1. Objeto y funciones

El cliente es responsable del tratamiento en el sentido del art. 4, núm. 7, del RGPD respecto de los datos personales que él o sus usuarios traten en STRYK («datos del encargo»). Nextpulse trata los datos del encargo como encargado del tratamiento.

El objeto del tratamiento es la puesta a disposición, la explotación, el mantenimiento, la copia de seguridad y el soporte de STRYK conforme al contrato principal, incluidos los contratos de prueba.

Para fines propios –gestión contractual, facturación, cuentas de identidad en Nextpulse ID, seguridad de la plataforma, defensa frente a abusos y ejercicio de derechos–, Nextpulse actúa como responsable independiente; estos tratamientos se describen en la política de privacidad.

2. Duración

El acuerdo rige durante la vigencia del contrato principal, incluido el periodo de transición y de recuperación tras la finalización del contrato, y más allá de este mientras Nextpulse trate datos del encargo, hasta su supresión conforme al apartado 14.

3. Naturaleza y finalidad del tratamiento

Naturaleza del tratamiento: recogida, registro, conservación, ordenación, adaptación, consulta, uso, comunicación a destinatarios elegidos por el cliente, cotejo, limitación, copia de seguridad, restauración y supresión. La finalidad es prestar las funciones utilizadas por el cliente, en particular:

gestión hotelera: reservas, habitaciones, ocupación, limpieza, perfiles de huéspedes, facturas, estado de pago, asientos contables, evaluaciones y organización del personal;
motor de reservas, sitio web para huéspedes, registro en línea, portal de huéspedes y quiosco, incluida la recogida de datos de comunicación obligatoria y de documentos de identidad, en la medida en que el cliente active estas funciones;
comunicación con los huéspedes por correo electrónico y en otros canales, incluido el análisis basado en IA, las propuestas de respuesta y las respuestas automatizadas, en la medida en que estén activadas;
distribución de disponibilidades, precios y reservas a través del gestor de canales, en la medida en que esté activado;
conexión de sistemas de pago, de caja, bancarios y otros sistemas, en la medida en que el cliente los active;
transferencia de datos desde sistemas anteriores, análisis de errores, soporte y medidas de seguridad, en la medida necesaria para la prestación.

4. Interesados y categorías de datos

Huéspedes, acompañantes, personas que realizan reservas e interesados: datos de identidad y de contacto, datos de estancia y de reserva, preferencias, contenidos de comunicación, datos de facturación y de estado de pago, datos de comunicación obligatoria y del registro de huéspedes.
Datos de identidad: datos de documentos de viaje y reproducciones de documentos de identidad, en la medida en que el cliente utilice la función correspondiente.
Empleados y usuarios del cliente: nombre, datos de contacto, función, asignación de servicio y de tareas, registros de actividad y de acceso.
Contactos comerciales, clientes corporativos, proveedores y socios: datos maestros, de contacto, contractuales y de facturación.
Categorías especiales de datos personales en el sentido del art. 9 del RGPD, por ejemplo datos de salud en las peticiones de huéspedes, solo cuando el cliente decida registrar dichos datos y disponga de una base jurídica para ello.
No se tratan números completos de tarjetas, códigos de verificación de tarjetas ni credenciales de banca en línea; los medios de pago los trata el proveedor de servicios de pago del cliente.

5. Instrucciones

Nextpulse trata los datos del encargo únicamente siguiendo instrucciones documentadas del cliente, también en lo relativo a las transferencias a terceros países, salvo que Nextpulse esté obligada a tratarlos en virtud del Derecho de la Unión o del Derecho de un Estado miembro; en tal caso, Nextpulse comunica al cliente dichos requisitos legales antes del tratamiento, salvo que el Derecho lo prohíba.

El contrato principal, el presente acuerdo y la configuración y el uso de las funciones por parte del cliente constituyen las instrucciones. Las instrucciones individuales se dan en forma de texto.

Si Nextpulse considera que una instrucción infringe la normativa de protección de datos, informa de inmediato al cliente y puede suspender la ejecución hasta que la instrucción sea confirmada o modificada.

6. Confidencialidad

Nextpulse garantiza que las personas autorizadas para el tratamiento se han comprometido a la confidencialidad o están sujetas a un deber legal de secreto adecuado. Los accesos a los datos del encargo se producen únicamente en la medida necesaria para la explotación, la seguridad o el soporte. Las medidas de soporte que modifiquen datos en la administración de la plataforma se registran con indicación de su motivo.

7. Seguridad del tratamiento

Nextpulse adopta las medidas técnicas y organizativas necesarias conforme al art. 32 del RGPD. Se describen en el apartado 17. Nextpulse puede adaptar las medidas al progreso técnico, siempre que no se reduzca el nivel de protección.

8. Subencargados del tratamiento

El cliente otorga una autorización general para encargar a las empresas indicadas en la lista de subencargados del tratamiento. Nextpulse informa al cliente en forma de texto al menos 30 días antes de encargar un nuevo subencargado del tratamiento o de sustituir a uno existente.

El cliente puede oponerse al cambio en forma de texto dentro de los 14 días siguientes a la recepción de la información, por un motivo grave de protección de datos. Las partes procurarán una solución de común acuerdo. Si no se consigue, el cliente puede resolver el contrato o la parte del contrato afectada con efecto a la fecha de la puesta en funcionamiento; las remuneraciones abonadas por adelantado correspondientes al periodo posterior se reembolsan en proporción.

Si una sustitución es necesaria a corto plazo para evitar un peligro agudo para la seguridad o la disponibilidad, Nextpulse informa de inmediato a posteriori; el derecho de oposición y de resolución se aplica en consecuencia.

Nextpulse impone contractualmente a cada subencargado del tratamiento, en lo esencial, las mismas obligaciones de protección de datos que se establecen en el presente acuerdo, y responde ante el cliente de su cumplimiento.

9. Derechos de los interesados

Nextpulse asiste al Cliente, mediante medidas técnicas y organizativas apropiadas, en la atención de las solicitudes de los interesados, prioritariamente a través de las funciones disponibles en STRYK, en particular para la rectificación, la exportación de datos y la supresión o anonimización de los perfiles de huéspedes. Cuando dichas funciones no sean suficientes para una solicitud, Nextpulse, a petición del Cliente y en el plazo de diez días hábiles, pondrá a disposición los datos del interesado tratados por cuenta del Cliente en un formato de uso común y lectura mecánica, o los suprimirá. Si un interesado se dirige directamente a Nextpulse, Nextpulse remitirá la solicitud al Cliente en el plazo de cinco días hábiles y no la responderá por sí misma, salvo obligación legal.

10. Apoyo en seguridad, evaluación de impacto y consulta

Nextpulse apoya al cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en el cumplimiento de las obligaciones de los arts. 32 a 36 del RGPD, en particular facilitando información para una evaluación de impacto relativa a la protección de datos y en las consultas previas a la autoridad de control.

Nextpulse puede facturar, previa información y a tarifas razonables, las prestaciones de apoyo que excedan la puesta a disposición de la información y de las funciones existentes y que no hayan sido motivadas por un incumplimiento de Nextpulse.

11. Violaciones de la seguridad de los datos personales

Nextpulse notifica al cliente sin demora indebida cualquier violación de la seguridad de los datos del encargo, y en todo caso en un plazo de 48 horas desde que tenga conocimiento de ella. La notificación se dirige a la dirección de contacto facilitada por el cliente.

En la medida en que esté disponible, la notificación incluye una descripción de la naturaleza de la violación, de las categorías y del número aproximado de interesados y de registros afectados, de las consecuencias probables y de las medidas adoptadas o propuestas, así como un punto de contacto. La información aún no disponible se facilitará sin demora indebida.

La decisión sobre las notificaciones a la autoridad de control y las comunicaciones a los interesados corresponde al cliente. Una notificación no constituye reconocimiento de incumplimiento alguno.

12. Lugares de tratamiento y transferencias a terceros países

Los datos del encargo se tratan preferentemente en la Unión Europea o en el Espacio Económico Europeo. Algunos subencargados del tratamiento también tratan datos en terceros países, en particular en los Estados Unidos; la lista de subencargados del tratamiento indica el lugar y la base de la transferencia de cada proveedor.

Las transferencias a terceros países solo se realizan en las condiciones de los arts. 44 y ss. del RGPD, en particular sobre la base de una decisión de adecuación como el Marco de Privacidad de Datos UE-EE. UU. para destinatarios certificados, o de las cláusulas contractuales tipo de la Comisión Europea, incluidas las medidas adicionales necesarias. Cuando se utilice una decisión de adecuación, Nextpulse acordará, en la medida de lo posible, cláusulas contractuales tipo como base complementaria.

13. Pruebas y controles

Nextpulse pone a disposición del cliente toda la información necesaria para acreditar el cumplimiento del presente acuerdo, en particular una descripción actualizada de las medidas técnicas y organizativas y las pruebas disponibles de los subencargados del tratamiento.

El cliente, o un auditor encargado por él que esté sujeto a deber de confidencialidad y no sea competidor de Nextpulse, puede llevar a cabo verificaciones, incluidas inspecciones. Las verificaciones periódicas se realizan como máximo una vez al año, con un preaviso de al menos 30 días. En caso de violación de la seguridad de los datos del encargo, de una orden de la autoridad de control o de indicios concretos de incumplimiento, se admiten verificaciones adicionales con un preaviso razonable.

Las verificaciones se realizan en horario laboral, sin perturbar de forma desproporcionada la explotación y preservando la confidencialidad de los datos de otros clientes. El cliente asume sus propios costes; si la verificación pone de manifiesto un incumplimiento sustancial de Nextpulse, Nextpulse asume los costes razonables.

14. Devolución y supresión

Durante la vigencia del contrato, el cliente puede descargar los datos del encargo mediante las funciones de exportación disponibles. Tras la finalización del contrato, Nextpulse mantiene los datos del encargo a disposición para su devolución durante el periodo de transición y de recuperación conforme a las CGC SaaS B2B; si ya no existe acceso a STRYK, Nextpulse pone a disposición una exportación previa solicitud.

Transcurrido el periodo de recuperación, Nextpulse suprime los datos del encargo sin demora indebida y, a más tardar, en un plazo de 90 días, salvo que el Derecho de la Unión o de un Estado miembro obligue a Nextpulse a conservarlos. Si existe tal obligación, Nextpulse bloquea los datos afectados y solo los trata para esa finalidad. Las copias de seguridad se sobrescriben en el ciclo ordinario de copias, a más tardar tras 90 días, y hasta entonces no se utilizan para la explotación en curso. A petición, Nextpulse confirma la supresión en forma de texto.

Las obligaciones legales de conservación del cliente, por ejemplo conforme a la BAO, al UGB o a la Meldegesetz (Ley de registro de residentes), corresponden al cliente, que las cumple sobre la base de la devolución o de las exportaciones. Nextpulse no conserva los datos del encargo para el cliente después de la finalización del contrato, salvo que el cliente encargue expresamente esa conservación como prestación separada con una duración determinada. Los datos propios de Nextpulse sobre contratos, facturación y pruebas no son datos del encargo.

15. Datos anonimizados

Nextpulse puede anonimizar los datos del encargo en la medida necesaria para prestar, proteger y mejorar STRYK, y utilizar los datos anonimizados sin posibilidad de deducir la identidad de personas físicas ni de un cliente concreto. Los datos del encargo no se utilizan para entrenar modelos de IA.

16. Prevalencia y responsabilidad

En materia de protección de datos, el presente acuerdo prevalece sobre los demás documentos contractuales, salvo las disposiciones individuales que se remitan expresamente a una disposición concreta de este acuerdo; no se acuerda ninguna desviación del art. 28 del RGPD en perjuicio del cliente.

La responsabilidad imperativa conforme al RGPD no se excluye ni se limita. En la relación entre las partes, la compensación se rige por el art. 82, apdo. 5, del RGPD; para ello y para lo demás se aplican las disposiciones de responsabilidad de las CGC SaaS B2B, incluidas sus limitaciones en caso de negligencia leve.

17. Anexo: Medidas técnicas y organizativas

Las siguientes medidas describen el estado actual. Se revisan periódicamente y se desarrollan.

Separación de clientes: los datos de cada cliente se identifican por cliente; la base de datos impone la separación, además de la lógica de la aplicación, mediante políticas de seguridad a nivel de fila (Row Level Security), que no pueden eludirse con el rol de la aplicación.
Control de acceso: inicio de sesión de los usuarios a través de Nextpulse ID con OpenID Connect; soporte de un segundo factor; para acciones administrativas sensibles de la administración de la plataforma se requiere un nuevo inicio de sesión con segundo factor. Las cuentas de dispositivo para las funciones de quiosco se limitan a la explotación correspondiente.
Control de acceso a los datos: permisos basados en roles conforme al principio de necesidad, con comprobación en el servidor de cada solicitud; los accesos no asignados se rechazan. Las medidas de soporte se realizan a través de la administración de la plataforma; las medidas que modifican datos requieren una justificación y se registran.
Control de transmisión: los accesos a STRYK a través de Internet se realizan exclusivamente cifrados mediante TLS. Los correos electrónicos se transmiten con cifrado de transporte en la medida en que el servidor receptor lo admita. Los secretos de acceso de sistemas de terceros conectados se almacenan cifrados.
Cifrado de los datos en reposo: las copias de seguridad se almacenan cifradas. Para contenidos especialmente protegidos, como reproducciones de documentos de identidad, Nextpulse recomienda limitar la recogida a lo legalmente necesario y establecer plazos de supresión.
Plazos de supresión: para los datos del registro en línea, incluidos los datos de documentos de identidad registrados, el cliente puede establecer en STRYK un plazo de supresión. Por defecto no está activado; el establecimiento de plazos de supresión corresponde al cliente como responsable.
Cargas de archivos: los archivos cargados se comprueban en busca de software malicioso antes de su tratamiento.
Control de entrada y registro: registro de las operaciones relevantes para la seguridad y para el negocio; los registros no contienen contraseñas, tokens ni secretos de acceso.
Control de disponibilidad: copias de seguridad diarias almacenadas cifradas en una ubicación separada de la explotación productiva; procedimientos de restauración documentados; limitación de las consultas anónimas para evitar sobrecargas y abusos.
Control de separación: separación de los entornos de desarrollo, prueba y producción; ningún dato de acceso productivo en el código fuente.
Medidas organizativas: compromiso de confidencialidad, restricción de los accesos administrativos a personas autorizadas, procedimientos para las actualizaciones de seguridad y para el tratamiento de incidentes de seguridad.