1. Partes y objeto
El presente acuerdo se celebra entre el cliente titular de un espacio Orkalo (« el responsable ») y el editor de Orkalo, Keddy Girel Andamba Gnegne, empresario individual, SIREN 923 735 674, 5 Rue Sarret de Coussergues, Résidence Jules Verne, 34300 Agde, France (« el encargado »). Precisa cómo el encargado trata, por cuenta del responsable, los datos personales confiados a Orkalo. Forma parte de las condiciones de uso y se aplica mientras exista el espacio. La aceptación de las condiciones de uso supone la aceptación del presente acuerdo; puede facilitarse una versión firmada por separado a petición.
2. Descripción del tratamiento
- Naturaleza: alojamiento, almacenamiento, consulta, transmisión a las plataformas conectadas, envío de mensajes, generación de documentos, supresión.
- Finalidad: gestión de alquileres de corta duración (alojamientos, reservas, huéspedes, servicios, propietarios, pagos).
- Interesados: huéspedes, colaboradores (con o sin cuenta), propietarios, miembros del equipo del responsable.
- Datos: identidad y datos de contacto, fechas y detalles de las estancias, importes, mensajes, fotos, documentos firmados (nombre, fecha, IP), fichaje de los servicios (posición al pulsar) y, si el responsable los pide, documentos de identidad y fichas de huéspedes.
- Duración: la de la suscripción, seguida de devolución y supresión (artículo 9).
3. Instrucciones del responsable
El encargado solo trata los datos siguiendo instrucciones documentadas del responsable: estas instrucciones son los ajustes y acciones realizados en Orkalo, así como el presente acuerdo. Si una instrucción le parece contraria al RGPD, informa al responsable sin demora.
4. Confidencialidad y seguridad
Las personas autorizadas a acceder a los datos en el encargado están sujetas a confidencialidad y solo acceden a ellos cuando es necesario (soporte solicitado, incidente). Las medidas de seguridad aplicadas se describen en el anexo (artículo 11).
5. Subencargados
El responsable autoriza al encargado a recurrir a los proveedores enumerados en la política de privacidad (alojamiento, correo, conexión con las plataformas, pagos, búsqueda de direcciones, inicio de sesión con Apple / Google). El encargado les impone obligaciones de protección equivalentes. Informa al responsable de cualquier incorporación o sustitución con al menos 30 días de antelación; el responsable puede oponerse por un motivo legítimo y, a falta de solución, resolver sin gastos.
6. Derechos de los interesados
El encargado ayuda al responsable a responder a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, oposición), en particular mediante las funciones de exportación y supresión de Orkalo. Toda solicitud recibida directamente por el encargado se transmite al responsable sin demora.
7. Violación de datos
El encargado notifica al responsable toda violación de datos personales en un plazo de 48 horas desde que tenga conocimiento de ella, con la información útil para que el responsable pueda, en su caso, avisar a la autoridad de control en 72 horas y a los interesados.
8. Asistencia y pruebas
El encargado ayuda razonablemente al responsable en las evaluaciones de impacto y la consulta a la autoridad de control. Pone a su disposición la información necesaria para demostrar el cumplimiento del presente acuerdo y acepta auditorías, con un preaviso de 30 días y a cargo del responsable, sin acceso a los datos de otros clientes.
9. Fin del contrato
Al finalizar la suscripción, el responsable puede exportar sus datos durante 30 días. Después, el encargado los suprime, incluidas las copias de seguridad al final de su ciclo de 30 días, salvo obligación legal de conservación. El borrado se completa como máximo 90 días después del fin de la suscripción.
10. Obligaciones del responsable
El responsable elige la base legal de cada tratamiento, informa a los interesados (huéspedes, colaboradores, propietarios), en particular sobre el fichaje geolocalizado y la recogida de documentos de identidad, y solo pide los datos necesarios. Configura los permisos de su equipo y protege sus propios accesos.
11. Anexo: medidas de seguridad
- Conexiones cifradas (HTTPS) y contraseñas cifradas.
- Sesiones revocables; tokens guardados en el llavero de los teléfonos; Face ID o huella en las apps.
- Separación estricta de los espacios de clientes y permisos por rol.
- Documentos de identidad almacenados aparte, acceso restringido, supresión automática.
- Límite de intentos de conexión y registro de acciones sensibles.
- Copias de seguridad diarias cifradas, conservadas 30 días.
- Supresión automática de los fichajes a los 12 meses.
- Servidores en la Unión Europea en UpCloud (Finlandia).