Esta es una traducción de la versión original en inglés, facilitada únicamente a efectos informativos. En caso de discrepancia entre esta traducción y la versión en inglés, prevalecerá la versión en inglés.
El presente Acuerdo de Tratamiento de Datos (el «Acuerdo») forma parte del Contrato de Servicios (el «Acuerdo Principal») entre
Viqal (Localpepper B.V.)
Barbara Strozzilaan 201
1083HN Ámsterdam
(el «Encargado del Tratamiento»)
y
[Nombre y dirección del Cliente]
(el «Responsable del Tratamiento»)
Conjuntamente, las «Partes».
CONSIDERANDO QUE
(A) El Cliente actúa como Responsable del Tratamiento.
(B) El Responsable del Tratamiento desea subcontratar determinados Servicios que implican el tratamiento de datos personales al Encargado del Tratamiento (Viqal).
(C) Las Partes desean implementar un acuerdo de tratamiento de datos que cumpla los requisitos del marco jurídico vigente en materia de tratamiento de datos y del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
(D) Las Partes desean establecer sus derechos y obligaciones.
SE ACUERDA LO SIGUIENTE:
1.1 Salvo que aquí se definan de otro modo, los términos y expresiones en mayúscula inicial utilizados en este Acuerdo tendrán el siguiente significado:
1.1.1 «Acuerdo» significa el presente Acuerdo de Tratamiento de Datos y todos sus Anexos.
1.1.2 «Subencargado» significa cualquier proveedor de servicios tercero designado por el Encargado del Tratamiento para asistir en el tratamiento de datos personales por cuenta del Responsable del Tratamiento.
1.1.3 «Datos Personales» significa cualquier información relativa a una persona física identificada o identificable cuando dicha información esté contenida en el contenido del Encargado del Tratamiento.
1.1.4 «Normativa de Protección de Datos» significa la Normativa de Protección de Datos de la UE y, en la medida en que resulte aplicable, la normativa de protección de datos o privacidad de cualquier otro país.
1.1.5 «EEE» significa el Espacio Económico Europeo.
1.1.6 «Normativa de Protección de Datos de la UE» significa la Directiva 95/46/CE de la UE, tal como haya sido transpuesta a la legislación nacional de cada Estado miembro y en su versión modificada, sustituida o derogada en cada momento, incluidos el RGPD y las normas que lo desarrollen o complementen.
1.1.7 «RGPD» significa el Reglamento General de Protección de Datos de la UE 2016/679.
1.1.8 «Transferencia de Datos» significa: (i) una transferencia de Datos Personales del Encargado del Tratamiento a un Subencargado; o (ii) una transferencia ulterior de Datos Personales de un Subencargado a otro Subencargado, o entre dos establecimientos de un mismo Subencargado, en cada caso cuando dicha transferencia estuviera prohibida por la Normativa de Protección de Datos.
1.1.9 «Servicios» significa los servicios de conserjería que presta Viqal.
1.1.10 «Violación» significa un tratamiento no autorizado o ilícito de Datos Personales, incluidos, entre otros, el acceso, la divulgación, la alteración o la destrucción no autorizados de Datos Personales, según se define en el artículo 4(12) del RGPD. No constituyen violación los errores, inexactitudes u omisiones en la prestación de los servicios o en las comunicaciones facilitadas por el conserje de IA del Encargado del Tratamiento, incluidos, entre otros, precios incorrectos, salvo que tales errores impliquen una violación de Datos Personales.
1.2 Los términos «Comisión», «Responsable», «Interesado», «Estado miembro», «Datos Personales», «Violación de la Seguridad de los Datos Personales», «Tratamiento» y «Autoridad de Control» tendrán el mismo significado que en el RGPD, y sus términos derivados se interpretarán en consecuencia.
2.1 El Encargado del Tratamiento deberá:
2.2 El Responsable del Tratamiento instruye al Encargado del Tratamiento para que trate Datos Personales.
2.3 El Encargado del Tratamiento no será responsable de inexactitudes, errores u omisiones en las respuestas generadas por el conserje de IA, salvo que tales errores constituyan una Violación según se define en la sección 1.1.10. En concreto:
El Encargado del Tratamiento adoptará medidas razonables para garantizar la fiabilidad de cualquier empleado, agente o contratista de cualquier Subencargado que pueda acceder a Datos Personales, asegurando en cada caso que el acceso se limite estrictamente a las personas que necesiten conocer o acceder a los Datos Personales pertinentes, en la medida estrictamente necesaria para los fines del Acuerdo Principal. El Encargado del Tratamiento garantizará que todas esas personas estén sujetas a compromisos de confidencialidad o a obligaciones profesionales o legales de confidencialidad.
4.1 Viqal gestiona las comunicaciones por chat entre nuestros clientes y sus huéspedes. Ello implica recopilar, tratar y almacenar datos de chat, que pueden incluir información personal facilitada por los huéspedes durante sus interacciones con nuestros servicios de conserjería virtual.
4.2 Tipos de información recopilada:
4.3 Finalidad de la recopilación de datos:
4.4 Conservación de datos: La conservación de los datos de chat se determinará conforme a las instrucciones documentadas del Responsable del Tratamiento o a las obligaciones legales aplicables. A falta de tales instrucciones, el Encargado del Tratamiento conservará los datos de chat durante un periodo por defecto de 12 meses desde la fecha de su recogida. Transcurrido el periodo de conservación, el Encargado del Tratamiento suprimirá los datos de forma segura, salvo que deba conservarlos en virtud de obligaciones legales aplicables.
4.5 Datos analíticos anonimizados: El Encargado del Tratamiento podrá conservar datos agregados y anonimizados derivados de las comunicaciones por chat con fines de analítica interna y mejora del servicio. Dichos datos no contendrán Datos Personales ni serán atribuibles a ningún Interesado individual.
4.6 Mensajes de marketing: El Encargado del Tratamiento facilita el tratamiento de mensajes de marketing conforme a las instrucciones documentadas del Responsable del Tratamiento. El Responsable del Tratamiento es el único responsable de obtener el consentimiento para fines de marketing y de garantizar el cumplimiento del RGPD.
4.7 Medidas de protección de datos:
4.8 Derechos de los huéspedes: El Encargado del Tratamiento asistirá al Responsable del Tratamiento en la atención de las solicitudes de derechos de los huéspedes en un plazo razonable, que no excederá de 30 días desde la instrucción documentada.
5.1 Copias de seguridad: Viqal realiza copias de seguridad automáticas periódicas con carácter diario, semanal y mensual para eliminar el riesgo de pérdida o corrupción de datos. Estas copias se verifican para garantizar la integridad de los datos. Periódicamente, las copias se depositan en almacenamiento en frío para protegerse frente a un punto único de fallo y facilitar la recuperación ante eventos catastróficos.
5.2 Recuperación: Viqal aplica un enfoque integral de recuperación ante desastres para mitigar posibles fallos e interrupciones. Ello incluye múltiples redundancias que permiten la recuperación inmediata del sistema y del servicio. Se mantiene un plan integral de recuperación ante desastres centrado en la continuidad del negocio, que define el Objetivo de Tiempo de Recuperación (RTO) y el Objetivo de Punto de Recuperación (RPO) para minimizar el impacto operativo. Se realizan simulacros de recuperación periódicos para garantizar la preparación ante escenarios reales.
5.3 Centros de datos: Viqal opera sobre Amazon Web Services (AWS) en Fráncfort, Alemania, que cumple altos estándares del sector para asegurar la disponibilidad, confidencialidad e integridad de sus datos.
5.4 Cifrado: Viqal emplea prácticas de cifrado robustas y normalizadas para proteger los datos en reposo y durante su transmisión. Los datos en reposo se cifran mediante metodologías criptográficas avanzadas como AES-256. Para la transmisión de datos se emplea cifrado SSL/TLS para proteger la información comunicada entre los usuarios y nuestros servidores. Se aplica un proceso de gestión de claves, con rotación periódica, para mantener altos estándares de seguridad.
5.5 Acceso: Viqal aplica un principio estricto de mínimo privilegio en el acceso a los sistemas. El acceso a datos sensibles se concede únicamente en función de la necesidad de conocer, y todos los registros de acceso se supervisan para detectar actividades anómalas. Se realizan auditorías periódicas de los controles de acceso y de los privilegios de usuario para garantizar la seguridad continua. Los permisos de acceso se revisan con regularidad y los privilegios obsoletos se revocan con prontitud.
6.1 El Encargado del Tratamiento ha designado a los siguientes subencargados para el tratamiento de Datos Personales:
6.2 El Encargado del Tratamiento no designará (ni comunicará Datos Personales a) ningún otro Subencargado sin el consentimiento previo por escrito del Responsable del Tratamiento.
6.3 Notificación de cambios de subencargados: El Encargado del Tratamiento notificará por escrito al Responsable del Tratamiento cualquier cambio previsto relativo a la incorporación o sustitución de subencargados. El Responsable del Tratamiento dispondrá de 10 días hábiles para plantear objeciones.
6.4 Derechos de auditoría sobre subencargados: Los derechos de auditoría previstos en este Acuerdo no se extienden a los Subencargados. No obstante, el Encargado del Tratamiento aportará pruebas suficientes del cumplimiento por parte de los Subencargados, tales como certificaciones o informes de auditoría, a fin de satisfacer las obligaciones del Responsable del Tratamiento conforme al RGPD. El Encargado del Tratamiento deberá:
7.1 Teniendo en cuenta la naturaleza del Tratamiento, el Encargado del Tratamiento asistirá al Responsable del Tratamiento mediante la aplicación de medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de las obligaciones del Responsable del Tratamiento, según las entienda razonablemente, de responder a las solicitudes de ejercicio de los derechos de los Interesados conforme a la Normativa de Protección de Datos.
7.2 El Encargado del Tratamiento deberá:
8.1 El Encargado del Tratamiento notificará al Responsable del Tratamiento cualquier Violación de la Seguridad de los Datos Personales sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que tenga conocimiento de ella.
8.2 La notificación incluirá detalles suficientes para que el Responsable del Tratamiento pueda cumplir sus obligaciones conforme al RGPD, incluidos:
8.3 La indemnización por daños derivados de una violación estará sujeta al límite agregado de responsabilidad definido en la sección 13, con independencia del número de Responsables del Tratamiento o Interesados afectados.
9.1 El Encargado del Tratamiento asistirá proactivamente al Responsable del Tratamiento en las Evaluaciones de Impacto relativas a la Protección de Datos (EIPD) cuando el RGPD así lo exija, incluyendo:
9.2 Cuando el Responsable del Tratamiento identifique una posible actividad de tratamiento de alto riesgo, lo notificará al Encargado del Tratamiento en un plazo de 5 días hábiles. Tras dicha notificación, el Encargado del Tratamiento asistirá en la realización de la EIPD mediante:
10.1 Con sujeción a esta sección 10, el Encargado del Tratamiento suprimirá, y procurará la supresión de todas las copias de dichos Datos Personales, sin dilación y, en todo caso, en un plazo de 10 días hábiles desde la fecha de cese de cualquier Servicio que implique el Tratamiento de Datos Personales (la «Fecha de Cese»).
10.2 Si la supresión inmediata de los Datos Personales no resulta viable debido a copias de seguridad u otras limitaciones técnicas, el Encargado del Tratamiento garantizará que los datos se archiven de forma segura y permanezcan inaccesibles hasta que la supresión sea posible.
11.1 El Encargado del Tratamiento pondrá a disposición del Responsable del Tratamiento, previa solicitud, toda la información necesaria para acreditar el cumplimiento de este Acuerdo y de la Normativa de Protección de Datos aplicable.
11.2 Alcance y frecuencia de las auditorías: El Encargado del Tratamiento acepta permitir auditorías iniciadas por el Responsable del Tratamiento:
Las auditorías incluirán:
Cuando resulte aplicable, podrán realizarse auditorías virtuales o compartirse pruebas (por ejemplo, mediante informes de certificación) para minimizar las interrupciones. En situaciones urgentes que impliquen violaciones o incumplimientos, el Responsable del Tratamiento podrá solicitar una auditoría acelerada, con un alcance y unas condiciones acordados previamente.
11.3 El Encargado del Tratamiento remitirá al Responsable del Tratamiento una certificación de cumplimiento o un informe de auditoría en un plazo de 30 días desde la finalización de la auditoría.
11.4 Limitaciones de auditoría sobre subencargados: Los derechos de auditoría previstos en este Acuerdo no se extienden a los Subencargados. No obstante, el Encargado del Tratamiento aportará pruebas suficientes, tales como certificaciones, informes de auditoría de terceros o documentación pertinente, para acreditar el cumplimiento del RGPD por parte de los Subencargados.
11.5 El Responsable del Tratamiento asumirá todos los costes asociados a las auditorías, salvo que se identifique un incumplimiento sustancial de este Acuerdo o de la Normativa de Protección de Datos aplicable.
11.6 El Encargado del Tratamiento podrá atender las solicitudes de auditoría aportando certificaciones pertinentes, informes de auditoría de terceros u otra documentación equivalente que acredite el cumplimiento.
12.1 El Encargado del Tratamiento no podrá transferir ni autorizar la transferencia de Datos a países fuera de la UE y/o del Espacio Económico Europeo (EEE) sin el consentimiento previo por escrito del Responsable del Tratamiento. Si los datos personales tratados en virtud de este Acuerdo se transfieren desde un país del Espacio Económico Europeo a un país fuera del mismo, las Partes garantizarán que dichos datos personales estén adecuadamente protegidos. A tal fin, las Partes se basarán, salvo acuerdo en contrario, en las cláusulas contractuales tipo aprobadas por la UE para la transferencia de datos personales.
12.2 Toda transferencia de Datos Personales a un Tercer País o a una organización internacional por parte del Encargado del Tratamiento se realizará únicamente sobre la base de instrucciones documentadas del Responsable del Tratamiento o para cumplir un requisito específico de la legislación local a la que esté sujeto el Encargado del Tratamiento, y se llevará a cabo conforme a la Normativa de Protección de Datos. El Encargado del Tratamiento podrá transferir Datos Personales a sus Subencargados ubicados en un Tercer País, con sujeción a los requisitos de notificación de la sección 6.
12.3 El Responsable del Tratamiento acepta que, cuando el Encargado del Tratamiento recurra a un Subencargado para realizar actividades de tratamiento específicas en virtud del Acuerdo y dichas actividades impliquen una transferencia de Datos Personales a un Tercer País, el Encargado del Tratamiento y el Subencargado podrán garantizar el cumplimiento de la Normativa de Protección de Datos mediante el uso de las Cláusulas Contractuales Tipo (CCT) y, cuando proceda, del Adenda de Transferencia Internacional de Datos del Reino Unido, siempre que se cumplan las condiciones para su utilización.
12.4 El Encargado del Tratamiento garantizará que toda transferencia de Datos Personales desde el Reino Unido a un Tercer País cumpla la normativa británica de protección de datos, incluidos, entre otros, el RGPD del Reino Unido y la Data Protection Act 2018. Ello podrá incluir el uso del Adenda del Reino Unido a las CCT u otras salvaguardas adecuadas permitidas por dicha normativa.
12.5 Para las transferencias de Datos Personales desde el Espacio Económico Europeo (EEE) a los Estados Unidos, Sudamérica u otras regiones fuera del EEE, el Encargado del Tratamiento garantizará el cumplimiento de la Normativa de Protección de Datos de la UE mediante la aplicación de:
12.6 Responsabilidad de los subencargados en cuanto al cumplimiento del RGPD: El Encargado del Tratamiento garantizará que toda transferencia de Datos Personales a un Subencargado cumpla los requisitos del RGPD, incluido el uso de salvaguardas adecuadas como las Cláusulas Contractuales Tipo (CCT) u otros mecanismos lícitos para transferencias internacionales. El Encargado del Tratamiento garantizará que los Subencargados se comprometan por escrito a:
El Encargado del Tratamiento no será responsable de las violaciones causadas por Subencargados, siempre que haya actuado con la diligencia razonable en su selección y supervisión para asegurar su cumplimiento del RGPD.
12.7 Cualquier reclamación de indemnización relacionada con violaciones que impliquen a Subencargados seguirá sujeta al límite agregado de responsabilidad previsto en la sección 13.
12.8 El Encargado del Tratamiento notificará sin dilación al Responsable del Tratamiento si tiene conocimiento de cambios en la Normativa de Protección de Datos que puedan afectar a la licitud de las transferencias internacionales de datos en virtud de este Acuerdo, y colaborará con el Responsable del Tratamiento para aplicar las medidas adecuadas.
12.9 El Encargado del Tratamiento garantizará que toda transferencia de Datos Personales a un Tercer País o a una organización internacional, incluidos, entre otros, los Estados Unidos y Sudamérica, esté sujeta a salvaguardas adecuadas, tales como el uso de Cláusulas Contractuales Tipo, normas corporativas vinculantes, mecanismos de certificación u otros instrumentos legalmente reconocidos para transferencias internacionales de datos.
13.1 La responsabilidad total del Encargado del Tratamiento en virtud de este Acuerdo, ya sea contractual, extracontractual o de otro tipo, se limitará a 10.000 € de forma agregada para todas las reclamaciones derivadas de una única violación o de un conjunto de violaciones relacionadas, con independencia del número de reclamaciones, reclamantes o partes afectadas, incluidos grupos hoteleros, hoteles individuales o interesados.
13.2 La responsabilidad total del Encargado del Tratamiento por todas las reclamaciones en virtud de este Acuerdo en cualquier periodo de 12 meses no excederá de 10.000 € de forma agregada.
13.3 El Encargado del Tratamiento no será responsable de las violaciones o daños causados por Subencargados, siempre que haya actuado con la diligencia razonable en su selección y supervisión para asegurar el cumplimiento del RGPD.
13.4 El límite de responsabilidad previsto en este Acuerdo no se aplicará en casos de negligencia grave o dolo del Encargado del Tratamiento.
13.5 El Encargado del Tratamiento no será responsable de:
13.6 La indemnización por daños derivados de una violación solo se aplicará a las violaciones definidas en la sección 1.1.10 y seguirá sujeta al límite agregado de responsabilidad previsto en la sección 13.1.
14.1 El Encargado del Tratamiento únicamente tratará Datos Personales sobre las siguientes bases jurídicas, conforme al artículo 6 del RGPD:
14.2 El Responsable del Tratamiento es responsable de garantizar que exista una base jurídica válida para cada actividad de tratamiento en virtud de este Acuerdo y de facilitar al Encargado del Tratamiento las instrucciones documentadas correspondientes.
14.3 El Encargado del Tratamiento no será responsable de verificar la validez de la base jurídica facilitada por el Responsable del Tratamiento, pero garantizará que todas las actividades de tratamiento se ajusten a las instrucciones recibidas.
15.1 Confidencialidad: Cada Parte deberá mantener la confidencialidad de este Acuerdo y de la información que reciba sobre la otra Parte y su negocio en relación con el mismo (la «Información Confidencial») y no podrá utilizarla ni divulgarla sin el consentimiento previo por escrito de la otra Parte, salvo en la medida en que:
15.2 Notificaciones: Todas las notificaciones y comunicaciones realizadas en virtud de este Acuerdo deberán constar por escrito y se entregarán en persona, por correo postal o por correo electrónico a la dirección indicada en el encabezamiento de este Acuerdo.
16.1 Este Acuerdo se rige por la legislación de los Países Bajos.
16.2 Toda controversia que surja en relación con este Acuerdo y que las Partes no puedan resolver amistosamente se someterá a la jurisdicción exclusiva de los tribunales de Ámsterdam, Países Bajos, sin perjuicio del posible recurso ante tribunales superiores.
16.3 Para controversias transfronterizas en las que los tribunales de los Países Bajos no tengan jurisdicción, las Partes acuerdan resolver la controversia mediante arbitraje conforme al reglamento de la Cámara de Comercio Internacional (CCI). El arbitraje se sustanciará en inglés y su sede será Ámsterdam, Países Bajos.
16.4 El procedimiento arbitral se iniciará en un plazo de 30 días desde la declaración de la controversia y se resolverá en un plazo de 90 días, salvo acuerdo en contrario de las Partes.
16.5 Los árbitros se designarán conforme al reglamento de la Cámara de Comercio Internacional (CCI).
17.1 Los Servicios incluyen un sistema de comunicación basado en inteligencia artificial (el «AI Operator») que interactúa directamente con los huéspedes del Responsable del Tratamiento. Las Partes reconocen que el AI Operator queda comprendido en el ámbito del Reglamento (UE) 2024/1689 (el «Reglamento de IA de la UE»), concretamente como sistema de IA destinado a interactuar con personas físicas conforme al artículo 50.
17.2 Obligaciones del proveedor. Como proveedor del AI Operator, el Encargado del Tratamiento deberá:
17.3 Obligaciones del responsable del despliegue. Como responsable del despliegue del AI Operator en sus establecimientos, el Responsable del Tratamiento deberá:
17.4 Ausencia de elaboración de perfiles y de decisiones automatizadas con efectos jurídicos. El AI Operator no adopta decisiones automatizadas que produzcan efectos jurídicos o similarmente significativos sobre los huéspedes en el sentido del artículo 22 del RGPD.
17.5 Supervisión humana. El AI Operator está configurado para escalar las interacciones con huéspedes al personal humano del Responsable del Tratamiento cuando su nivel de confianza descienda por debajo de un umbral definido, garantizando la supervisión humana conforme al artículo 14 del Reglamento de IA de la UE cuando resulte aplicable.
17.6 Datos de entrenamiento. Los Datos Personales tratados a través del AI Operator no se utilizan para entrenar, ajustar ni mejorar de otro modo los modelos de IA subyacentes del Encargado del Tratamiento ni de sus subencargados de IA. Esta obligación se exige contractualmente al subencargado de IA.
Para cualquier consulta o cuestión relativa al tratamiento de la información personal en las comunicaciones por chat, los huéspedes o nuestros clientes pueden escribirnos a customer-service@viqal.com.
-min.avif)
