Contrato de encargo del tratamiento

1. Partes y objeto

Este contrato regula el tratamiento de datos personales que Tripticode S.L. (NIF B05654819, C/ Jucar 36B, 41012 Sevilla, España), titular de Keyio (el “Encargado”), realiza por cuenta del cliente titular de la cuenta de Keyio (el “Responsable”), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD).

Forma parte integrante de los Términos y Condiciones y se acepta con ellos. Para los datos de su propia cuenta (nombre, email, facturación), Keyio actúa como responsable, según la Política de Privacidad.

2. Naturaleza, finalidad y duración

El Encargado trata los datos exclusivamente para prestar el servicio Keyio contratado: almacenamiento, organización, consulta, envío a las autoridades cuando el Responsable lo ordena (p. ej. SES.HOSPEDAJES, Mossos d'Esquadra o la Ertzaintza), comunicación con los interesados por email o WhatsApp, generación de documentos y, si el Responsable lo activa, extracción automática de datos de documentos de identidad.

Registro de viajeros en el País Vasco: si el Responsable da de alta a Tripticode S.L. como usuario de su establecimiento ante la Ertzaintza, el Encargado firma con su propio certificado electrónico y envía al servicio web de la Ertzaintza las comunicaciones de reservas y partes de viajeros que el Responsable ordene desde la aplicación. La Ertzaintza las recibe como autoridad destinataria, no como subencargado. El Encargado conserva un registro de cada envío (fecha, tipo y respuesta de la Ertzaintza, sin los datos de los huéspedes) durante tres años, y el Responsable puede retirar la autorización en cualquier momento ante la propia Ertzaintza.

El tratamiento dura mientras esté vigente la cuenta del Responsable, y hasta la supresión o devolución de los datos prevista en la cláusula 9.

3. Categorías de interesados y de datos

• Huéspedes y acompañantes (registro de viajeros, RD 933/2021): identificación, tipo y número de documento, imagen del documento si se usa el escaneo, nacionalidad, fecha de nacimiento, sexo, domicilio, contacto, parentesco, datos de la estancia y del pago.
• Inquilinos y candidatos de alquiler: identificación, contacto, datos del contrato, pagos y documentación aportada.
• Compradores e interesados en la compra de un inmueble: identificación, contacto, visitas, ofertas y señal o arras entregadas.
• Partícipes que aportan capital a una operación de compra-venta: identificación, contacto, cuenta bancaria, capital aportado, retribución pactada y liquidación.
• Contactos externos (personal de limpieza, mantenimiento), copropietarios y firmantes: identificación, contacto y, en firmas, IP y agente de usuario.

El Responsable no debe introducir categorías especiales de datos (art. 9 RGPD) salvo que la ley lo exija; los campos de texto libre no están pensados para ello.

4. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable —que son este contrato, los Términos y la configuración que el Responsable realiza en la aplicación—, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso se lo informará previamente si la ley no lo prohíbe. Si considera que una instrucción infringe la normativa, lo comunicará de inmediato.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 5.
• Recurrir a subencargados solo en los términos de la cláusula 6.
• Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, en la atención de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado se dirige al Encargado, se lo trasladará al Responsable sin demora.
• Ayudar al Responsable a cumplir las obligaciones de los artículos 32 a 36 RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa), teniendo en cuenta la información a su disposición.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías conforme a la cláusula 8.

5. Medidas de seguridad

El Encargado aplica las medidas del artículo 32 RGPD descritas en la página de Seguridad y en la Política de Privacidad, entre ellas: cifrado en tránsito (TLS) y cifrado a nivel de campo (AES-256-GCM) de documentos de identidad, fechas de nacimiento, domicilios, teléfonos, emails de terceros y credenciales; alojamiento de la base de datos en la Unión Europea; control de acceso por roles; limitación de peticiones y protección antiabuso en los formularios públicos; registro de eventos de seguridad; y copias de seguridad diarias.

6. Subencargados

El Responsable otorga una autorización general para que el Encargado recurra a los siguientes subencargados, a los que impone por contrato obligaciones de protección de datos equivalentes a las de este contrato:

• Google Cloud / Firebase (Google Ireland Ltd.): alojamiento, base de datos, autenticación y almacenamiento de ficheros — Unión Europea (Madrid y Países Bajos).
• Anthropic Ireland, Limited (modelos Claude), a través de Vercel Inc. (AI Gateway): extracción de datos de documentos e IA, solo si el Responsable usa esas funciones. Los datos no se usan para entrenar modelos.
• Resend: envío de correos electrónicos transaccionales.
• Twilio: envío de mensajes de WhatsApp, solo si el Responsable usa esa función.
• Google reCAPTCHA: protección antiabuso de formularios públicos.

El Encargado informará al Responsable, por email o mediante aviso en la aplicación, de cualquier alta o sustitución de subencargados con al menos 30 días de antelación. El Responsable podrá oponerse por motivos razonables relativos a la protección de datos escribiendo a info@gokeyio.com; si no se alcanza una solución, podrá resolver el contrato sin penalización.

7. Transferencias internacionales

Algunos subencargados (Anthropic y Vercel para la IA, Google para reCAPTCHA, Resend, Twilio) pueden tratar datos fuera del Espacio Económico Europeo. En esos casos, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas) o en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

8. Violaciones de seguridad y auditorías

El Encargado notificará al Responsable, sin dilación indebida y a más tardar en 48 horas desde que tenga conocimiento, las violaciones de seguridad que afecten a los datos tratados por su cuenta, con la información disponible para que el Responsable pueda cumplir los artículos 33 y 34 RGPD.

El Responsable puede solicitar a info@gokeyio.com la información necesaria para verificar el cumplimiento. Si esa información no fuera suficiente, podrá realizar, por sí o a través de un auditor sujeto a confidencialidad, una auditoría al año con un preaviso de 30 días, en horario laboral y sin afectar a la seguridad de otros clientes; los costes serán a su cargo.

9. Fin del tratamiento

Mientras la cuenta esté activa, el Responsable puede exportar sus datos desde la configuración de la cuenta y suprimir registros concretos o la cuenta completa.

Al terminar la prestación del servicio, a elección del Responsable, el Encargado devolverá (mediante la exportación) o suprimirá los datos personales. La supresión de la cuenta elimina los datos de los sistemas activos de forma inmediata; las copias de seguridad se sobrescriben en su ciclo ordinario (7 días). Se exceptúan los datos que deban conservarse por obligación legal, que se mantendrán bloqueados durante el plazo exigido.

10. Obligaciones del Responsable

El Responsable garantiza que dispone de base jurídica para el tratamiento y para comunicar los datos al Encargado, que ha informado a los interesados conforme a los artículos 13 y 14 RGPD, y que las instrucciones que da son conformes con la normativa. Supervisa el tratamiento y responde de los datos que introduce en la plataforma.

11. Disposiciones finales

En materia de protección de datos, este contrato prevalece sobre cualquier otra estipulación de los Términos. La responsabilidad de las partes se rige por los Términos, sin perjuicio de lo dispuesto en el artículo 82 RGPD. Este contrato se rige por la legislación española.

Las modificaciones sustanciales se comunicarán al Responsable, que deberá aceptarlas para seguir usando el servicio.