Contrato de encargo del tratamiento

1. Partes y funciones

El cliente (la empresa con una cuenta de Modudek) es el responsable del tratamiento. Creative Communication, Koerselsesteenweg 192, 3582 Koersel, número de empresa BE 0683.857.720, es el encargado del tratamiento. Este contrato se aplica mientras el cliente utilice Modudek y, después, hasta que todos los datos se hayan eliminado o devuelto.

Si el cliente da acceso a un socio (agencia o gestor), ese socio actúa por encargo y por cuenta del cliente. El cliente decide sobre ese acceso y siempre puede retirarlo en Ajustes. Modudek solo da al socio el acceso que el cliente permitió (completo, o solo facturas y gastos) y guarda lo que el socio cambia en el registro del cliente.

2. Objeto y finalidad

Tratamos datos personales solo para prestar Modudek tal como lo usa el cliente: mostrar su web y su tienda, gestionar contactos y citas, enviar y recibir correos y boletines, hacer funcionar el chat y las funciones de IA, emitir presupuestos, facturas y partes de trabajo (con aceptación y firma de presupuestos en línea), emitir albaranes, listas de preparación y albaranes de devolución y hacerlos firmar en la recepción, vender y descontar tarjetas regalo y bonos de sesiones/suscripciones, ofrecer un portal de clientes donde el cliente del cliente consulta sus documentos y mostrar estadísticas. Nunca usamos los datos para fines propios ni los vendemos.

3. Tipos de datos e interesados

Tipos de datos: datos de identidad y contacto (nombre, correo, teléfono, dirección), comunicaciones (mensajes, conversaciones de chat, correos), citas, pedidos y facturas, notas, preferencias de boletín y datos técnicos (como una dirección IP hecha irreconocible por seguridad). En alquileres también las reservas (periodo, número de personas, pagos) y, si el cliente activa el registro de huéspedes, el nombre, la fecha de nacimiento, la nacionalidad y la dirección del huésped principal; estas fichas se borran automáticamente tras el plazo de conservación que elige el cliente. En los presupuestos, también cuándo se abrió el presupuesto, las opciones elegidas, el nombre y la firma con que el cliente del cliente acepta, la hora y una dirección IP anonimizada (con hash) como prueba, preguntas y motivos de rechazo, y pagos de anticipos. En las tarjetas regalo, el nombre y el correo del comprador y, en su caso, del destinatario, un mensaje personal, el importe, el saldo y los descuentos. En los bonos de sesiones y suscripciones, el nombre y el correo del titular, el número de sesiones, la validez, las sesiones descontadas (con la cita) y el estado de pago de la suscripción. En el portal de clientes, el correo con el que accede el cliente del cliente, los momentos de los enlaces de acceso y de las sesiones (guardados solo como código cifrado; enlaces borrados al cabo de un día, sesiones a los 30 días) y las preguntas y datos modificados que él mismo introduce. En las entregas, también la dirección de entrega, el nombre y la firma de quien recibe la entrega, la hora, una dirección IP anonimizada (con hash) y el dispositivo como prueba de recepción (o el motivo de una entrega sin firma), y fotos de la entrega. Forman parte de los documentos contables y se conservan el mismo tiempo.

Interesados: clientes, posibles clientes, visitantes de la web, suscriptores del boletín y personal del cliente. En alquileres también los huéspedes del cliente. En la gestión de stock también los proveedores y sus personas de contacto (datos de contacto profesionales y pedidos de compra). En las entregas, también quien recibe una entrega.

El cliente no guarda en Modudek categorías especiales de datos (como salud o antecedentes penales), salvo que la ley lo permita y sea necesario para su actividad, y en ese caso bajo su propia responsabilidad.

4. Instrucciones del cliente

Solo tratamos los datos según las instrucciones del cliente. Esas instrucciones son los ajustes y acciones en Modudek y este contrato. Si consideramos que una instrucción infringe la ley, lo indicamos de inmediato. Si una ley o una autoridad nos pide entregar datos, avisamos antes al cliente, salvo que esté prohibido.

5. Confidencialidad

Todas las personas que tienen acceso a los datos en nuestra organización están obligadas a guardar secreto y solo acceden en la medida necesaria para su tarea.

6. Seguridad

Tomamos medidas técnicas y organizativas adecuadas, entre ellas:

• conexiones cifradas (https/TLS) y almacenamiento cifrado en nuestro proveedor de base de datos;
• separación estricta por cliente en la base de datos (cada cliente solo ve sus propios datos);
• verificación en dos pasos obligatoria para todos los usuarios y contraseñas que nunca se guardan de forma legible;
• un cortafuegos y límites contra abusos y ataques;
• copias de seguridad en nuestro proveedor de base de datos y un botón de copia de seguridad para el cliente;
• acceso de nuestro equipo solo cuando es necesario.

7. Subencargados

El cliente da una autorización general para recurrir a estos subencargados:

• Supabase (base de datos, inicio de sesión, archivos) – Fráncfort, UE;
• Vercel (alojamiento y cortafuegos) – red mundial, empresa estadounidense;
• Resend (envío y recepción de correo) – empresa estadounidense, envío desde la UE;
• Stripe (pagos) – Irlanda y EE. UU.;
• Anthropic (funciones de IA; no usa los datos para entrenar modelos) – EE. UU.;
• Hostinger (dominios y DNS) – UE.
• Hostinger Mail (buzones que el cliente contrata a través de Modudek).
• CM.com (envío de SMS y mensajes de WhatsApp, si el cliente utiliza recordatorios) – Países Bajos, UE; mensajes de WhatsApp a través de Meta Platforms Ireland (WhatsApp Business), con transferencias conforme al Marco de Privacidad de Datos UE-EE. UU.
• OpenStreetMap Foundation (búsqueda de las coordenadas de la dirección comercial en la web del cliente; ningún dato de clientes finales) – Reino Unido, decisión de adecuación de la Comisión Europea.

Imponemos a los subencargados las mismas obligaciones que en este contrato. Anunciamos un nuevo subencargado con al menos 30 días de antelación. El cliente puede oponerse por un motivo válido; si no encontramos una solución, puede finalizar la suscripción sin coste.

8. Transferencias fuera de la UE

Los datos solo salen del Espacio Económico Europeo si existe una garantía válida, como una decisión de adecuación (p. ej. el Marco de Privacidad de Datos UE-EE. UU.) o las cláusulas contractuales tipo de la Comisión Europea.

9. Derechos de los interesados

Si alguien pide al cliente acceso, rectificación, supresión o una copia de sus datos, Modudek le ayuda: el cliente puede buscar, editar, exportar y eliminar contactos en la aplicación. Si una solicitud así nos llega a nosotros, la remitimos al cliente.

El cliente puede responder él mismo a una solicitud de acceso o de portabilidad: en la ficha del contacto, un administrador descarga con el botón «Exportar datos (RGPD)» un archivo (JSON) con los datos guardados en el espacio de trabajo sobre ese contacto. Para suprimir datos, el cliente elimina el contacto; las facturas emitidas se conservan, como exige la normativa contable. Los albaranes y albaranes de devolución también se conservan, con el nombre y la dirección que figuran en ellos.

10. Brechas de datos

Si descubrimos una violación de la seguridad que afecta a los datos del cliente, la notificamos sin dilación indebida y, como máximo, en las 48 horas siguientes a constatarla. Facilitamos la información que el cliente necesita para cumplir su propia obligación de notificación (qué ocurrió, qué datos, las consecuencias y las medidas tomadas) y colaboramos en la solución.

11. Asistencia y control

Ayudamos al cliente, en la medida razonable, con una evaluación de impacto relativa a la protección de datos o una consulta a la Autoridad de Protección de Datos.

A petición, damos al cliente la información necesaria para demostrar que cumplimos este contrato. Puede realizarse una auditoría una vez al año, con un preaviso razonable de al menos 30 días, a cargo del cliente y sin acceso a datos de otros clientes.

12. Fin del contrato

Tras el fin de la suscripción, el cliente puede exportar sus datos durante 3 meses. Después los eliminamos, también de las copias de seguridad dentro de su plazo habitual de conservación, salvo lo que debamos conservar por ley.

13. Responsabilidad y orden de prelación

La responsabilidad se rige por nuestras condiciones generales. En caso de contradicción sobre la protección de datos personales, este contrato de encargo del tratamiento prevalece sobre las condiciones generales. Este contrato se rige por el derecho belga.