Contrato de encargo del tratamiento

El encargado trata los datos personales necesarios para prestar el servicio de Vértice CRM descrito en los Términos del servicio, mientras estos estén en vigor. Al terminar, se aplica el apartado 9.

• Personas: empresas y profesionales clientes del responsable (y sus contactos), particulares que piden presupuesto y el propio equipo del responsable.
• Datos: identificativos y de contacto, conversaciones de WhatsApp, datos de la solicitud (servicio, zona, presupuesto), consentimientos, datos de facturación y de pago (sin números de tarjeta, que guarda Stripe) y registros de actividad del equipo.
• No se tratan categorías especiales de datos. El responsable no debe introducirlas.

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable (su uso del programa y su configuración).
• No usarlos para fines propios ni cederlos, salvo obligación legal.
• Garantizar la confidencialidad de las personas autorizadas a tratarlos.
• Aplicar las medidas de seguridad del apartado 5.
• Ayudar al responsable a atender los derechos de las personas y a cumplir sus obligaciones (seguridad, brechas, evaluaciones de impacto).
• Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso.

• Tener base legal para los datos que introduce e informar a las personas afectadas.
• Configurar el programa conforme a la ley (permisos de su equipo, consentimientos, plazos de conservación).
• Cumplir las normas de WhatsApp Business y de Meta en sus comunicaciones.

• Cifrado en tránsito (HTTPS) y en reposo de la base de datos; claves y tokens guardados como secretos, nunca en el código.
• Separación de los datos de cada organización y permisos por rol aplicados en la propia base de datos.
• Verificación en dos pasos opcional, registro de actividad y justificantes de compra inalterables.
• Copias de seguridad diarias del proveedor de base de datos y pruebas automáticas antes de cada cambio.

El responsable autoriza al encargado a contar con estos proveedores, que tratan datos solo para prestar el servicio y con obligaciones equivalentes a las de este contrato. Si se añade o cambia alguno, se avisará con 30 días de antelación y el responsable podrá oponerse dándose de baja.

Si el responsable conecta sus propias cuentas (WhatsApp, Stripe, Brevo), esos proveedores tratan los datos por cuenta del responsable con sus propias condiciones.

Cuando un subencargado trata datos fuera del Espacio Económico Europeo, se hace con las garantías del RGPD: decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la Comisión Europea.

El encargado avisará al responsable sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga constancia, de cualquier brecha que afecte a sus datos, con la información disponible para que pueda notificarla si procede.

Al terminar el servicio, el encargado entregará los datos al responsable si lo pide (en un formato de uso común) y los borrará en un máximo de 30 días, salvo los que deba conservar por ley (por ejemplo, facturas), que guardará bloqueados.

Para cualquier cuestión de protección de datos: info@gruposolaso.com.