Contrato de encargado del tratamiento

Responsable: el titular del alojamiento que crea la cuenta en Mellom y acepta este contrato.

Encargado: [pendiente de configurar: LEGAL_NAME] (NIF [pendiente de configurar: LEGAL_NIF], [pendiente de configurar: LEGAL_ADDRESS]), titular de Mellom.

El contrato se acepta junto con los términos del servicio, cumple el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y dura lo mismo que la cuenta.

• Finalidad: recoger los datos de los huéspedes, confeccionar el parte de viajeros y comunicarlo a SES.Hospedajes en nombre del responsable (RD 933/2021), y enviar a los huéspedes los avisos del check-in.
• Interesados: huéspedes del alojamiento y, en su caso, sus acompañantes menores.
• Datos: identificativos y de documento de identidad, fecha de nacimiento, nacionalidad, sexo, dirección, teléfono y email, parentesco con menores, fechas de la estancia y firma.
• Operaciones: recogida, lectura del documento, conservación, consulta, comunicación a SES.Hospedajes y supresión.

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y la configuración de su cuenta. Si una instrucción nos pareciera contraria a la ley, lo avisaremos.
• No usar los datos para ningún fin propio.
• Garantizar que quien acceda a los datos está obligado a guardar confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD, como mínimo: tráfico cifrado con TLS, credenciales de SES.Hospedajes cifradas, acceso al panel con contraseña y sesiones revocables, servidores en la UE, copias de seguridad y borrado automático a los 3 años. La foto del documento de identidad no se guarda.
• Ayudar al responsable a atender los derechos de los interesados y a cumplir los artículos 32 a 36 del RGPD. Si un huésped nos escribe directamente, se lo trasladaremos al responsable.
• Notificar al responsable, sin dilación indebida y en un máximo de 48 horas desde que la conozcamos, cualquier violación de seguridad que afecte a sus datos, con la información necesaria para que pueda notificarla a su vez.
• Poner a su disposición la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisadas con antelación.

El responsable autoriza de forma general a Mellom a recurrir a estos subencargados, a los que exigimos las mismas obligaciones que este contrato:

• Hetzner Online GmbH: servidor y base de datos. Alemania (UE).
• Resend: envío de emails transaccionales. Estados Unidos, con cláusulas contractuales tipo.

Avisaremos por email de cualquier cambio en esta lista con al menos 15 días de antelación; el responsable puede oponerse y, si no llegamos a un acuerdo, darse de baja.

Los avisos por WhatsApp o SMS, si el responsable los activa, salen por su propia cuenta de Meta o Twilio: esos proveedores trabajan para él, no para Mellom.

Mientras dure la cuenta, los datos del parte se conservan 3 años desde el fin de la estancia, el plazo del RD 933/2021, y después se borran automáticamente.

Cuando termine el contrato, si el responsable la pide en los 30 días siguientes le entregaremos una copia de los datos en un formato estándar. Pasado ese plazo los suprimimos, también de las copias de seguridad cuando estas caduquen. Conservar el registro hasta los 3 años que marca la ley es entonces obligación del responsable.

• Tener base jurídica para el tratamiento, que en el parte de viajeros es la obligación legal del RD 933/2021.
• Informar a sus huéspedes del tratamiento.
• Velar por que el tratamiento cumpla el RGPD.

Para cualquier cuestión sobre este contrato: [pendiente de configurar: LEGAL_EMAIL].