Acuerdo de Encargo del Tratamiento

Versión 1.0, julio de 2026. Este documento está en vigor y se encuentra en revisión legal ordinaria; cualquier modificación se publicará aquí como versión 1.1.

Entre el salón designado en el Pedido (el "Responsable") y FOX & WOLF CB, que opera bajo el nombre comercial Sondu, CIF E44679041, con domicilio en Calle Niagara 63, Local 33, Flamenca Beach Centro Comercial, Orihuela Costa, 03189, Alicante, España (el "Encargado").

Este Acuerdo forma parte de los Términos del Servicio de Sondu y se aplica siempre que el Encargado trate datos personales por cuenta del Responsable en el marco de la prestación de la plataforma de reservas Sondu (el "Servicio"). Está redactado para cumplir el artículo 28 del Reglamento (UE) 2016/679 (el "RGPD") y la legislación española de protección de datos aplicable, incluida la LOPDGDD.

1. Roles y ámbito

1.1 El Responsable determina los fines y los medios del tratamiento de los datos personales de sus clientes y de su personal. El Encargado trata esos datos únicamente para prestar el Servicio.

1.2 El Encargado actúa únicamente siguiendo las instrucciones documentadas del Responsable, que se dan mediante el uso que el Responsable hace del Servicio, salvo que una norma legal le obligue a actuar de otro modo, en cuyo caso el Encargado informará al Responsable antes del tratamiento, salvo que la norma se lo prohíba.

2. Qué se trata

2.1 Categorías de interesados: los clientes, los clientes potenciales y el personal del Responsable.

2.2 Categorías de datos personales: nombres, direcciones de email, números de teléfono, idioma preferido, historial de citas, preferencias de servicios, notas hechas por el salón, fórmulas de color, registros de fidelización y comunicaciones de reservas.

2.3 Categorías especiales de datos: las fechas de las pruebas de sensibilidad y las notas relacionadas sobre alergias o reacciones son datos relativos a la salud conforme al artículo 9 del RGPD. El Encargado aplica a estos datos las garantías previstas en la cláusula 6. Corresponde al Responsable contar con una base jurídica para registrarlos, que será normalmente el consentimiento explícito del cliente conforme al artículo 9(2)(a), obtenido por el Responsable antes de crear el registro.

2.4 Duración: mientras el Responsable esté suscrito al Servicio, más el periodo de cierre previsto en la cláusula 9.

2.5 Naturaleza y finalidad: alojar y almacenar los registros del salón, gestionar reservas, enviar comunicaciones de citas por email, SMS y WhatsApp, administrar los pagos y generar informes para el Responsable.

3. Confidencialidad

El Encargado garantiza que toda persona a la que autoriza a tratar los datos, incluidos sus propios socios y cualquier miembro del personal, está sujeta a un deber de confidencialidad.

4. Seguridad

4.1 El Encargado aplica medidas técnicas y organizativas apropiadas, entre ellas: datos alojados en la Unión Europea (Irlanda); cifrado de los datos en tránsito y en reposo; seguridad a nivel de fila para que los datos de cada salón queden aislados de los de cualquier otro salón; acceso a los sistemas de producción restringido a personas designadas; secretos guardados en un almacén seguro gestionado y no en el código; y credenciales separadas para el acceso administrativo.

4.2 El Encargado no reducirá de forma sustancial la seguridad general del Servicio durante la vigencia del contrato.

5. Subencargados del tratamiento

5.1 El Responsable otorga autorización general por escrito para los subencargados del tratamiento que se enumeran a continuación. El Encargado comunicará con un preaviso mínimo de 30 días cualquier incorporación o sustitución prevista, plazo durante el cual el Responsable podrá oponerse por motivos razonables de protección de datos. Si la oposición no puede resolverse, el Responsable podrá resolver la parte del Servicio afectada.

5.2 Subencargados del tratamiento actuales:

Subencargado del tratamiento

Finalidad

Ubicación del tratamiento

Supabase

Base de datos, autenticación y almacenamiento de archivos

Unión Europea (Irlanda)

Netlify

Alojamiento de las páginas de reservas y de administración

Estados Unidos y CDN global

Resend

Envío de emails transaccionales

Estados Unidos

Twilio

Envío de SMS

Estados Unidos

Sent Technologies (sent.dm)

Envío de mensajes de WhatsApp

Estados Unidos

Stripe

Facturación de suscripciones y pagos

Unión Europea y Estados Unidos

5.3 Cuando un subencargado del tratamiento trate datos personales fuera del Espacio Económico Europeo, el Encargado se ampara en una decisión de adecuación, incluido el Marco de Privacidad de Datos entre la UE y Estados Unidos cuando el subencargado del tratamiento esté certificado, o en las Cláusulas Contractuales Tipo de la Comisión Europea.

5.4 El Encargado impone a cada subencargado del tratamiento obligaciones de protección de datos no menos protectoras que las de este Acuerdo y sigue siendo responsable de su cumplimiento.

6. Garantías especiales para los datos relativos a la salud

6.1 Los registros de pruebas de sensibilidad y de alergias se almacenan en el mismo entorno alojado en la UE y con acceso controlado que el resto de los datos del salón, y el Encargado nunca los usa para ninguna finalidad distinta de mostrarlos al Responsable y de activar los recordatorios de pruebas de sensibilidad del propio Responsable.

6.2 El Encargado no vende, no comparte ni usa ningún dato del Responsable, sean datos relativos a la salud o de otro tipo, para publicidad, elaboración de perfiles ni entrenamiento de ningún tipo.

7. Asistencia al Responsable

7.1 Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá al Responsable en las solicitudes de los interesados. En la práctica, el Responsable puede consultar, rectificar y suprimir la ficha de un cliente directamente en el Servicio, y el Encargado prestará asistencia para todo lo que el Servicio no pueda hacer, en un plazo de 10 días laborables desde una solicitud por escrito a desk@sondu.eu.

7.2 El Encargado asistirá al Responsable en sus obligaciones conforme a los artículos 32 a 36 del RGPD, incluidas la seguridad, la notificación de violaciones de la seguridad de los datos personales y las evaluaciones de impacto relativas a la protección de datos, en la medida en que afecten al Servicio.

8. Violaciones de la seguridad de los datos personales

8.1 El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Responsable, facilitando la información razonablemente necesaria para que el Responsable cumpla su propia obligación de 72 horas ante la autoridad de control.

8.2 El Encargado documentará la violación de la seguridad, sus efectos y las medidas correctoras adoptadas.

9. Devolución y supresión

9.1 A la terminación del Servicio, el Responsable podrá exportar sus datos desde el propio Servicio, o solicitar una exportación, durante 30 días.

9.2 Transcurrido ese plazo, el Encargado suprimirá los datos personales del Responsable en un plazo de 60 días, salvo cuando la ley exija su conservación, en cuyo caso los datos quedan aislados y protegidos hasta que la supresión sea posible. Las copias de seguridad que contienen los datos caducan en su ciclo normal.

9.3 La responsabilidad de conservar los registros de pruebas de sensibilidad a efectos de seguro tras abandonar el Servicio corresponde al Responsable, y la exportación los incluye.

10. Auditoría

El Encargado pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, y permitirá auditorías por parte del Responsable o del auditor que este designe, limitadas a una vez en cualquier periodo de 12 meses, con un preaviso por escrito de 30 días, en horario laboral, a cargo del Responsable y sin acceso a los datos de otros responsables del tratamiento.

11. Responsabilidad y orden de prelación

La responsabilidad conforme a este Acuerdo está sujeta a las limitaciones de los Términos del Servicio de Sondu. Si este Acuerdo entra en conflicto con los Términos, prevalece este Acuerdo en materia de protección de datos.

12. Ley aplicable

Este Acuerdo se rige por la legislación española y son competentes los juzgados y tribunales de la provincia de Alicante.

Firmado por el Responsable: nombre, salón, fecha

Firmado por el Encargado: Ryan William Justin, socio, FOX & WOLF CB, que opera bajo el nombre comercial Sondu, fecha