Condiciones de encargo del tratamiento de datos

1. Partes

• Encargado: Dirdam Capital, S.L., NIF B22696975, C/ Antonio Navarro 4, Bloque 1, Bajo, 38660 Costa Adeje, Tenerife, España. Contacto de privacidad: hola@dirdam.app.
• Responsable: la entidad que contrata el servicio, identificada en la propuesta aceptada o en su alta en el panel de Dirdam.

2. Objeto y duración

El encargo consiste en prestar la plataforma Dirdam de gestión para hoteles y restauración (documentos de compra, almacén, finanzas, recepción, huéspedes, restauración, personal y demás módulos que el cliente tenga contratados).

El encargo dura lo mismo que el contrato de servicio. El deber de confidencialidad se mantiene una vez terminado.

3. Naturaleza y finalidad del tratamiento

Dirdam aloja, registra, organiza, consulta y conserva los datos que el cliente introduce o conecta; extrae datos de documentos de forma automatizada, incluso con modelos de inteligencia artificial; los cruza con los sistemas del cliente (ERP, PMS, TPV y similares) y, cuando el cliente lo activa, envía comunicaciones en su nombre. La única finalidad es prestar el servicio contratado.

4. Interesados y categorías de datos

• Huéspedes y clientes: identificación y contacto, datos de reservas y estancias, preferencias, opiniones y comunicaciones.
• Clientes de restauración: identificación y contacto, reservas y estado de pago. Nunca datos de tarjeta.
• Personal del cliente: identificación, registro de jornada y, si se contrata el módulo correspondiente, coste de personal.
• Proveedores y sus contactos: identificación, contacto y datos de facturación.
• Usuarios del panel: identificación, credenciales y registro de actividad.

Dirdam no necesita categorías especiales de datos para prestar el servicio. Si el cliente anota necesidades alimentarias o de salud (por ejemplo, alergias en una reserva), se tratan solo para atender esa reserva y con las mismas medidas que el resto.

5. Obligaciones de Dirdam

• Tratar los datos solo siguiendo las instrucciones documentadas del cliente: este contrato, estas condiciones y la configuración que el cliente hace en el panel. Si una instrucción infringe la normativa, Dirdam lo comunicará de inmediato.
• No utilizar los datos para fines propios ni para entrenar modelos de inteligencia artificial.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el anexo.
• Recurrir a otros encargados solo en los términos de la cláusula 7.
• Ayudar al cliente a atender los derechos de los interesados, a cumplir sus obligaciones de seguridad y de notificación de violaciones, y en las evaluaciones de impacto y consultas previas que le correspondan.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de estas condiciones y permitir las auditorías razonables que solicite, con aviso previo y sin acceso a datos de otros clientes.
• Llevar el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD).

6. Obligaciones del cliente

• Contar con una base jurídica para cada tratamiento e informar a los interesados.
• Dar instrucciones lícitas y configurar el panel de acuerdo con ellas.
• Supervisar el tratamiento, incluidas las auditorías de la cláusula 5.

7. Subencargados

El cliente autoriza a Dirdam a recurrir a los subencargados publicados en dirdam.app/legal/subencargados. Dirdam avisará al administrador del cliente con al menos 30 días de antelación de cualquier alta o sustitución. El cliente puede oponerse de forma motivada en ese plazo y, si no se alcanza una solución, resolver el contrato sin penalización.

Dirdam impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a estas y responde ante el cliente de su cumplimiento.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cuando un subencargado los trate fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo.

9. Violaciones de seguridad

Dirdam notificará al cliente cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia de ella, con la información disponible sobre su naturaleza, los datos e interesados afectados, sus consecuencias probables y las medidas adoptadas o propuestas. Completará la información a medida que la obtenga.

10. Derechos de los interesados

Si un interesado dirige a Dirdam una solicitud de acceso, rectificación, supresión, oposición, limitación o portabilidad sobre datos del cliente, Dirdam la trasladará al cliente en un máximo de 5 días hábiles y no la contestará por su cuenta salvo instrucción del cliente. El panel permite al cliente consultar, corregir, exportar y suprimir los datos para atender esas solicitudes.

11. Fin del encargo

Al terminar el contrato, el cliente podrá exportar sus datos durante 30 días. Pasado ese plazo, Dirdam suprimirá los datos del cliente de sus sistemas y las copias de seguridad se eliminarán con su ciclo ordinario de rotación.

Si el cliente debe conservar datos por obligación legal (por ejemplo, el registro de jornada durante cuatro años), puede pedir a Dirdam que los devuelva en un formato de uso común o que los mantenga bloqueados durante el plazo que indique, con acceso solo para atender requerimientos de autoridades.

12. Pagos con tarjeta

Los cobros con tarjeta se hacen en la pasarela de pago del propio cliente, a la que se redirige al comprador. Dirdam no recibe, almacena ni transmite números de tarjeta ni códigos de seguridad.

13. Responsabilidad y ley aplicable

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. Estas condiciones se rigen por la legislación española.

14. Aceptación y cambios

El administrador del cliente acepta estas condiciones en el panel de Dirdam, que registra la persona, la fecha, la dirección IP y la huella digital del texto aceptado. También pueden firmarse con certificado electrónico. Cualquier cambio en este texto genera una versión nueva, que se comunica al cliente y requiere una nueva aceptación.

Anexo. Medidas de seguridad

• Datos alojados en la Unión Europea, con cifrado en tránsito y en reposo.
• Aislamiento de los datos de cada cliente en la base de datos, de modo que un usuario solo puede acceder a los de su organización.
• Credenciales de integración de cada cliente cifradas de forma individual.
• Control de acceso por usuario y por permisos, con confirmación adicional para las acciones destructivas.
• Copias de seguridad diarias gestionadas y una copia propia independiente.
• Borrado recuperable durante 30 días y registro de cada borrado.
• Registro de errores alojado en la Unión Europea, con los datos personales filtrados.
• Revisiones periódicas de seguridad y corrección priorizada de lo que encuentran.