Acuerdo de tratamiento de datos

1. Objeto y roles

Este acuerdo forma parte de los Términos y condiciones entre [Razón social o nombre y apellido del titular] ("Turneate", el encargado) y el negocio que usa el servicio ("el negocio", el responsable).

Para los datos personales de los clientes del negocio que se cargan en Turneate, el negocio es el responsable del tratamiento y Turneate presta un servicio de tratamiento de datos por cuenta de terceros, como prevé el artículo 25 de la Ley 25.326.

2. Datos, personas y finalidad

• Datos: nombre, teléfono, email, preferencias de contacto, historial de turnos y las notas o campos que el negocio defina.
• Personas: los clientes y el equipo del negocio.
• Finalidad: que el negocio gestione sus turnos, mande confirmaciones y recordatorios y lleve su ficha de clientes.
• Duración: mientras el negocio use Turneate, más el plazo de devolución o supresión de la cláusula 9.

3. Instrucciones del negocio

Turneate trata los datos solo para prestar el servicio y según las instrucciones del negocio, que se dan al usar el producto (cargar, editar, importar o borrar clientes, activar o no los recordatorios, etc.) y por escrito a [Email de contacto legal].

Turneate no usa estos datos para fines propios ni los cede o transfiere a terceros, salvo a los subencargados de la cláusula 6 o por exigencia legal. Podemos usar datos agregados y anónimos para estadísticas del servicio. [REVISAR.]

4. Obligaciones del negocio

• Contar con una base legítima para tratar los datos de sus clientes e informarles para qué los usa.
• Obtener el consentimiento de quienes reciben promociones y no mandar promociones a los demás.
• No cargar datos sensibles (salud, origen racial o étnico, opiniones políticas, creencias religiosas, afiliación sindical, vida sexual).
• Atender los pedidos de acceso, rectificación y supresión de sus clientes.

5. Confidencialidad y seguridad

Turneate guarda confidencialidad sobre los datos y limita el acceso a quienes lo necesitan para prestar el servicio. Aplica, como mínimo, estas medidas:

• aislamiento de los datos de cada negocio en la base;
• conexiones cifradas y cookies de sesión seguras;
• límites de pedidos y verificación anti-robots en los formularios públicos;
• acceso del equipo de Turneate con verificación en dos pasos y registro de cada acción administrativa;
• registros técnicos sin teléfonos, emails ni nombres.

6. Subencargados

El negocio autoriza a Turneate a usar los siguientes subencargados. Si sumamos o cambiamos alguno, avisamos con 15 días de anticipación y el negocio puede oponerse cerrando su cuenta. [REVISAR: plazo.]

• Supabase: Base de datos, inicio de sesión y archivos (logos). Ubicación: Brasil (São Paulo).
• Vercel: Alojamiento de la aplicación. Ubicación: Brasil (São Paulo) y red global de entrega.
• Resend: Envío de emails (confirmaciones, recordatorios, invitaciones). Ubicación: Estados Unidos.
• Upstash: Límites de pedidos contra abusos (guarda un código irreversible de la IP, no la IP). Ubicación: Brasil (São Paulo).
• Cloudflare Turnstile: Verificación anti-robots al reservar y registrarse. Ubicación: Estados Unidos.
• Sentry: Registro de errores técnicos, con los datos personales borrados antes de enviarse. Ubicación: Estados Unidos.
• PostHog: Medición de uso del portal sin cookies ni datos personales (cuando esté activada). Ubicación: Estados Unidos.

7. Ayuda con los derechos de las personas

Si una persona le pide a Turneate acceder, rectificar o suprimir sus datos, se lo derivamos al negocio. Turneate ayuda al negocio a responder dentro de los plazos de la ley: el negocio puede ver y corregir la ficha de sus clientes desde el panel y eliminarlos (se borran sus datos personales y los turnos pasados quedan sin datos de la persona).

8. Incidentes de seguridad

Si Turneate detecta un incidente que afecte los datos del negocio, se lo avisa sin demora indebida y, de ser posible, dentro de las 72 horas, con lo que sepa del hecho y lo que se está haciendo. [REVISAR: plazo.]

9. Devolución y supresión

Al terminar el servicio, el negocio puede pedir una copia de sus datos. Después, Turneate los borra o anonimiza en [plazo a definir], salvo lo que la ley nos obligue a conservar. Los subencargados borran sus copias según sus propias políticas.

10. Transferencias internacionales

Los subencargados pueden estar fuera de la Argentina, como figura en la cláusula 6. Turneate se asegura de que protejan los datos por contrato. [REVISAR: cláusulas modelo de la AAIP.]

11. Información y auditoría

A pedido del negocio, Turneate le da la información razonable para comprobar que cumple este acuerdo.

12. Responsabilidad, vigencia y ley aplicable

Se aplican los límites de responsabilidad de los Términos y condiciones. Este acuerdo rige mientras Turneate trate datos del negocio, y se rige por las leyes argentinas, con los tribunales que indican los Términos.