Acuerdo de Procesamiento de Datos

1. Roles de las partes

El presente Acuerdo de Procesamiento de Datos establece los roles y responsabilidades de cada parte en relación con el tratamiento de datos personales dentro de la plataforma Reward Points.

2. Datos procesados

A continuación se detallan las categorías de datos personales que la plataforma procesa en nombre de la Organización suscriptora, es decir, aquellas en las que la Organización es Responsable y Red Plug Encargado:

La tarjeta digital que se instala en Apple Wallet o Google Wallet contiene únicamente el nombre de pila del titular, el saldo de puntos, el estado de la tarjeta y un identificador opaco; no incluye apellidos, correo electrónico, número de teléfono, domicilio ni datos de pago.

Red Plug no recopila ni procesa datos sensibles (datos de salud, biométricos, ideología, preferencias sexuales, origen étnico, etc.) a través de la plataforma Reward Points.

3. Obligaciones del Encargado

Red Plug, en su calidad de Encargado del Tratamiento, se compromete a cumplir las siguientes obligaciones:

• Procesar datos según instrucciones documentadas. Red Plug tratará los datos personales únicamente conforme a las instrucciones escritas de la Organización suscriptora y para las finalidades expresamente establecidas en el contrato de suscripción.
• Implementar medidas de seguridad técnicas y administrativas. En concreto: cifrado de las comunicaciones en tránsito mediante TLS; cifrado del número de teléfono a nivel de aplicación, con índice ciego para permitir su búsqueda sin descifrarlo; enmascaramiento del número de teléfono en todas las superficies de la Organización, de modo que su personal nunca visualiza el número completo; almacenamiento de contraseñas mediante función de derivación de clave (bcrypt); control de acceso basado en roles con aislamiento estricto entre organizaciones; verificación de titularidad del teléfono mediante código de un solo uso; protección antiabuso en los formularios públicos; y revisiones internas periódicas de configuración y accesos.
• Notificación de brechas de seguridad en 72 horas. En caso de incidente de seguridad que involucre datos personales, Red Plug notificará a la Organización suscriptora dentro de las 72 horas siguientes a tener conocimiento del incidente, proporcionando detalle de la naturaleza, alcance e impacto estimado.
• Asistencia en solicitudes de derechos ARCO. Cuando un titular presente ante Red Plug una solicitud de acceso, rectificación, cancelación u oposición relativa a datos tratados por cuenta de la Organización, Red Plug se abstendrá de resolverla y la trasladará a la Organización dentro de los 3 días hábiles siguientes a su recepción, informando al titular de dicho traslado. Asimismo, proporcionará a la Organización, dentro de los 5 días hábiles siguientes a su requerimiento, la información y los medios técnicos necesarios para atenderla, incluida la extracción, rectificación o supresión de los datos correspondientes.
• Devolución y eliminación de datos al concluir el servicio. Al finalizar la relación contractual, la Organización podrá solicitar una copia de los datos personales tratados por su cuenta —las categorías de la cláusula 2—, que Red Plug entregará en formato estructurado y de uso común dentro de los 15 días hábiles siguientes a la solicitud. La copia no incluye el número de teléfono ni el correo electrónico del cliente final, por la razón expuesta en esa misma cláusula: no son datos tratados por cuenta de la Organización. La Organización obtiene así todo aquello de lo que es Responsable —sus clientes por nombre, sus saldos y su historial— y puede migrarlo a otro proveedor. Red Plug suprimirá dichos datos dentro de los 30 días naturales siguientes a la solicitud de supresión de la Organización o, a falta de solicitud, transcurridos 90 días naturales desde la terminación, salvo que exista obligación legal de conservarlos. La suspensión del servicio por falta de pago o por cualquier otra causa no priva a la Organización del derecho a obtener esta copia.

La Organización suscriptora será notificada con al menos 15 días de anticipación antes de la incorporación de cualquier nuevo sub-encargado y tendrá derecho a objetar dicha incorporación.

4. Obligaciones del Responsable

La condición de Encargado de Red Plug presupone que la Organización suscriptora cumple, respecto de los datos personales de sus clientes, las obligaciones que la legislación impone al Responsable del tratamiento. En particular, la Organización suscriptora se obliga a:

• Contar con su propio Aviso de Privacidad y ponerlo a disposición de sus clientes, identificándose como Responsable del tratamiento de sus datos personales. El aviso que Red Plug publica describe su propia actuación y no sustituye al de la Organización.
• Obtener el consentimiento que resulte necesario y contar con base legítima para el tratamiento de los datos que recabe o incorpore a la plataforma, incluidos los que capture directamente en el establecimiento.
• Atender las solicitudes de derechos ARCO de sus clientes dentro de los plazos legales, incluidas las que Red Plug le traslade conforme a la cláusula 3.
• Verificar la mayoría de edad de las personas que inscriba en sus programas o, tratándose de menores, recabar el consentimiento de quien ejerza la patria potestad o tutela.
• No eludir el enmascaramiento de los datos de contacto. La Organización se abstendrá de recabar por medios ajenos a la plataforma el número de teléfono o el correo electrónico de un cliente final invocando su programa de lealtad como motivo, y de utilizar para comunicaciones comerciales cualquier dato de contacto que obtenga por esa vía. Nada le impide, por supuesto, tratar los datos que sus clientes le proporcionen directamente y por su propia cuenta, bajo su propio Aviso de Privacidad.
• Impartir instrucciones lícitas. Red Plug podrá abstenerse de ejecutar una instrucción que, a su juicio razonable, contravenga la legislación aplicable, informándolo a la Organización.

La Organización suscriptora mantendrá en paz y a salvo a Red Plug frente a cualquier reclamación, procedimiento o sanción que derive del incumplimiento de las obligaciones anteriores.

5. Vigencia