Borrador pendiente de revisión legal. Los datos marcados aún no están completos.

Contrato de encargo del tratamiento

Anexo a los términos de Joyly, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). El negocio lo acepta al crear su cuenta, y queda guardado quién lo aceptó, cuándo y qué versión.

1. Partes

Responsable del tratamiento: el negocio que se da de alta en Joyly. Encargado del tratamiento: [NOMBRE Y APELLIDOS DEL TITULAR], NIF [NIF], con domicilio en [DOMICILIO] y email [EMAIL DE CONTACTO] («Joyly»).

2. Objeto, datos y personas afectadas

Joyly trata, por cuenta del negocio, los datos de los clientes que se apuntan a su tarjeta de fidelización: nombre, email o teléfono si lo dan, sellos, visitas, premios canjeados y sus consentimientos. También los nombres de los empleados que el negocio invita. Finalidad: gestionar la tarjeta de fidelización del negocio y, cuando el negocio lo use, el envío de sus promociones. No se tratan categorías especiales de datos.

3. Instrucciones del negocio

Joyly solo trata los datos siguiendo las instrucciones del negocio, que son este contrato y lo que el negocio hace en la app. No los usa para nada propio, no los vende ni los cede. Si Joyly cree que una instrucción va contra la ley, avisa al negocio.

4. Obligaciones de Joyly

• Mantener los datos en secreto, también después de terminar el contrato. Quien acceda a ellos se compromete a lo mismo.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD): conexiones cifradas, acceso solo con cuenta y contraseña, límite de intentos, cada negocio solo ve sus datos, los empleados solo pueden sellar y los códigos de las tarjetas no se pueden adivinar.
• Ayudar al negocio a atender a sus clientes cuando pidan ver, corregir, borrar u oponerse al uso de sus datos, y avisarle si alguien se dirige a Joyly con una de estas peticiones.
• Avisar al negocio sin dilación indebida, y como mucho en 48 horas desde que lo sepa, de cualquier brecha de seguridad que afecte a sus datos, con la información disponible, para que el negocio pueda avisar a la Agencia Española de Protección de Datos en el plazo de 72 horas si hace falta.
• Ayudar al negocio, si lo necesita, con las evaluaciones de impacto y las consultas a la autoridad.
• Dar al negocio la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, avisando con antelación.

5. Subencargados

El negocio autoriza a Joyly a usar estos proveedores, que firman con Joyly las mismas obligaciones:

• Supabase: base de datos y cuentas de acceso. Los datos se guardan en Irlanda (Unión Europea). Cualquier acceso desde fuera de la Unión Europea está cubierto por las cláusulas contractuales tipo de la Comisión Europea.
• Vercel Inc.: servidores de la web y de la app, en Dublín (Irlanda). Es una empresa de Estados Unidos adherida al Marco de Privacidad de Datos UE-EE. UU., y además firma cláusulas contractuales tipo.

Joyly avisará al negocio con al menos 15 días de antelación antes de añadir o cambiar un subencargado. Si el negocio no está de acuerdo, puede oponerse o darse de baja sin coste.

6. Obligaciones del negocio

El negocio decide para qué se usan los datos de sus clientes, les informa con la política de privacidad que Joyly le prepara con sus datos, atiende sus peticiones y solo envía promociones cuando la ley lo permite.

7. Duración y fin del contrato

Mientras el negocio use Joyly. Al darse de baja, el negocio puede descargar la lista de sus clientes, y Joyly borra todos sus datos en un plazo de 30 días, salvo los que la ley obligue a conservar.