Contrato de Encargado del Tratamiento

El Encargado trata los datos de los clientes de la barbería (nombre, teléfono, email, turnos, pagos de seña, historial de asistencia y lista de espera) únicamente para prestar el servicio contratado: alojar la agenda, mostrar la reserva pública, gestionar la lista de espera, procesar señas y generar recordatorios.

• Tratar los datos solo según las instrucciones del Responsable y para la finalidad del servicio; no usarlos para fines propios ni cederlos a terceros.
• Mantener la confidencialidad de los datos, obligación que subsiste después de terminado el contrato.
• Aplicar medidas de seguridad técnicas y organizativas adecuadas (cifrado en tránsito, hash de contraseñas, cifrado de credenciales, control de acceso por roles, copias de seguridad).
• Asegurar que las personas autorizadas a acceder a los datos estén obligadas a guardar confidencialidad.
• Avisar al Responsable sin demora indebida, y dentro de las 72 horas de conocido, cualquier incidente de seguridad que afecte los datos.
• Asistir al Responsable para responder en plazo los pedidos de acceso, rectificación y supresión de sus clientes, derivándole los que reciba.
• Anonimizar automáticamente los datos según los plazos de conservación publicados (lista de espera a los 90 días, clientes inactivos a los 24 meses).

El Responsable autoriza al Encargado a usar los siguientes subencargados: el proveedor de alojamiento del servidor y Cloudflare, Inc. (red y seguridad, Estados Unidos). El Encargado avisará con 30 días de anticipación la incorporación de nuevos subencargados; el Responsable puede oponerse y, en ese caso, dar de baja el servicio sin penalidad. Mercado Pago no es subencargado: la barbería lo contrata directamente.

• Contar con una base legal para tratar los datos de sus clientes e informarles el tratamiento; el servicio muestra un aviso estándar en la reserva y en la lista de espera.
• Inscribir sus bases de datos ante la Agencia de Acceso a la Información Pública cuando corresponda.
• Usar el historial de ausencias y la lista negra con criterios objetivos, solo para su propia agenda, y corregirlos si un cliente lo pide con razón.
• Atender los pedidos de sus clientes y usar las herramientas de exportación y anonimización del panel.

Al terminar el servicio, el Encargado pone los datos a disposición del Responsable para su exportación durante 30 días y luego los elimina, salvo obligación legal de conservarlos.

El Responsable puede pedir información razonable sobre las medidas de seguridad aplicadas. El Encargado la proveerá por escrito en un plazo de 15 días hábiles.