Acuerdo de Tratamiento de Datos

Funciones y alcance

• Usted es el responsable del tratamiento y K4 es su encargado respecto de los datos descritos en el Anexo A, principalmente los datos de sus clientes en las reservas que registra.
• Respecto de los datos de su propia cuenta, de inicio de sesión y de facturación, K4 actúa como responsable del tratamiento conforme a nuestro Aviso de Privacidad, y no conforme a este Acuerdo.
• No debe introducir en K4 categorías especiales de datos personales (como información de salud) ni datos relativos a menores; el servicio no está diseñado para ello.

Nuestras obligaciones

• Tratamos los datos únicamente para prestarle K4 y conforme a sus instrucciones documentadas, impartidas a través del producto o por escrito, salvo que la ley exija otra cosa. Le informaremos si consideramos que una instrucción infringe la ley.
• Nunca vendemos los datos, ni los compartimos con fines publicitarios, ni los utilizamos para entrenar modelos de IA.
• Solo concedemos acceso al personal que lo necesita y que está sujeto a un deber de confidencialidad.
• Protegemos los datos con las medidas establecidas en el Anexo B.

Sus obligaciones

• Debe disponer de una base jurídica para los datos que nos facilita e informar a sus clientes de cómo se utilizan.
• Usted decide qué miembros de su equipo y qué operadores pueden ver los datos, y mantiene la seguridad de sus propias cuentas.

Subencargados

• Usted autoriza a los subencargados indicados en el Anexo C. Cada uno está sujeto a condiciones de protección de datos al menos tan protectoras como estas, y seguimos siendo responsables de su cumplimiento.
• Notificaremos por correo electrónico a los titulares de las cuentas con al menos 30 días de antelación antes de añadir o sustituir un subencargado. Si usted se opone por motivos razonables de protección de datos y no podemos resolver la objeción, puede cerrar su cuenta antes de que el cambio surta efecto y recibir el reembolso proporcional de las tarifas pagadas por adelantado.

Transferencias internacionales

Los datos se alojan en Amazon Web Services, en los Estados Unidos. Cuando se transfieren datos de la UE, el EEE, el Reino Unido o Suiza a un país sin decisión de adecuación, nos basamos en el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado y, en los demás casos, en las Cláusulas Contractuales Tipo de la Comisión Europea (módulo 2 o 3), junto con el Anexo del Reino Unido y las adaptaciones suizas cuando proceda.

Incidentes de seguridad

Si tenemos conocimiento de una violación de la seguridad que afecte a los datos, se lo notificaremos sin dilación indebida y, en todo caso, en un plazo de 48 horas, con la información de que dispongamos y las medidas que estemos adoptando, para que usted pueda cumplir su propia obligación de notificar a la autoridad de control en 72 horas. Le mantendremos informado y le ayudaremos a responder.

Asistencia y auditorías

• Le ayudamos a responder a las solicitudes de sus clientes de acceso, rectificación o supresión de sus datos, principalmente mediante herramientas del producto. Si un cliente se pone en contacto directamente con nosotros, le trasladaremos la solicitud.
• Le ayudamos con las evaluaciones de impacto relativas a la protección de datos y con las consultas previas a las autoridades de control cuando la ley lo exija.
• Respondemos a cuestionarios de seguridad razonables y facilitamos la información necesaria para demostrar nuestro cumplimiento de este Acuerdo. Las auditorías presenciales se realizan de mutuo acuerdo, a su cargo y no más de una vez al año, salvo que una autoridad de control exija otra cosa.

Fin del tratamiento

Puede exportar sus datos en cualquier momento. Cuando cierra su cuenta, eliminamos los datos en un plazo de 90 días, incluidas las copias de seguridad a medida que caducan, salvo que la ley nos obligue a conservarlos.

Anexo A · Descripción del tratamiento

• Finalidad: gestionar el calendario de su flota: registrar reservas, bloqueos y mantenimiento, programar los tiempos de preparación y de rotación, evitar reservas duplicadas, importar reservas desde correos reenviados y feeds de calendario, y mostrar a los operadores lo que están autorizados a ver.
• Interesados: sus clientes, y los miembros de su equipo y operadores cuando los añade.
• Categorías de datos: nombres, direcciones de correo electrónico, números de teléfono, número de huéspedes, fechas de reserva, notas que añade y el contenido de los correos de reserva que reenvía.
• Categorías especiales de datos: no se prevén.
• Duración: mientras utilice K4 y, posteriormente, según lo previsto en Fin del tratamiento; los plazos de conservación figuran en el Aviso de Privacidad.

Anexo B · Medidas de seguridad

• Cifrado: TLS en tránsito; almacenamiento y copias de seguridad cifrados en reposo; números de teléfono y datos de contacto cifrados además a nivel de aplicación (AES-256-GCM).
• Control de acceso: el acceso a la base de datos está restringido por función y por cuenta, y se aplica en la propia base de datos; los operadores solo ven los datos de los clientes mientras la reserva está activa.
• Personal: autenticación en dos pasos, acceso con mínimo privilegio y un registro de cada cambio.
• Inteligencia artificial: los números de tarjeta, las direcciones de correo electrónico y los números de teléfono se eliminan antes de enviar cualquier texto a un modelo de IA.
• Operaciones: alojamiento en Amazon Web Services en los Estados Unidos, con copias de seguridad automáticas, actualizaciones de seguridad periódicas y un procedimiento documentado de respuesta ante brechas.

Anexo C · Subencargados