Acuerdo de tratamiento de datos

1. Partes y objeto

Este acuerdo se celebra entre la escuela o empresa que usa Snowdesk (el «Cliente», responsable del tratamiento) y Viveli («Viveli», encargada del tratamiento). Forma parte de las condiciones de uso y regula el tratamiento de datos personales por Viveli por cuenta del Cliente, conforme al art. 9 de la Ley Federal suiza de Protección de Datos (LPD) y, cuando sea aplicable, al art. 28 del Reglamento General de Protección de Datos de la UE (RGPD). Entra en vigor cuando el Cliente acepta las condiciones de uso y dura mientras Viveli trate datos personales para el Cliente.

2. Qué se trata

· Objeto y finalidad: prestar Snowdesk — almacenar, organizar, mostrar, transmitir y analizar los datos del Cliente para que pueda gestionar reservas, clases, personal, cobros y nóminas — junto con el soporte y la seguridad.

· Personas afectadas: los clientes del Cliente y sus acompañantes (incluidos menores), sus clientes potenciales, su personal y sus monitores, y las personas de contacto de sus socios.

· Categorías de datos: identidad y datos de contacto; reservas, clases y asistencia; niveles, preferencias y notas; pagos y facturación; datos del personal — titulaciones, disponibilidad, ausencias, formación, tarifas y nóminas; registros de uso y datos técnicos.

· Datos especialmente protegidos: notas de seguridad que pueden revelar información sobre la salud, si el Cliente decide registrarlas.

3. Instrucciones

Viveli trata los datos personales solo según las instrucciones documentadas del Cliente, dadas por este acuerdo y por el uso y la configuración de Snowdesk por el Cliente, salvo que la ley exija otra cosa — en cuyo caso Viveli lo comunica antes al Cliente, salvo que la ley lo prohíba. Viveli avisa sin demora al Cliente si considera que una instrucción infringe la normativa de protección de datos.

4. Confidencialidad

Viveli garantiza que toda persona autorizada a tratar los datos personales está obligada a la confidencialidad y solo accede a ellos en la medida que exige su tarea.

5. Seguridad

Viveli mantiene medidas técnicas y organizativas adecuadas, descritas en la sección 13, y las adapta al estado de la técnica y a los riesgos. Puede modificarlas siempre que no se reduzca el nivel de protección.

6. Subencargados

El Cliente autoriza a Viveli a recurrir a subencargados. Los actuales figuran en la sección 14. Viveli informa al Cliente por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado; dentro de ese plazo el Cliente puede oponerse por motivos razonables de protección de datos y, si no se encuentra solución, resolver el servicio afectado con efecto en la fecha del cambio. Viveli impone a cada subencargado obligaciones que protegen los datos al menos tanto como este acuerdo y sigue siendo responsable ante el Cliente de su cumplimiento.

7. Transferencias al extranjero

Viveli solo comunica datos personales a un país sin protección adecuada con las garantías que reconocen la LPD y el RGPD — en particular las cláusulas contractuales tipo aprobadas por la Comisión Europea y reconocidas por el FDPIC, o una certificación en el marco Swiss-US o EU-US Data Privacy Framework.

8. Ayuda al Cliente

Teniendo en cuenta la naturaleza del tratamiento, Viveli ayuda al Cliente a responder a las solicitudes de las personas afectadas — acceso, rectificación, supresión, limitación, oposición, portabilidad — en gran parte mediante las funciones de exportación y supresión de Snowdesk, y le traslada sin demora cualquier solicitud de este tipo que reciba directamente. Viveli también ayuda al Cliente, con la información de que dispone, en las evaluaciones de impacto, las consultas con las autoridades y sus obligaciones de seguridad.

9. Violaciones de la seguridad de los datos

Viveli notifica al Cliente sin demora indebida, y a más tardar en las 48 horas siguientes a tener conocimiento de ella, toda violación de la seguridad que afecte a sus datos personales. La notificación describe, en la medida en que se conozca, qué ocurrió, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas o propuestas. Viveli apoya al Cliente en las notificaciones a las autoridades y a los afectados cuando la ley lo exige.

10. Fin del tratamiento

Al terminar el contrato, el Cliente puede exportar sus datos durante 30 días. Viveli suprime después los datos personales en un plazo adicional de 60 días y confirma la supresión si se le pide, salvo obligación legal de conservarlos. Las copias de seguridad se sobrescriben en su ciclo normal y hasta entonces siguen protegidas por este acuerdo.

11. Auditorías

Viveli pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo. El Cliente, o un auditor obligado a la confidencialidad, puede verificarlo una vez al año, o tras una violación, con un preaviso por escrito de 30 días, en horario laboral y sin perturbar el servicio ni los datos de otros clientes. Cada parte asume sus propios costes.

12. Responsabilidad y prelación

La responsabilidad derivada de este acuerdo se rige por las condiciones de uso, salvo cuando la ley no permita limitarla. En caso de discrepancia en materia de protección de datos, este acuerdo prevalece sobre las condiciones de uso. Se rige por la misma ley y jurisdicción que estas.

13. Medidas técnicas y organizativas

· Acceso: cuentas personales; contraseñas guardadas solo como hashes con sal; inicio de sesión en dos pasos disponible; intentos de inicio de sesión limitados; sesiones que caducan; permisos por función definidos por el Cliente.

· Separación: cada dato pertenece a una sola escuela y cada consulta se limita a la escuela de quien la hace.

· Cifrado: conexiones cifradas (TLS) en todas partes; campos sensibles cifrados en la base de datos; almacenamiento cifrado en reposo por el proveedor de alojamiento.

· Integridad y trazabilidad: registro de auditoría de las acciones relevantes; protección frente a solicitudes falsificadas; controles de los datos introducidos.

· Disponibilidad: alojamiento gestionado con copias de seguridad periódicas; supervisión e informes de errores.

· Organización: acceso a los sistemas de producción solo para quien lo necesita; obligaciones de confidencialidad; revisión de estas medidas cuando cambian el servicio o los riesgos.

14. Subencargados

· Supabase Inc. — alojamiento de la base de datos — Fráncfort, Alemania (UE).

· Railway Corporation, EE. UU. — servidores de aplicación y caché.

· Vercel Inc., EE. UU. — alojamiento y distribución de la aplicación web.

· Functional Software Inc. «Sentry», EE. UU. — seguimiento de errores — datos almacenados en Alemania (UE).

· Solo cuando el Cliente activa la función: un servicio de envío de correo; Twilio Inc., EE. UU. (SMS); Cloudflare Inc. (almacenamiento de documentos, jurisdicción de la UE). Los pagos con tarjeta pasan por Stripe, que actúa como responsable independiente según sus propias condiciones.