Anexo de encargo del tratamiento

Este anexo forma parte de las condiciones de contratación. Regula los datos personales que se tratan con Criba y contiene el contrato que exige el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y el acuerdo de corresponsabilidad del artículo 26 para la búsqueda. Se acepta electrónicamente al pedir la prueba o contratar, sin firma separada (art. 28.9 RGPD), y hay que volver a aceptarlo cuando cambia.

1. Las partes y sus papeles

El Cliente es quien contrata Criba o usa la prueba. Terral Studio son Rubén Díaz Fraga (NIF 34281643M) y Daniel Aguilar Fernández (NIF 77199164D), con los domicilios del aviso legal, que prestan el servicio conjuntamente y responden de este anexo de forma solidaria. Hay tres papeles distintos:

• La cartera —los negocios que el Cliente guarda y todo lo que hace con ellos—: el Cliente es el responsable y Terral Studio el encargado (apartados 2 a 8).
• La búsqueda y la puntuación de negocios: los dos son corresponsables (apartado 9).
• La lista de exclusión y, si el Cliente lo activa, los recuentos agregados que mejoran la puntuación: Terral Studio es el responsable (apartado 10).

2. Objeto, duración, naturaleza y finalidad del encargo

Objeto y finalidad: alojar y gestionar la cartera comercial del Cliente para que pueda hacer su seguimiento: guardar los negocios, sus personas de contacto, notas, tareas, recordatorios e importes, importar sus propios listados, exportarlo todo y avisarle de sus tareas.

Naturaleza: recogida, registro, organización, conservación, consulta, modificación, exportación y supresión, por medios automatizados.

Duración: mientras el Cliente tenga cuenta y hasta 30 días después de que termine (apartado 7).

3. Datos e interesados

Interesados: personas de contacto de los negocios de la cartera, incluidos empresarios individuales y autónomos, y las personas que el Cliente incluya en listados importados.

Datos: identificador de la ficha de Google Maps; nombre comercial, teléfono, correo y web que el negocio publica en su propia web; puntuación y motivos; y lo que introduzca el Cliente: nombre, cargo, teléfono y correo de personas de contacto, notas, tareas, estado e importe estimado. No se tratan categorías especiales de datos y el Cliente se compromete a no introducirlas.

4. Instrucciones del Cliente

Este anexo, las condiciones y el uso que el Cliente hace de la aplicación son sus instrucciones documentadas (art. 28.3.a). Entre ellas, al aceptar este anexo el Cliente instruye a Terral Studio para borrar a los 30 días los negocios que no haya trabajado —sin cambio de estado, notas, tareas, personas de contacto ni importe—, porque guardarlos más tiempo sin informar al negocio no es compatible con el artículo 14.3.a RGPD. Los listados importados por el Cliente no se borran por este motivo.

Si Terral Studio considera que una instrucción infringe la normativa de protección de datos, lo comunicará inmediatamente al Cliente.

5. Obligaciones de Terral Studio como encargado

• Tratar los datos sólo según las instrucciones del Cliente, también respecto de las transferencias internacionales, y no usarlos para fines propios salvo lo previsto en el apartado 10.
• Garantizar que quienes tratan los datos —los dos profesionales y, en su caso, sus colaboradores— tienen un compromiso de confidencialidad que se mantiene al terminar.
• Aplicar las medidas de seguridad del artículo 32: cifrado en tránsito, contraseñas derivadas con sal, sesiones firmadas, aislamiento de cada cartera verificado en cada petición, base de datos no expuesta a internet, copias de seguridad diarias cifradas y guardadas también fuera del servidor, actualizaciones de seguridad automáticas, escaneo semanal de vulnerabilidades y avisos ante fallos de los servicios.
• Recurrir a subencargados sólo en los términos del apartado 6, imponiéndoles las mismas obligaciones.
• Asistir al Cliente para responder a los interesados que ejerzan sus derechos, trasladándole en un máximo de 5 días hábiles cualquier solicitud que reciba sobre su cartera, y ayudarle a cumplir los artículos 32 a 36 (seguridad, violaciones de seguridad, evaluación de impacto y consulta previa).
• Notificar al Cliente las violaciones de seguridad que afecten a su cartera sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia, con la información disponible para que el Cliente cumpla el artículo 33.
• Suprimir o devolver los datos al terminar, según el apartado 7.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este anexo y permitir auditorías, según el apartado 8.

6. Subencargados

El Cliente autoriza a Terral Studio a recurrir a los siguientes proveedores. Cualquier alta o sustitución se le comunicará por correo con al menos 30 días de antelación; si se opone, puede terminar el contrato sin coste antes de que se aplique.

• OVHcloud — alojamiento del servidor y de la base de datos, en un centro de datos de Zúrich (Suiza), país con decisión de adecuación de la Comisión Europea. Trata todos los datos de la cartera.
• Cloudflare, Inc. — almacenamiento R2 para las copias de seguridad, en un depósito con jurisdicción de la Unión Europea. Las copias se cifran en nuestro servidor antes de salir y Cloudflare no tiene la clave, así que no puede leerlas. Se borran a los 14 días. Adherida al Marco de Privacidad de Datos UE-EE. UU.
• Google Ireland Ltd. — Google Places API. Al abrir la ficha de un negocio sin datos propios recibe su identificador de Google Maps para mostrar el nombre, la dirección o el teléfono en ese momento, que no se guardan.

Stripe, que cobra las suscripciones, y Resend, que envía los correos del servicio, no reciben datos de la cartera. Si en el futuro lo hicieran, se comunicaría como alta.

7. Al terminar: devolución y supresión

El Cliente puede exportar toda su cartera en CSV o JSON en cualquier momento, también con la cuenta cancelada o la prueba terminada. Al terminar la cuenta, los datos se conservan 30 días para que pueda recuperarlos, con un aviso por correo una semana antes, y después se suprimen. Las copias de seguridad los mantienen como máximo 14 días más, hasta que se sobrescriben. Se conservan sólo los datos de la cuenta que la ley obliga a guardar, como la aceptación de este anexo y los movimientos de facturación.

8. Auditoría

Terral Studio facilitará al Cliente, cuando lo pida, la información sobre las medidas de seguridad y el cumplimiento de este anexo. El Cliente, o un auditor sujeto a confidencialidad, podrá realizar auditorías e inspecciones con un preaviso de 30 días, a su costa y sin interferir en el servicio, como máximo una vez al año salvo que haya habido una violación de seguridad o lo exija una autoridad.

9. Corresponsabilidad en la búsqueda (art. 26 RGPD)

Cuando el Cliente busca —o programa la vigilancia de una zona—, los dos deciden juntos: el Cliente elige zona, sector y qué vende, y decide qué negocios guarda y a quién contacta; Terral Studio decide de dónde salen los datos (Google Maps Platform y la web de cada negocio), qué se lee, qué se descarta y cómo se puntúa. Se reparten así las obligaciones:

• Terral Studio: que la búsqueda cumpla la ley y las condiciones de Google; que sólo se lean datos publicados por el propio negocio, respetando su robots.txt y descartando correos personales; informar con carácter general en su política de privacidad; mantener el análisis de interés legítimo; y atender las peticiones de negocios que no quieren aparecer, retirándolos de todas las carteras y añadiéndolos a la lista de exclusión.
• El Cliente: tener una base jurídica para contactar con cada negocio; informarle conforme al artículo 14 RGPD en la primera comunicación y, como máximo, en un mes; respetar su oposición; y cumplir las normas sobre comunicaciones comerciales.
• Los interesados pueden ejercer sus derechos frente a cualquiera de los dos. El punto de contacto es contact@terral.studio, y cada parte trasladará a la otra en 5 días hábiles lo que le corresponda.

10. Tratamientos propios de Terral Studio

Lista de exclusión: de los negocios que piden no aparecer, Terral Studio guarda lo mínimo para reconocerlos —identificador de Google Maps, dominio, teléfono y, si lo dan, su correo cifrado de forma irreversible— para que no vuelvan a aparecer en ninguna cartera.

Aprendizaje agregado, sólo si el Cliente lo activa en Ajustes: al cerrar un negocio como interesado, cliente o descartado se cuenta qué señales de su web tenía, por tipo de producto. Los recuentos no contienen ningún identificador de negocios, personas ni cuentas. Activarlo es la autorización expresa del Cliente para ese uso, que puede retirar en cualquier momento sin perder ninguna función.

11. Responsabilidad del Cliente

El Cliente responde de tener base jurídica para contactar con los negocios, de informarles y de atender sus derechos. Cuando importa sus propios listados o introduce datos de personas de contacto, garantiza que puede tratarlos y comunicarlos a Terral Studio y que ha informado a los interesados; Terral Studio no verifica su origen.

12. Ley aplicable

Este anexo se rige por el RGPD, la Ley Orgánica 3/2018 y la ley española. Para cualquier controversia son competentes los juzgados y tribunales de Málaga.