Acuerdo de tratamiento de datos personales conforme al artículo 28 del RGPD

Objeto, ámbito de aplicación y relación con las Condiciones Generales

El presente Acuerdo de tratamiento de datos personales (el «Acuerdo») se celebra entre:

• la persona física o jurídica que, en el marco de su actividad comercial o profesional, explota un hotel, una casa de huéspedes u otro establecimiento de alojamiento y crea un perfil del mismo en SayFIXED, en lo sucesivo, el «Hotel» o el «Responsable del tratamiento»; y
• Web Trade EOOD, EIK 175311817, número de IVA BG175311817, con domicilio social en Sofía, complejo residencial «Druzhba», bl. 84, ap. 34, oficina: Sofía, c/ Slatinska n.º 101A, correo electrónico: office@say-fixed.com, teléfono: +359 2 488 17 34, en lo sucesivo, el «Proveedor» o el «Encargado del tratamiento».

El Hotel y el Proveedor se denominan conjuntamente las «Partes».

La persona que crea el perfil del Hotel y acepta el Acuerdo confirma que es mayor de edad, que actúa en nombre del Responsable del tratamiento y que está facultada para vincularlo. Los datos con los que el Responsable del tratamiento haya quedado identificado en el momento de la creación del perfil se completarán con los datos contractuales y de facturación íntegros antes de la activación de un plan de pago, sin que ello altere la fecha de entrada en vigor del Acuerdo.

1.1. El Acuerdo regula el tratamiento por el Proveedor de datos personales por cuenta del Hotel en el marco de la prestación de SayFIXED y constituye un contrato en el sentido del artículo 28, apartados 3 y 9, del Reglamento (UE) 2016/679 (el «RGPD»).

1.2. El Acuerdo se aplica a los datos contenidos en las incidencias, las fotografías, los contactos para la comunicación de respuesta, los perfiles de los usuarios del Hotel y los demás datos que el Hotel y sus usuarios introduzcan o generen al utilizar la plataforma, cuando el Proveedor los trate para las finalidades determinadas por el Hotel.

1.3. A los datos que el Proveedor trata en calidad de responsable del tratamiento independiente —incluidos los datos del formulario público de solicitud, la comunicación contractual y de facturación, las pruebas de la aceptación y sus propios registros de seguridad— les serán de aplicación la Política de privacidad y la legislación aplicable, y no el presente Acuerdo.

1.4. El Acuerdo forma parte inseparable del contrato relativo a SayFIXED y se acepta junto con las Condiciones Generales. En caso de contradicción en una cuestión relacionada con el tratamiento de datos personales por cuenta del Hotel, el presente Acuerdo prevalecerá sobre las Condiciones Generales. En caso de contradicción con una disposición imperativa de la legislación aplicable, se aplicará la ley.

1.5. Los datos no pasan a ser propiedad del Proveedor. El Hotel conserva el control sobre los datos y determina las finalidades, las bases jurídicas, los accesos autorizados y los plazos de conservación, en la medida en que la plataforma los admita y la ley lo permita.

Funciones de las Partes e instrucciones documentadas

2.1. A efectos del tratamiento objeto del presente Acuerdo, el Hotel es el responsable del tratamiento y el Proveedor es el encargado del tratamiento de los datos personales.

2.2. El Proveedor trata los datos personales únicamente:

• para la prestación, el mantenimiento, la protección y el soporte técnico de SayFIXED;
• con arreglo al presente Acuerdo, a las Condiciones Generales, a la configuración del perfil y a otras instrucciones documentadas del Hotel;
• cuando así lo exija la legislación aplicable, informando al Hotel de dicha exigencia legal antes del tratamiento, salvo que la ley prohíba tal información por razones importantes de interés público.

2.3. Se considerarán asimismo instrucciones documentadas las actuaciones de los administradores debidamente autorizados del Hotel a través de la configuración de la plataforma, así como las solicitudes escritas enviadas por los canales de soporte anunciados previa autenticación adecuada.

2.4. Si, en opinión del Proveedor, una instrucción del Hotel infringe el RGPD u otra norma aplicable en materia de protección de datos, el Proveedor informará de ello al Hotel sin dilación indebida y podrá suspender la ejecución de la instrucción concreta hasta su confirmación, modificación o retirada.

2.5. El Proveedor no está facultado para utilizar los datos del Hotel con fines de marketing propio, venta de datos, elaboración de perfiles de usuario para finalidades ajenas o entrenamiento de modelos de uso general, salvo mediante acuerdo escrito independiente, lícito y expreso.

Naturaleza, finalidad y duración del tratamiento

3.1. El objeto del tratamiento son los datos relativos a las incidencias comunicadas sobre problemas en el establecimiento del Hotel. Su naturaleza consiste en la conservación, la estructuración, la visualización por los usuarios autorizados, la comunicación en el marco del acceso autorizado, la extracción, el archivo y la supresión. Las finalidades son la recepción y la gestión de las incidencias, la notificación, la gestión de perfiles y permisos, la elaboración de informes y la exportación, así como el soporte y la protección del servicio.

Las categorías de interesados son: los huéspedes que comuniquen una incidencia o sean mencionados en ella; los usuarios del Hotel; las personas de contacto y autorizadas del Hotel; las personas que puedan aparecer de forma accidental en una fotografía o en un texto libre.

Los tipos de datos personales son: la descripción de la incidencia y los datos de lugar y hora asociados a ella; el contacto facilitado voluntariamente por el huésped; las fotografías adjuntas; los datos de los perfiles de los usuarios del Hotel; los datos técnicos necesarios para la autenticación, la seguridad y la responsabilidad proactiva.

El servicio no está destinado al tratamiento deliberado de categorías especiales de datos con arreglo al artículo 9 del RGPD, de información sanitaria, de documentos de identidad, de datos de pago ni de datos relativos a condenas e infracciones penales.

3.2. El tratamiento comienza con la creación satisfactoria del perfil del Hotel y la aceptación del presente Acuerdo. Se prolonga mientras el Proveedor preste el servicio, así como durante el plazo acordado de acceso limitado a la consulta, la exportación y la posterior supresión.

3.3. Tras la finalización del periodo de prueba o del periodo de pago, cuando no exista un plan de pago activo, la comunicación de nuevas incidencias se interrumpirá el día del vencimiento, si bien los usuarios del Hotel conservarán el acceso de consulta y exportación durante 14 días naturales más. Transcurrido dicho plazo, el acceso a la plataforma se extinguirá. Los datos del Hotel se conservarán y no se suprimirán de forma automática; la supresión se llevará a cabo a solicitud del Hotel en un plazo de hasta 30 días naturales o con arreglo a la sección 5 de las Condiciones Generales.

3.4. La supresión comprende el sistema activo. Podrán permanecer copias en los archivos de respaldo hasta su desaparición mediante el ciclo habitual de copias de seguridad. Si se restaurase una copia de seguridad con fines de recuperación ante desastres, volverán a aplicarse las reglas pertinentes de limitación del acceso y de supresión.

Obligaciones del Hotel como responsable del tratamiento

4.1. El Hotel:

• determina las finalidades y los medios del tratamiento y responde de su licitud;
• garantiza una base jurídica aplicable y facilita la información necesaria a los huéspedes, a los empleados y a los demás interesados;
• fija plazos de conservación y permisos de acceso adecuados;
• imparte únicamente instrucciones lícitas, concretas y razonablemente ejecutables;
• garantiza que las personas que utilizan su perfil de administrador están debidamente autorizadas;
• no exige ni fomenta la introducción de datos que no sean necesarios para la gestión de las incidencias;
• no utiliza SayFIXED como sistema de llamadas de emergencia, asistencia médica, seguridad u otra actividad de salvamento;
• informa al Proveedor con la debida diligencia de configuraciones incorrectas, accesos no autorizados o cualquier otra circunstancia que pueda afectar a la seguridad de los datos.

4.2. El Hotel no deberá introducir conscientemente, ni instruir la introducción de, categorías especiales de datos personales con arreglo al artículo 9 del RGPD, datos relativos a condenas e infracciones penales, documentos de identidad, datos de pago o información sanitaria. Si tales datos se introdujeran de forma involuntaria en un texto libre o en una fotografía, el Hotel deberá revisarlos y suprimirlos sin dilación indebida, prestando el Proveedor una asistencia técnica razonable.

4.3. El Hotel es responsable de valorar si —y en qué medida— los nombres, los números de teléfono, las direcciones de correo electrónico, las fotografías, el texto libre y los comentarios internos son necesarios para la finalidad concreta.

Obligaciones del Proveedor como encargado del tratamiento

5.1. El Proveedor:

• trata los datos únicamente siguiendo instrucciones documentadas y exclusivamente para las finalidades acordadas;
• garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad apropiada;
• aplica medidas técnicas y organizativas apropiadas con arreglo al artículo 32 del RGPD;
• respeta las condiciones para recurrir a otros encargados del tratamiento previstas en la sección 9;
• asiste al Hotel en la atención de las solicitudes de los interesados con arreglo a la sección 7;
• asiste al Hotel en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición;
• lleva los registros pertinentes de las actividades de tratamiento y coopera con la autoridad de control competente cuando la ley así lo exija;
• pone a disposición del Hotel la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permite verificaciones en las condiciones previstas en la sección 12;
• tras la terminación, devuelve o suprime los datos con arreglo a la sección 13.

5.2. El Proveedor no determina por sí solo nuevas finalidades para el tratamiento de los datos objeto del presente Acuerdo. Cuando trate determinados datos para el cumplimiento de una obligación legal propia, por motivos de seguridad, para acreditar relaciones contractuales o para la defensa de reclamaciones jurídicas en calidad de responsable del tratamiento independiente, delimitará claramente dichas actividades y aplicará la Política de privacidad correspondiente.

Confidencialidad y acceso

6.1. El Proveedor concede acceso a los datos personales únicamente a las personas para las que dicho acceso resulte necesario para el desempeño de funciones profesionales concretas, para el soporte, para la seguridad o para la ejecución de una instrucción lícita.

6.2. Los permisos de acceso se conceden conforme al principio de mínimo privilegio necesario, se revisan periódicamente y se revocan cuando dejan de ser necesarios.

6.3. El Proveedor garantiza que las personas autorizadas están informadas del carácter confidencial de los datos y quedan sujetas a confidencialidad también tras la finalización de su participación.

6.4. El acceso del personal del Proveedor con fines de soporte se limita a lo necesario para el caso concreto y, cuando resulte razonablemente posible, se registra mediante los medios técnicos adecuados.

Solicitudes y derechos de los interesados

7.1. Cuando el Proveedor reciba una solicitud de un huésped, de un empleado o de otro interesado relativa a datos que trate por cuenta del Hotel, no responderá al fondo del asunto en nombre del Hotel, salvo que esté expresamente facultado para ello o que la ley disponga otra cosa.

7.2. El Proveedor remitirá la solicitud al Hotel sin dilación indebida, siempre que la identidad del Hotel correspondiente pueda determinarse razonablemente.

7.3. Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asistirá al Hotel mediante la funcionalidad disponible y medidas técnicas apropiadas en relación con las solicitudes de acceso, rectificación, supresión, limitación, portabilidad, oposición y demás derechos aplicables.

7.4. El Hotel es responsable de verificar la identidad del solicitante, de valorar la solicitud y de responder dentro del plazo legal. Si la solicitud exigiera trabajos técnicos extraordinarios que excedan de la funcionalidad estándar, las Partes podrán acordar previamente unos costes razonables, salvo cuando la asistencia sea necesaria a causa de un incumplimiento del Proveedor.

Seguridad y violaciones de la seguridad de los datos personales

8.1. El Proveedor aplica y mantiene medidas técnicas y organizativas apropiadas, adecuadas al riesgo y a la naturaleza, el alcance, el contexto y las finalidades del tratamiento. El Proveedor documenta las medidas aplicadas y facilita una descripción de las mismas al Hotel previa solicitud motivada, con arreglo a la sección 12 y bajo obligación de confidencialidad.

8.2. El Proveedor revisa periódicamente la eficacia de las medidas y las actualiza cuando así lo requieran los cambios en el riesgo, en el servicio o en la legislación aplicable. La actualización no deberá reducir sustancialmente el nivel general de protección.

8.3. En caso de violación de la seguridad de los datos personales, el Proveedor lo notificará al Hotel sin dilación indebida tras tener conocimiento de ella. La notificación contendrá, en la medida en que la información esté disponible:

• la descripción de la naturaleza de la violación;
• las categorías y el número aproximado de interesados y de registros afectados;
• los datos de contacto para la comunicación ulterior;
• las consecuencias probables;
• las medidas adoptadas o propuestas para contener la violación y mitigar sus posibles efectos adversos.

8.4. Cuando la información no pueda facilitarse de forma simultánea, podrá facilitarse de manera escalonada sin dilación indebida adicional. El Proveedor documentará los hechos, sus consecuencias y las medidas adoptadas.

8.5. El Proveedor prestará al Hotel una asistencia razonable en la valoración de si resulta necesaria la notificación a una autoridad de control o a los interesados. La decisión y el contenido de la notificación en nombre del Responsable del tratamiento son responsabilidad del Hotel, salvo que la ley disponga otra cosa.

8.6. La notificación de un incidente no constituye reconocimiento de culpa ni de responsabilidad.

Otros encargados del tratamiento

9.1. El Hotel otorga al Proveedor una autorización general por escrito para recurrir a otros encargados del tratamiento (los «subencargados del tratamiento») exclusivamente para la prestación y la protección de SayFIXED, en las condiciones previstas en la presente sección.

9.2. La lista actualizada de los subencargados del tratamiento, sus funciones, los lugares de tratamiento y los mecanismos aplicables de transferencia internacional figura en el Anexo 1 y se publica en un lugar accesible para el Hotel.

9.3. Antes de incorporar o sustituir a un subencargado del tratamiento que vaya a tratar datos personales del Hotel, el Proveedor informará de ello al Hotel y le concederá una oportunidad razonable de oponerse por motivos fundados relacionados con la protección de los datos personales.

9.4. En caso de oposición, las Partes realizarán esfuerzos de buena fe para hallar una solución razonable. Si dicha solución no fuera posible y el cambio resultara esencial para la prestación del servicio, el Hotel podrá resolver el servicio afectado en las condiciones previstas en las Condiciones Generales, sin perjuicio de los importes ya devengados.

9.5. El Proveedor impone a cada subencargado del tratamiento, mediante contrato escrito, sustancialmente las mismas obligaciones de protección de datos que le son aplicables a él en virtud del presente Acuerdo. El Proveedor sigue siendo plenamente responsable ante el Hotel del cumplimiento de las obligaciones del subencargado del tratamiento con arreglo al artículo 28, apartado 4, del RGPD.

9.6. El Proveedor facilitará, previa solicitud motivada, la información necesaria para demostrar el cumplimiento de la presente sección, pudiendo suprimir información confidencial, secretos comerciales y datos de otros clientes que no resulten necesarios para la verificación.

Transferencias internacionales

10.1. El Proveedor no transfiere datos personales fuera del Espacio Económico Europeo ni permite el acceso a ellos desde un tercer país, salvo siguiendo instrucción documentada del Hotel o cuando concurra una base válida con arreglo al capítulo V del RGPD.

10.2. Cuando la transferencia se base en una decisión de adecuación, en cláusulas contractuales tipo, en normas corporativas vinculantes o en otro mecanismo admisible, dicho mecanismo y las medidas adicionales aplicables se indicarán en el Anexo 1.

10.3. Si la legislación aplicable o las circunstancias de la transferencia se modificaran, el Proveedor informará de ello al Hotel y adoptará las medidas razonablemente necesarias para preservar la licitud o suspenderá la transferencia afectada.

Solicitudes de autoridades públicas

11.1. El Proveedor no facilita voluntariamente datos a una autoridad pública, salvo siguiendo instrucción documentada del Hotel o cuando la ley así lo exija.

11.2. Cuando reciba un requerimiento vinculante, el Proveedor, en la medida en que la ley lo permita:

• verifica la competencia, el alcance y la regularidad formal del requerimiento;
• facilita únicamente los datos mínimos necesarios;
• informa al Hotel con carácter previo o sin dilación indebida tras la entrega;
• documenta el requerimiento y la respuesta.

Información, verificaciones y auditoría

12.1. El Proveedor pone a disposición del Hotel la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones derivadas del artículo 28 del RGPD, incluidas las políticas aplicables, los resúmenes de verificaciones, las certificaciones o los cuestionarios de seguridad, cuando estén disponibles.

12.2. Si la información facilitada no fuera suficiente, el Hotel podrá llevar a cabo una verificación por sí mismo o a través de un auditor independiente que esté sujeto a confidencialidad y no sea competidor del Proveedor.

12.3. La verificación se realizará previo aviso razonable, en horario laboral normal, sin interrupción indebida del servicio y sin acceso a datos de otros clientes, al código fuente, a las vulnerabilidades ni a secretos comerciales más allá de lo necesario para la verificación. En caso de incidente, sospecha fundada de infracción o requerimiento de una autoridad de control, podrá aplicarse un plazo más breve.

12.4. El Hotel asumirá los costes razonables de una auditoría extraordinaria, salvo que la auditoría constate un incumplimiento sustancial del Proveedor o que sea necesaria a causa de dicho incumplimiento.

12.5. El Proveedor informará de inmediato al Hotel si, en su opinión, la verificación o la instrucción solicitada infringe la legislación aplicable o la seguridad de otro cliente.

Devolución y supresión de los datos

13.1. Durante la vigencia del contrato, el Hotel podrá utilizar los medios de exportación disponibles o solicitar una exportación en un formato de uso común y lectura mecánica, en la medida en que los datos y formatos correspondientes estén admitidos por la plataforma.

13.2. Tras el vencimiento o la terminación del servicio, la instrucción documentada estándar del Hotel es la siguiente:

• que la comunicación de nuevas incidencias se interrumpa el día del vencimiento o de la terminación;
• que el acceso de consulta y exportación se mantenga durante 14 días naturales más y se extinga a continuación;
• que los datos se conserven y se supriman a solicitud del Hotel en un plazo de hasta 30 días naturales o con arreglo a la sección 5 de las Condiciones Generales;
• que las copias residuales existentes en los archivos de respaldo desaparezcan mediante el ciclo habitual de copias de seguridad.

13.3. Hasta el inicio de la supresión definitiva, el Hotel podrá solicitar una devolución o una supresión anticipadas. La solicitud se ejecutará previa autenticación adecuada, salvo que la ley exija la conservación.

13.4. Tras la supresión, el Proveedor confirmará su realización previa solicitud. Los datos técnicos que hayan sido anonimizados de forma irreversible y que ya no constituyan datos personales no estarán sujetos a devolución ni a supresión con arreglo a la presente sección.

13.5. Los registros contractuales, contables, de pago, de auditoría y probatorios que el Proveedor trate en calidad de responsable del tratamiento independiente podrán conservarse por separado durante los plazos legales aplicables o para la formulación, el ejercicio y la defensa de reclamaciones jurídicas. No podrán utilizarse para ninguna otra finalidad incompatible.

Asistencia en la evaluación de impacto y en la consulta previa

14.1. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Proveedor prestará al Hotel la asistencia razonablemente necesaria en la evaluación de impacto relativa a la protección de datos y en la consulta previa a una autoridad de control con arreglo a los artículos 35 y 36 del RGPD.

14.2. El Hotel sigue siendo responsable de valorar si dicha evaluación o consulta resulta necesaria y de determinar su alcance.

Responsabilidad

15.1. La responsabilidad entre las Partes se rige por las Condiciones Generales en la máxima medida permitida por la ley.

15.2. Nada de lo dispuesto en el presente Acuerdo excluye o limita responsabilidades o derechos que no puedan excluirse o limitarse en virtud del RGPD o de otra disposición imperativa, incluidos los derechos de los interesados y las facultades de las autoridades de control.

15.3. Cada Parte responde de sus propias infracciones de la legislación aplicable y del cumplimiento de las obligaciones que le corresponden en función de su papel.

Entrada en vigor, modificación y terminación

16.1. El Acuerdo entra en vigor en el momento en que el perfil del Hotel se haya creado satisfactoriamente y la persona autorizada haya aceptado su versión mediante la casilla contractual independiente. La pulsación del enlace contenido en el correo electrónico de confirmación no constituye, por sí sola, aceptación.

16.2. En caso de modificación sustancial, el Proveedor publicará una nueva versión y exigirá una nueva aceptación cuando ello resulte necesario en función de la naturaleza del cambio y de la legislación aplicable. No se generan aceptaciones con efecto retroactivo.

16.3. El Acuerdo permanece en vigor mientras el Proveedor trate datos personales por cuenta del Hotel. Las secciones relativas a la confidencialidad, la auditoría, la responsabilidad y la supresión seguirán surtiendo efecto en la medida necesaria tras la terminación.

Legislación aplicable, idioma y contacto

17.1. El Acuerdo se rige por el Derecho búlgaro, sin perjuicio de las disposiciones directamente aplicables del Derecho de la Unión Europea y de la competencia de las autoridades de control y de los tribunales determinada por la legislación aplicable.

17.2. El Acuerdo podrá facilitarse en varios idiomas. En caso de contradicción entre una traducción y la versión búlgara, prevalecerá la versión búlgara, en la medida en que la ley lo permita.

17.3. Las comunicaciones relativas al Acuerdo se remitirán a través del perfil en SayFIXED o a las direcciones contractuales de las Partes. El contacto del Proveedor para cuestiones relativas al tratamiento y a los incidentes es el siguiente:

Anexo 1 — Subencargados del tratamiento aprobados

La lista se ha elaborado tras la verificación de la infraestructura activa y de la configuración existente a fecha de 16.08.2026.

A la fecha del presente Acuerdo, este es el único subencargado del tratamiento. El tratamiento se lleva a cabo en Bulgaria y no se realiza ninguna transferencia de datos personales fuera del Espacio Económico Europeo.

Notificaciones del navegador. La plataforma admite notificaciones dirigidas al navegador del empleado que, una vez activadas, se entregan a través de la infraestructura del fabricante del navegador correspondiente. A la fecha del presente Acuerdo, esta funcionalidad no cuenta con ningún suscriptor activo en producción. En caso de activación, el proveedor del navegador recibe únicamente los datos técnicos necesarios para la entrega, sin el contenido de la incidencia, que está cifrado.

Tecnologías de seguimiento del sitio público. La página pública say-fixed.com puede cargar tecnologías de medición y publicidad previo consentimiento expreso del visitante. Estas se refieren a datos que el Proveedor trata en calidad de responsable del tratamiento independiente y no entran en el ámbito de aplicación del presente Acuerdo. Su regulación figura en la Política de privacidad y en la Política de cookies.

Si un servicio externo no recibe datos personales ni tiene acceso a ellos en el marco del presente Acuerdo, no se incluirá como subencargado del tratamiento, si bien la decisión se documentará internamente.

Anexo 2 — Instrucciones documentadas del Hotel

Al aceptar el Acuerdo, el Hotel instruye al Proveedor para que:

• reciba, conserve, estructure y muestre las incidencias y los datos asociados a los usuarios autorizados del Hotel;
• envíe las notificaciones permitidas por la configuración y los contactos seleccionados;
• realice las operaciones técnicas necesarias para la seguridad, el diagnóstico, el soporte, las copias de seguridad y la recuperación;
• aplique la configuración de funciones, permisos, plazos, exportación y supresión;
• recurra a los subencargados del tratamiento que figuren en el Anexo 1 vigente;
• en caso de vencimiento o terminación, interrumpa la comunicación de nuevas incidencias, mantenga el acceso de consulta y exportación durante 14 días naturales más y lo extinga a continuación, suprimiendo los datos a solicitud del Hotel o con arreglo a la sección 5 de las Condiciones Generales, salvo instrucción válida distinta u obligación legal.

El administrador autorizado podrá impartir instrucciones adicionales a través de las funcionalidades de SayFIXED o por escrito mediante los canales anunciados, previa autenticación. El Proveedor no está obligado a ejecutar una instrucción que sea ilícita, técnicamente imposible o ajena al alcance acordado, sin que las Partes acuerden la modificación necesaria.