Contrato de Encargo de Tratamiento (DPA)

Marco y partes

BORRADOR pendiente de validación jurídica. Este documento regula el tratamiento de datos personales que Rentee Vacational Fintech, S.L. ("el Encargado") realiza por cuenta del cliente ("el Responsable") al prestar el servicio Rentee, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

El Responsable es el gestor de alquiler vacacional que contrata Rentee y que decide sobre los fines y medios del tratamiento de los datos de sus propietarios, huéspedes, proveedores y demás interesados. El Encargado trata esos datos únicamente para prestar el servicio, siguiendo las instrucciones del Responsable.

Objeto, duración, naturaleza y finalidad

• Objeto: tratamiento de datos personales necesario para la conciliación bancaria, el cálculo y emisión de liquidaciones a propietarios, la gestión de gastos, comisiones, proveedores y la generación de informes financieros.
• Duración: mientras esté vigente el contrato de servicio entre las partes.
• Naturaleza y finalidad: almacenamiento, organización, estructuración, consulta, cálculo, conservación y, cuando el Responsable lo contrate, comunicación a proveedores de pago e iniciación de pagos.
• Tipos de datos: identificativos (nombre, NIF/CIF), de contacto (email, teléfono, dirección), económico-financieros (IBAN, importes, reservas, liquidaciones).
• Categorías de interesados: propietarios, huéspedes, proveedores y empleados del Responsable.

Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas técnicas y organizativas apropiadas del artículo 32 RGPD (cifrado en tránsito, control de acceso, aislamiento multi-tenant por cuenta, registro de actividad, copias de seguridad).
• Asistir al Responsable para responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Asistir al Responsable en el cumplimiento de las obligaciones de seguridad, notificación de brechas (arts. 32–36) y evaluaciones de impacto.
• A elección del Responsable, suprimir o devolver los datos al finalizar el servicio y eliminar las copias existentes, salvo conservación exigida por ley.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.

Subencargados

El Responsable autoriza al Encargado a recurrir a subencargados para prestar el servicio (a título enunciativo: proveedor de alojamiento en la nube, proveedor de correo transaccional, proveedores de iniciación de pagos y agregación bancaria PSD2 autorizados). El Encargado mantendrá una lista actualizada de subencargados disponible a solicitud e informará de los cambios con antelación razonable, permitiendo al Responsable oponerse por motivos justificados.

El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las recogidas en este documento.

Brechas de seguridad

El Encargado notificará al Responsable, sin dilación indebida y a más tardar en 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, aportando la información necesaria para que el Responsable pueda cumplir, en su caso, con su obligación de notificación a la autoridad de control (AEPD) y a los interesados.

Ubicación y transferencias internacionales

Con carácter general, los datos se alojan en servidores ubicados en el Espacio Económico Europeo (EEE). Si algún subencargado implicara una transferencia internacional, esta se ampararía en una decisión de adecuación o en garantías adecuadas (cláusulas contractuales tipo de la Comisión Europea), informando al Responsable.

Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de sus obligaciones en materia de protección de datos. El Responsable garantiza que dispone de base jurídica suficiente para el tratamiento de los datos que incorpora a Rentee y que ha informado debidamente a los interesados.