Este Contrato de encargo ("DPA") forma parte integral de los Términos de servicio de Salonnare y se aplica automáticamente al crear una cuenta e introducir datos personales de clientes finales del salón en el Servicio. No se requiere firma separada - para una versión PDF firmada, escribe a [email protected].
Partes: (1) el cliente que ha contratado una suscripción Salonnare (el "Responsable"), y (2) VanIersel Development (operando como Salonnare), con sede en Waalwijk, Países Bajos, [email protected] (el "Encargado").
Este DPA implementa el artículo 28(3) RGPD y las obligaciones entre responsable y encargado.
El Encargado trata datos personales exclusivamente en nombre y según instrucciones documentadas del Responsable, en el marco del Servicio Salonnare.
Este DPA aplica durante la vigencia de la suscripción subyacente y finaliza automáticamente con esta, sujeto a la sección 10.
Naturaleza: almacenamiento, visualización, estructuración, consulta, transmisión (e-mail/WhatsApp), supresión y copias de seguridad de datos en un entorno SaaS multi-tenant.
Finalidad: ofrecer las funcionalidades Salonnare (agenda, POS, facturación, campañas, notificaciones, informes, fichas de cliente) según las instrucciones por la interfaz o canales de soporte.
El Encargado no trata datos para fines propios o de terceros salvo para prestar el Servicio, investigación de producto anónima/agregada u obligaciones legales.
Interesados: clientes finales del salón; empleados/estilistas; proveedores y contactos que el Responsable registra.
Categorías: datos de contacto, identificadores (número de cliente), historial de citas, servicios, facturas, pagos, notas, fotos, preferencias, saldos de tarjetas regalo/fidelidad, comunicaciones e-mail/WhatsApp, reseñas.
Las categorías especiales (art. 9 RGPD) - como las notas de salud (alergias, medicación, afecciones cutáneas, embarazo) - se almacenan en una bóveda cifrada dedicada, separada de las notas de cliente ordinarias. El Encargado aplica para ello las siguientes salvaguardas adicionales:
• Cifrado por sobre AES-256-GCM con una clave de datos por inquilino, envuelta en reposo con una clave maestra de plataforma.
• La clave maestra se conserva exclusivamente en variables de entorno, separada de las copias de seguridad de la base de datos; su pérdida hace ilegibles de forma permanente todos los datos de la bóveda.
• Control de acceso basado en roles mediante una marca de autorización específica (can_view_health_notes), auditable por pertenencia; los administradores no se autorizan automáticamente.
• Registro de acceso inmutable: cada lectura, escritura, descarga y eliminación queda registrada con actor, dirección IP y marca de tiempo, conservada durante 24 meses.
• Retención por defecto de 12 meses + 30 días de periodo de gracia, configurable por nota por el Responsable.
• La suplantación de plataforma está bloqueada técnicamente en las rutas de datos de salud (defensa en profundidad).
El Responsable sigue siendo el encargado de establecer y documentar la base legal adecuada conforme al artículo 9, apartado 2, del RGPD (normalmente consentimiento explícito o intereses vitales). El Encargado proporciona la funcionalidad técnica para registrar, demostrar y retirar dicho consentimiento mediante un registro de eventos de consentimiento independiente. Consulte el runbook "art9-health-data-vault" para los detalles técnicos.
El Encargado trata datos solo bajo instrucciones documentadas del Responsable, salvo obligación legal. En ese caso informa al Responsable antes del tratamiento, salvo prohibición legal.
Si una instrucción parece infringir el RGPD u otra norma de la UE o de un Estado miembro, informa sin demora al Responsable.
El Encargado garantiza que las personas autorizadas se han comprometido por escrito a la confidencialidad o están sujetas a obligación legal.
El acceso a datos de producción se limita al fundador de VanIersel Development y a personas expresamente autorizadas bajo 2FA.
El Responsable otorga autorización general escrita para contratar sub-encargados. La lista actualizada está en salonnare.com/sub-processors e incorporada por referencia.
El Encargado anuncia con al menos 30 días de antelación cualquier alta o sustitución. El Responsable puede oponerse motivadamente en ese plazo. Si la oposición no puede resolverse razonablemente, puede rescindir la suscripción sin preaviso para la parte afectada.
El Encargado impone a cada sub-encargado obligaciones al menos equivalentes a este DPA mediante contrato escrito. Sigue siendo plenamente responsable del cumplimiento por sus sub-encargados.
Medidas técnicas y organizativas: TLS 1.3, AES-256 en reposo, HSTS preload, aislamiento tenant a nivel de base de datos, acceso a producción con privilegios mínimos y 2FA, registros de auditoría, rate limiting y detección de anomalías, actualizaciones regulares.
Medidas evaluadas periódicamente y ajustadas al estado del arte / perfil de riesgo.
El Encargado presta asistencia razonable para atender solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición) mediante medidas adecuadas, incluidas exportaciones self-service en la app (JSON/CSV) y endpoints API.
Las solicitudes recibidas directamente por el Encargado se remiten sin tratar al Responsable, salvo obligación legal de tramitarlas.
A petición, el Encargado asiste en EIPD y consulta previa (arts. 35-36 RGPD), mediante compensación razonable por costes reales en procesos extensos.
El Encargado notificará al Responsable sin demora indebida, y en todo caso en 48 horas tras descubrimiento, toda violación en el sentido del art. 33 RGPD.
La notificación incluye al menos: naturaleza, categorías y número aproximado de afectados, persona de contacto, consecuencias probables y medidas adoptadas/propuestas.
El Responsable sigue siendo responsable de la notificación a la Autoridad neerlandesa y, en su caso, a los interesados (arts. 33-34 RGPD). El Encargado presta asistencia razonable.
A la terminación del acuerdo subyacente, el Responsable dispone de 30 días para descargar todos los datos personales mediante la exportación self-service (JSON/CSV) o API.
Después el Encargado elimina todos los datos de los sistemas de producción. Las copias de seguridad se depuran en la rotación estándar de 30 días. Los datos que deban conservarse por ley (p. ej. facturación art. 52 AWR - 7 años) se mantienen ese plazo y luego se destruyen.
A solicitud razonable, el Encargado pone a disposición la información necesaria para acreditar el cumplimiento, incluidas políticas de seguridad y el último informe de pentest (bajo NDA).
El Responsable puede, como máximo una vez cada 12 meses y a su coste, contratar un auditor independiente. Auditorías anunciadas con 30 días de antelación, planificadas de mutuo acuerdo, sin perturbar el servicio. Resultados confidenciales.
Sin transferencias fuera de la UE/EEE sin garantías adecuadas (CCT, certificación bajo EU-US Data Privacy Framework u otro mecanismo del capítulo V RGPD).
Las garantías actuales por sub-encargado figuran en salonnare.com/sub-processors.
La responsabilidad bajo este DPA está sujeta a las limitaciones de los Términos de servicio (salonnare.com/terms - sección 12).
Nada en este DPA limita las obligaciones del art. 82 RGPD; las partes siguen siendo plenamente responsables ante los interesados y las autoridades.
Este DPA se rige por el derecho neerlandés. Las controversias se someten al tribunal competente de Breda, salvo ley imperativa.
