Acuerdo de encargo del tratamiento (anexo 1 de las Condiciones del servicio)

1. Este acuerdo forma parte de las Condiciones del servicio de KantaPass. El responsable del tratamiento es el Cliente que usa KantaPass. El encargado del tratamiento es KantaPass Oy (número de empresa finlandés 3612988-5).
2. Este acuerdo cumple los requisitos del artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD"). Se aplica a los datos personales de los titulares de tarjetas que KantaPass trata por cuenta del Cliente. El objeto, la duración, la naturaleza y la finalidad del tratamiento, así como los tipos de datos y de interesados, se describen en el anexo A.
3. Los términos tienen el mismo significado que en el RGPD.

1. El Cliente debe contar con una base jurídica para el tratamiento, facilitar a los titulares la información exigida por el artículo 13 del RGPD y disponer de los consentimientos necesarios para la mercadotecnia.
2. Las instrucciones documentadas del Cliente son este acuerdo, las Condiciones del servicio y las opciones y ajustes que el Cliente configura en el servicio. Las instrucciones adicionales se dan por escrito y deben ser compatibles con las funciones del servicio.

KantaPass:

1. trata los datos personales solo siguiendo las instrucciones documentadas del Cliente, incluidas las transferencias fuera de la UE y del EEE, salvo que el Derecho de la UE o de un Estado miembro exija otra cosa. En ese caso, KantaPass informará al Cliente de esa exigencia antes del tratamiento, salvo que la ley lo prohíba.
2. informa al Cliente sin demora si considera que una instrucción infringe la normativa de protección de datos.
3. garantiza que las personas que tratan los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
4. aplica las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD, descritas en el anexo B.
5. cumple la sección 4 al recurrir a subencargados.
6. ayuda al Cliente a responder a las solicitudes de los interesados. En el servicio, el Cliente puede buscar, rectificar, exportar y eliminar por sí mismo los datos de un titular y detener las ofertas para un titular. Los titulares pueden eliminar su propia tarjeta y retirar el consentimiento para mercadotecnia en la página de la tarjeta. Cuando se elimina a un titular, se eliminan su nombre, correo, teléfono y fecha de nacimiento, se detiene la mercadotecnia, se eliminan los registros de cartera y se caduca la tarjeta de Google Wallet. El historial de sellos se conserva para las estadísticas del Cliente sin esos datos. Si un titular envía una solicitud a KantaPass, KantaPass la remite al Cliente sin demora y no la responde por sí misma sin instrucciones del Cliente.
7. ayuda al Cliente a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, como las evaluaciones de impacto y la consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone KantaPass.
8. notifica al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y a más tardar 48 horas después de tener conocimiento de ella. La notificación incluye la información del artículo 33, apartado 3, del RGPD en la medida en que se conozca, y se completa a medida que se obtiene más información.
9. suprime o devuelve los datos personales al terminar el acuerdo conforme a la sección 6.
10. pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo y permite auditorías conforme a la sección 5.
11. mantiene un registro de actividades de tratamiento conforme al artículo 30, apartado 2, del RGPD.
12. no vende datos personales ni los usa para fines propios.

1. El Cliente otorga una autorización general previa para los subencargados enumerados en el anexo C.
2. KantaPass notifica al Cliente por correo electrónico con al menos 30 días de antelación antes de añadir o sustituir un subencargado. El Cliente puede oponerse al cambio por motivos razonables de protección de datos antes de que entre en vigor. Si las partes no encuentran una solución, el Cliente puede resolver el contrato antes del cambio, y se le reembolsará el periodo prepagado no utilizado.
3. KantaPass impone contractualmente a los subencargados las mismas obligaciones de protección de datos que este acuerdo. KantaPass sigue siendo responsable ante el Cliente del cumplimiento de sus subencargados.
4. Los datos personales solo se transfieren fuera de la UE y del EEE conforme al capítulo V del RGPD. Las bases de las transferencias figuran en el anexo C.

A petición, KantaPass facilita una exposición por escrito de su cumplimiento de este acuerdo y los informes de seguridad de los subencargados cuando estén disponibles. Si no es suficiente, el Cliente puede encargar una auditoría una vez al año, o con mayor frecuencia si lo exige una autoridad de control o tras una violación de seguridad. Las auditorías se notifican con 30 días de antelación y las realiza un auditor sujeto a confidencialidad que no sea competidor de KantaPass. Cada parte asume sus propios costes.

Este acuerdo está en vigor mientras KantaPass trate datos de titulares por cuenta del Cliente. Cuando el Cliente elimina su cuenta, KantaPass suprime los datos personales de inmediato. Si el contrato termina de otra forma, el Cliente puede recuperar sus datos en un plazo de 30 días naturales conforme a la sección 15 de las Condiciones del servicio, tras lo cual KantaPass suprime los datos personales. Los datos desaparecen de las copias de seguridad en un máximo de 37 días, salvo que el Derecho de la UE o de un Estado miembro exija conservarlos. KantaPass confirma la supresión por escrito si se solicita.

La responsabilidad de las partes se rige por el artículo 82 del RGPD y la sección 12 de las Condiciones del servicio. La limitación de responsabilidad no restringe el derecho de los interesados a una indemnización conforme al RGPD.

• Ubicación: base de datos en la UE (Suecia); backend, registros y copias de seguridad en la UE (Finlandia).
• Cifrado: los datos se cifran en tránsito (TLS). La base de datos, el almacenamiento de archivos y sus copias de seguridad se cifran en reposo con AES-256 (Supabase). Los datos del backend, los registros y las copias de seguridad se cifran en reposo con claves gestionadas por Google (Google Cloud).
• Separación de clientes: los datos de los titulares de cada Cliente se mantienen separados en la base de datos, y los usuarios del Cliente solo ven los datos de su propio negocio.
• Control de acceso: el personal de KantaPass solo accede a los datos de los titulares para la atención al cliente, y cada consulta queda registrada. Las acciones de administración se registran en un registro de auditoría. Los permisos se conceden solo en la medida que exige la tarea. La autenticación en dos pasos está activada en las cuentas de administración y desarrollo de los proveedores y en la aplicación de administración de KantaPass.
• Contraseñas: solo se guarda un hash de las contraseñas de los usuarios.
• Minimización de datos: la tarjeta de Apple Wallet solo muestra el nombre de pila del titular, nunca el apellido, el correo ni el teléfono. Las notificaciones push de Apple van vacías, y los datos de la tarjeta se obtienen directamente del backend de KantaPass. A Google Wallet no se envían nombre, correo ni teléfono. El seguimiento de aperturas y clics de los correos está desactivado. La ubicación no se guarda. La herramienta Escanear lee el código QR en el dispositivo.
• Tarjetas de pago: KantaPass no trata números de tarjeta.
• Copias de seguridad: se hace una copia completa diaria de la base de datos, que se conserva 30 días y es recuperable 7 días más.
• Registros: los registros de solicitudes del backend se conservan en Finlandia 30 días. Los registros de acceso de Supabase se conservan 1 día. Las sesiones se eliminan al cerrar sesión y tras 15 días sin uso. Los identificadores de dispositivo y tokens push de Apple Wallet se eliminan en cuanto el iPhone informa de que la tarjeta se ha quitado o Apple informa de que el token ya no es válido.
• Personal: las personas que tratan los datos se han comprometido a respetar la confidencialidad. Los datos personales no se comparten en aplicaciones de mensajería instantánea.
• Incidentes: las violaciones de seguridad se gestionan según un procedimiento documentado y se notifican conforme a la sección 3.

Lista actualizada de subencargados: https://kantapass.com/es/sub-processors