Acuerdo de Tratamiento de Datos (DPA)

1. Objeto del encargo

Tratar por cuenta del Responsable los datos personales de sus clientes finales recogidos a través del kiosko (puntuaciones, comentarios, email opcional) para los fines del servicio CSAT.

2. Duración

El DPA estará vigente mientras dure la prestación del servicio. A su finalización, el Encargado devolverá o suprimirá los datos en un plazo máximo de 30 días.

3. Naturaleza y categorías

• Tipos de datos: identificativos (email opcional), valoraciones, comentarios.
• Interesados: clientes finales del Responsable.

4. Obligaciones del Encargado

• Tratar los datos siguiendo las instrucciones documentadas del Responsable.
• Garantizar confidencialidad del personal autorizado.
• Aplicar medidas técnicas y organizativas (cifrado en tránsito, RLS, control de acceso, auditoría).
• Asistir al Responsable en el ejercicio de derechos de los interesados.
• Notificar brechas de seguridad en un plazo máximo de 72 horas.
• No subcontratar sin autorización previa.

5. Subencargados autorizados

• Supabase (alojamiento de base de datos, EU).
• Cloudflare (CDN y workers).
• Proveedor de email transaccional (a designar).

6. Transferencias internacionales

Las transferencias fuera del EEE se realizarán con Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

7. Auditoría

El Responsable puede solicitar evidencias del cumplimiento una vez al año, con preaviso de 15 días.

8. Aceptación

La contratación del servicio implica la aceptación de este DPA. Si necesitas una versión firmada, escríbenos a legal@puntuar.app.