Contrato de encargo del tratamiento

Este contrato regula el tratamiento que Playium hace, por cuenta de cada parque, de los datos personales que el parque gestiona en la plataforma. Forma parte de las Condiciones del servicio y queda aceptado con ellas al contratar. En materia de protección de datos, prevalece sobre las condiciones.

Normativa aplicable: el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 cuando el parque esté establecido en España o trate datos de personas que residen en la Unión Europea; la Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (LQPD) y el Decret 391/2022 cuando esté establecido en Andorra. Donde coinciden, se cita el RGPD por brevedad: el artículo 31 de la LQPD impone al encargado las mismas obligaciones que el artículo 28 del RGPD.

El modo sin conexión del mostrador guarda en el navegador del dispositivo del parque una copia de los datos del local, para poder seguir cobrando sin red: las familias, con todos los datos de tutores y niños y sus bonos; las reservas y eventos desde 60 días atrás, con sus notas, campos personalizados y datos de contacto del cliente; y las entradas, consumos y cajas recientes. La custodia de esos dispositivos corresponde al parque.

Si el parque trata datos de salud, él determina que son necesarios y garantiza la base jurídica del artículo 9.2 del RGPD (normalmente, el consentimiento explícito del tutor). Playium les aplica las mismas medidas de seguridad que al resto de datos y, además, el dato del campo propio se borra solo 30 días después de la visita (si llega por WhatsApp, el mensaje que lo traía se vacía en la copia de la conversación que guarda Playium al guardarlo) y queda fuera del feed ICS, de los emails y del asistente de IA.

Playium se obliga a (art. 28.3 RGPD; art. 31.4 LQPD):

• Tratar los datos solo siguiendo las instrucciones documentadas del parque [28.3.a]: las de este contrato, las de las condiciones del servicio y las que el parque da al usar la plataforma (dar de alta familias, cobrar, enviar avisos, activar módulos, borrar). Si Playium considera que una instrucción infringe la normativa, avisará al parque de inmediato. Solo tratará los datos fuera de esas instrucciones si lo exige la ley, y en ese caso avisará antes al parque, salvo que la ley lo prohíba. • No transferir datos a un tercer país sin las garantías de la cláusula 7 [28.3.a]. • Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad [28.3.b]. El personal de Playium accede a los datos de un parque solo para operar el servicio, resolver incidencias o atender una petición de soporte del propio parque. Su acceso de soporte (administración de la plataforma) permite ver los datos de todos los parques, incluidos los de salud; se limita a esas finalidades y queda sujeto a este deber de confidencialidad. • Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el anexo (cláusula 11) y mantenerlas al día [28.3.c]. • Respetar las condiciones de subcontratación de la cláusula 6 [28.3.d]. • Ayudar al parque a responder a las solicitudes de ejercicio de derechos [28.3.e]: si una familia se dirige a Playium, Playium trasladará la solicitud al parque sin dilación y en un máximo de 3 días laborables. Desde el panel el parque puede consultar y corregir las fichas de familia; eliminar una familia desde el panel la desactiva (deja de verse en el panel y en la app, y sus cuentas de acceso quedan bloqueadas) y Playium la puede recuperar a petición del parque; para atender una solicitud de supresión, el parque usa «Suprimir los datos personales», que borra o anonimiza de forma definitiva los datos personales de la familia y conserva sin ellos la contabilidad que el parque debe guardar por ley. • Ayudar al parque a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluación de impacto y consulta previa (artículos 32 a 36 del RGPD) [28.3.f], con la información de que disponga como encargado. • Suprimir o devolver los datos al terminar el servicio conforme a la cláusula 9 [28.3.g]. • Poner a disposición del parque la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías conforme a la cláusula 10 [28.3.h].

Además, Playium lleva un registro de las categorías de actividades de tratamiento que hace por cuenta de los parques (artículo 30.2 del RGPD; artículo 32 de la LQPD).

El parque, como responsable:

• Garantiza que tiene base jurídica para tratar los datos que introduce en la plataforma y que informa a las familias y a su personal de ese tratamiento, incluido que Playium actúa como su encargado. Para informar a las familias, Playium genera el aviso de privacidad del parque con los datos que el parque introduce en su configuración (razón social, NRT/NIF, dirección y teléfono) y con los servicios que tiene activados, y lo publica solo cuando esos datos están completos; el parque es responsable de su contenido y de completar y mantener al día esos datos. • Recaba el consentimiento de los tutores cuando sea necesario (en particular, para los datos de salud) y puede acreditarlo. Al darse de alta en la app de familias, al pedir una reserva y al inscribirse en una actividad del calendario público, el tutor marca una casilla que enlaza al aviso de privacidad del parque o, mientras el parque no lo tenga publicado, a la política de privacidad de Playium y, si el parque lo ha publicado en Playium, a su aviso legal; en una reserva por WhatsApp, el asistente envía el enlace a ese mismo texto y, si lo hay, el texto del aviso legal del parque, y pide un sí explícito; al dar de alta una familia desde la sección Familias del panel, el personal del parque declara que ha informado a la familia. Playium guarda qué versión se aceptó o se declaró y cuándo y, salvo en WhatsApp, desde qué navegador y la IP, esta solo como hash. Si el parque activa el campo de alergias y necesidades especiales, la familia consiente con una casilla propia (por WhatsApp, con un sí explícito a un mensaje fijo), el personal que lo anota en el panel declara que la familia lo ha autorizado, y Playium guarda la constancia de la misma forma. • Da a Playium únicamente instrucciones lícitas, a través de este contrato y del uso de la plataforma. • Decide qué datos son necesarios (minimización), qué campos pide a las familias y qué módulos activa (WhatsApp con asistente de IA, sincronización de calendario, pasarelas de pago), y hace la evaluación de impacto cuando proceda. • Gestiona los permisos de su personal y la custodia de sus credenciales y de los dispositivos desde los que usa la plataforma. • Fija los plazos de conservación que le apliquen y decide cuándo se suprimen los datos: la supresión de los datos de una familia la hace el propio parque desde el panel con «Suprimir los datos personales» (cláusula 4), y la de todos sus datos al terminar el servicio sigue la cláusula 9. Por defecto, Playium borra automáticamente las comunicaciones (mensajes de WhatsApp, registro de correos enviados, avisos del panel y recordatorios) en los plazos que indica la Política de privacidad; el parque puede pedir la supresión antes.

El parque autoriza de forma general a Playium a recurrir, para prestar el servicio, a los subencargados que se enumeran en la lista de subencargados, que indica qué hace cada uno, qué datos trata y dónde, y fecha cada cambio (también los nombra la Política de privacidad): alojamiento y base de datos, correo, notificaciones push, mensajería de WhatsApp, inteligencia artificial, analítica y monitorización de errores (art. 28.2 RGPD; art. 31.3 LQPD).

Playium avisará al parque de cualquier incorporación o sustitución de un subencargado con al menos 30 días de antelación, por email al administrador del parque. Durante ese plazo el parque puede oponerse por motivos razonables relacionados con la protección de datos escribiendo a hola@limbo.ad. Si la oposición no puede resolverse, el parque puede resolver el contrato sin penalización antes de que el cambio surta efecto. Si el parque no acepta la lista actualizada en el panel, se aplica la suspensión del acceso de la cláusula 15 de las Condiciones del servicio.

Playium impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y sigue siendo responsable ante el parque de su cumplimiento (art. 28.4 RGPD; art. 31.5 LQPD).

Los proveedores propios del parque no son subencargados de Playium. En particular, las pasarelas de pago que el parque contrata (Stripe o PayPal) tratan los datos de pago de las familias bajo el contrato del parque con ellas, y el proveedor del calendario al que el parque sincronice su feed lo hace bajo la cuenta del parque.

Playium está establecida en Andorra, que cuenta con una decisión de adecuación de la Comisión Europea (Decisión 2010/625/UE), por lo que la comunicación de datos de un parque de la Unión Europea a Playium no requiere garantías adicionales. La base de datos y los archivos del servicio se alojan en la Unión Europea (región eu-west-1, Irlanda). Las funciones del servidor se ejecutan en la red de Supabase, en la región más cercana a cada petición, que puede estar en Estados Unidos.

Cuando un subencargado trate datos en un país sin decisión de adecuación (por ejemplo, Estados Unidos), la transferencia se ampara en su certificación bajo el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Decisión (UE) 2021/914. Playium facilitará al parque, a petición, copia o resumen de esas garantías.

Playium notificará al parque, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que trate por su cuenta, por email al administrador del parque, con al menos: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Si no es posible dar toda la información a la vez, se facilitará por fases.

Corresponde al parque, como responsable, decidir si notifica a la autoridad de control (72 horas: artículo 33 del RGPD; artículo 36 de la LQPD) y si comunica la violación a los interesados. Playium le prestará la asistencia necesaria y documentará el incidente.

Mientras dura el servicio y durante los 30 días siguientes a la baja, el administrador del parque puede descargar todos sus datos desde el panel (Configuración › Tus datos; si la licencia ha caducado, desde la pantalla que aparece al entrar): un zip con un fichero CSV por tabla, los archivos del parque y un fichero LEEME.txt que describe cada tabla y enumera sus columnas. La descarga no incluye secretos (claves de las pasarelas de pago, tokens de WhatsApp, enlaces privados, códigos de un solo uso) ni los datos propios de Playium (la suscripción del parque, sus facturas y los registros internos de Playium). Si el parque ya estaba de baja cuando Playium activó este procedimiento, los plazos de esta cláusula cuentan desde esa activación. Mientras la suscripción del parque siga viva en la pasarela de pago (por ejemplo, en pausa o pendiente de cobro), la descarga sigue abierta y no se suprime nada.

A los 90 días de la baja, Playium suprime automáticamente los datos del parque, sus archivos y las cuentas de acceso de su personal y sus familias. Playium avisa por email al administrador del parque al terminar el servicio, 7 días antes de que cierre la descarga y al completar la supresión. Si el parque reactiva la suscripción antes, la supresión se cancela. El parque puede pedir además una supresión anterior escribiendo a hola@limbo.ad desde el email asociado a la cuenta: esa la programa Playium y se ejecuta a los cinco días. Las copias de seguridad automáticas de la base de datos (cláusula 11) se renuevan cada día y conservan cada copia siete días, así que los datos suprimidos desaparecen también de ellas en ese plazo. A petición del parque, Playium certificará por escrito la supresión.

Playium conserva la facturación de la suscripción del parque a Playium (sus datos fiscales, la suscripción y su historial de cobros) durante 6 años desde la supresión, en un archivo aparte, bloqueado y sin acceso del parque, para cumplir sus obligaciones legales, y después la borra. Fuera de eso, Playium puede conservar, bloqueados, los datos estrictamente necesarios para cumplir una obligación legal propia o atender responsabilidades derivadas del tratamiento, durante el plazo de prescripción que corresponda, sin tratarlos para ningún otro fin.

Playium pone a disposición del parque la documentación que acredita el cumplimiento de este contrato: este texto, la lista de subencargados, la descripción de las medidas de seguridad y, cuando existan, los informes de auditoría o certificaciones de sus proveedores de infraestructura.

El parque, o un auditor independiente designado por él y sujeto a confidencialidad, podrá auditar el cumplimiento de este contrato una vez al año, o además tras una violación de la seguridad o a requerimiento de una autoridad de control, con un preaviso de 30 días, en horario laboral, sin perturbar el servicio ni acceder a datos de otros parques, y asumiendo sus propios costes. Playium colaborará y responderá por escrito a las cuestiones planteadas.

Medidas que Playium aplica hoy (explicadas con más detalle en Seguridad):

• Cifrado: todas las comunicaciones con la plataforma van cifradas (HTTPS/TLS). La base de datos y los archivos se alojan en Supabase, que los cifra en reposo. • Ubicación: base de datos y archivos en la Unión Europea (región eu-west-1, Irlanda). • Aislamiento entre parques: cada registro lleva el local al que pertenece y las políticas de seguridad a nivel de fila de la base de datos impiden que un parque lea o modifique los datos de otro. Los archivos de cada parque se guardan en su propia carpeta. • Control de acceso: cuentas personales para el personal del parque con dos roles (administrador y empleado); cuentas de familia que solo ven los datos de su propia familia; contraseñas guardadas por el proveedor de autenticación de forma irreversible; cambio obligatorio de la contraseña temporal que recibe por email una familia dada de alta en el mostrador cuando activa su cuenta; el enlace del calendario sincronizado usa un código secreto que el parque puede regenerar. • Copias de seguridad: copias automáticas diarias de la base de datos, conservadas siete días. • Entornos separados: los entornos de pruebas y de producción usan bases de datos distintas. • Secretos fuera del código: las claves de los servicios externos se guardan como secretos del servidor, no en el código ni en el navegador. • Minimización: los errores que el servidor envía a la herramienta de monitorización (Sentry) se registran sin emails, teléfonos ni claves; el parque puede activar una versión reducida del calendario sincronizado, sin el teléfono, el email ni las notas de la familia ni los datos del cumpleañero (conserva el nombre del cliente). • Personal de Playium: acceso a los datos de un parque limitado a operar el servicio, resolver incidencias o atender el soporte que pida el propio parque, con compromiso de confidencialidad. • Gestión de incidentes: con los plazos de la cláusula 8.

Cada parte responde de los daños que cause por incumplir la normativa de protección de datos o este contrato, conforme al artículo 82 del RGPD: Playium, de los derivados de incumplir las obligaciones que la normativa impone a los encargados o de actuar al margen de las instrucciones del parque; el parque, de los derivados de la licitud del tratamiento, del deber de información y de sus instrucciones. Las limitaciones de responsabilidad de las condiciones del servicio se aplican entre las partes en la medida en que la ley lo permita.

Este contrato prevalece sobre las condiciones del servicio en lo que se refiere al tratamiento de datos personales. Se rige por la normativa de protección de datos aplicable a cada parte y, en lo demás, por la ley y la jurisdicción de las condiciones del servicio. Se publica en castellano, catalán e inglés; si hubiera discrepancias, prevalece la versión en castellano.