Contrato de encargo del tratamiento

1. Qué es este contrato

Este es el contrato de encargo del tratamiento exigido por el art. 28.3 del Reglamento General de Protección de Datos (UE) 2016/679 (RGPD). Es un anexo de las Condiciones generales de uso y se acepta junto con ellas, en el momento en que se crea la organización.

Es entre el Cliente como responsable del tratamiento y Piklo Systems, Tjebberupvej 101, 4300 Holbæk, Denmark, número de registro mercantil (CVR) 32709192, como encargado del tratamiento. Cuando los dos documentos discrepen, este rige el tratamiento de datos personales.

2. Objeto, duración, naturaleza y finalidad

Objeto. Piklo trata datos personales por cuenta del Cliente para que el Cliente pueda gestionar sus reservas, contactar con sus propios clientes y cobrar — es decir, para que el Cliente pueda usar el producto descrito en el apartado 2 de las Condiciones generales de uso.

Duración. Mientras el Cliente tenga una organización en Piklo, y después durante el periodo del apartado 11.

Naturaleza del tratamiento. Almacenar, organizar, consultar, transmitir, corregir y suprimir; enviar correo electrónico por cuenta del Cliente; transmitir los datos de pago al proveedor de pagos que el Cliente ha conectado; operar, mantener y solucionar incidencias del servicio; hacer copias de seguridad.

Finalidad. Únicamente la prestación del servicio. Piklo no usa los datos del Cliente para sus propios fines, no los vende, no los comparte con nadie salvo con los subencargados del tratamiento enumerados en el apartado 8, y no los usa para entrenar modelos.

3. Categorías de interesados y de datos personales

Interesados

• Los propios clientes del Cliente — las personas que reservan.
• Los profesionales del Cliente y las demás personas a las que da acceso a su organización.

Datos personales

• Datos de contacto: nombre, dirección de correo electrónico, número de teléfono, idioma y la dirección de los propios centros del Cliente.
• Reservas: qué se reservó, cuándo, con quién, su estado y su historial, la participación en clases y cursos, las entradas en la lista de espera.
• Notas que los profesionales del Cliente escriben sobre un cliente, en un campo de texto libre. Lo que va en ese campo es decisión del Cliente, y Piklo ni lo lee ni lo estructura.
• Consentimientos: que una persona aceptó las condiciones de reserva del Cliente, cuándo, y qué versión del texto.
• Referencias de pago: importes, moneda, estado, los identificadores propios del proveedor de pagos y la dirección del recibo y — cuando se ha guardado una tarjeta para una señal o un cargo por ausencia — únicamente la marca de la tarjeta y sus cuatro últimos dígitos.
• Fidelización: puntos ganados y gastados, tarjetas regalo y bonos.
• Datos de inicio de sesión de los profesionales del Cliente: dirección de correo electrónico y los datos de autenticación que hay detrás.
• Datos de salud — cuando se active. Piklo Clinic, que añade una historia clínica, no existe hoy, y ninguna parte del producto actual está diseñada ni destinada a contener datos de salud. Desde el día en que exista, la historia y las categorías especiales de datos que contenga quedarán cubiertas por este contrato y por las condiciones adicionales que requiera.

Piklo nunca recibe ni almacena un número de tarjeta completo, una fecha de caducidad ni un código de seguridad. Los datos de la tarjeta se introducen en la página alojada por el propio proveedor de pagos y no llegan nunca a los sistemas de Piklo.

4. Las instrucciones del Cliente

Piklo trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente. Las instrucciones son las Condiciones generales de uso, este contrato y el propio uso que el Cliente hace del producto — cada ajuste que el Cliente elige, cada campo que rellena, cada mensaje que envía y cada exportación que pide es una instrucción.

Piklo informa al Cliente si, en opinión de Piklo, una instrucción infringe el RGPD u otra normativa de protección de datos aplicable, y puede suspender el tratamiento afectado hasta que la instrucción se retire o se confirme.

Cuando una obligación legal exija a Piklo tratar datos más allá de las instrucciones del Cliente, Piklo informa al Cliente de ese requisito antes del tratamiento, salvo que la ley prohíba comunicarlo.

5. Confidencialidad

Todas las personas a las que Piklo autoriza a tratar los datos personales del Cliente están sujetas a un deber de confidencialidad que continúa después de que termine su trabajo para Piklo, ya sea por contrato de trabajo, por un compromiso escrito de confidencialidad o por un deber profesional. El acceso se concede únicamente a quien lo necesita para prestar el servicio o para atender una solicitud de soporte.

6. Seguridad

Piklo aplica medidas técnicas y organizativas apropiadas conforme al art. 32 del RGPD. Se establecen en el anexo A de este contrato, que forma parte de él. El anexo A describe las medidas que están implantadas; las medidas que Piklo pueda añadir más adelante no se prometen aquí.

Piklo puede sustituir una medida por otra equivalente o mejor. No rebaja el nivel general de protección sin comunicárselo al Cliente.

7. Asistencia al Cliente

Teniendo en cuenta la naturaleza del tratamiento, Piklo asiste al Cliente con:

• Las solicitudes de los interesados conforme a los art. 12 a 22 del RGPD. Las propias pantallas del producto son la primera respuesta: el Cliente puede encontrar, corregir, exportar y borrar el registro de un cliente por sí mismo. Cuando una solicitud no pueda atenderse así, Piklo ayuda si se le pide. Piklo no responde directamente a un interesado en nombre del Cliente; una solicitud que llega a Piklo sobre uno de los clientes del Cliente se traslada al Cliente.
• La seguridad, la notificación de violaciones de la seguridad y las evaluaciones de impacto conforme a los art. 32 a 36 del RGPD, con la información de que Piklo dispone.

La asistencia se presta sin coste para las solicitudes proporcionadas. Piklo puede cobrar una cantidad razonable por las solicitudes repetitivas o manifiestamente excesivas, y lo dice antes de hacer ningún trabajo.

8. Subencargados del tratamiento

El Cliente da a Piklo autorización general para usar los subencargados del tratamiento que se indican a continuación. Cada uno está sujeto a condiciones de protección de datos no menos protectoras que este contrato.

• Supabase — la base de datos, la autenticación y el almacenamiento de archivos. Todos los datos de clientes se guardan aquí. Región: UE, Fráncfort (`eu-central-1`).
• Vercel — alojamiento de las tres aplicaciones web de Piklo, y la medición de cómo se usan: páginas vistas y procedencias, contadas sin cookies y sin identificar a nadie, y comunicadas al mismo sitio en el que el visitante ya está. Las funciones de la aplicación se ejecutan en la UE, Fráncfort (`fra1`); la red de distribución de contenidos sigue siendo global para los archivos estáticos.
• Stripe Payments Europe, Limited, Irlanda — pagos. Piklo transmite el importe, la moneda, la descripción de lo que se compró y, cuando la tiene, la dirección de correo electrónico del cliente. Los datos de la tarjeta van directamente del navegador del cliente a Stripe.
• Resend — envío de los correos electrónicos que el producto envía por cuenta del Cliente, y de los correos de inicio de sesión del área de cliente. Región: UE, Irlanda (`eu-west-1`).
• TOPefekt s.r.o. (que opera como BulkGate), B. Němcové 767/13, 787 01 Šumperk, República Checa, N.º de identificación 294 44 268 — envío de los SMS que el producto envía por cuenta del Cliente. Piklo transmite el número de móvil del destinatario, el texto del mensaje y el nombre del remitente. BulkGate entrega el mensaje a operadores móviles, agregadores de SMS y otros proveedores de telecomunicaciones para poder entregarlo, y sus propias condiciones permiten transferencias a terceros países cuando la entrega lo exige. Fuente: las Condiciones generales de BulkGate y su Contrato sobre el tratamiento de datos personales, consultados el 5 de septiembre de 2026 en `bulkgate.com/en/legal/`.
• Sentry. Informes de errores de las tres aplicaciones. Los informes de error pueden contener fragmentos de una solicitud; las propias reglas de depuración de Piklo eliminan las cabeceras, las cookies y los parámetros de consulta que podrían identificar a alguien antes de que un error salga del sistema, no se usa la reproducción de sesiones, y el SDK está configurado para no adjuntar por su cuenta la dirección IP ni las cabeceras de la solicitud de un visitante.

Cambios. Piklo se lo comunica al Cliente por correo electrónico al menos 30 días antes de añadir o sustituir a un subencargado del tratamiento. El Cliente puede oponerse por motivos razonables de protección de datos dentro de esos 30 días. Si la oposición no puede resolverse, el Cliente puede resolver el contrato sin más obligación de pago, y al dato se le aplica el apartado 11.

9. Transferencias fuera de la UE y del EEE

Hoy los datos personales se tratan fuera de la UE y del EEE en un solo caso: por los proveedores de Piklo, cuando su personal de soporte fuera de la UE atiende una incidencia. Ni la base de datos, ni las funciones de la aplicación, ni el envío de correo electrónico están fuera de la UE.

Esas transferencias se realizan al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea, tal como se incorporan en las condiciones de tratamiento de datos de cada proveedor, junto con las medidas complementarias descritas en el anexo A — en particular, que todo lo que está en tránsito va cifrado y que ningún proveedor fuera de la UE tiene la base de datos.

Piklo no transfiere datos personales a un tercer país sin una base válida para la transferencia.

10. Violaciones de la seguridad de los datos personales

Piklo notifica al Cliente una violación de la seguridad de los datos personales que afecte a los datos personales del Cliente sin dilación indebida y a más tardar 48 horas después de que Piklo tenga conocimiento de ella, por correo electrónico al propietario de la organización.

La notificación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Cuando no se disponga de todo ello a la vez, se facilita por fases sin más dilación indebida.

Es el Cliente, como responsable del tratamiento, quien lo notifica a la autoridad de control y, cuando proceda, a los interesados. Piklo asiste.

11. Supresión y devolución de los datos

Al terminar el contrato, y a elección del Cliente, Piklo devuelve o suprime los datos personales que trata para el Cliente.

El Cliente dispone de 30 días desde la terminación para exportar sus datos o para pedir que se le devuelvan. Piklo se los facilita en un formato de uso habitual y legible por máquina. Pasados esos 30 días, los datos se borran de los sistemas activos de Piklo.

Las copias que están en las copias de seguridad de los proveedores de Piklo no se borran una a una; se sobrescriben a medida que las copias de seguridad caducan. Las copias de seguridad de la base de datos se conservan 7 días, de modo que una supresión es completa en las copias de seguridad en los 7 días siguientes a la propia supresión. Hasta entonces, esas copias están protegidas por las mismas medidas que los datos activos y no se usan para nada que no sea restablecer el servicio.

Lo mismo se aplica a una supresión concreta durante la vigencia del contrato: un registro que el Cliente borra desaparece del sistema activo de inmediato, y de las copias de seguridad en 7 días.

Piklo no conserva nada después de eso, salvo lo que una obligación legal le exija conservar y los registros de su propia facturación al Cliente, que son datos propios de Piklo.

12. Auditoría y documentación

Piklo pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del art. 28 del RGPD — este contrato, el anexo A y la lista de subencargados del tratamiento, todo ello publicado y versionado en esta dirección.

Una vez al año, y después de una violación de la seguridad de los datos personales que afecte al Cliente, el Cliente puede pedir más documentación de las medidas de Piklo. Una auditoría presencial o práctica se acuerda con al menos 30 días de antelación, se limita a lo necesario, no debe perturbar el servicio ni alcanzar los datos de otro cliente, y corre a cargo del Cliente. Piklo puede atender una solicitud de auditoría con un informe independiente cuando disponga de uno.

13. Reclamaciones

Si no estás de acuerdo con cómo Piklo o el Cliente tratan tus datos personales, puedes reclamar ante una autoridad de control en materia de protección de datos.

Piklo Systems está establecida en Dinamarca, y nuestra autoridad de control es Datatilsynet, la Agencia Danesa de Protección de Datos, Carl Jacobsens Vej 35, 2500 Valby, Dinamarca (datatilsynet.dk).

Siempre puedes reclamar ante la autoridad de protección de datos del país en el que vives o trabajas. Relación de todas las autoridades del EEE: edpb.europa.eu.

14. Responsabilidad

La responsabilidad derivada de este contrato se rige por el apartado 10 de las Condiciones generales de uso, salvo cuando el propio RGPD reparta la responsabilidad entre el responsable y el encargado del tratamiento, en cuyo caso se aplica el RGPD.

15. Cómo se celebra y se modifica este contrato

Este contrato se acepta electrónicamente, junto con las Condiciones generales de uso, cuando se crea la organización. Se registran la versión aceptada, el idioma en el que se leyó, la persona que lo aceptó y la fecha, y la organización puede verlos en Ajustes → Suscripción en cualquier momento.

Piklo puede modificar este contrato con 30 días de preaviso por correo electrónico, en los mismos términos que el apartado 12 de las Condiciones generales de uso. Una modificación que rebajara el nivel de protección requiere el acuerdo del Cliente.

Este contrato de encargo del tratamiento existe en varios idiomas. La versión inglesa es la vinculante; la traducción se facilita por comodidad, y en caso de discrepancia prevalece la versión inglesa.

Anexo A — medidas técnicas y organizativas

Este anexo describe lo que está implantado. Es deliberadamente concreto, y no reivindica medidas que el producto no tiene.

Control de acceso en la base de datos

• La seguridad a nivel de fila está activada en todas las tablas del esquema de la aplicación, sin excepción. Una tabla sin política no concede nada a nadie.
• El acceso está acotado a la organización de la que una persona es miembro. Un miembro de una organización no puede leer las filas de otra organización, y no hay ninguna consulta que cruce organizaciones.
• Los roles dentro de una organización — propietario, administrador, profesional — deciden qué puede leer y cambiar un miembro. Los datos de facturación y de suscripción solo pueden leerlos los propietarios y los administradores.
• La página de reservas pública no tiene sesión ni acceso general de lectura. Todo lo que un visitante puede ver o escribir pasa por un número reducido de funciones de base de datos con nombre y con argumentos estrechos, concedidas una a una de forma explícita. Las funciones se crean sin permisos y se les dan exactamente los que necesitan, con el motivo escrito junto a la concesión; una comprobación automática en la compilación falla si una función se queda abierta.
• Un número reducido de operaciones se ejecuta con una credencial de servicio que elude la seguridad a nivel de fila — enviar recordatorios, registrar el resultado de un mensaje, escribir un pago después del webhook del proveedor. Cada una es una función con nombre, ninguna toca una tabla directamente, y la credencial nunca está presente en nada que se envíe a un navegador.

Cifrado

• Todo el tráfico va por HTTPS/TLS, también entre Piklo y cada subencargado del tratamiento.
• La base de datos y las copias de seguridad están cifradas en reposo por el proveedor de la base de datos.
• Las cookies de sesión las instala Piklo solo para las direcciones de Piklo, están marcadas como `SameSite=Lax` para que no se envíen desde otros sitios, y viajan por HTTPS. No están marcadas como `HttpOnly`, porque la biblioteca de inicio de sesión las lee en el navegador; la política de privacidad nombra cada una.

Registro

• Un registro de auditoría de solo adición anota las excepciones a las reglas de reserva y las reversiones del estado de una reserva: quién, cuándo, sobre qué. Ningún cliente puede escribir en él, y no tiene ninguna vía de actualización.
• Cada correo electrónico que el producto envía se registra con su destinatario, su plantilla, su resultado y la referencia propia del proveedor, de modo que un mensaje que no ha salido sea visible para el Cliente en lugar de silencioso.
• El proveedor de la base de datos conserva los registros de plataforma y de autenticación 7 días; el proveedor de alojamiento conserva los registros de ejecución 1 día. Ninguno de los dos está bajo el control de Piklo más allá de la elección del plan.

Datos de pago

• Piklo nunca recibe un número de tarjeta completo, una fecha de caducidad ni un código de seguridad. Las páginas de pago están alojadas por el proveedor de pagos.
• Lo que Piklo guarda de una tarjeta guardada es la marca y los cuatro últimos dígitos, para que una persona pueda reconocer de qué tarjeta se trata.
• El dinero va directamente a la propia cuenta del Cliente con el proveedor de pagos. Piklo no retiene fondos.

Copias de seguridad

• El proveedor de la base de datos hace una copia de seguridad diaria y la conserva 7 días en el plan actual de Piklo.
• Las copias de seguridad están cifradas en reposo y se usan únicamente para restablecer el servicio.

Desarrollo y operación

• Los cambios llegan a producción a través de un repositorio con control de versiones y de una cadena automatizada que ejecuta la batería de pruebas y un conjunto de comprobaciones en cada cambio. Una cadena en rojo no despliega.
• Las credenciales se guardan como secretos de entorno en el proveedor de alojamiento, allí son de solo escritura, y no están en el repositorio.
• Los cambios de esquema de la base de datos se escriben como migraciones, se revisan como texto y se aplican deliberadamente.

Lo que hoy no está implantado y, por tanto, no se reivindica

• No hay autenticación de dos factores en las cuentas de los profesionales.
• No hay ninguna certificación de seguridad independiente ni ningún informe de test de intrusión.
• No hay ningún acuerdo de nivel de servicio ni ningún tiempo activo garantizado.