Anexo A — Condiciones de tratamiento de datos

Alcance

Estas Condiciones de tratamiento de datos (el «DPA») forman parte de las Condiciones de uso de Kiroa (las «Condiciones») entre Honne Technologies Ltd, que opera como Kiroa («Kiroa», «nosotros»), y el cliente indicado en la Cuenta («tú»). Se aplican siempre que tratamos Datos de huéspedes por cuenta tuya. Los términos definidos en las Condiciones tienen aquí el mismo significado.

01. Definiciones

• «Normativa de protección de datos»: el RGPD del Reino Unido, la Data Protection Act 2018, el RGPD de la UE (Reglamento (UE) 2016/679) y las normas de privacidad en las comunicaciones electrónicas aplicables al tratamiento, con sus modificaciones o sustituciones.
• «Datos personales», «Interesado», «Tratamiento», «Responsable», «Encargado» y «Violación de la seguridad de los datos personales» tienen el significado que les da el RGPD del Reino Unido o el de la UE, según cuál se aplique.
• «Datos de huéspedes»: como se definen en las Condiciones, los datos personales de tus huéspedes, clientes y visitantes de tu web tratados a través del Servicio.
• «Subencargado»: un encargado que contratamos para tratar Datos de huéspedes por cuenta tuya.

02. Funciones e instrucciones

2.1. Respecto de los Datos de huéspedes, tú eres el Responsable y Kiroa tu Encargado. Si tú mismo actúas como encargado de otra empresa, confirmas que sus instrucciones te permiten usar Kiroa.

2.2. Tratamos los Datos de huéspedes solo siguiendo tus instrucciones documentadas. Tus instrucciones son las Condiciones, este DPA, cómo configuras y usas el Servicio (por ejemplo, los formularios que publicas y los emails que envías) y cualquier otra instrucción escrita coherente con ellos. Los detalles del tratamiento están en el Apéndice 1.

2.3. Te avisaremos si creemos que una instrucción infringe la Normativa de protección de datos; no estamos obligados a seguirla.

2.4. No vendemos los Datos de huéspedes, no los usamos para fines propios y no los usamos para entrenar modelos de IA. Podemos usar información agregada y anonimizada sobre el uso del Servicio, como indican las Condiciones (cláusula 10.6).

2.5. Eres responsable de tener una base legal para los Datos de huéspedes que recoges, de la información de privacidad que das a los Interesados y de la exactitud y calidad de los datos.

03. Confidencialidad

3.1. Todas las personas de Kiroa que pueden acceder a los Datos de huéspedes tienen un deber de confidencialidad y solo acceden cuando hace falta para prestar el Servicio o darte soporte (cláusula 5.5 de las Condiciones).

3.2. No comunicaremos Datos de huéspedes a una autoridad salvo que la ley lo exija. Cuando la ley lo permita, te avisaremos antes para que puedas oponerte.

04. Seguridad

4.1. Aplicamos las medidas técnicas y organizativas del Apéndice 2, que tienen en cuenta el estado de la técnica, el coste, la naturaleza del tratamiento y los riesgos para los Interesados. Podemos actualizarlas siempre que no baje el nivel general de protección.

4.2. La seguridad es compartida. Eres responsable de las medidas que están en tu mano: a quién invitas a tu equipo y con qué rol, retirar a quien se va, usar contraseñas robustas y no recoger más Datos de huéspedes de los necesarios.

05. Subencargados

5.1. Nos autorizas de forma general a usar los Subencargados del Apéndice 3 (la misma lista que la cláusula 10.4 de las Condiciones).

5.2. Imponemos a cada Subencargado, por contrato escrito, obligaciones de protección de datos que ofrecen al menos la misma protección que este DPA, y respondemos ante ti de su cumplimiento.

5.3. Avisaremos por email al Titular de la cuenta al menos 30 días antes de añadir o sustituir un Subencargado. Si te opones por motivos razonables de protección de datos y no podemos resolver tu objeción, puedes cancelar el Contrato sin coste antes de que el cambio surta efecto.

06. Transferencias internacionales

6.1. Los Datos de huéspedes se almacenan en la Unión Europea (Irlanda). Kiroa está establecida en el Reino Unido, que la Comisión Europea reconoce como país con un nivel de protección adecuado.

6.2. Cuando un Subencargado trata Datos de huéspedes en un país sin decisión de adecuación, nos aseguramos de que la transferencia esté protegida por un mecanismo aprobado: el Marco de Privacidad de Datos UE-EE. UU. y su extensión británica si el destinatario está certificado o, en otro caso, las Cláusulas Contractuales Tipo de la UE y el Anexo de Transferencia Internacional de Datos del Reino Unido.

07. Solicitudes de los interesados

7.1. El Servicio te da herramientas para encontrar, exportar, corregir y borrar los datos de un huésped (por ejemplo, desde su ficha de cliente).

7.2. Si un Interesado se dirige directamente a nosotros por Datos de huéspedes, te trasladaremos la solicitud sin dilación indebida y no la contestaremos nosotros salvo que nos lo pidas. Si no puedes atender una solicitud con las herramientas del Servicio, te ayudaremos en lo razonable.

08. Violaciones de la seguridad de los datos

8.1. Te avisaremos sin dilación indebida, y en 48 horas si es posible, cuando tengamos conocimiento de una Violación de la seguridad que afecte a Datos de huéspedes. Te daremos la información que necesites para cumplir tus propias obligaciones a medida que la tengamos: qué ha pasado, las categorías y el número aproximado de Interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

8.2. Tomaremos medidas razonables para contener la violación y reducir sus efectos.

8.3. Los intentos que no comprometen Datos de huéspedes (por ejemplo, intentos de acceso bloqueados, escaneos o ataques de denegación de servicio) no son Violaciones de la seguridad.

8.4. Notificar o responder a una violación no supone admitir culpa ni responsabilidad.

09. Asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, te ayudaremos en lo razonable con las evaluaciones de impacto y las consultas previas a una autoridad de control relacionadas con el Servicio.

10. Información y auditorías

10.1. Pondremos a tu disposición la información razonablemente necesaria para demostrar que cumplimos este DPA, incluida una descripción de nuestras medidas de seguridad.

10.2. Si esa información no basta, puedes auditar nuestro cumplimiento, tú o un auditor independiente obligado a confidencialidad, como máximo una vez al año (salvo que lo exija una autoridad de control o tras una Violación de la seguridad), con un preaviso por escrito de al menos 30 días, en horario laboral y a tu cargo. Las auditorías no pueden dar acceso a datos de otros clientes ni a los sistemas de nuestros Subencargados, de los que aportaremos sus propias certificaciones o informes cuando existan.

11. Devolución y borrado

11.1. Al terminar el Contrato, conservamos los Datos de huéspedes durante el periodo de conservación de 90 días de la cláusula 16.6 de las Condiciones. En ese plazo puedes pedirnos una exportación.

11.2. Pasado ese plazo borramos los Datos de huéspedes, salvo que la ley nos obligue a conservarlos. Las copias de las copias de seguridad para desastres se sobrescriben en el ciclo normal y siguen protegidas por este DPA hasta entonces.

12. Responsabilidad

La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones y exclusiones de la cláusula 14 de las Condiciones, salvo donde la Normativa de protección de datos no lo permita.

13. Duración y prevalencia

13.1. Este DPA se aplica mientras tratemos Datos de huéspedes por cuenta tuya, incluido el periodo de conservación.

13.2. Si este DPA contradice las Condiciones en materia de tratamiento de datos personales, prevalece este DPA. Si se aplican las Cláusulas Contractuales Tipo de la UE o el Anexo de Transferencia Internacional de Datos del Reino Unido y contradicen este DPA, prevalecen ellas.

Apéndice 1 — Detalles del tratamiento

Apéndice 2 — Medidas de seguridad

• Separación entre clientes: cada registro lleva el identificador de su cliente y la base de datos aplica seguridad a nivel de fila en todas las tablas, de modo que los usuarios de un cliente no pueden leer los datos de otro. Los visitantes públicos no tienen acceso directo a ninguna tabla.
• Control de accesos: roles del equipo elegidos por el Titular de la cuenta; el acceso administrativo (de nivel de servicio) solo lo usa código de servidor auditado en puntos definidos, siempre filtrado por cliente. Los cambios en el equipo quedan registrados.
• Personal de Kiroa: solo accede a la Cuenta de un cliente con su invitación, o cuando es estrictamente necesario por seguridad o para mantener el Servicio (cláusula 5.5 de las Condiciones). [confirmar: doble factor en las cuentas del equipo en Supabase, Vercel, Stripe y GitHub]
• Cifrado: en tránsito con TLS en todas las conexiones; en reposo por el proveedor de base de datos y almacenamiento. [confirmar: cifrado en reposo y su estándar en Supabase]
• Disponibilidad y copias de seguridad: alojamiento gestionado con copias de seguridad periódicas del proveedor para recuperación ante desastres. [confirmar: frecuencia y conservación de las copias del plan de Supabase]
• Protección contra abusos: protección contra bots y límites de envío en los formularios públicos y en el alta.
• Secretos: claves y credenciales guardadas en los almacenes de secretos de los proveedores de alojamiento, nunca en el código.
• Cambios en el Servicio: revisados y probados automáticamente antes de publicarse; los cambios de base de datos se aplican en un orden controlado y se comprueban.
• Incidentes: un proceso para investigar, contener y notificar las violaciones de seguridad (cláusula 8).

Apéndice 3 — Subencargados

La lista de la cláusula 10.4 de las Condiciones, que se mantiene actualizada allí. Los Datos de huéspedes se almacenan en la Unión Europea (Irlanda, Supabase).