Acuerdo de encargo del tratamiento

1Partes

• Responsable del tratamiento: el Cliente que contrata la Plataforma Renterus, identificado en su cuenta de empresa (el «Responsable»).
• Encargado del tratamiento: RENTERUS SOFTWARE S.L., NIF B72826324, Calle Bellavista 4, Edif. Capri, Local 2, 29780 Nerja (Málaga), España (el «Encargado» o «Renterus»).

2Objeto del encargo

El Responsable encarga a Renterus el tratamiento de los datos personales necesarios para prestarle el servicio de software Renterus (la «Plataforma»), en los términos de las Condiciones de uso y contratación y del Plan contratado.

Este acuerdo no se aplica a los datos que Renterus trata como responsable (cuentas de usuario, relación contractual con el Cliente, seguridad de la Plataforma), regulados en la Política de privacidad.

3Duración

Este acuerdo está vigente mientras lo estén las Condiciones de uso y contratación entre las partes. Las obligaciones de confidencialidad, de devolución y supresión de los datos y las que por su naturaleza deban sobrevivir seguirán vigentes tras su terminación.

4Naturaleza y finalidad del tratamiento

Finalidad: prestar al Responsable las funcionalidades de la Plataforma que este decida usar, como la gestión de personal y el registro de jornada; la firma electrónica de documentos; la gestión de propiedades, propietarios, reservas, huéspedes y registro de viajeros; la verificación de identidad; el asistente de inteligencia artificial Erus; la facturación; los traslados; la gestión de llaves; la comunicación interna y con terceros, y las integraciones con servicios de terceros que el Responsable active.

Operaciones de tratamiento: recogida, registro, organización, estructuración, conservación, adaptación, consulta, utilización, comunicación por transmisión a los destinatarios que el Responsable indique o configure, cotejo, limitación, supresión y destrucción, por medios automatizados.

5Tipos de datos y categorías de interesados

Según las funcionalidades que use el Responsable, el tratamiento puede afectar a:

Categorías especiales de datos. Si el Responsable activa la verificación de identidad de huéspedes con comparación facial, se tratan datos biométricos destinados a identificar de forma unívoca a una persona (art. 9 RGPD). Corresponde al Responsable contar con una excepción del artículo 9.2 RGPD que lo permita (normalmente, el consentimiento explícito del interesado) y valorar la necesidad de una evaluación de impacto. Además, las ausencias pueden incluir bajas laborales y citas médicas con sus justificantes, y la documentación laboral puede contener datos de salud. El Responsable no introducirá otras categorías especiales de datos salvo que sean imprescindibles y lícitas.

6Obligaciones del Responsable

• Garantizar que el tratamiento tiene una base jurídica válida y, en su caso, una excepción del artículo 9.2 RGPD, y que los datos se han obtenido lícitamente.
• Informar a los interesados conforme a los artículos 13 y 14 RGPD, incluida, para los empleados, la información previa sobre el registro de jornada y la geolocalización (art. 90 LOPDGDD).
• Dar a Renterus instrucciones lícitas y documentadas, y configurar la Plataforma conforme a ellas.
• Realizar las evaluaciones de impacto y consultas previas que procedan.
• Supervisar el tratamiento, incluso mediante las auditorías previstas en este acuerdo.

7Instrucciones del Responsable

Renterus tratará los datos personales solo siguiendo las instrucciones documentadas del Responsable. Se consideran instrucciones documentadas: (i) este acuerdo y las Condiciones de uso y contratación; (ii) la configuración y el uso que el Responsable y sus Usuarios autorizados hacen de la Plataforma; y (iii) las instrucciones escritas adicionales que el Responsable comunique y Renterus acepte. Entre ellas, la de elaborar estadísticas agregadas y anonimizadas sobre el uso de la Plataforma, según las Condiciones.

Si Renterus considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Responsable. Si el Derecho de la Unión o de un Estado miembro obliga a Renterus a tratar los datos para otra finalidad, informará al Responsable antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público.

Renterus no usará los datos para fines propios ni los comunicará a terceros, salvo a los subencargados autorizados o cuando lo indique el Responsable.

8Confidencialidad

Renterus garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, que se mantiene después de terminar su relación con Renterus. Solo accederán a los datos en la medida necesaria para prestar el servicio, dar soporte cuando el Responsable lo solicite o resolver incidencias.

9Medidas de seguridad

Teniendo en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos de los interesados, Renterus aplica las medidas técnicas y organizativas apropiadas que exige el artículo 32 RGPD, entre ellas:

• cifrado de las comunicaciones entre los usuarios y la Plataforma (TLS);
• contraseñas almacenadas mediante algoritmos de hash y gestión segura de sesiones;
• control de acceso basado en roles y permisos configurables por el Responsable, y separación lógica de los datos de cada cliente;
• registro de actividad de las acciones relevantes;
• sistema de gestión de la seguridad de la información certificado conforme a la norma UNE-EN ISO/IEC 27001:2023;
• base de datos replicada en un clúster de tres nodos, copias de seguridad diarias y procedimientos de restauración;
• actualización y mantenimiento de los sistemas y dependencias de software;
• compromisos de confidencialidad y formación del personal con acceso a datos;
• procedimiento de gestión y notificación de incidentes de seguridad;
• revisión periódica de la eficacia de las medidas.

Renterus podrá actualizar estas medidas siempre que no reduzca el nivel de seguridad global.

10Subencargados del tratamiento

El Responsable concede a Renterus una autorización general para recurrir a otros encargados (subencargados). La lista de subencargados vigente se publica en la Política de privacidad.

Renterus informará al Responsable de cualquier alta o sustitución de subencargados con al menos 15 días de antelación, por correo electrónico o mediante un aviso en la Plataforma, para que pueda oponerse por motivos razonables relacionados con la protección de datos. Si las partes no llegan a una solución, el Responsable podrá resolver el contrato sin penalización respecto del servicio afectado.

Renterus impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos de este acuerdo, en particular la de ofrecer garantías suficientes de aplicar medidas técnicas y organizativas apropiadas. Renterus sigue siendo plenamente responsable ante el Responsable del cumplimiento de los subencargados.

Los servicios de terceros que el Responsable decide integrar (por ejemplo, los canales de reserva) no son subencargados de Renterus: la comunicación de datos a ellos se realiza por instrucción del Responsable. El gestor de canales que Renterus integra en la Plataforma sí es un subencargado y figura en la lista.

11Transferencias internacionales

Renterus solo transferirá datos personales fuera del Espacio Económico Europeo, directamente o a través de subencargados, cuando exista una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas) o se hayan adoptado garantías adecuadas conforme al artículo 46 RGPD, como las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias que procedan.

12Asistencia en el ejercicio de derechos

Renterus asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda responder a las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas. La Plataforma permite al Responsable consultar, corregir, exportar y suprimir los datos.

Si un interesado dirige su solicitud a Renterus, este la trasladará al Responsable sin dilación y, en todo caso, en un plazo de 5 días hábiles, y no la responderá directamente salvo que el Responsable se lo indique.

13Asistencia en seguridad, evaluaciones de impacto y consultas

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Renterus ayudará al Responsable a cumplir las obligaciones de los artículos 32 a 36 RGPD: seguridad del tratamiento, notificación y comunicación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y consultas previas a la autoridad de control.

14Notificación de violaciones de seguridad

Renterus notificará al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a los datos tratados por su cuenta, junto con la información disponible para documentar y comunicar la incidencia:

• la naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados;
• los datos de contacto en Renterus para obtener más información;
• las posibles consecuencias;
• las medidas adoptadas o propuestas para remediarla y mitigar sus efectos.

Si no es posible facilitar toda la información a la vez, se dará de forma gradual. Corresponde al Responsable notificar a la autoridad de control y, en su caso, a los interesados.

15Destino de los datos al terminar el servicio

Al terminar la prestación del servicio, Renterus mantendrá los datos accesibles al Responsable en modo de solo lectura, para que pueda consultarlos y exportarlos, y se los devolverá en un formato estructurado y de uso común si lo pide. Después los suprimirá o anonimizará, junto con las copias existentes, en el plazo y la forma indicados en las Condiciones de uso y contratación, o antes si el Responsable lo pide por escrito.

Las copias de seguridad se suprimirán en sus ciclos ordinarios de rotación. Renterus podrá conservar los datos debidamente bloqueados mientras puedan derivarse responsabilidades de la ejecución del servicio o cuando una norma lo exija. A petición del Responsable, Renterus certificará la supresión.

16Información y auditorías

Renterus pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá y contribuirá a las auditorías, incluidas las inspecciones, que realice el Responsable u otro auditor autorizado por él.

Las auditorías se solicitarán con un preaviso razonable de al menos 30 días, se realizarán en horario laboral, sin afectar a la seguridad ni a los datos de otros clientes, como máximo una vez al año (salvo que se haya producido una violación de seguridad o lo exija una autoridad) y a costa del Responsable. Renterus podrá atender estas solicitudes, en primer lugar, con documentación, certificaciones (como su certificado UNE-EN ISO/IEC 27001) o informes de auditoría independientes.

17Otras obligaciones del Encargado

• Mantener un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD).
• Designar un delegado de protección de datos cuando sea obligatorio y comunicar su identidad al Responsable.
• Cooperar con la autoridad de control cuando esta lo solicite.

18Responsabilidad

Cada parte responde de los daños que cause por incumplir este acuerdo o la normativa de protección de datos, conforme al artículo 82 RGPD. En lo que la ley permita, se aplicarán los límites de responsabilidad de las Condiciones de uso y contratación. Si Renterus trata los datos para fines propios o infringe este acuerdo, será considerado responsable del tratamiento respecto de ese tratamiento.

19Prevalencia y ley aplicable

En lo relativo a la protección de datos personales, este acuerdo prevalece sobre cualquier otra disposición de las Condiciones de uso y contratación. Se rige por la ley española y por el RGPD, y las controversias se someterán a los juzgados y tribunales indicados en dichas condiciones.