Contrato de Encargado del Tratamiento (DPA)

Este contrato regula el tratamiento de datos personales que Marc Ramon Camps («VerticalDash») realiza por cuenta del Cliente al prestar la plataforma, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Se acepta electrónicamente al contratar el servicio y forma parte de los Términos y Condiciones.

1. Roles

El Cliente (el negocio) es el Responsable del tratamiento de los datos de sus clientes finales. VerticalDash es el Encargado y trata dichos datos únicamente conforme a las instrucciones del Cliente y al uso de la plataforma.

2. Objeto y duración

Tratamiento de los datos de clientes finales, contactos y usuarios del Cliente para prestar la web, reservas, CRM, cobros, comunicaciones, bonos, reseñas y funciones de IA. Vigencia mientras el Cliente mantenga una cuenta activa.

3. Categorías especiales (incl. salud)

Si por su actividad el Cliente registra datos de categoría especial (p. ej. salud, en fisioterapia), es el único responsable de disponer de base jurídica válida (art. 9 RGPD). VerticalDash aplica medidas de seguridad reforzadas pero no determina su finalidad.

4. Obligaciones de VerticalDash (art. 28.3 RGPD)

• Tratar los datos solo según las instrucciones del Cliente.
• Confidencialidad del personal autorizado.
• Medidas técnicas y organizativas de seguridad (art. 32): cifrado en tránsito y reposo, aislamiento por negocio, control de acceso, verificación por código del portal de cliente.
• Asistir al Cliente con los derechos de los interesados y con la seguridad, brechas y evaluaciones de impacto.
• Suprimir o devolver los datos al finalizar la relación (periodo de gracia de 30 días para exportar).
• Permitir auditorías y facilitar la información para demostrar el cumplimiento.

5. Sub-encargados

El Cliente autoriza el uso de sub-encargados con las mismas garantías: Google Firebase, Vercel, Stripe, Resend, Upstash, Anthropic y fal.ai, así como los agentes comerciales de VerticalDashpara los datos de gestión comercial. Se informará de cualquier cambio, con derecho de oposición.

6. Transferencias internacionales

Algunos sub-encargados pueden tratar datos fuera del EEE; en tal caso, la transferencia se ampara en Cláusulas Contractuales Tipo (SCC) y/o el Data Privacy Framework UE-EE.UU.

7. Brechas de seguridad

VerticalDash notificará al Cliente sin dilación indebida (máximo 48 horas) cualquier violación de seguridad de los datos, con la información necesaria para que el Cliente cumpla con sus obligaciones ante la AEPD y los interesados.

8. Ley aplicable

RGPD, LOPDGDD (LO 3/2018) y normativa española. El texto completo del contrato, con sus anexos (tratamiento, medidas de seguridad y sub-encargados), está disponible a solicitud en verticaldash@verticaldash.com.