Acuerdo de procesamiento de datos

1 - Definiciones

"Leyes de protección de datos" significa, en su caso: (i) el Reglamento General de Protección de Datos ("GDPR"); (ii) las implementaciones nacionales del GDPR en la Unión Europea ("UE") y el Espacio Económico Europeo ("EEE"); (iii) la Ley de Protección de Datos de 2018 y el GDPR tal y como se guardaron en la legislación del Reino Unido en virtud de la Sección 3 de la Ley de la Unión Europea (Retirada) del Reino Unido de 2018 ("Ley de Protección de Datos del Reino Unido"); (iv) la Directiva ePrivacy 2002/58/CE de la UE; modificada por la Directiva 2009/136/CE; y (v) la Ley Federal de Protección de Datos de Suiza el 19 de junio de 1992 y su Ordenanza ("DPA suiza").

"Cláusulas tipo" se refiere a las cláusulas contractuales tipo para la transferencia de Datos Personales a terceros países adoptadas en virtud del GDPR, y que pueden ser modificadas o sustituidas de vez en cuando.

"Datos Personales" significa cualquier información relacionada con un individuo identificado o identificable cuando dicha información esté contenida en el Contenido del Cliente.

"Vulneración de Datos Personales" hace referencia a una vulneración de la seguridad que haya provocado la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación no autorizada o el acceso a Datos Personales transmitidos, almacenados o procesados de otro modo por Runnr.ai y/o sus Subprocesadores en relación con la prestación de los Servicios.

"Transferencia restringida" hace referencia a una transferencia de Datos personales a un Tercer país.

"Subencargado del tratamiento" hace referencia a cualquier Encargado del tratamiento de datos contratado por Runnr.ai para ayudar a cumplir las obligaciones de Runnr.ai en virtud del Acuerdo.

"Tercer País" significa (a) en la medida en que el GDPR se aplique al procesamiento de Datos Personales por parte de Runnr.ai, un país fuera del EEE que no esté sujeto a una decisión de adecuación por parte de la Comisión Europea; (b) en la medida en que la Ley de Protección de Datos del Reino Unido se aplique al procesamiento de Datos Personales por parte de Runnr.ai, país que no esté sujeto a una decisión de adecuación de conformidad con la Sección 17A de la Ley de Protección de Datos del Reino Unido de 2018; y (c) en la medida en que la DPA suiza se aplique al tratamiento de Datos Personales por Runnr.ai, un país fuera del EEE y/o Suiza que no esté sujeto a una decisión de adecuación del Comisionado Federal Suizo de Protección de Datos e Información ("FDPIC").

"Apéndice del Reino Unido" significa el Apéndice de Transferencia Internacional de Datos emitido por la Oficina del Comisionado de Información en virtud de s.119(A) de la Ley de Protección de Datos del Reino Unido de 2018, que puede ser modificado o sustituido de vez en cuando.

Los términos "Responsable del tratamiento", "interesado", "Encargado del tratamiento" y "tratamiento" tendrán el significado que se les atribuye en las Leyes de Protección de Datos y "procesar", "procesa" y "tratado" se interpretarán en consecuencia. Cualquier otro término no definido expresamente aquí tendrá el mismo significado que en el Acuerdo.

2 - Objeto y ámbito de aplicación

1. El presente APD regula el tratamiento de Datos Personales por parte de Runnr.ai como Procesador de Datos en nombre del Cliente, el Controlador de Datos.
2. El propósito de este APD es garantizar el cumplimiento de las Leyes de Protección de Datos tal y como puedan ser modificadas, sustituidas o complementadas de vez en cuando.
3. Los detalles de las operaciones de procesamiento, en particular las categorías de Datos personales, las categorías de interesados y los fines para los que Runnr.ai procesa los Datos personales, se especifican en el Anexo 1.

3 - Tratamiento por parte de Runnr.ai

1. Runnr.ai procesará los Datos personales únicamente siguiendo instrucciones documentadas del Cliente, a menos que así lo exija la legislación local a la que Runnr.ai esté sujeta, como la legislación de la UE o de los Estados miembros de la UE. En este caso, Runnr.ai informará al Cliente de dicho requisito legal antes del procesamiento, a menos que la ley lo prohíba.
2. Runnr.ai procesará los Datos personales únicamente para los fines de procesamiento específicos incluidos en el Anexo 1, a menos que reciba instrucciones adicionales por escrito del Cliente.
3. Runnr.ai informará inmediatamente al Cliente si, en opinión de Runnr.ai, las instrucciones dadas por el Cliente infringen las leyes de protección de datos.

4 - Asistencia al Cliente

1. Solicitud del interesado. Runnr.ai notificará inmediatamente al Cliente cualquier solicitud que reciba de un interesado en virtud de las leyes de protección de datos ("Solicitud del interesado"). Runnr.ai no responderá por sí misma a ninguna solicitud del interesado, a menos que el Cliente le autorice a hacerlo. Runnr.ai asistirá al Cliente en el cumplimiento de sus obligaciones de responder a las solicitudes de los interesados para ejercer sus derechos, teniendo en cuenta la naturaleza del tratamiento.
2. Evaluación del impacto de la protección de datos. Runnr.ai asistirá al Cliente en el cumplimiento de su obligación, en virtud de las leyes de protección de datos, de llevar a cabo una evaluación de impacto sobre la protección de datos en relación con el uso de los Servicios por parte del Cliente, teniendo en cuenta la naturaleza del procesamiento y la información de que dispone Runnr.ai.
3. Consultas de las autoridades supervisoras. Runnr.ai ayudará al Cliente en la cooperación o consulta previa con una autoridad supervisora, teniendo en cuenta la naturaleza del procesamiento y la información disponible para Runnr.ai.

5 - Confidencialidad

Runnr.ai concederá a su personal acceso a los Datos personales únicamente en la medida estrictamente necesaria para la aplicación, gestión y supervisión del Acuerdo. Runnr.ai se asegurará de que las personas autorizadas a procesar los Datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad.

6 - Seguridad

Runnr.ai aplicará, como mínimo, las medidas técnicas y organizativas enumeradas en https://runnr.ai/security/ ("Medidas de seguridad") para garantizar la seguridad de los Datos personales. Esto incluye la protección de los datos frente a una Violación de Datos Personales. Al evaluar el nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos que entraña para los interesados. Runnr.ai podrá implementar Medidas de Seguridad alternativas adecuadas de vez en cuando, asegurándose de que no se reduzca el nivel de seguridad de las medidas definidas.

7 - Violación de datos personales

1. En caso de que se produzca una violación de datos personales que afecte a los datos personales del Cliente, Runnr.ai notificará al Cliente sin demora indebida una vez que Runnr.ai haya tenido conocimiento de la violación de datos personales. Dicha notificación contendrá, como mínimo
   1. una descripción de la naturaleza de la Violación de Datos Personales;
   2. comunicará el punto de contacto donde puede obtenerse más información sobre la violación de datos personales
   3. las consecuencias probables de la violación de los datos personales; y
   4. las medidas adoptadas o que se propone adoptar para hacer frente a la violación de datos personales, incluida la mitigación de sus posibles efectos adversos.
2. Cuando a Runnr.ai no le sea posible facilitar toda esta información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento. Cualquier información adicional, a medida que esté disponible, se facilitará posteriormente sin demora indebida. Runnr.ai también tomará las medidas adecuadas y razonables para contener, investigar y mitigar cualquier violación de datos personales.

8 - Documentación y cumplimiento

1. Runnr.ai atenderá rápida y adecuadamente cualquier consulta del Cliente sobre el tratamiento de Datos personales de conformidad con el presente APD.
2. Runnr.ai pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del presente APD o de las leyes de protección de datos aplicables. A petición del Cliente, Runnr.ai también permitirá y contribuirá a las auditorías de las actividades de tratamiento cubiertas por el presente APD, a intervalos razonables o si existen indicios de incumplimiento.
3. El Cliente podrá optar por realizar la auditoría por sí mismo o encargarla a un auditor independiente. Las auditorías también podrán incluir inspecciones en los locales o instalaciones físicas de Runnr.ai si así se acuerda mutuamente y con una antelación razonable.

9 - Uso de subprocesadores

1. Runnr.ai cuenta con la autorización general del Cliente para la contratación de los Subencargados del tratamiento enumerados enhttps://runnr.ai/subprocessors/. Al menos 5 días antes de autorizar a un nuevo Subencargado del tratamiento a procesar Datos personales, Runnr.ai notificará por escrito al Cliente (por correo electrónico) para que pueda oponerse a dichos cambios. Cuando el Cliente se oponga, las partes discutirán de buena fe las preocupaciones del Cliente con la intención de alcanzar una solución comercialmente razonable. Si las partes no son capaces de encontrar una solución, Runnr.ai y el Cliente tendrán derecho a rescindir el Acuerdo, incluido cualquier Pedido relacionado, sin responsabilidad para ninguna de las partes.
2. Cuando Runnr.ai contrate a un Subencargado del tratamiento, lo hará mediante un contrato que imponga al Subencargado del tratamiento, en esencia, las mismas obligaciones de protección de datos que las impuestas a Runnr.ai de conformidad con el presente APD. Runnr.ai se asegurará de que el Subencargado del tratamiento cumpla las obligaciones a las que Runnr.ai está sujeta de conformidad con el presente APD y las leyes de protección de datos aplicables.
3. Runnr.ai seguirá siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones del Subencargado del tratamiento de conformidad con su contrato con Runnr.ai.

10 - Transferencias internacionales de datos

1. Cualquier transferencia de Datos personales a un Tercer país o a una organización internacional por parte de Runnr.ai se realizará únicamente sobre la base de instrucciones documentadas del Cliente o con el fin de cumplir un requisito específico en virtud de la legislación local a la que Runnr.ai esté sujeta y tendrá lugar de conformidad con la Ley de protección de datos. Runnr.ai podrá transferir Datos personales a sus Subprocesadores ubicados en un Tercer país, con sujeción a los requisitos de notificación de la Sección 9.
2. El Cliente acepta que cuando Runnr.ai contrate a un Subencargado del tratamiento para llevar a cabo actividades de tratamiento específicas en virtud del Acuerdo y dichas actividades impliquen una transferencia de Datos personales a cualquier Tercer país, Runnr.ai y el Subencargado del tratamiento podrán garantizar el cumplimiento de las Leyes de protección de datos mediante el uso de las Cláusulas tipo y, en su caso, el Anexo del Reino Unido, siempre que se cumplan las condiciones para el uso de dichas Cláusulas tipo.

10 - Rescisión y eliminación

Cuando se rescinda el Acuerdo, Runnr.ai eliminará todos los Datos personales procesados en nombre del Cliente o, si así lo solicita el Cliente, devolverá todos los Datos personales al Cliente y eliminará las copias existentes, a menos que las Leyes de protección de datos exijan el almacenamiento de los Datos personales. Hasta que los datos sean eliminados o devueltos, Runnr.ai seguirá garantizando el cumplimiento de la presente DPA.

Anexo 1 - Detalles del procesamiento de datos

Naturaleza del tratamiento:

Runnr.ai procesa los Datos personales para proporcionar, mantener, respaldar y mejorar los Servicios.

Finalidad(es) para la(s) que se procesan los Datos personales:

Runnr.ai tratará los Datos personales según sea necesario para prestar los Servicios de conformidad con el Acuerdo y según las instrucciones adicionales del Cliente al utilizar los Servicios.

Categorías de interesados

• Invitados del Cliente
• Persona física que realiza la reserva y que no es el Huésped
• Empleados del hotel
• Personas autorizadas a utilizar la plataforma Runnr.ai
• Cualquier otra persona física que se comunique con el Cliente a través de los Servicios de Runnr.ai

Categorías de Datos Personales tratados

• Contenido de la comunicación: que puede incluir Datos Personales u otras características personalizadas, en función del contenido de la comunicación determinado por usted como Cliente o facilitado voluntariamente por el huésped al comunicarse con el Cliente a través de los Servicios
• Datosde tráfico: que pueden incluir métricas de Datos Personales sobre la duración y el momento de una conversación con los Invitados
• Datos de los Huéspedes: como número de teléfono, nombre, apellidos, dirección de correo electrónico, imagen de perfil, y detalles sobre la estancia del Huésped en función del uso de los Servicios por parte del Cliente, como: detalles de la reserva (por ejemplo, número de habitación), y detalles y solicitudes específicos de la reserva del Huésped
• Datos de la cuenta del Usuario final: nombre , apellidos, dirección de correo electrónico, datos de inicio de sesión
• Datos técnicos: Runnr .ai puede procesar datos técnicos en relación con la prestación y gestión de los Servicios de Runnr.ai, como: Dirección IP, tipo de dispositivo, agente de usuario, sistema operativo, tipo de navegador, marca de tiempo de la visita, UUID, cookies, UserID (cuando proceda).

Categorías especiales de datos personales

Las partes no tienen previsto tratar categorías especiales de Datos Personales.

Duración del tratamiento

Con sujeción a lo dispuesto en el artículo 11 de la DPA, Runnr.ai tratará los Datos personales mientras se presten los Servicios en virtud del Acuerdo.