1. Alcance y roles, y cómo se celebra
Cuando su centro ecuestre ejecuta sus operaciones en Nose for Horse (“Nose”), usted (el centro ecuestre) es el responsable del tratamiento de datos del jinete y los datos operativos que ingresa, y Nose es su encargado del tratamiento; manejamos esos datos solo según sus instrucciones documentadas. Este Acuerdo de procesamiento de datos (DPA) es el contrato del artículo 28 del RGPD que rige esa relación.
El DPA es parte de sus Términos de servicio: lo suscribe automáticamente cuando acepta los Términos y no hay nada aparte que firmar. Para su propia cuenta y datos de contacto, los datos de nuestro sitio de marketing, los análisis basados en el consentimiento y los datos de seguridad, Nose es el responsable del tratamiento por derecho propio (consulte Política de privacidad → "Quién es responsable").
2. Qué hacemos con sus datos, solo siguiendo sus instrucciones
Tratamos los datos personales de sus miembros únicamente para prestar el Servicio: crear y aislar su inquilino; crear en su nombre registros de jinetes, clientes y participantes; programar clases y registrar la asistencia; gestionar bonos y vales regalo; registrar cómo pagó un jinete (las etiquetas de efectivo/bono/vale regalo/transferencia y, cuando habilite los pagos en línea, un registro de cada pago en línea o recarga de saldo en su nombre: los fondos y los datos de la tarjeta los gestiona Stripe en su propia cuenta de Stripe, nunca Nose); calcular los ingresos de instructores; enviar los avisos que inicie; conservar los archivos subidos a un caballo por usted o por el propietario del caballo (un pasaporte, una cartilla de vacunación, un documento de seguro o similar) y entregarlos únicamente a las personas que haya autorizado a ver ese caballo; ofrecer a cada miembro acceso de autoservicio a sus reservas; y proporcionar el soporte, la prevención de abusos y el registro de auditoría necesarios para ello.
No utilizamos sus datos para nuestros propios fines, no los vendemos ni los compartimos con fines publicitarios y no los utilizamos para entrenar modelos de inteligencia artificial o aprendizaje automático.
Usted confirma que tiene una base legal conforme al Artículo 6 del RGPD (y, cuando corresponda, el Artículo 9 o el Artículo 8 del RGPD) —o, si está establecido fuera de la UE y del Reino Unido, conforme a la ley de protección de datos que le sea aplicable— para cada instrucción que nos brinda y cada elemento de datos personales que ingresa en Nose, que ha brindado a sus miembros las notificaciones que exigen los Artículos 13 y 14 del RGPD, y que sus instrucciones no harán que infrinjamos la ley.
3. Niños
Las escuelas de equitación enseñan a los niños, por lo que Nose está diseñado para almacenar datos de los niños en su nombre (normalmente, un niño ingresado como participante de la clase por un padre que es su cliente). Usted es responsable de la base legal y de cualquier consentimiento o autoridad de los padres requerido conforme a la ley que le sea aplicable —el Artículo 8 del RGPD en la UE y el Reino Unido; en los Estados Unidos, la COPPA y la ley estatal aplicable—; cuando confía en el consentimiento del propio niño, confirma que ha realizado esfuerzos razonables para verificar la autoridad parental. Mantenemos al mínimo lo que conservamos sobre un niño (generalmente un nombre y las clases a las que asistió) y nunca comercializamos ni dirigimos el Servicio a niños.
4. Confidencialidad, seguridad y subencargados
Todas las personas que tienen acceso a sus datos están sujetas a la confidencialidad y aplicamos las medidas técnicas y organizativas descritas en nuestra página Seguridad y confianza, incluida la seguridad a nivel de fila aplicada por la base de datos que abarca los datos de cada centro ecuestre, TLS en tránsito, cifrado en reposo y un registro de auditoría de solo agregar.
Usamos un pequeño conjunto de subencargados del tratamiento examinados para ejecutar el Servicio; la lista actual, con el propósito, región y mecanismo de transferencia de cada uno, se encuentra en Subencargados del tratamiento y en Política de privacidad → "Compartir: subencargados del tratamiento". Antes de agregar o reemplazar uno, damos un aviso con al menos 15 días de anticipación (por correo electrónico a la dirección de la cuenta del centro ecuestre o mediante un aviso en el producto mostrado a los administradores del centro ecuestre); antes solo cuando la seguridad o la continuidad del servicio realmente lo requieren, en cuyo caso se lo notificaremos tan pronto como sea razonablemente posible y aún podrá objetar dentro de los 15 días posteriores a ese aviso. Si se opone y no podemos resolverlo, puede finalizar la parte afectada del Servicio (o todo el acuerdo si ese subencargado del tratamiento es esencial para ello) con un reembolso prorrateado de las tarifas pagadas por adelantado por el período no utilizado. Vinculamos a cada subencargado del tratamiento a obligaciones de protección de datos al menos tan protectoras como este DPA y seguimos siendo totalmente responsables ante usted por su desempeño.
Operamos en más de una región y agregamos regiones a medida que crecemos; la región principal actual para cada subencargado del tratamiento se encuentra en la página Subencargados del tratamiento y puede cambiar a medida que nos expandimos. Para cada transferencia entre regiones confiamos en un mecanismo apropiado: las Cláusulas Contractuales Estándar de la UE, el Marco de Privacidad de Datos UE-EE. UU. (y su extensión del Reino Unido), el Anexo de transferencia internacional de datos del Reino Unido donde se aplica el RGPD del Reino Unido, o el equivalente que requiera otra región, como se establece en la página de Subencargados del tratamiento.
5. Auditorías
Si lo solicita, le brindaremos lo que necesita para demostrar nuestro cumplimiento del artículo 28 del RGPD como primer paso: nuestra página de seguridad y confianza, este DPA, informes relevantes de terceros de nuestros subencargados del tratamiento donde se nos permite compartirlos y respuestas escritas a cuestionarios razonables de seguridad y procesamiento. Si eso no es suficiente, acordaremos con usted el alcance, el momento y la realización de una auditoría o inspección adicional, con un aviso previo de al menos 30 días (antes solo después de un incidente de seguridad u orden de una autoridad supervisora), no más de una vez al año calendario (excepto después de una violación que afecte sus datos o cuando una autoridad supervisora lo requiera), durante nuestro horario comercial normal y sin interrupciones irrazonables del Servicio para otros centros ecuestres. Usted cubre el costo razonable de esa auditoría adicional, a menos que revele un incumplimiento sustancial de este DPA por nuestra parte, en cuyo caso cubrimos nuestros propios costos de cooperación.
6. Los derechos de sus miembros y las violaciones de datos
Si uno de sus miembros ejerce un derecho del RGPD (acceso, corrección, eliminación, etc.), usted decide la respuesta: es su responsable del tratamiento. Le asistimos y le remitimos cualquier solicitud que nos llegue; no lo decidimos nosotros mismos (Artículo 28(3)(e) del RGPD).
Si tenemos conocimiento de una violación de datos personales que afecta a sus datos, se lo notificaremos sin demora indebida para que pueda cumplir con sus propias obligaciones en virtud de los artículos 33 y 34 del RGPD.
Si, en nuestra opinión, una instrucción que usted nos dé infringe el RGPD u otra ley de protección de datos, se lo informaremos antes de actuar en consecuencia. Teniendo en cuenta la naturaleza del procesamiento y la información disponible para nosotros, también lo ayudaremos razonablemente con evaluaciones de impacto de la protección de datos y consultas previas con una autoridad supervisora (artículos 35 y 36 del RGPD) en lo que respecta al procesamiento en Nose.
7. Conservar, devolver y eliminar sus datos
Conservamos sus datos durante la vida útil de su cuenta activa, porque un centro ecuestre necesita su propio historial para funcionar. Cuando se borra a un miembro individual, eliminamos sus identificadores directos después de un período de gracia reversible de 30 días (seudonimización según el artículo 4(5) del RGPD), dejando líneas financieras y de clases desidentificadas en sus libros para que se concilien.
Archivar o cerrar un centro ecuestre inicia automáticamente una ventana de baja reversible de 90 días. Dentro de ella, el centro ecuestre se puede restaurar y una exportación completa está disponible a pedido; cuando finaliza, sus datos se conservan durante un máximo de 90 días en total y luego se eliminan automáticamente. Sus propios registros legales (por ejemplo, los registros de contabilidad/IVA polacos de 5 años) son suyos y le corresponde conservarlos: Nose no tiene ninguna obligación independiente de conservar los datos personales de los jinetes durante cinco años, así que exporte lo que necesite antes de que se cierre la ventana.
8. Responsabilidad, orden de precedencia y supervivencia
Nuestra responsabilidad en virtud de este DPA sigue los límites y exclusiones de sus Términos de servicio, excepto en la medida en que la ley no permita que se limiten, incluidos los Artículos 82 y 83 del RGPD. Si este DPA y sus Términos entran en conflicto sobre cómo se procesan los datos personales, este DPA prevalece; Si este DPA entra en conflicto con las Cláusulas Contractuales Estándar en las que nos basamos para una transferencia, prevalecen las Cláusulas Contractuales Estándar. Este DPA tiene una duración mientras procesemos sus datos en su nombre; las partes que deben seguir aplicándose después de eso (confidencialidad, notificación de infracción por cualquier cosa que se descubra más adelante, conservar/devolver/eliminar sus datos, auditorías para el período anterior a su partida y esta sección) sobreviven a su terminación.
9. ¿Qué constituye este DPA?
Esta página establece los términos operativos del DPA. Junto con la página Seguridad y confianza (nuestras medidas técnicas y organizativas), la página Subencargados del tratamiento (la lista de subencargados del tratamiento autorizados) y los detalles del procesamiento descrito anteriormente, forma el acuerdo completo de procesamiento de datos entre su centro ecuestre y Nose; no hay nada separado que firmar. Cuando una transferencia transfronteriza los requiera, se aplican las Cláusulas contractuales estándar de la UE incorporadas en nuestros acuerdos de subencargados (junto con el Anexo del Reino Unido o un mecanismo equivalente cuando otra jurisdicción lo requiera). Si necesita una copia refrendada o un registro de procesamiento detallado para su propia documentación de rendición de cuentas, escriba a support@nose.horse y le proporcionaremos uno.