Contrato de encargo de tratamiento

Este documento es el contrato que exige el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) entre el negocio que usa Bellioo y el prestador de la plataforma. Forma parte de las Condiciones para negocios y se acepta al darse de alta.

• Responsable del tratamiento: el negocio que usa Bellioo (el "Negocio").
• Encargado del tratamiento: Peacock Digital LLC, sociedad constituida en el Estado de Florida, Estados Unidos, con domicilio en 1032 E Brandon Blvd, #7001, Brandon, FL 33511, Estados Unidos, y EIN 37-2167612 ("Bellioo"). Estamos designando un representante en la Unión Europea conforme al artículo 27 del RGPD; publicaremos sus datos en el Aviso legal en cuanto esté nombrado.

1. Objeto, duración, naturaleza y finalidad

Bellioo trata por cuenta del Negocio, y siguiendo sus instrucciones, los datos personales que el Negocio introduce o genera en el Servicio sobre sus clientes y contactos, con el único fin de prestarle el Servicio descrito en las Condiciones para negocios: agenda, reservas, gestión de clientes, recordatorios, comunicaciones, fidelización, consentimiento informado firmado y estadísticas. Las operaciones son la recogida, alojamiento, almacenamiento, organización, consulta, comunicación por correo y WhatsApp, generación de documentos firmados, elaboración de estadísticas para el Negocio y supresión.

El encargo dura lo que dure el contrato y termina con la eliminación o devolución de los datos conforme a la sección 9.

2. Qué datos y de quién

Categorías especiales. Los datos de salud del consentimiento informado se tratan con las garantías de la sección 3. Fuera de él, el Negocio no tratará en Bellioo datos de salud ni otras categorías del artículo 9 del RGPD en campos de texto libre como las notas de cliente, salvo lo estrictamente imprescindible para prestar el servicio, con consentimiento explícito del cliente. Esos campos no están diseñados ni asegurados para ello, y usarlos así es decisión y responsabilidad del Negocio.

3. Consentimiento informado firmado

Si el Negocio exige un consentimiento informado para un servicio, por ejemplo tatuaje, piercing o micropigmentación, sus instrucciones a Bellioo son estas:

1. Presentar el formulario que el Negocio ha redactado para que el cliente lo rellene y lo firme en la app o en la web: al reservar, después desde su cita o con el código QR que le muestra el Negocio. Bellioo verifica a quien firma con un código de un solo uso enviado a su correo o con la sesión de su cuenta verificada y, si tiene menos de 18 años el día de la cita, le pide además los datos y la firma de su padre, madre o tutor.
2. Generar el documento: un PDF con el texto exacto firmado, las respuestas, las firmas y el justificante, con una huella digital que permite comprobar que no se ha alterado. Si el Negocio cambia después el formulario, lo ya firmado no cambia.
3. Enviar al firmante una copia del PDF por correo, y al propietario del Negocio un aviso de la firma sin el documento ni las respuestas.
4. Guardar el documento firmado o, si el cliente firma en papel, la foto o el PDF que suba el Negocio, y registrar quién completa una cita sin consentimiento y con qué motivo, si el Negocio lo hace.
5. Proponer al cliente que vuelve a reservar en el mismo Negocio con su cuenta el nombre y las respuestas de su último consentimiento allí, para que solo tenga que revisarlos. Nunca el número de documento.

Lo que decide el Negocio. Como responsable, el Negocio decide en qué servicios lo pide, redacta el texto y las preguntas y determina la base jurídica: el consentimiento explícito del cliente que recoge el formulario (artículo 9.2.a del RGPD) y, para conservar el documento si el cliente retira su consentimiento, la defensa ante posibles reclamaciones (artículo 9.2.f). Debe preguntar solo lo necesario para atender al cliente con seguridad y ajustar el texto a la normativa de su actividad. Las plantillas de ejemplo de Bellioo son orientativas: Bellioo no presta asesoramiento jurídico ni sanitario y no revisa el contenido de los formularios.

Medidas específicas, además de las de la sección 4:

• Las respuestas, los números de documento y la fecha de nacimiento se guardan cifrados en la base de datos, y las firmas y los documentos, en un almacenamiento privado aparte.
• En el Negocio, solo el propietario, los administradores y el profesional asignado a la cita pueden abrir el documento. El resto del equipo solo ve si está pendiente o firmado. Las respuestas y los números de documento solo constan en el PDF, no en las pantallas ni en los listados del Servicio.
• No aparecen en los registros técnicos ni en los de errores, en las alertas internas, en las exportaciones de clientes ni en la analítica, y BellIA no tiene acceso a ellos.
• El personal de Bellioo solo accede a ellos cuando hace falta para dar soporte al Negocio o lo exige una ley.
• Bellioo no los usa para ningún fin propio, tampoco de forma agregada o anonimizada, y no los comunica a nadie más que a los subencargados de la sección 5 que los alojan o los envían.

Conservación. Bellioo conserva cada consentimiento firmado, también los firmados en papel y el registro de las citas completadas sin consentimiento, durante cinco años desde la firma o desde que se registra, el plazo de prescripción de las acciones personales, y después lo borra con sus firmas y documentos. Los consentimientos pendientes que se anulan, por ejemplo porque se cancela la cita, se borran a los noventa días. Si el cliente borra su cuenta de Bellioo, el documento se conserva para el Negocio durante el mismo plazo, sin vínculo con esa cuenta. Si la normativa de su actividad le exige conservarlo más tiempo, el Negocio debe descargarlo antes de que se cumpla el plazo.

4. Obligaciones de Bellioo como encargado

Conforme al artículo 28.3 del RGPD, Bellioo:

1. Trata los datos solo siguiendo las instrucciones documentadas del Negocio, incluidas las relativas a transferencias internacionales. Estas condiciones y el uso normal del Servicio son las instrucciones iniciales. Si una norma de la Unión o de un Estado miembro obliga a Bellioo a otra cosa, lo comunicará antes al Negocio, salvo que esa norma lo prohíba. Bellioo informará al Negocio si considera que una instrucción infringe la normativa.
2. No usa los datos para fines propios, salvo lo necesario para operar, asegurar y mejorar el Servicio de forma agregada o anonimizada, y lo que le obligue la ley. Nunca los usa para vender a los clientes del Negocio ni para dirigirlos a otro negocio.
3. Confidencialidad: garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
4. Seguridad (artículo 32): cifrado en tránsito y en reposo, control de acceso por roles, aislamiento entre negocios, registro de auditoría de las acciones relevantes, copias de seguridad cifradas, separación de entornos, registro de incidentes y gestión de vulnerabilidades. Para el consentimiento informado, además, las medidas de la sección 3.
5. Notifica al Negocio sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a los datos del Negocio, con la información disponible para que el Negocio pueda cumplir el artículo 33.
6. Asiste al Negocio para atender los derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición, limitación) con las funciones del Servicio y, si no bastan, con su ayuda razonable. Si un interesado se dirige a Bellioo, Bellioo lo comunicará al Negocio.
7. Asiste al Negocio en materia de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas (artículos 32 a 36), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
8. Devuelve o suprime los datos al terminar el contrato, a elección del Negocio, conforme a la sección 9.
9. Pone a disposición del Negocio la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías en los términos de la sección 7.
10. Lleva un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Negocio.

5. Subencargados autorizados

El Negocio autoriza de forma general a Bellioo a recurrir a los subencargados de esta tabla. Bellioo informará al Negocio de cualquier alta o sustitución por correo con al menos 30 días de antelación; el Negocio podrá oponerse por motivos justificados y, si no hay alternativa, resolver el contrato sin penalización. Bellioo impone a cada subencargado obligaciones equivalentes a las de este contrato y responde de su cumplimiento.

6. Transferencias internacionales

Los datos se alojan en la Unión Europea. Bellioo está establecida en Estados Unidos, por lo que el tratamiento por cuenta del Negocio implica en sí mismo una transferencia internacional, además de las de los subencargados de la tabla anterior. Todas se amparan en una decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades certificadas, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914) con las medidas adicionales oportunas, que Bellioo facilitará al Negocio a petición. Como responsable, el Negocio debe reflejar esta transferencia en su propio registro de actividades de tratamiento.

7. Auditoría

Bellioo facilitará al Negocio la documentación de seguridad de que disponga. El Negocio puede solicitar una auditoría una vez al año, o tras una violación de seguridad que le afecte, con 30 días de preaviso, en horario laboral, sin interrumpir el Servicio y sin acceso a datos de otros negocios, asumiendo su coste salvo que revele un incumplimiento relevante de Bellioo.

8. Obligaciones del Negocio

El Negocio facilita a sus clientes la información que exige el RGPD, cuenta con base jurídica para cada tratamiento y para cada comunicación comercial, atiende los derechos de los interesados, garantiza la exactitud de los datos, no introduce datos que no tenga derecho a tratar y usa el Servicio conforme a la normativa.

9. Fin del tratamiento

A la terminación del contrato, el Negocio podrá obtener una copia de sus datos en un formato electrónico de uso habitual durante 30 días. Después, Bellioo eliminará o anonimizará los datos, salvo los que deba conservar por obligación legal, que quedarán bloqueados hasta que prescriban las responsabilidades.

Los consentimientos informados firmados siguen su propio plazo: Bellioo los conserva bloqueados por cuenta del Negocio hasta que se cumplan los cinco años de la sección 3 y entonces los borra. Mientras tanto, el Negocio puede pedir en privacy@bellioo.com una copia de los documentos o que se supriman antes.

10. Responsabilidad

Cada parte responde de sus propias infracciones conforme al artículo 82 del RGPD. La responsabilidad de Bellioo frente al Negocio se limita en los términos previstos en las Condiciones para negocios.