Eranskina · Datu-tratamenduko Hitzarmena (DPA)
Informazio-itzulpena. Desadostasunik balego, gaztelaniazko bertsioa nagusituko da.
Datu-tratamenduko Hitzarmen honek (aurrerantzean, «DPA») datu pertsonalen tratamendua arautzen du ENES Estrategia Conjunta SLren (aurrerantzean, «DEKKO») eta urpekaritza-klub edo -eskola sinatzailearen (aurrerantzean, «Kluba») artean, bien artean sinatutako SaaS zerbitzu-kontratuaren esparruan. DEKKO Zerbitzuaren Baldintzen derrigorrezko eranskina da, eta Pribatutasun-politikak osatzen du. Oinarrizko eredua: 2021/914/EB Erabakiko klausula tipoak, DEKKOren erantzunkidetasun-eredura (DBEOren 26. art.) egokituta.
1 · Alderdiak eta definizioak
«Arduraduna», «Eragilea», «Erantzunkideak (Joint Controllers)», «Datu pertsonalak», «Tratamendua», «Interesduna» eta «Kategoria bereziak» terminoak DBEOren (EB 2016/679 Erregelamendua) arabera interpretatzen dira.
- DEKKO · ENES Estrategia Conjunta SL · IFK B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Espainia) · privacidad@dekko.club
- Kluba · kontratu espezifikoan identifikatutako pertsona fisiko edo juridikoa, aisialdiko urpekaritzaren edo urpekaritza teknikoaren jardueran profesionalki aritzen dena.
2 · Tratamenduaren xedea eta izaera
Urpekarien (Klubaren azken bezeroen) datuak erantzunkidetasun-araubidean (Joint Controller · DBEOren 26. art.) tratatzen dira: Klubak xede operatiboak zehazten ditu (murgilketa, ikastaroa, jarduera), eta DEKKOk, berriz, klubarteko (cross-club) zerbitzuaren xedeak, urpekariaren profil iraunkorra eta analisi estatistikoa, urpekariaren berariazko baimenaren mende.
- Klubaren operadorearen datuak DEKKOk tratatzen ditu, Arduradun bakar gisa.
- Klubeko gainerako langileen datuak Klubak tratatzen ditu, Arduradun gisa, eta DEKKO Eragilea da datuak dashboard-ean gordetzen direnean.
3 · Datu- eta interesdun-kategoriak
Interesdunak: urpekariak (azken bezeroak), Klubaren operadoreak eta Klubeko langileak.
Tratatutako datuak: identifikaziokoak (izena, NANa/pasaportea, jaiotze-data), harremanetarakoak (e-posta, telefonoa, helbidea), urpekaritzakoak (titulazioa, asegurua, alokairuko ekipoa, murgilketen historia), ekonomikoak (ordainketaren metadatuak · kobrantza Stripek prozesatzen du), komunikaziokoak (WhatsApp, e-postak, dokumentuen irudiak) eta kategoria berezia (DBEOren 9. art.): adierazpen medikoa, SSI/PADI/RSTC galdetegikoa, eta, hala badagokio, ziurtagiri medikoa.
4 · Erantzukizunen banaketa
Kluba honen arduradun nagusia da: urpekariari erreserbatutako zerbitzuko tratamenduaren berri ematea; checkout-eko lehen checkbox-eko baimena jasotzea; datu medikoak tratatzea zerbitzua emateko; jarduerako lege-betebeharrak betetzea (manifestuak, zerrendak, tokiko araudia); kobratzea eta fakturatzea; eta fakturak 6 urtez gordetzea.
DEKKO honen arduradun nagusia da: klubarteko (cross-club) tratamenduaren berri ematea; bigarren checkbox-eko opt-in baimena jasotzea; urpekariaren profila mantentzea, opt-in egon bada; DEKKOren izenean igorritako komunikazioak; eta azpiegitura komunaren segurtasun teknikoa.
Bi alderdiak batera dira honen erantzule: neurri tekniko eta antolakuntzakoak; urraketak AEPDri (<72 h) eta, hala badagokio, interesdunei jakinaraztea; interesdunaren eskubideei erantzutea (<30 egun); tratamendu-jardueren erregistroa; eta eraginaren ebaluazioak (DPIA), aplikatzen direnean.
5 · Harreman-gune bakarra interesdunarentzat
Interesdunak alderdi bietako edozeinen aurrean baliatu ditzake bere eskubideak: privacidad@dekko.club helbidera idatziz (edo DPOri, dpo@dekko.club helbidean) edo Klubaren e-postara. Eskaera jasotzen duen alderdiak 48 ordu baino lehen jakinaraziko dio besteari, eta koordinatu egingo dira erantzun bakarra lege-epearen barruan emateko.
6 · Opt-in baimen bikoitz granularra
Urpekariaren lehen erreserban (webgune publikoa, WhatsApp agentea edo alta), urpekariak bi baimen bereizi, granular eta aurrez markatu GABEAK ematen ditu: (1) derrigorrezkoa, erreserba kudeatzeko eta Klubaren lege-betebeharretarako; (2) aukerakoa, DEKKOren zeharkako klubarteko (cross-club) profilerako. Arau urraezinak: aurrez markatu gabe, taldekatu gabe, ezkutatu gabe, eta baimen bakoitza erregistratu egiten da timestamp-arekin, IP anonimizatuarekin, user-agent-arekin, dokumentuaren bertsioarekin eta urpekariaren identifikatzailearekin.
7 · Neurri tekniko eta antolakuntzakoak (DBEOren 32. art.)
- Igorpeneko zifratzea (TLS 1.3 · HSTS) eta atsedenekoa (AES-256).
- Multi-tenant isolamendua datu-basearen mailan (PostgreSQL-ren Row Level Security).
- Datu-multzoen bereizketa, Klubaren datu operatiboen eta DEKKOren urpekari-profilaren artean.
- Magic link bidezko autentifikazioa (pasahitzik gorde gabe) eta rolen araberako sarbide-kontrola.
- Kategoria berezietarako (datu medikoak) sarbideen monitorizazioa, 12 hilabetez auditagarriak diren log-ekin.
- Eguneroko babeskopiak EBko azpiegituran, 30 eguneko atxikipenarekin eta berreskuratze-plan dokumentatuarekin.
- Izendatutako DPOa (dpo@dekko.club), langileen urteko prestakuntza eta gorabeherei erantzuteko prozedura.
8 · Baimendutako azpieragileak
DEKKOk azpieragile hauek erabiltzen ditu, guztiak DPA sinatuta dutela. Klubak berariaz baimentzen ditu DPA hau sinatuz; aldaketak 30 eguneko aurrerapenarekin jakinarazten dira, eta Klubak arrazoituta egin diezaieke aurka.
| Azpieragilea | Funtzioa | Kokapena | Nazioarteko transferentzia |
|---|---|---|---|
| Supabase Inc. | Datu-basea + Auth + Storage | Irlanda (EB) | Ez dagokio |
| Cloudflare Inc. | CDNa, hostinga, DNSa | AEB + EB | SCC 2021/914 |
| Stripe Payments Europe Ltd. | Ordainketen prozesamendua | Irlanda (EB) | Ez dagokio |
| Brevo (Sendinblue) | Transakzio-posta eta marketina | Frantzia (EB) | Ez dagokio |
| Manychat Inc. | WhatsApp bot-aren orkestrazioa | AEB | SCC 2021/914 |
| Anthropic, PBC | Claude APIa (bot-aren IA) | AEB | SCC 2021/914 |
| Netelip Telecom SL | VoIP telefonia | Espainia (EB) | Ez dagokio |
9 · Atxikipen-epeak
| Kategoria | Epea |
|---|---|
| Erreserba- eta kobrantza-datuak | 6 urte (Merkataritza Kodea) |
| Datu medikoak | 30 egun murgilketaren ondoren, gorabeherarik ezean |
| DEKKOren zeharkako profila (opt-in) | Interesdunak ezabatzea eskatu arte |
| Segurtasun-logak | 12 hilabete |
| Baliatutako baimenen erregistroa | Mugagabea (defentsa juridikoa) |
10 · Interesdunaren eskubideak
Bi alderdiek DBEOko eskubide guztiak baliatu ahal izatea bermatzen dute (sarbidea, zuzenketa, ezabaketa, mugaketa, eramangarritasuna, aurkaratzea, baliogabetzea) gehienez 30 eguneko epean; epe hori 2 hilabetez luza daiteke kasu konplexuetan, interesdunari jakinarazita. Ezabatzeko eskubidea (17. art.) urraezina da, gordetzeko lege-betebeharra (kontabilitate-datuak) edo erreklamazioen aurkako defentsa dagoenean izan ezik: gainerako kasu guztietan auzitan jarri gabe betetzen da, datuak produkziotik 30 egunean ezabatuz eta babeskopietatik hurrengo 90 egunetan.
11 · Segurtasun-urraketen jakinarazpena
Urraketa bat hautematen duen alderdiak berehala jakinaraziko dio besteari, eta koordinatu egingo dira AEPDri 72 ordu baino lehen jakinarazteko (DBEOren 33. art.) eta, arrisku handia badakar, eragindako interesdunei atzerapen bidegaberik gabe (34. art.). Urraketa oro, jakinarazi beharrekoak ez direnak barne, barnean dokumentatzen da.
12 · Auditoria
Klubak DPA hau betetzen den auditatu dezake urtean behin, 30 eguneko aurreabisuarekin, DEKKOren beste bezero batzuen konfidentzialtasuna errespetatuz, galdetegi dokumental baten bidez, kanpoko auditore baten bidez (bere kontura) edo SOC2/ISO27001 txostenak berrikusiz, DEKKOk horiek lortzen dituenean.
13 · Amaiera
SaaS kontratua amaitzean, DPA hau ez zaie tratamendu berriei aplikatzen, baina indarrean jarraitzen dute aurretik dauden datuei buruzko konfidentzialtasun-, lege-kontserbazio-, eskubideei erantzuteko eta urraketak jakinarazteko betebeharrek. DEKKOk, gehienez 30 eguneko epean, Klubari emango dizkio haren datu operatibo guztiak CSV edo JSON egituratuan. DEKKOren zeharkako profileko datuak (opt-in egon bada) DEKKOn geratzen dira urpekariaren baimenaren arabera, harik eta hark ezabatzeko eskubidea baliatzen duen arte.
14 · Publizitatea, aldaketak eta legeria
DBEOren 26.2 artikuluaren arabera, DPA honen funtsezko edukia interesdunaren eskura jartzen da Pribatutasun-politikaren bidez. DPA hau alderdien arteko akordioz edo arau-beharrengatik alda daiteke, 30 eguneko abisuarekin. Espainiako legeriak eta DBEOk arautzen dute; gatazketarako, alderdiak Tarragonako Epaitegi eta Auzitegien mende jartzen dira.