Acuerdo de tratamiento de datos

1.Partes y objeto

Este acuerdo forma parte del contrato de servicio de LavaCar Control y de los Términos y condiciones. Lo celebran:

• El responsable: el lavacar que contrata el servicio, que decide los fines y medios del tratamiento de los datos que registra.
• El encargado: el titular del servicio LavaCar Control, en Costa Rica, que trata esos datos por cuenta del responsable.

Su objeto es regular ese tratamiento conforme a la Ley N.° 8968 y su Reglamento.

2.Qué datos, de quién y para qué

Finalidad: prestar las funciones del sistema que el responsable use. Naturaleza: almacenamiento, consulta, cálculo (totales, IVA, caja, comisiones, reportes), envío de correos que el responsable dispare y el resto de operaciones propias del servicio.

Duración: la del contrato de servicio, más el período de devolución de la sección 10.

3.Tratamiento solo por instrucciones del responsable

• El encargado trata los datos solo para prestar el servicio y según las instrucciones del responsable. Se consideran instrucciones el uso que el responsable hace de las funciones del sistema y lo que pida por escrito.
• El encargado no usa los datos para fines propios: no los vende, no los cede, no los usa para publicidad, no los combina con los de otros lavacares y no crea perfiles.
• Si una instrucción le parece contraria a la ley, el encargado lo avisará al responsable.
• El encargado puede elaborar estadísticas agregadas y anónimas del uso del servicio (por ejemplo, cuántos lavados se registran en total) para mejorarlo, sin datos que identifiquen a personas ni a un lavacar en particular.

4.Obligaciones del responsable (el lavacar)

• Contar con una base legítima para tratar los datos de sus clientes y su personal, e informarles cómo los usa. Puede usar como base el Aviso para clientes de los lavacares.
• Obtener el consentimiento que la ley exija para enviar mensajes o promociones por WhatsApp u otros medios, y respetar a quien no lo dé (el sistema permite marcar si el cliente acepta promociones).
• Registrar solo los datos necesarios y no registrar datos sensibles (salud, creencias, etc.) en notas u otros campos.
• Administrar las cuentas de su personal, sus permisos y las medidas de seguridad opcionales que decida usar.
• Atender las solicitudes de sus clientes (acceso, rectificación, supresión, oposición), con la ayuda del encargado cuando la necesite.

5.Confidencialidad

Las personas del encargado que puedan acceder a los datos están obligadas a guardar secreto, incluso después de terminar su relación con él. Solo acceden cuando es necesario para el servicio o para dar soporte, y el acceso de soporte al sistema del lavacar se hace con motivo escrito, por un tiempo limitado y queda registrado a la vista del dueño.

6.Medidas de seguridad

El encargado aplica las medidas técnicas y organizativas del Anexo A y las mantiene actualizadas según el estado de la técnica y los riesgos. Puede cambiarlas siempre que el nivel de protección no disminuya.

7.Subencargados

• El responsable autoriza al encargado a apoyarse en proveedores de los tipos del Anexo B. Su lista nominal se entrega al responsable que la pida por escrito, bajo confidencialidad.
• El encargado avisará al responsable si agrega o cambia un subencargado, antes del cambio o, si es urgente por seguridad, en cuanto lo haga. Si el responsable se opone por motivos razonables de protección de datos, podrá terminar el contrato sin penalidad.
• El encargado exige a cada subencargado obligaciones de protección equivalentes a las de este acuerdo y responde por su cumplimiento.

8.Ayuda con los derechos de los titulares

Si un cliente o empleado del lavacar se dirige al encargado para ejercer sus derechos, el encargado se lo trasladará al responsable sin demora y sin responderle en el fondo, salvo instrucción del responsable. El sistema permite al responsable consultar, corregir y exportar los datos; si necesita borrar datos concretos o una copia completa, el encargado lo ayudará.

9.Incidentes de seguridad

• Si el encargado conoce un incidente que afecte datos del responsable (acceso no autorizado, pérdida, alteración o divulgación), se lo notificará sin demora indebida y a más tardar dentro de 48 horas de conocerlo, para que el responsable pueda cumplir su propio plazo legal: informar a los titulares afectados dentro de los 5 días hábiles siguientes a que ocurrió el incidente (Reglamento a la Ley 8968, art. 38).
• La notificación incluirá, en lo que se conozca: qué pasó, cuándo, qué datos y cuántas personas se vieron afectadas, las consecuencias probables y las medidas tomadas y propuestas. Si no se conoce todo de una vez, se irá completando.
• El encargado tomará las medidas para contener el incidente, investigarlo y evitar que se repita, y colaborará con el responsable en los avisos a titulares y autoridades.

10.Al terminar el servicio: devolución y eliminación

• Durante 30 días después de terminado el contrato, el responsable puede descargar su información o pedir una copia completa de sus datos en un formato de uso común.
• Pasado ese plazo, el encargado elimina los datos del responsable del sistema. Las copias en los respaldos se eliminan al cumplirse su ciclo de rotación.
• El encargado solo conservará lo que una ley le obligue a conservar, y solo para ese fin.

11.Información y verificación

Si el responsable lo pide por escrito a [email protected], el encargado le entregará, sin costo y hasta una vez al año, información documental razonable que demuestre que cumple este acuerdo (por ejemplo, una descripción confidencial de sus medidas de seguridad y la lista de sus subencargados). No se ofrecen auditorías presenciales ni acceso a los sistemas del encargado, para no afectar la seguridad de los datos de los demás lavacares.

12.Responsabilidad

Cada parte responde por el cumplimiento de sus propias obligaciones legales. La responsabilidad del encargado se rige por la sección de Limitación de responsabilidad de los Términos, en lo que la ley permita.

13.Normativa y fuentes

Las leyes que citamos en este documento, en su texto oficial del Sistema Costarricense de Información Jurídica, y la autoridad que las aplica:

• Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, N.° 8968
• Reglamento a la Ley N.° 8968, Decreto Ejecutivo N.° 37554-JP
• Agencia de Protección de Datos de los Habitantes (PRODHAB)

A.Anexo A · Medidas técnicas y organizativas

El encargado mantiene, como mínimo, medidas en estas áreas. Por seguridad, su descripción técnica detallada no se publica; está disponible para el responsable que la pida por escrito, bajo confidencialidad.

B.Anexo B · Subencargados

El encargado se apoya en proveedores de estos tipos, que pueden estar fuera de Costa Rica:

Por qué no publicamos sus nombres. Por seguridad, no divulgamos públicamente qué empresas ni qué tecnologías usamos: esa información ayudaría a quien quisiera atacar el servicio. El responsable que lo necesite puede pedirnos por escrito la lista de proveedores, y se la entregamos de forma confidencial.