ACUERDO DE TRATAMIENTO DE DATOS PERSONALES

1Identificación de las partes

El presente Acuerdo de Tratamiento de Datos Personales (en adelante, el “DPA” o el “Acuerdo”) forma parte integrante de los Términos de Servicio de la Plataforma Tapstar, accesible en https://mytapstar.com.

Este Acuerdo se celebra entre:

El CLIENTE / RESPONSABLE DEL TRATAMIENTO: la persona física o jurídica, negocio, autónomo, empresa, establecimiento o profesional que crea una cuenta, contrata un plan, activa un dispositivo Tapstar o utiliza la Plataforma Tapstar. Sus datos identificativos constan en el proceso de alta, contratación, facturación o cuenta de usuario.

SPEED DATA TECHNOLOGIES, S.L. / TAPSTAR / ENCARGADO DEL TRATAMIENTO: sociedad mercantil española con CIF B19479864, domicilio social en Avda. Primado Reig, 129, Entresuelo D, 46020 Valencia (España), titular de la marca Tapstar y prestadora de la Plataforma.

Correo en materia de protección de datos: rgpd@tapstar.es

2Naturaleza del Acuerdo e incorporación a los Términos de Servicio

El presente DPA regula las condiciones conforme a las cuales Tapstar tratará datos personales por cuenta del Cliente en el marco de la prestación de la Plataforma.

Este DPA queda incorporado por referencia a los Términos de Servicio de Tapstar y se entenderá aceptado electrónicamente por el Cliente desde el momento en que este:

• cree una cuenta en la Plataforma;
• acepte los Términos de Servicio;
• contrate un plan;
• active un dispositivo Tapstar;
• utilice funcionalidades de la Plataforma que impliquen tratamiento de datos personales por cuenta del Cliente.

Tapstar conservará evidencia electrónica de dicha aceptación, incluyendo, cuando sea técnicamente posible, fecha y hora, usuario, dirección IP, versión documental aceptada y evento de aceptación.

3Definiciones

A efectos del presente Acuerdo, se entenderá por:

Datos personales: toda información sobre una persona física identificada o identificable.

Tratamiento: cualquier operación realizada sobre datos personales, incluyendo recogida, registro, conservación, consulta, análisis, comunicación, supresión o destrucción.

Responsable del tratamiento: el Cliente, en la medida en que determina los fines y medios del tratamiento de los datos personales de sus propios clientes, usuarios finales o personas que interactúan con sus dispositivos Tapstar.

Encargado del tratamiento: Tapstar, cuando trata datos personales por cuenta del Cliente para prestar la Plataforma.

Subencargado: proveedor tecnológico contratado por Tapstar que puede acceder o tratar datos personales por cuenta del Cliente para prestar la Plataforma.

Usuario final: persona física que interactúa con un dispositivo Tapstar mediante QR, NFC u otros mecanismos habilitados por el Cliente.

Plataforma: entorno SaaS de Tapstar accesible en mytapstar.com, destinado a la activación, configuración, gestión y análisis de dispositivos, reseñas, locales y funcionalidades asociadas.

Normativa de protección de datos: Reglamento (UE) 2016/679 (RGPD), Ley Orgánica 3/2018 (LOPDGDD), Ley 34/2002 (LSSI), normativa española y europea aplicable y cualquier norma que las sustituya o complemente.

4Objeto del encargo

El presente Acuerdo tiene por objeto regular el acceso y tratamiento por parte de Tapstar de los datos personales tratados por cuenta del Cliente en el marco de la prestación de la Plataforma.

Tapstar tratará los datos exclusivamente para prestar, mantener, asegurar, mejorar y dar soporte a los servicios contratados por el Cliente, incluyendo la gestión de dispositivos NFC/QR, métricas de uso, funcionalidades asociadas a reseñas, integraciones con terceros y funcionalidades de inteligencia artificial cuando estén contratadas o activadas.

5Finalidad del tratamiento

Tapstar tratará los datos personales por cuenta del Cliente con las siguientes finalidades:

• Permitir la activación, configuración y gestión de dispositivos Tapstar vinculados al negocio del Cliente.
• Facilitar la redirección mediante QR o NFC a destinos digitales configurados por el Cliente.
• Proporcionar métricas y estadísticas de rendimiento de dispositivos, escaneos, interacciones o usos.
• Gestionar locales, perfiles digitales, dispositivos, planes y funcionalidades contratadas.
• Permitir funcionalidades vinculadas a Google Business, Google Maps u otros servicios de terceros utilizados por el Cliente.
• Analizar reseñas, contenido o interacciones asociadas al perfil digital del negocio, cuando la funcionalidad esté disponible.
• Generar borradores o propuestas de respuesta a reseñas mediante funcionalidades de inteligencia artificial, sujetas a revisión y validación del Cliente.
• Prestar soporte técnico y atención al Cliente.
• Detectar, prevenir e investigar incidencias técnicas, manipulaciones, usos indebidos, accesos no autorizados o incidentes de seguridad.
• Garantizar la continuidad, seguridad, disponibilidad y correcto funcionamiento de la Plataforma.
• Cumplir obligaciones legales aplicables a Tapstar en su condición de encargado del tratamiento.

Tapstar no utilizará los datos personales tratados por cuenta del Cliente para finalidades propias incompatibles con este Acuerdo.

6Categorías de interesados

Los tratamientos regulados por este Acuerdo pueden afectar a las siguientes categorías de interesados:

• Clientes finales del negocio titular de la cuenta que interactúan con dispositivos Tapstar mediante QR, NFC u otros mecanismos.
• Personas que dejan reseñas, valoraciones, comentarios o interacciones en el perfil de Google Business u otros perfiles digitales vinculados al negocio del Cliente.
• Usuarios, contactos o clientes del negocio cuyos datos puedan aparecer en reseñas, incidencias, comunicaciones o contenidos tratados mediante la Plataforma.
• Personal autorizado del Cliente que utilice la Plataforma, cuando Tapstar trate sus datos por cuenta del Cliente y no como responsable independiente.

7Categorías de datos personales

Tapstar podrá tratar, en función de las funcionalidades utilizadas por el Cliente, las siguientes categorías de datos:

• Datos técnicos de interacción: fecha y hora de escaneo o toque NFC, identificador del dispositivo, URL de destino configurada, evento de redirección, identificador técnico y métricas asociadas.
• Datos técnicos de acceso: dirección IP, tipo de dispositivo, sistema operativo, navegador, idioma, información técnica de sesión y datos necesarios para seguridad o prevención de duplicidades.
• Datos de reseñas y contenidos: contenido de reseñas, nombre o alias del autor de la reseña si aparece públicamente, valoración, fecha, respuesta del negocio, análisis de sentimiento, borradores de respuesta y contenidos generados o asistidos por IA.
• Datos de configuración del negocio: local vinculado, perfil de Google Business, identificadores de lugar, instrucciones de tono de marca, prompts configurados por el Cliente y preferencias de publicación.
• Datos de soporte: comunicaciones, incidencias, tickets o mensajes enviados por el Cliente o por personas autorizadas para resolver incidencias vinculadas al servicio.

Tapstar no solicita ni requiere que el Cliente introduzca categorías especiales de datos personales en la Plataforma. El Cliente se compromete a no utilizar la Plataforma para tratar datos de salud, ideología, religión, origen étnico, orientación sexual, datos biométricos, datos genéticos u otras categorías especiales del artículo 9 RGPD, salvo que exista una base jurídica adecuada y se haya acordado expresamente con Tapstar.

8Duración del tratamiento

El presente Acuerdo permanecerá vigente mientras el Cliente mantenga una cuenta activa, un plan contratado, dispositivos activados o cualquier relación contractual con Tapstar que implique tratamiento de datos personales por cuenta del Cliente.

Una vez finalizada la prestación del servicio, Tapstar procederá a devolver, suprimir, anonimizar o bloquear los datos personales tratados por cuenta del Cliente, conforme a lo previsto en este Acuerdo, en los Términos de Servicio y en la normativa aplicable.

9Instrucciones del Cliente

Tapstar tratará los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluyendo las recogidas en:

• los Términos de Servicio;
• este DPA;
• la configuración realizada por el Cliente en la Plataforma;
• las solicitudes documentadas remitidas por el Cliente a través de los canales habilitados;
• las funcionalidades activadas o contratadas por el Cliente.

Si Tapstar considera que una instrucción infringe la normativa de protección de datos, informará al Cliente, salvo que una norma legal prohíba dicha comunicación.

10Obligaciones de Tapstar como encargado del tratamiento

Tapstar se obliga a:

• Tratar los datos personales únicamente para las finalidades previstas en este Acuerdo.
• No utilizar los datos para fines propios incompatibles con el encargo.
• No comunicar los datos a terceros salvo en los supuestos autorizados en este Acuerdo, en los Términos de Servicio o cuando exista obligación legal.
• Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad.
• Implantar medidas técnicas y organizativas adecuadas conforme al artículo 32 RGPD.
• Asistir al Cliente en la atención de derechos de los interesados, cuando proceda.
• Notificar al Cliente las violaciones de seguridad de datos personales que afecten a datos tratados por cuenta del Cliente.
• Asistir al Cliente, en la medida razonable y posible, en evaluaciones de impacto, consultas previas y cumplimiento de obligaciones de seguridad.
• Suprimir, devolver o bloquear los datos al finalizar la prestación del servicio, salvo obligación legal de conservación.
• Poner a disposición del Cliente información razonable para acreditar el cumplimiento de este Acuerdo.

11Medidas de seguridad

Tapstar aplicará medidas técnicas y organizativas adecuadas al riesgo del tratamiento, incluyendo, entre otras:

• Cifrado de comunicaciones en tránsito mediante HTTPS/TLS.
• Hash seguro de contraseñas.
• Control de accesos basado en el principio de mínima necesidad.
• Accesos diferenciados para perfiles administrativos y usuarios.
• Autenticación reforzada para accesos internos o administrativos cuando resulte aplicable.
• Copias de seguridad periódicas.
• Monitorización de errores, estabilidad y funcionamiento de la Plataforma.
• Registro de determinados eventos de seguridad y acceso cuando sea necesario.
• Separación razonable entre entornos de producción, desarrollo o pruebas.
• Procedimientos internos de gestión de incidencias.
• Configuración de herramientas de analítica o grabación de sesión para excluir, en la medida de lo posible, campos que contengan datos personales introducidos por el usuario.
• Medidas de minimización respecto de direcciones IP, identificadores técnicos y métricas cuando sea técnicamente posible.
• Revisión y actualización periódica de proveedores tecnológicos relevantes.

12Subencargados

El Cliente autoriza a Tapstar a contratar subencargados para la prestación de la Plataforma.

Tapstar podrá recurrir, entre otros, a proveedores de hosting, base de datos, pagos, soporte, analítica, email transaccional, monitorización de errores, APIs de terceros y proveedores de inteligencia artificial generativa.

Tapstar se compromete a que los subencargados que traten datos personales por cuenta del Cliente queden sujetos a obligaciones contractuales equivalentes a las previstas en el artículo 28 RGPD.

Tapstar informará al Cliente sobre la incorporación o sustitución de subencargados principales con antelación razonable, mediante notificación en la Plataforma, correo electrónico o publicación en la sección legal correspondiente. El Cliente podrá oponerse por motivos fundados relacionados con protección de datos en el plazo indicado en dicha comunicación. Si la oposición impidiera la prestación del servicio, Tapstar podrá resolver o limitar el servicio afectado.

13Transferencias internacionales

El Cliente autoriza a Tapstar a realizar transferencias internacionales de datos personales cuando sean necesarias para la prestación del servicio y siempre que se adopten las garantías previstas en los artículos 44 y siguientes del RGPD.

Dichas garantías podrán incluir:

• Decisiones de adecuación de la Comisión Europea.
• Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor esté adherido.
• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
• Medidas complementarias técnicas, organizativas o contractuales cuando sean necesarias.
• Cualquier otro mecanismo válido conforme al RGPD.

Tapstar informará al Cliente, cuando resulte necesario, sobre la ubicación de los subencargados principales y las garantías aplicables a las transferencias internacionales.

14Proveedores de inteligencia artificial

Cuando el Cliente utilice funcionalidades de inteligencia artificial disponibles en la Plataforma, Tapstar podrá recurrir a proveedores tecnológicos especializados en modelos generativos o sistemas de IA para prestar dichas funcionalidades.

Estos proveedores podrán tratar, según la funcionalidad utilizada, datos asociados al negocio, reseñas, respuestas, prompts, instrucciones de tono de marca, contenidos generados y otros datos necesarios para prestar el servicio.

Tapstar no autorizará a dichos proveedores a utilizar los datos personales tratados por cuenta del Cliente para entrenar modelos propios o desarrollar servicios ajenos a la prestación contratada, salvo que el Cliente lo autorice expresamente o exista una base jurídica adecuada.

Las funcionalidades de IA tienen carácter asistencial. Los contenidos, respuestas, análisis o recomendaciones generados deberán ser revisados y validados por el Cliente antes de su publicación o uso frente a terceros.

Tapstar no adopta decisiones automatizadas con efectos jurídicos o significativamente similares sobre los interesados mediante estas funcionalidades.

15Derechos de los interesados

Cuando un interesado ejerza sus derechos ante el Cliente y sea necesaria la intervención técnica de Tapstar, Tapstar asistirá razonablemente al Cliente para facilitar la respuesta.

Si Tapstar recibe directamente una solicitud de derechos de un interesado relacionada con datos tratados por cuenta del Cliente, la comunicará al Cliente sin dilación indebida, salvo que esté autorizada a responder directamente o exista una obligación legal.

El Cliente seguirá siendo responsable de responder a los interesados cuando actúe como responsable del tratamiento.

16Violaciones de seguridad de datos personales

Tapstar notificará al Cliente, sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento efectivo, cualquier violación de seguridad de datos personales que afecte a datos tratados por cuenta del Cliente.

La comunicación incluirá, en la medida en que esté disponible:

• descripción de la naturaleza de la violación;
• categorías y número aproximado de interesados afectados;
• categorías y número aproximado de registros afectados;
• posibles consecuencias;
• medidas adoptadas o propuestas para remediar o mitigar los efectos;
• punto de contacto para obtener información adicional.

Si no fuera posible facilitar toda la información simultáneamente, Tapstar podrá proporcionarla de forma gradual y sin dilación indebida.

El Cliente será responsable de valorar si procede notificar la violación a la autoridad de control o a los interesados, salvo en aquellos tratamientos en los que Tapstar actúe como responsable independiente.

17Asistencia en evaluaciones de impacto y consultas previas

Tapstar asistirá razonablemente al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en la realización de evaluaciones de impacto relativas a la protección de datos y consultas previas ante autoridades de control, cuando resulten necesarias.

Esta asistencia podrá estar sujeta a condiciones económicas adicionales cuando exceda del soporte ordinario de la Plataforma.

18Devolución, supresión y bloqueo de datos

Al finalizar la relación contractual, Tapstar procederá, a elección del Cliente y salvo obligación legal de conservación, a:

• devolver los datos personales tratados por cuenta del Cliente;
• suprimirlos de forma segura;
• anonimizarlos de forma irreversible;
• bloquearlos cuando sea necesario para atender posibles responsabilidades legales.

La supresión podrá quedar sujeta a plazos técnicos razonables derivados de copias de seguridad, logs, sistemas de respaldo o mecanismos de continuidad, durante los cuales los datos permanecerán protegidos y no serán objeto de tratamiento activo.

19Auditoría y acreditación de cumplimiento

Tapstar pondrá a disposición del Cliente información razonable para acreditar el cumplimiento de este Acuerdo.

Dada la naturaleza SaaS multi-cliente de la Plataforma, las auditorías presenciales o técnicas directas sobre sistemas de Tapstar estarán sujetas a limitaciones razonables de seguridad, confidencialidad, disponibilidad y protección de otros clientes.

Tapstar podrá cumplir esta obligación mediante:

• documentación de seguridad;
• certificados o informes de terceros, si existieran;
• respuestas a cuestionarios razonables;
• resúmenes de medidas técnicas y organizativas;
• información sobre subencargados;
• documentación contractual de proveedores, cuando pueda ser compartida.

Cualquier auditoría específica solicitada por el Cliente deberá notificarse con una antelación mínima de 30 días, limitarse al tratamiento regulado por este Acuerdo, no comprometer la seguridad de la Plataforma ni la confidencialidad de otros clientes y podrá estar sujeta a costes razonables.

20Obligaciones del Cliente como responsable del tratamiento

El Cliente se obliga a:

• Garantizar que dispone de base jurídica suficiente para tratar los datos personales de sus clientes, usuarios finales, contactos y personas que interactúen con sus dispositivos o perfiles digitales.
• Informar adecuadamente a los interesados conforme a los artículos 13 y 14 RGPD.
• No utilizar la Plataforma para tratar datos innecesarios, excesivos o no autorizados.
• No introducir categorías especiales de datos personales salvo que exista base jurídica válida y se haya acordado previamente con Tapstar.
• Utilizar la Plataforma conforme a la normativa aplicable, los Términos de Servicio y este DPA.
• Revisar y validar los contenidos generados mediante IA antes de publicarlos o utilizarlos frente a terceros.
• Mantener la confidencialidad de sus credenciales y accesos.
• Comunicar a Tapstar cualquier incidencia relevante que pueda afectar a la seguridad de los datos.
• Responder frente a sus propios clientes, usuarios finales o interesados por las obligaciones que le correspondan como responsable del tratamiento.
• No impartir instrucciones ilícitas, desproporcionadas o incompatibles con el funcionamiento de la Plataforma.

21Datos tratados por Tapstar como responsable independiente

El presente DPA no regula los tratamientos en los que Tapstar actúe como responsable independiente, incluyendo, entre otros:

• gestión de cuentas de usuario registradas en la Plataforma;
• facturación, pagos y suscripciones;
• gestión comercial propia;
• soporte prestado directamente al Cliente;
• seguridad general de la Plataforma;
• cumplimiento de obligaciones legales propias;
• comunicaciones operativas y comerciales propias;
• análisis interno de uso de la Plataforma cuando Tapstar determine sus propios fines y medios.

Estos tratamientos se regulan en la Política de Privacidad de la Plataforma Tapstar.

22Responsabilidad

Cada parte responderá de las responsabilidades que le correspondan conforme al artículo 82 RGPD y demás normativa aplicable.

Tapstar responderá únicamente por los daños causados por tratamientos en los que haya incumplido obligaciones específicamente dirigidas al encargado del tratamiento o haya actuado al margen o en contra de instrucciones lícitas documentadas del Cliente.

El Cliente responderá de los tratamientos respecto de los cuales actúe como responsable, incluyendo la licitud del tratamiento, la información a los interesados, la base jurídica, las instrucciones dadas a Tapstar y el uso de la Plataforma conforme a la normativa aplicable.

23Modificaciones del Acuerdo

Tapstar podrá modificar el presente DPA para adaptarlo a cambios normativos, técnicos, organizativos o funcionales de la Plataforma.

Las modificaciones relevantes serán comunicadas al Cliente mediante correo electrónico, notificación en la Plataforma o publicación de una nueva versión en la URL correspondiente.

Si una modificación afecta sustancialmente a los derechos u obligaciones del Cliente en materia de protección de datos, el Cliente podrá oponerse por motivos fundados o resolver el servicio afectado conforme a los Términos de Servicio.

El uso continuado de la Plataforma tras la entrada en vigor de la nueva versión implicará la aceptación de la versión actualizada del DPA, sin perjuicio de los derechos que correspondan al Cliente.

24Legislación aplicable y jurisdicción

El presente Acuerdo se regirá por la legislación española y por la normativa europea de protección de datos aplicable.

Para cualquier controversia derivada de este Acuerdo, las partes se someten a los Juzgados y Tribunales de la ciudad de Madrid, salvo que resulte aplicable un fuero imperativo distinto.

25Aceptación

El presente DPA forma parte integrante de los Términos de Servicio de la Plataforma Tapstar.

La aceptación electrónica de los Términos de Servicio, la creación de una cuenta, la contratación de un plan, la activación de un dispositivo o el uso de la Plataforma implican la aceptación plena y vinculante del presente DPA por parte del Cliente.

Tapstar podrá conservar evidencias electrónicas de la aceptación, incluyendo fecha y hora, usuario, dirección IP, versión aceptada y demás información necesaria para acreditar la aceptación contractual.