Última actualización: 2025-01-19
Acuerdo de Procesamiento de Datos según Art. 28 RGPD
A efectos del presente Acuerdo de Procesamiento de Datos (en adelante, "el Acuerdo"), se entenderá por:
El presente Acuerdo establece las condiciones bajo las cuales Itineramio (Encargado del Tratamiento) tratará datos personales por cuenta del Cliente (Responsable del Tratamiento) en el marco de la prestación del servicio de manuales digitales para alojamientos turísticos.
Este DPA complementa y forma parte integral de:
En caso de conflicto entre este DPA y otros documentos, prevalecerán las disposiciones de este DPA en lo relativo al tratamiento de datos personales.
El Encargado tratará los datos personales exclusivamente para las siguientes finalidades:
Operaciones de tratamiento:
Recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación por transmisión, difusión (a huéspedes con acceso autorizado), limitación, supresión y destrucción de datos.
El Encargado se compromete a:
Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluso en lo relativo a transferencias de datos a terceros países u organizaciones internacionales, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros.
Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
Aplicar todas las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo cifrado, seudonimización cuando proceda, confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas de tratamiento.
Asistir al Responsable en la medida de lo posible para que este pueda cumplir con sus obligaciones de responder a las solicitudes de ejercicio de derechos de los interesados: acceso, rectificación, supresión, oposición, limitación, portabilidad.
Ayudar al Responsable a garantizar el cumplimiento de las obligaciones relativas a evaluaciones de impacto en la protección de datos y consultas previas a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
Suprimir o devolver todos los datos personales al Responsable una vez finalice la prestación de servicios de tratamiento, y suprimir las copias existentes, salvo que se requiera la conservación de los datos en virtud del Derecho de la Unión o de los Estados miembros.
Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD, así como permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por dicho Responsable.
El Encargado puede contratar a otros Encargados (Subencargados) para realizar actividades de tratamiento específicas. El Responsable autoriza al Encargado a contratar los siguientes Subencargados:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Supabase Inc. | Almacenamiento de base de datos | UE (Estocolmo) |
| Stripe Inc. | Procesamiento de pagos | EEE / USA (DPF) |
| Resend Inc. | Envío de emails transaccionales | USA (DPF) |
| Vercel Inc. | Hosting e infraestructura | Global (UE prioritaria) |
El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de Subencargados con al menos 30 días de antelación, dando al Responsable la oportunidad de oponerse a dichos cambios por motivos legítimos relacionados con la protección de datos.
El Encargado implementa las siguientes medidas técnicas y organizativas para garantizar la seguridad de los datos personales:
Certificaciones: Nuestros proveedores de infraestructura (Supabase, Vercel, Stripe) cuentan con certificaciones SOC 2 Type II, ISO 27001 y PCI DSS (Stripe). Revisamos anualmente estas certificaciones para garantizar el cumplimiento continuo.
Los datos personales se almacenan principalmente en la Unión Europea (región eu-north-1 de Supabase en Estocolmo).
Para algunos servicios complementarios, puede ser necesario transferir datos a terceros países:
Base legal: Decisión de adecuación - Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework)
Stripe está certificado bajo el EU-US Data Privacy Framework, reconocido por la Comisión Europea como garantía adecuada de protección de datos.
Base legal: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea
Hemos firmado las SCC estándar aprobadas por la Comisión Europea con Resend para garantizar un nivel adecuado de protección de datos.
El Cliente puede solicitar una copia de las garantías implementadas para transferencias internacionales contactando con legal@itineramio.com.
El Encargado asistirá al Responsable en el ejercicio de los derechos de los interesados:
Para facilitar el cumplimiento, el Encargado proporciona al Responsable herramientas de autoservicio para:
En caso de violación de la seguridad de los datos personales, el Encargado seguirá el siguiente protocolo:
El Encargado notificará al Responsable sin dilación indebida y, a más tardar, en las 24 horas siguientes a tener conocimiento de la violación de seguridad.
La notificación incluirá, como mínimo:
El Encargado cooperará plenamente con el Responsable y proporcionará toda la asistencia necesaria para que este pueda cumplir con su obligación de notificar la violación a la autoridad de control (AEPD) en el plazo de 72 horas, y a los interesados cuando proceda.
El Responsable tiene derecho a auditar el cumplimiento de este DPA por parte del Encargado.
El Encargado proporcionará al Responsable, previa solicitud y con periodicidad anual:
El Responsable puede solicitar una auditoría in situ con las siguientes condiciones:
Dado que el Encargado utiliza servicios en la nube, el acceso físico a servidores no es aplicable. Las auditorías se centrarán en controles lógicos, políticas y procedimientos.
Este DPA entrará en vigor en la fecha de aceptación de los Términos y Condiciones por parte del Cliente y permanecerá vigente mientras el Encargado preste servicios que impliquen el tratamiento de datos personales.
Una vez finalizada la prestación de servicios de tratamiento, el Encargado:
A petición del Responsable, el Encargado devolverá todos los datos personales en formato estructurado (JSON/CSV) dentro de los 30 días siguientes a la finalización del contrato.
Si el Responsable no solicita la devolución:
No obstante lo anterior, el Encargado podrá conservar los datos personales en la medida y durante el tiempo que sea necesario para cumplir con obligaciones legales (ej: conservación de facturas durante 6 años según el Código de Comercio), siempre limitando el acceso a los mismos.
Para cualquier consulta relacionada con este Data Processing Agreement, puede contactarnos en:
Encargado del Tratamiento: Itineramio
Delegado de Protección de Datos: legal@itineramio.com
Email de contacto: legal@itineramio.com
Dirección: Calle Ejemplo, 123, Madrid, España
Otras políticas legales: