1. Ámbito y roles

Este DPA se aplica a los datos personales que tú, los miembros de tu equipo o tus clientes introducís en Vigore, y que tratamos para prestarte el servicio (“Datos de Clientes”). Tú eres el responsable del tratamiento de los Datos de Clientes; nosotros somos el encargado. El anexo 1 describe el tratamiento.

No cubre los datos que tratamos como responsable para nuestros propios fines, como tu cuenta, la facturación y nuestro sitio web. Nuestra Política de privacidad describe ese tratamiento.

2. Tus responsabilidades

• Te aseguras de contar con una base jurídica válida para los Datos de Clientes que introduces y, en el caso de datos de salud u otras categorías especiales, con una excepción válida conforme al artículo 9 del RGPD.
• Informas a tus clientes sobre cómo tratas sus datos, incluido el hecho de que usas Vigore.
• Vigore es una herramienta de agenda, no un sistema de historias clínicas. No guardas diagnósticos, detalles de tratamientos ni otros registros médicos en las notas de clientes ni en los formularios de reserva.
• Decides cuánto tiempo se conservan los Datos de Clientes, y eliminas clientes y citas en Vigore cuando ya no los necesitas.

3. Nuestras obligaciones

Nos comprometemos a:

• Tratar los Datos de Clientes solo siguiendo tus instrucciones documentadas. Tus instrucciones son este DPA, los Términos del servicio y la forma en que usas y configuras Vigore. Te avisaremos si consideramos que una instrucción infringe la normativa de protección de datos.
• Garantizar que todas las personas de Vigore con acceso a los Datos de Clientes estén sujetas a confidencialidad.
• Adoptar medidas técnicas y organizativas adecuadas para proteger los Datos de Clientes, según se describe en el anexo 2.
• Ayudarte, en la medida de lo razonablemente posible, a responder a las solicitudes de tus clientes que ejerzan sus derechos, y reenviarte cualquier solicitud de este tipo que recibamos directamente.
• Ayudarte con tus obligaciones en materia de seguridad, brechas de datos, evaluaciones de impacto relativas a la protección de datos y consulta previa, teniendo en cuenta la información de que dispongamos.
• No usar los Datos de Clientes para nuestros propios fines, ni venderlos.

4. Brechas de datos

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos de Clientes, te lo notificaremos sin dilación indebida y, cuando sea posible, en un plazo de 48 horas. Te daremos la información que necesites para evaluar la brecha y, cuando sea necesario, notificarla a la autoridad de control en un plazo de 72 horas e informar a las personas afectadas. Tomaremos medidas razonables para limitar las consecuencias.

5. Subencargados

Nos das una autorización general para recurrir a subencargados. Los subencargados actuales figuran en el anexo 3. Tenemos con cada uno de ellos un acuerdo escrito con obligaciones de protección de datos al menos tan protectoras como este DPA, y seguimos siendo responsables de su trabajo.

Te avisaremos por correo electrónico o en Vigore con al menos 15 días de antelación antes de añadir o sustituir un subencargado. Puedes oponerte por motivos razonables de protección de datos dentro de ese plazo escribiendo a [email protected]. En ese caso intentaremos encontrar una solución contigo. Si no es posible, puedes poner fin al servicio afectado sin penalización.

Las integraciones que decides conectar, como Google Calendar, Microsoft Outlook o tu propia cuenta de Stripe, no son subencargados nuestros. Las usas conforme a tu propio acuerdo con ese proveedor, y les enviamos datos siguiendo tus instrucciones.

6. Transferencias fuera del EEE

Nuestro alojamiento principal está en la UE. Cuando un subencargado trata Datos de Clientes fuera del Espacio Económico Europeo, nos aseguramos de que la transferencia esté protegida por una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU. para proveedores certificados) o por las cláusulas contractuales tipo de la Comisión Europea.

7. Información y auditorías

Si lo solicitas, te daremos la información que razonablemente necesites para demostrar que se cumple este DPA. Si no es suficiente, puedes encargar una auditoría, una vez al año, realizada por ti o por un auditor independiente sujeto a confidencialidad, con un preaviso mínimo de 30 días, en horario laboral y a tu cargo.

8. Supresión y devolución

Puedes exportar tus datos de Vigore en cualquier momento mientras exista tu cuenta. Cuando el titular elimina la cuenta, eliminamos los Datos de Clientes de nuestros sistemas activos en un plazo de 30 días, salvo que la ley nos obligue a conservarlos. Los datos eliminados pueden permanecer en copias de seguridad hasta 7 días, hasta que se sobrescriben.

Un cliente puede reservar con varios centros que usan Vigore. Cada centro es el responsable de sus propios datos sobre ese cliente. Cuando eliminas tu cuenta, eliminamos tus datos sobre el cliente, pero conservamos los datos del cliente para los demás centros.

9. Responsabilidad, duración y legislación aplicable

La limitación de responsabilidad de los Términos del servicio se aplica a este DPA, en la medida en que lo permita la ley. Este DPA está vigente mientras tratemos Datos de Clientes para ti. Si este DPA y los Términos del servicio entran en conflicto en materia de protección de datos personales, prevalece este DPA. Este DPA se rige por la legislación neerlandesa, y las disputas se someten al tribunal competente de Ámsterdam.

Al usar Vigore aceptas este DPA. Si necesitas una copia firmada, escríbenos a [email protected].

Anexo 1: Descripción del tratamiento

• Objeto y finalidad: prestar el servicio de reservas y agenda de Vigore: páginas de reserva y widget, citas, gestión de clientes, pagos, correos e integraciones de calendario.
• Duración: mientras uses Vigore, más el plazo de supresión de la sección 8.
• Naturaleza: recogida, almacenamiento, organización, visualización, envío y supresión de datos.
• Interesados: tus clientes, y los miembros de tu equipo en la medida en que los gestiones en Vigore.
• Tipos de datos: nombre, correo electrónico, teléfono, detalles de las citas (servicio, fecha, hora, lugar, precio, estado del pago), respuestas al formulario de reserva, notas que añades y mensajes enviados a través de Vigore.
• Categorías especiales: algunos datos pueden revelar información sobre la salud, como el nombre de un tratamiento o una respuesta al formulario de reserva. Solo los tratamos para prestar el servicio siguiendo tus instrucciones.

Anexo 2: Medidas de seguridad

• Cifrado de los datos en tránsito (HTTPS/TLS)
• Almacenamiento cifrado proporcionado por nuestro proveedor de alojamiento
• Cifrado adicional de los tokens de acceso al calendario y de los títulos de los eventos del calendario
• Acceso basado en roles dentro de Vigore, para que los miembros del equipo solo vean lo que su rol permite
• Acceso a los sistemas de producción limitado al personal que lo necesita
• Ocultación de los datos personales en la analítica de producto
• Copias de seguridad diarias, conservadas durante 7 días
• Registros del servidor conservados durante 30 días

Anexo 3: Subencargados