Acuerdo de Tratamiento de Datos de LoyaFlow (DPA)
Traducción de cortesía. La versión vinculante de este documento es la inglesa: English version. En caso de discrepancia, prevalece la versión inglesa.
Este Acuerdo de Tratamiento de Datos ("DPA") forma parte del acuerdo entre Abdelfattah el Alouani (Wülflingerstrasse 165, 8408 Winterthur, Suiza — "LoyaFlow", el "Encargado del tratamiento") y el Comercio (el "Responsable del tratamiento") para el uso de la plataforma LoyaFlow (el "Servicio").
1. Roles y alcance
1.1 Para los Datos del Cliente Final —datos personales de los clientes del Comercio tratados en el Servicio— el Comercio es el responsable del tratamiento y LoyaFlow es el encargado del tratamiento. LoyaFlow trata los Datos del Cliente Final únicamente siguiendo las instrucciones documentadas del Comercio, siendo estas instrucciones este DPA y el uso de las funciones del Servicio, salvo que una ley a la que LoyaFlow esté sujeto exija otra cosa (en cuyo caso LoyaFlow informará al Comercio antes del tratamiento, salvo que la ley lo prohíba).
1.2 Este DPA no se aplica a los datos de los que LoyaFlow es responsable del tratamiento (cuenta del Comercio, datos de facturación y soporte) — ese tratamiento se describe en el Aviso de Privacidad de la Plataforma.
1.3 Si LoyaFlow trata Datos del Cliente Final al margen de las instrucciones del Comercio, se le considerará responsable de dicho tratamiento y responderá como tal.
2. Detalles del tratamiento (Art. 28(3) RGPD)
| Objeto | Operación del programa de fidelización digital del Comercio (alta, pases de wallet, actividad de fidelización, comunicaciones del programa). |
| Duración | Vigencia del Acuerdo de Comercio + el cese ordenado (wind-down) de 30 días (Sección 9). |
| Naturaleza y finalidad | Alojamiento y almacenamiento; emisión, firma, distribución, actualización y revocación de pases de wallet; registro de eventos de fidelización; envío de notificaciones push técnicas; páginas de alta; gestión de clientes, herramientas de exportación y eliminación; soporte. |
| Categorías de interesados | Los clientes del Comercio (miembros del programa de fidelización). |
| Categorías de datos personales | Identidad: nombre completo. Contacto: dirección de email, número de teléfono (cuando el Comercio lo recoja). Datos del programa: identificador de tarjeta, saldo de puntos/sellos, nivel, historial de actividad (eventos de acumulación/canje/ajuste con marcas de tiempo). Metadatos de alta: idioma preferido, versión aceptada de la política de privacidad del comercio, marca de tiempo del consentimiento de marketing. Datos de dispositivo/pase: número de serie del pase, identificadores de biblioteca del dispositivo, tokens push. Datos técnicos: registros de solicitud (dirección IP, agente de usuario) conservados a corto plazo por seguridad. Datos de módulos (cuando el Comercio activa el módulo complementario correspondiente): reservas y citas — nombre de contacto, email, número de teléfono normalizado, tamaño del grupo, fecha/hora solicitada, servicio/personal elegido, estado de la reserva incl. historial de no presentaciones, las notas internas del Comercio, marcas de tiempo de recordatorios enviados; lista de bloqueo antiabuso — direcciones de email y números de teléfono normalizados bloqueados con una nota opcional del Comercio (base jurídica: interés legítimo del Comercio, Art. 6(1)(f) RGPD); emails de recordatorio — dirección del destinatario y contenido del mensaje en el momento del envío. La Carta Digital solo contiene contenido del Comercio (sin datos personales del Cliente Final). |
| Categorías especiales | Ninguna. El Servicio no está diseñado para tratar, y el Comercio no debe usarlo para tratar, datos de categorías especiales ni datos de menores según los defina la ley aplicable. |
3. Obligaciones del encargado del tratamiento
LoyaFlow deberá:
- (a) Instrucciones. Tratar los Datos del Cliente Final solo como se describe en la Sección 1.1 e informar al Comercio si, en su opinión, una instrucción infringe la normativa de protección de datos.
- (b) Confidencialidad. Garantizar que las personas autorizadas a tratar los datos estén sujetas a confidencialidad (contractual o legal).
- (c) Seguridad. Implementar y mantener las medidas técnicas y organizativas del Anexo II, revisándolas y actualizándolas conforme evolucione la tecnología — incluyendo cifrado en tránsito y en reposo, aislamiento estricto de inquilinos (tenant isolation), mantener el Servicio actualizado, y supervisión continua.
- (d) Subencargados. Contratar subencargados solo conforme a la Sección 4.
- (e) Derechos de los interesados. Asistir al Comercio, en la medida de lo posible y atendiendo a la naturaleza del tratamiento, para responder a las solicitudes de los interesados. El Servicio proporciona herramientas de autoservicio: exportación y eliminación de clientes en el panel, y un canal público de solicitud en la página del pase (la baja de comunicaciones se ejecuta de inmediato; las solicitudes de exportación y eliminación se encolan para que el Comercio las gestione).
- (f) Notificación de brechas. Notificar al Comercio sin dilación indebida y, en cualquier caso, dentro de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos que afecte a Datos del Cliente Final, con la información razonablemente necesaria para los propios deberes de notificación del Comercio, y cooperar en la investigación y mitigación.
- (g) Asistencia. Teniendo en cuenta la naturaleza del tratamiento y la información disponible, asistir al Comercio en sus obligaciones conforme a los Arts. 32–36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto, consulta previa).
- (h) Eliminación y devolución. Proceder conforme a la Sección 9 al finalizar los servicios.
- (i) Auditorías. Poner a disposición la información razonablemente necesaria para demostrar el cumplimiento del Art. 28 y permitir auditorías conforme a la Sección 8.
4. Subencargados del tratamiento
4.1 El Comercio otorga una autorización general por escrito para los subencargados enumerados en el Anexo I.
4.2 LoyaFlow dará al menos 30 días de aviso (panel y/o email) antes de añadir o sustituir a un subencargado. El Comercio podrá oponerse por motivos razonables de protección de datos; si no se encuentra una solución, el Comercio podrá resolver la suscripción afectada con efecto desde el cambio, con reembolso prorrateado de las cuotas prepagadas por el periodo restante.
4.3 LoyaFlow impone contractualmente a cada subencargado obligaciones de protección de datos que proporcionan un nivel de protección equivalente al de este DPA, y sigue siendo plenamente responsable ante el Comercio por el desempeño de sus subencargados.
5. Transferencias internacionales
5.1 El almacenamiento y tratamiento principales tienen lugar en regiones de centros de datos de Suiza/EEE. Las transferencias entre Suiza, el EEE y el Reino Unido se basan en sus decisiones de adecuación mutua y no requieren garantías adicionales.
5.2 Los subencargados en Estados Unidos (Anexo I) reciben conjuntos de datos limitados conforme al Marco de Privacidad de Datos UE-EE. UU. y sus extensiones suiza y del Reino Unido, y/o Cláusulas Contractuales Tipo, como se indica en el Anexo I.
6. Evaluaciones de impacto sobre la protección de datos
El Comercio es responsable de sus propias evaluaciones de impacto (EIPD). LoyaFlow proporciona las descripciones de este DPA (incluidos los Anexos) como base fáctica e información adicional razonable a solicitud.
7. Responsabilidad
La responsabilidad conforme a este DPA está sujeta a la cláusula de responsabilidad de los Términos de Servicio, salvo que la normativa de protección de datos exija otra cosa (la asignación entre responsable y encargado conforme al Art. 82 RGPD no se ve afectada).
8. Auditorías
Previo aviso por escrito de 30 días, no más de una vez al año (salvo tras un incumplimiento material o cuando lo exija una autoridad de control), el Comercio podrá auditar el cumplimiento de LoyaFlow con este DPA — en primera instancia a través de la documentación, certificaciones e informes de auditoría de LoyaFlow y de sus proveedores de infraestructura; una auditoría in situ, cuando sea estrictamente necesaria, corre a cargo del Comercio, en horario laboral, sin acceso a los datos de otros comercios.
9. Fin del tratamiento (cese ordenado / wind-down)
9.1 A la resolución o vencimiento del Acuerdo de Comercio: los pases se anulan de inmediato; los Datos del Cliente Final se conservan durante 30 días (seguridad, prevención del fraude, reactivación) durante los cuales el Comercio puede exportarlos; transcurridos 30 días se eliminan, salvo que la ley exija su conservación (en cuyo caso los datos se aíslan y protegen hasta que decaiga el fundamento legal). Los propios datos de cuenta y configuración del Comercio (marca, plantillas de tarjeta, ajustes — sin Datos del Cliente Final) se conservan hasta 90 días tras el cierre para permitir la reactivación, y después se eliminan. Las copias de seguridad se purgan según su propio ciclo de rotación dentro de un plazo acotado.
9.2 La eliminación cubre a todos los subencargados (propagada a través de los trabajos de cese ordenado: revocación del pase de wallet en Apple/Google, purga de base de datos y almacenamiento).
Anexo I — Subencargados autorizados (v1.1)
| Subencargado | Servicio | Datos tratados | Ubicación / región | Garantía de transferencia |
|---|---|---|---|---|
| Supabase, Inc. | Base de datos, autenticación, almacenamiento de archivos | Todas las categorías de Datos del Cliente Final (Sección 2) | AWS eu-central-1 (Fráncfort, Alemania) | Alojamiento en el EEE; DPF/CCT para cualquier acceso de soporte desde EE. UU. |
| Google Cloud (Google Ireland Ltd / Google LLC) | Alojamiento de la aplicación (Cloud Run, europe-west1), gestión de secretos, registros, almacenamiento de imágenes | Contenido del pase en el momento de construcción (nombre, saldo, marca), registros de solicitud, imágenes almacenadas | UE (Bélgica) | Alojamiento en el EEE; DPF para la matriz en EE. UU. |
| Apple Inc. | Apple Push Notification service (actualización del pase) | Solo token de push del dispositivo — las notificaciones llevan una carga (payload) vacía (sin contenido personal) | EE. UU. | DPF UE-EE. UU. + extensiones suiza/Reino Unido |
| Google LLC | Google Wallet API (pases Android) | Contenido del pase: nombre, saldo/sellos, id de tarjeta, marca del comercio | EE. UU. | DPF UE-EE. UU. + extensiones suiza/Reino Unido |
| Cloudflare, Inc. | DNS, CDN, seguridad de borde delante de las páginas públicas | Tráfico en tránsito (IP, metadatos de solicitud) | Borde global (puntos de entrada en la UE) | DPF + CCT |
| Amazon Web Services EMEA SARL (Amazon SES) | Envío de emails transaccionales — notificaciones del programa y, con los módulos de reservas/citas, confirmaciones y recordatorios de reserva a Clientes Finales | Dirección de email del destinatario, contenido del mensaje | AWS eu-central-1 (Fráncfort, Alemania) | Región del EEE; CCT/DPF para cualquier acceso de soporte desde EE. UU. |
| Resend, Inc. | Envío de emails transaccionales (transporte heredado/de reserva, en proceso de retirada) | Dirección de email del destinatario, contenido del mensaje | EE. UU. | DPF / CCT |
Nota: Paddle (pagos/Merchant of Record) trata los datos de facturación del Comercio, no Datos del Cliente Final, y por ello figura en el Aviso de Privacidad de la Plataforma, no en este Anexo.
Anexo II — Medidas técnicas y organizativas (MTO, v1.0)
Arquitectura y aislamiento de inquilinos
- Aislamiento multi-inquilino estricto aplicado en la base de datos mediante seguridad a nivel de fila (row-level security) en cada tabla de inquilino, referenciada a la identidad de sesión del lado del servidor del comercio — los clientes nunca proporcionan su id de inquilino.
- Las escrituras de datos del programa se realizan exclusivamente a través de una superficie de API controlada del lado del servidor (procedimientos almacenados); sin escrituras directas en tablas desde los clientes.
- La superficie anónima (previa al inicio de sesión) se limita a cinco funciones acotadas por capacidad (capability-scoped) (páginas de alta y de pase), cada una acotada por un identificador no adivinable; sin acceso anónimo a tablas.
Cifrado y secretos
- TLS para todos los datos en tránsito; cifrado en reposo gestionado por el proveedor para la base de datos, el almacenamiento y las copias de seguridad.
- Las claves privadas de firma de pases se almacenan cifradas (AES-256, protegidas por frase de contraseña) y se entregan en tiempo de ejecución exclusivamente a través de un almacén de secretos gestionado (GCP Secret Manager); nunca en el código ni en imágenes.
- Las claves de API se almacenan como hashes con sal (mostradas una sola vez); tokens de autenticación por pase; los enlaces públicos de pase son URL de capacidad (UUID no adivinables).
Operaciones
- Cuentas de servicio con privilegio mínimo por carga de trabajo; validación en el arranque de certificados (caducidad y cadena) con fallo rápido ante configuraciones incorrectas.
- El Servicio se mantiene actualizado y supervisado: actualizaciones de dependencias, registros estructurados, supervisión de fallos con reintentos y rescate de cola muerta (dead-letter) para trabajos asíncronos, y límites de abuso (topes de tasa, topes de instancias, topes de carga útil) en los endpoints públicos.
- Esquema de base de datos documentado y versionado (migraciones append-only); los cambios en producción se revisan y verifican frente a un bucle de validación de preproducción antes del despliegue.
Ciclo de vida de los datos
- Eliminación lógica seguida de una ventana de retención de 30 días, y después purga (fase de datos personales); los pases de wallet se anulan de inmediato tras la eliminación.
- Retención corta para registros técnicos/de solicitud; el endpoint de registros de dispositivo tiene un tope y no se conserva más allá de la necesidad operativa.
- Recuperación a un punto en el tiempo (point-in-time recovery) y copias de seguridad en producción, con purga por rotación.
Personas y procesos
- El acceso a producción está restringido al personal autorizado sujeto a confidencialidad; cuentas personales, MFA en las consolas de los proveedores.
- Protocolo de brechas: detectar → contener → evaluar → notificar al responsable en 48 h → documentar.
Versión 1.1 · Fecha de efecto: 29 de agosto de 2026 · Idioma vinculante: inglés.