Contrato de encargado del tratamiento

1. Partes y aceptación

Responsable del tratamiento: el profesional que da de alta un negocio en Vespra (en adelante, «el local»).

Encargado del tratamiento: el titular de Vespra:

• Titular: Santiago Álvarez Osuca
• NIF: 49348076N
• Domicilio: Sant Pere Sacarrera
• Email: santy@vespra.es

Este contrato se acepta al dar de alta el negocio y forma parte de las condiciones del servicio. Versión: 2026-11-11.

2. Objeto, naturaleza y finalidad

El encargado trata por cuenta del local los datos de sus clientes para prestarle el servicio: alojar la web y el calendario de reservas, recibir y guardar las reservas y consultas, mostrarlas en el panel, enviar los emails de confirmación, de aviso y de recordatorio de pago, anular las reservas sin pagar al acabar su plazo si el local lo activa, permitir que sus clientes anulen con el enlace del email si el local lo permite, y evitar abusos. No los usa para fines propios ni para publicidad.

3. Duración

Mientras dure el servicio y hasta que se devuelvan o supriman los datos, según el punto 12.

4. Datos e interesados

Interesados: clientes y posibles clientes del local: los que reservan o le escriben desde su web o su widget, y aquellos cuyos datos el local introduce o nos facilita, como sus reservas manuales o las que se pasan al poner en marcha el servicio.

Datos: nombre, email y teléfono; fechas, turnos, extras, importes, pago y anulación de las reservas; comentarios y mensajes que escriban; notas internas que añada el local; por qué canal llegó la reserva (Instagram, un código QR, el widget…); y, para limitar abusos, la dirección IP, el email y el teléfono, que para ese fin se guardan solo como hash y durante poco tiempo.

5. Menores y datos de salud

El servicio no pide datos de menores ni de salud. Pero en los comentarios, los mensajes y las notas internas, que son de texto libre, pueden aparecer; por ejemplo, la edad de un niño o una alergia en una fiesta infantil. Las alergias son datos de salud, una categoría especial del art. 9 del RGPD.

Los formularios de reserva y de contacto avisan de que no se escriban ahí salvo que sean necesarios. Si llegan:

• el encargado los trata como el resto de la reserva, solo para prestar el servicio;
• el local debe usarlos solo para atender esa reserva, limitar quién los ve y no pedirlos por ese campo. Si los necesita de forma habitual, debe recogerlos por una vía adecuada y con el consentimiento explícito de quien pueda darlo.

6. Instrucciones

El encargado trata los datos solo siguiendo instrucciones documentadas del local: este contrato, las condiciones del servicio y lo que el local configura o hace en el panel. También para transferencias internacionales, que son las del punto 9. Si una instrucción le parece contraria a la normativa de protección de datos, se lo dirá al local. Si una ley le obliga a tratarlos de otra forma, le informará antes, salvo que esa ley lo prohíba.

7. Confidencialidad

Las personas que accedan a los datos por cuenta del encargado quedan obligadas a guardar confidencialidad, también cuando dejen de prestar servicio.

8. Seguridad

Medidas aplicadas:

• Conexiones cifradas (HTTPS) con la web y el panel.
• Contraseñas guardadas con hash, nunca en claro.
• Separación por negocio: cada usuario accede solo a los negocios a los que pertenece, según su rol.
• Límites de peticiones contra abusos en reservas, formularios y acceso.
• Comprobación anti-robots en los formularios públicos de reserva y contacto.
• Enlaces de anulación firmados, imposibles de adivinar y válidos solo para su reserva.
• Secretos fuera del código y base de datos cifrada en reposo y en tránsito por su proveedor.

9. Subencargados y transferencias internacionales

El local autoriza de forma general a estos subencargados, a los que se aplican obligaciones equivalentes a las de este contrato:

• Vercel Inc. (EE. UU.): aloja y ejecuta la aplicación. Las funciones se ejecutan en Frankfurt, pero la red de distribución es global y Vercel indica que sus instalaciones principales de tratamiento están en EE. UU. Garantía: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
• Neon (Databricks, Inc. y Neon, LLC, EE. UU.): base de datos, en Frankfurt (aws-eu-central-1). Algunos registros técnicos los gestionan proveedores suyos. Garantía: Marco de Privacidad de Datos UE-EE. UU.
• Resend (Plus Five Five, Inc., EE. UU.): envío de emails. Se envían desde Irlanda, pero los metadatos, registros y datos de la cuenta se guardan en EE. UU. Garantía: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
• Cloudflare, Inc. (EE. UU.): comprobación anti-robots (Turnstile) en los formularios de reserva y de contacto. Recibe la dirección IP, el agente de usuario y otros datos técnicos del navegador de quien los envía, no el contenido del formulario. Cloudflare también usa esos datos, como responsable, para mejorar su detección de robots. Garantía: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Stripe Payments Europe, Limited cobra las cuotas de Vespra a los locales. No recibe datos de los clientes de los locales, así que no es subencargado de estos datos; se indica para mayor claridad.

Avisaremos con 30 días de antelación de cualquier subencargado nuevo o sustituto. El local puede oponerse por motivos razonables y, si no se encuentra una solución, darse de baja.

10. Derechos de los interesados

Quien quiera ejercer sus derechos debe dirigirse al local, que es el responsable. Si nos llega a nosotros, se la reenviaremos sin responder en su nombre. Desde el panel, el local puede consultar los datos, descargar una copia de todos ellos y anonimizar los de un cliente en sus reservas. Para lo que no pueda hacer desde el panel, nos lo puede pedir por email y lo haremos en un máximo de 10 días.

11. Brechas y otra asistencia

Si el encargado conoce una brecha de seguridad que afecte a estos datos, avisará al local sin dilación indebida y, como máximo, en 48 horas, con la información de que disponga sobre lo ocurrido, los datos afectados y las medidas tomadas.

También le ayudará, en lo que esté a su alcance, con la seguridad del tratamiento, las notificaciones de brechas, las evaluaciones de impacto y las consultas a la autoridad de control.

12. Fin del servicio

El local puede descargar una copia de los datos en cualquier momento desde el panel. Al cerrarse la cuenta, puede descargarla o pedirla durante 30 días. En un máximo de 60 días se suprimirán, de forma automática; las copias de seguridad desaparecen en un máximo de 30 días más. Solo se conservará lo que una ley obligue a guardar.

13. Información y auditorías

El encargado pondrá a disposición del local la información necesaria para demostrar que cumple este contrato y permitirá auditorías razonables, con 30 días de aviso, salvo que una brecha o una autoridad exijan actuar antes.

14. Obligaciones del local

• Tener una base legal para tratar los datos de sus clientes e informarles (su política de privacidad en su web).
• Completar en el panel sus datos como titular, para que aparezcan en sus textos legales.
• Pedir solo los datos necesarios y seguir lo indicado en el punto 5.
• Atender los derechos de sus clientes y dar instrucciones conforme a la normativa.
• Controlar quién accede a su panel.