En caso de conflicto en materia de protección de datos, prevalecerá este DPA.
Para cualquier cuestión relativa a este DPA puedes escribirnos a info@scennio.com .