Anexo de Tratamiento de Datos

1. Qué es esto

Este Anexo forma parte de los Términos y Condiciones entre GK Tools Ltd (número de sociedad 16434833, domicilio social 483 Green Lanes, London, N13 4BS, registro ante la ICO ZB899192 (se abre en una pestaña nueva) — «nosotros», «nos») y cada Empresa que usa Appoint Me. Establece cómo tratamos datos personales por cuenta de usted, conforme al artículo 28 del RGPD del Reino Unido.

2. Las funciones

Respecto de los datos personales de sus clientes que pasan por Appoint Me —nombres, datos de contacto, reservas, notas, referencias de pago—, usted es el responsable del tratamiento y nosotros somos su encargado. (Para su propia cuenta, la facturación y nuestras páginas de marketing, el responsable somos nosotros; consulte nuestra Política de Privacidad.)

3. Alcance del tratamiento

Objeto: hacer funcionar su página de reservas y su panel de administración. Duración: mientras mantenga una cuenta, más el plazo de conservación indicado en nuestra Política de Privacidad. Naturaleza y finalidad: guardar y mostrar reservas, enviar confirmaciones y recordatorios de reserva, registrar señales y pagos de tarjetas regalo, y las demás funciones del Servicio. Tipos de datos: datos identificativos y de contacto, detalles e historial de reservas, notas que usted o sus clientes añadan, reseñas (valoración, comentario y fotos, si las hay) y referencias de pago. Interesados: sus clientes y su personal.

Ofertas y novedades: cuando su página de reservas pregunta a los clientes si puede enviarles ofertas y novedades, registramos cada respuesta en su nombre, con el texto exacto mostrado, su idioma, la fecha y la hora, la dirección IP y el navegador, y conservamos ese registro durante seis años desde la última decisión del cliente. Los clientes pueden retirar su consentimiento en cualquier momento desde su cuenta o el enlace de sus emails de reserva, y usted puede registrar una retirada que le comuniquen directamente.

4. Nuestros compromisos como encargado del tratamiento

Nos comprometemos a:

• tratar estos datos únicamente siguiendo sus instrucciones documentadas —usar el Servicio es su instrucción—, salvo que la ley del Reino Unido exija otra cosa, en cuyo caso se lo diremos antes siempre que la ley lo permita;
• asegurarnos de que toda persona a la que permitamos acceder a ellos esté sujeta a un deber de confidencialidad;
• protegerlos con medidas técnicas y organizativas apropiadas, incluidas conexiones cifradas, contraseñas con hash y controles de acceso que mantienen los datos de cada Empresa privados para esa Empresa;
• ayudarle, con una asistencia razonable, a responder a las solicitudes de protección de datos de sus clientes y a cumplir sus propias obligaciones de seguridad y de notificación de brechas;
• ayudarle, con una asistencia razonable, cuando realice una evaluación de impacto relativa a la protección de datos o consulte a la ICO;
• avisarle si creemos que una instrucción suya infringiría la normativa de protección de datos, para que pueda decidir qué hacer;
• informarle sin dilación indebida si tenemos conocimiento de una brecha de datos personales que afecte a sus datos;
• al cerrarse su cuenta, eliminar o devolver estos datos como se describe en nuestra Política de Privacidad, conservando solo lo que la ley nos obligue a conservar; y
• poner a disposición la información razonablemente necesaria para demostrar que cumplimos estos compromisos, y permitir auditorías cuando el RGPD del Reino Unido lo exija.

5. Subencargados

Usted nos da una autorización general para usar estos subencargados: allhost.io (los servidores del Reino Unido en los que funciona el Servicio); Microsoft 365, Microsoft Ireland Operations Ltd (correos de confirmación de reservas, recordatorios y correos de inicio de sesión); Google (protección antibots Google reCAPTCHA en los formularios, y Firebase Cloud Messaging para las notificaciones de Android); Apple (Apple Push Notification service para las notificaciones de iPhone y iPad); y Voodoo SMS (códigos de inicio de sesión y, si los activa, SMS de citas). Las señales, las tarjetas regalo y los demás pagos con tarjeta que cobre se abonan directamente en su propia cuenta de Stripe y los procesa Stripe en virtud de su propio acuerdo con Stripe, no como subencargado nuestro. Un recepcionista con IA que conecte es su propio proveedor, elegido y dirigido por usted.

Avisaremos a las Empresas con una antelación razonable antes de añadir o sustituir un subencargado, y usted podrá oponerse por motivos razonables de protección de datos; si no logramos resolver la objeción, podrá cancelar conforme a los Términos.

6. Transferencias

Nuestros servidores están en el Reino Unido. Google y Apple pueden tratar datos de notificaciones y de protección antibots en los Estados Unidos, y Microsoft puede tratar datos de correo electrónico fuera del Reino Unido. Cuando un subencargado transfiere los datos de sus clientes fuera del Reino Unido, nos aseguramos de que la transferencia esté cubierta por la UK Extension del EU-US Data Privacy Framework, el International Data Transfer Agreement de la ICO o su Addendum a las cláusulas contractuales tipo de la UE, y usted nos da instrucciones para realizar esas transferencias al usar las funciones correspondientes.

7. Contacto

¿Tiene dudas sobre este Anexo? Escriba a support@appointme.com o a GK Tools Ltd, 483 Green Lanes, London, N13 4BS.