Acuerdo de tratamiento de datos

Ámbito de aplicación

Este acuerdo de tratamiento de datos («DPA», por sus siglas en inglés) establece cómo OPALITH SAS, con domicilio social en 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156), trata datos personales por cuenta de sus clientes cuando estos usan rdv.dev, tal como exige el artículo 28 del Reglamento General de Protección de Datos («RGPD»).

Forma parte de las condiciones del servicio y se aplica automáticamente a todo cliente que las acepte, sin necesidad de firma aparte. Los términos definidos en las condiciones (Servicio, Espacio de trabajo, Propietario, Anfitrión, Invitado, Agente) tienen aquí el mismo significado. Si este DPA y las condiciones discrepan sobre los datos personales tratados por cuenta tuya, prevalece este DPA.

Roles de las partes

• Tú, el cliente, eres el responsable del tratamiento de los datos personales que se tratan para ti en tu espacio de trabajo: los datos de tus invitados y los de tus miembros cuando usan el Servicio para tu empresa (sus tipos de evento, su disponibilidad, sus reservas y sus conexiones de calendario, tal como estén configurados en tu espacio de trabajo).
• OPALITH SAS es tu encargado del tratamiento respecto de esos datos, y solo los trata para prestarte el Servicio.
• OPALITH SAS es responsable del tratamiento de los datos que trata para sus propios fines: cuentas e inicio de sesión, seguridad, facturación y su relación contigo. Ese tratamiento se describe en la política de privacidad y no está cubierto por este DPA.

Detalles del tratamiento

Objeto

Prestar el Servicio: páginas de reserva, disponibilidad, reservas, eventos de calendario, confirmaciones y recordatorios, marca, y la API pública, el servidor MCP y los webhooks.

Duración

Mientras dure el contrato; después, el plazo de recuperación de 30 días descrito en las condiciones y, a continuación, la supresión (consulta Supresión o devolución).

Naturaleza

Recogida a través de las páginas de reserva y de la API, almacenamiento, organización, consulta, lectura en tiempo real de la disponibilidad de los calendarios, escritura de eventos de calendario, transmisión por correo electrónico, SMS, API y webhooks, y supresión.

Finalidad

Permitir que tus invitados reserven, cambien de hora y cancelen reuniones con tus anfitriones; informar a invitados y anfitriones; mantener actualizados los calendarios de tus anfitriones; y dar a tus integraciones y agentes acceso a tus datos de agenda.

Interesados

Tus invitados (por ejemplo, clientes potenciales, clientes, candidatos y socios); tus miembros y anfitriones; las personas que invitas a tu espacio de trabajo.

Datos personales

Invitados: nombre, dirección de correo electrónico, zona horaria, idioma, notas y respuestas facilitadas al reservar, detalles de la reunión y, solo si el invitado pide recordatorios por SMS, número de móvil y consentimiento. Miembros: nombre, dirección de correo electrónico, rol, tipos de evento, horario semanal, horas ocupadas (leídas en tiempo real, no almacenadas), identificadores de los eventos de calendario escritos para ellos. Visitantes de las páginas de reserva: dirección IP, tratada por motivos de seguridad y de limitación de frecuencia.

Categorías especiales

Ninguna prevista. No pidas a los invitados datos sensibles, como información de salud, en las preguntas de reserva.

Tus instrucciones

• Tratamos los datos personales únicamente siguiendo tus instrucciones documentadas. Tus instrucciones son las condiciones, este DPA, la forma en que configuras y usas el Servicio, y cualquier otra instrucción por escrito que envíes a hello@rdv.dev y que el Servicio pueda ejecutar razonablemente.
• Te informamos si, en nuestra opinión, una instrucción infringe el RGPD u otra normativa de protección de datos.
• Si el Derecho de la Unión Europea o el Derecho francés nos obliga a tratar los datos de otra manera, te lo comunicamos antes de hacerlo, salvo que ese Derecho lo prohíba.

Confidencialidad

Solo pueden acceder a los datos las personas que los necesitan para hacer funcionar el Servicio. Cada una de ellas está sujeta a un deber de confidencialidad, contractual o legal.

Medidas de seguridad

Protegemos los datos personales con medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Ubicación. La base de datos y las funciones de la aplicación están en Fráncfort (Alemania).
• Cifrado. Cifrado en tránsito (TLS) para todas las conexiones, y cifrado en reposo por parte de nuestros proveedores de base de datos y de almacenamiento de archivos.
• Control de acceso. Cada acción en el Servicio comprueba, en el servidor, quién la pide y qué permite su rol en el espacio de trabajo. El acceso a los sistemas de producción se limita a las personas que gestionan el Servicio.
• Secretos. Las contraseñas, los enlaces de gestión de los invitados, los secretos de invitación y las claves de API solo se guardan como hash. Los tokens OAuth de calendario los custodia Nango y nunca llegan a nuestra base de datos ni a nuestro código.
• Minimización. La información de libre/ocupado de los calendarios se lee en tiempo real y no se almacena; de los calendarios de Microsoft solo pedimos el inicio, el fin, el estado libre/ocupado y la cancelación de los eventos. Los números de teléfono de los invitados solo se recogen para los recordatorios por SMS, con su consentimiento.
• Protección contra abusos. Límites de frecuencia por cuenta y por dirección IP en forma de hash; los sitios web se descargan a través de un transporte protegido que rechaza las direcciones de redes privadas.
• Resiliencia. Copias de seguridad gestionadas de la base de datos con restauración a un momento dado; eliminación diaria de los datos caducados.
• Revisión. Revisamos estas medidas cuando cambia el Servicio y, como mínimo, una vez al año.

Asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, te ayudamos a:

• responder a las solicitudes de las personas que ejercen sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición). La mayoría pueden gestionarse en el propio Servicio; si una solicitud nos llega directamente, te la remitimos sin dilación indebida y no la respondemos nosotros, salvo que nos lo pidas;
• cumplir tus obligaciones de seguridad;
• realizar una evaluación de impacto relativa a la protección de datos, o consultar a una autoridad de control, cuando el tratamiento lo requiera.

Violaciones de la seguridad de los datos personales

Te notificamos toda violación de la seguridad de los datos personales que afecte a tus datos sin dilación indebida y, a más tardar, 48 horas después de tener conocimiento de ella, por correo electrónico al propietario del espacio de trabajo. La notificación describe, en la medida en que lo sepamos en ese momento, la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas. La completamos a medida que sabemos más, y te ayudamos a notificarla a la autoridad de control y a las personas afectadas cuando debas hacerlo.

Subencargados del tratamiento

Nos concedes una autorización general para recurrir a subencargados del tratamiento. Actualmente son:

• Mismas obligaciones. Cada subencargado está vinculado por un contrato escrito que otorga a los datos personales el mismo nivel de protección que este DPA. Seguimos siendo responsables ante ti de su trabajo.
• Cambios. Avisamos a los propietarios por correo electrónico, y actualizamos esta página, al menos 30 días antes de que un nuevo subencargado empiece a tratar tus datos.
• Derecho de oposición. Dentro de esos 30 días, puedes oponerte por motivos razonables de protección de datos escribiendo a hello@rdv.dev. Buscaremos una solución contigo. Si no la encontramos, puedes resolver el contrato antes de que se aplique el cambio, y te reembolsaremos los importes pagados por el periodo posterior a la fecha de finalización.

Google y Microsoft no son subencargados nuestros: tus anfitriones conectan sus propios calendarios, y Google y Microsoft actúan frente a ellos conforme a sus propias condiciones.

Transferencias internacionales

Tus datos se almacenan en la Unión Europea. Cuando un subencargado está ubicado en un país sin decisión de adecuación de la Comisión Europea, o se puede acceder a los datos desde un país así, la transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado y, en caso contrario, en las cláusulas contractuales tipo adoptadas por la Comisión Europea (decisión 2021/914), junto con las medidas que se describen a continuación.

Infraestructura y acceso de las autoridades públicas

Dónde están tus datos. La base de datos (Neon) y las funciones de la aplicación (Vercel) están en Fráncfort (Alemania). Los archivos los almacena Vercel Blob y se sirven a través de la red global de Vercel.

Quiénes son los proveedores. Vercel, Neon, Nango, Mailtrap y Firecrawl son empresas con sede en Estados Unidos, y ClickSend tiene su sede en Australia. Las leyes de esos países pueden permitir que sus autoridades pidan a estos proveedores datos que custodian, incluso cuando están almacenados en la Unión Europea.

Qué hacemos al respecto.

• Cifrado. Los datos se cifran en tránsito y en reposo.
• Minimización. Cada proveedor solo recibe lo que su tarea necesita. Los tokens de calendario nunca llegan a nuestra base de datos, la información de libre/ocupado de los calendarios nunca se almacena y los recordatorios por SMS solo se envían a los invitados que los han pedido.
• Solicitudes que nos llegan. Si una autoridad de fuera de la Unión Europea nos pide tus datos, comprobamos que la solicitud sea lícita, la impugnamos cuando haya motivos para ello y solo comunicamos el mínimo que la solicitud exija legalmente.
• Te informamos. Te informamos de esa solicitud antes de responderla, salvo que la ley nos lo prohíba.
• Proveedores. Elegimos proveedores que se comprometen a lo mismo: impugnar las solicitudes ilícitas e informar a sus clientes cuando la ley lo permita.

Supresión o devolución al finalizar

Cuando el contrato termina, puedes exportar tus datos durante el plazo de recuperación de 30 días descrito en las condiciones. Pasado ese plazo, suprimimos los datos personales que tratamos por cuenta tuya, salvo que el Derecho de la Unión Europea o el Derecho francés nos obligue a conservarlos. Los datos suprimidos desaparecen del historial de restauración de nuestro proveedor de base de datos en un plazo de 30 días. Si eliminas tú mismo tu espacio de trabajo, la supresión es inmediata. Confirmamos la supresión por escrito si lo solicitas.

Auditorías

• Ponemos a tu disposición la información necesaria para demostrar que cumplimos nuestras obligaciones en virtud del artículo 28 del RGPD, empezando por este DPA y por las respuestas a tus preguntas razonables.
• Si no es suficiente, puedes auditar nuestro cumplimiento una vez al año, con un preaviso por escrito de al menos 30 días, en horario laboral y a tu cargo, tú mismo o a través de un auditor independiente sujeto a confidencialidad. Una auditoría no debe dar acceso a los datos de otros clientes ni perturbar el Servicio.
• Puedes auditar con más frecuencia si lo exige una autoridad de control, o tras una violación de la seguridad de los datos personales que afecte a tus datos.

Responsabilidad y duración

Este DPA se aplica mientras tratemos datos personales por cuenta tuya. Entre tú y nosotros, la cláusula de responsabilidad de las condiciones se aplica a este DPA, en la medida en que la ley lo permita. Nada de lo dispuesto en él limita los derechos de las personas cuyos datos se tratan.

Contacto

Para cualquier cuestión sobre este DPA, escribe a hello@rdv.dev. OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France.