Este documento es el contrato que exige el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) entre el negocio que usa Bellioo y el prestador de la plataforma. Forma parte de las Condiciones para negocios y se acepta al darse de alta.
- Responsable del tratamiento: el negocio que usa Bellioo (el "Negocio").
- Encargado del tratamiento: Peacock Digital LLC, sociedad constituida en el Estado de Florida, Estados Unidos, con domicilio en 1032 E Brandon Blvd, #7001, Brandon, FL 33511, Estados Unidos, y EIN 37-2167612 ("Bellioo"). Estamos designando un representante en la Unión Europea conforme al artículo 27 del RGPD; publicaremos sus datos en el Aviso legal en cuanto esté nombrado.
1. Objeto, duración, naturaleza y finalidad
Bellioo trata por cuenta del Negocio, y siguiendo sus instrucciones, los datos personales que el Negocio introduce o genera en el Servicio sobre sus clientes y contactos, con el único fin de prestarle el Servicio descrito en las Condiciones para negocios: agenda, reservas, gestión de clientes, recordatorios, comunicaciones, fidelización y estadísticas. Las operaciones son el alojamiento, almacenamiento, organización, consulta, comunicación por correo y WhatsApp, elaboración de estadísticas para el Negocio y supresión.
El encargo dura lo que dure el contrato y termina con la eliminación o devolución de los datos conforme a la sección 8.
2. Qué datos y de quién
| Categorías de interesados | Categorías de datos |
|---|---|
| Clientes y potenciales clientes del Negocio, incluidos los que reservan como invitados | Nombre, correo, teléfono, historial de citas, servicios contratados, importes, estado de asistencia, notas internas que el equipo del Negocio escriba, preferencias de comunicación, tarjetas de fidelización y sellos, estado de bloqueo |
| Personal del Negocio | Nombre, correo, teléfono, horarios, rol y permisos |
Categorías especiales. El Negocio no tratará en Bellioo datos de salud ni otras categorías del artículo 9 del RGPD en campos de texto libre como las notas de cliente, salvo lo estrictamente imprescindible para prestar el servicio, con consentimiento explícito del cliente. La plataforma no está diseñada ni asegurada para ello, y hacerlo es decisión y responsabilidad del Negocio.
3. Obligaciones de Bellioo como encargado
Conforme al artículo 28.3 del RGPD, Bellioo:
- Trata los datos solo siguiendo las instrucciones documentadas del Negocio, incluidas las relativas a transferencias internacionales. Estas condiciones y el uso normal del Servicio son las instrucciones iniciales. Si una norma de la Unión o de un Estado miembro obliga a Bellioo a otra cosa, lo comunicará antes al Negocio, salvo que esa norma lo prohíba. Bellioo informará al Negocio si considera que una instrucción infringe la normativa.
- No usa los datos para fines propios, salvo lo necesario para operar, asegurar y mejorar el Servicio de forma agregada o anonimizada, y lo que le obligue la ley. Nunca los usa para vender a los clientes del Negocio ni para dirigirlos a otro negocio.
- Confidencialidad: garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
- Seguridad (artículo 32): cifrado en tránsito y en reposo, control de acceso por roles, aislamiento entre negocios, registro de auditoría de las acciones relevantes, copias de seguridad cifradas, separación de entornos, registro de incidentes y gestión de vulnerabilidades.
- Notifica al Negocio sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a los datos del Negocio, con la información disponible para que el Negocio pueda cumplir el artículo 33.
- Asiste al Negocio para atender los derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición, limitación) con las funciones del Servicio y, si no bastan, con su ayuda razonable. Si un interesado se dirige a Bellioo, Bellioo lo comunicará al Negocio.
- Asiste al Negocio en materia de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas (artículos 32 a 36), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
- Devuelve o suprime los datos al terminar el contrato, a elección del Negocio, conforme a la sección 8.
- Pone a disposición del Negocio la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías en los términos de la sección 6.
- Lleva un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Negocio.
4. Subencargados autorizados
El Negocio autoriza de forma general a Bellioo a recurrir a los subencargados de esta tabla. Bellioo informará al Negocio de cualquier alta o sustitución por correo con al menos 30 días de antelación; el Negocio podrá oponerse por motivos justificados y, si no hay alternativa, resolver el contrato sin penalización. Bellioo impone a cada subencargado obligaciones equivalentes a las de este contrato y responde de su cumplimiento.
| Subencargado | Servicio | Ubicación | Garantía de transferencia |
|---|---|---|---|
| DigitalOcean | Alojamiento de la aplicación, la base de datos y los archivos | Unión Europea (Fráncfort) | No hay transferencia |
| Vercel | Alojamiento de la web y de las webs de negocios | Estados Unidos y red global | DPF o cláusulas contractuales tipo |
| Stripe | Cobro de la suscripción | Irlanda y Estados Unidos | DPF o cláusulas tipo |
| Resend | Envío de correos electrónicos | Estados Unidos | DPF o cláusulas tipo |
| Zernio | Envío de mensajes de WhatsApp, solo si el Negocio activa el canal | España | No hay transferencia |
| Meta Platforms | Entrega de los mensajes de WhatsApp | Irlanda y Estados Unidos | DPF |
| Geocodificación de direcciones | Estados Unidos | DPF | |
| Anthropic PBC | Asistente BellIA, solo si el equipo del Negocio lo usa, y primera explicación de errores técnicos con el texto anonimizado | Estados Unidos | DPF o cláusulas tipo |
| Slack | Alertas técnicas internas | Estados Unidos | DPF |
5. Transferencias internacionales
Los datos se alojan en la Unión Europea. Bellioo está establecida en Estados Unidos, por lo que el tratamiento por cuenta del Negocio implica en sí mismo una transferencia internacional, además de las de los subencargados de la tabla anterior. Todas se amparan en una decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades certificadas, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914) con las medidas adicionales oportunas, que Bellioo facilitará al Negocio a petición. Como responsable, el Negocio debe reflejar esta transferencia en su propio registro de actividades de tratamiento.
6. Auditoría
Bellioo facilitará al Negocio la documentación de seguridad de que disponga. El Negocio puede solicitar una auditoría una vez al año, o tras una violación de seguridad que le afecte, con 30 días de preaviso, en horario laboral, sin interrumpir el Servicio y sin acceso a datos de otros negocios, asumiendo su coste salvo que revele un incumplimiento relevante de Bellioo.
7. Obligaciones del Negocio
El Negocio facilita a sus clientes la información que exige el RGPD, cuenta con base jurídica para cada tratamiento y para cada comunicación comercial, atiende los derechos de los interesados, garantiza la exactitud de los datos, no introduce datos que no tenga derecho a tratar y usa el Servicio conforme a la normativa.
8. Fin del tratamiento
A la terminación del contrato, el Negocio podrá obtener una copia de sus datos en un formato electrónico de uso habitual durante 30 días. Después, Bellioo eliminará o anonimizará los datos, salvo los que deba conservar por obligación legal, que quedarán bloqueados hasta que prescriban las responsabilidades.
9. Responsabilidad
Cada parte responde de sus propias infracciones conforme al artículo 82 del RGPD. La responsabilidad de Bellioo frente al Negocio se limita en los términos previstos en las Condiciones para negocios.