Acuerdo de tratamiento de datos de Ariveno

Descargar la fuente inmutable en Markdown.

Versión: 2026-09-07-beta.10 Entrada en vigor: desde la aceptación electrónica de esta versión por un Responsable debidamente identificado y representado Encargado: Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, NIP 7321779060, REGON 101551294 Contacto: privacy@ariveno.com

Esta traducción al español se ofrece a título informativo. El texto vinculante de este documento es el original polaco de la misma versión (2026-09-07-beta.10), disponible en https://ariveno.pl/legal/dpa.

1. Partes y celebración del Acuerdo

1. El Acuerdo se celebra entre:
   1. el empresario o la organización identificados en la cuenta de Ariveno mediante su nombre comercial o denominación, dirección, NIP u otro identificador, en adelante el Responsable;
   2. Brillnet Piotr Adamski, en adelante el Encargado.
2. Quien acepta el Acuerdo en nombre del Responsable declara estar facultado para celebrarlo.
3. El Encargado registra, como mínimo: la identidad de la cuenta, la organización, los datos de representación, la versión, la hora UTC, el origen y el contenido de la declaración de facultades.
4. Si los datos del Responsable se completan después del registro, el Acuerdo solo entra en vigor cuando dichos datos se vinculan a la organización y a la aceptación. Hasta entonces, el Responsable no debe introducir datos personales de clientes del salón.
5. El Acuerdo forma parte del contrato de prestación de Ariveno y constituye un acuerdo conforme al artículo 28(3) del RGPD.

2. Definiciones

1. RGPD: Reglamento (UE) 2016/679.
2. Datos Confiados: datos personales que el Encargado trata por cuenta del Responsable en Ariveno.
3. Tratamiento, datos personales, violación de la seguridad de los datos personales, autoridad de control e interesado tienen el significado establecido en el RGPD.
4. Subencargado: otro encargado contratado por el Encargado para tratar los Datos Confiados.
5. Servicio: Ariveno, sujeto a las Condiciones del servicio.
6. Instrucción: instrucción documentada del Responsable que deriva del Acuerdo, la configuración, el uso de una función, una solicitud de soporte u otro canal registrado.

3. Objeto, duración, naturaleza y finalidad

1. El objeto es el tratamiento de los Datos Confiados para prestar, proteger, mantener y dar soporte a Ariveno.
2. El tratamiento dura desde la celebración efectiva del Acuerdo hasta la supresión o devolución de los Datos Confiados tras finalizar el Servicio, teniendo en cuenta las copias técnicas y las obligaciones legales.
3. Las operaciones incluyen: recogida, registro, organización, conservación, consulta, utilización, cotejo, transmisión según las Instrucciones, limitación, exportación, anonimización y supresión.
4. Las finalidades incluyen:
   1. reservas, agendas, visitas y lista de espera;
   2. gestión del equipo, servicios, recursos y etapas;
   3. mensajes de correo electrónico transaccionales y SMS opcionales;
   4. informes, exportaciones, fuentes ICS privadas y soporte;
   5. cumplimiento de derechos de los interesados, auditoría y seguridad;
   6. copias de seguridad, continuidad y supresión tras la terminación.
5. El Encargado no utiliza los Datos Confiados para su propio marketing, venta de datos, elaboración de perfiles publicitarios ni entrenamiento de modelos de inteligencia artificial.

4. Categorías de interesados y de datos

1. Categorías de interesados:
   1. clientes del salón, personas que realizan reservas y personas que visitan el salón;
   2. miembros del personal del Responsable y sus colaboradores;
   3. personas de contacto y representantes del Responsable;
   4. personas que aparecen en datos de reservas o comunicaciones transaccionales.
2. Categorías de datos:
   1. datos identificativos y de contacto, como nombre, apellidos, teléfono y correo electrónico;
   2. datos de reservas y visitas, como fecha y hora, servicio, recurso, profesional que atiende y estado;
   3. datos organizativos del equipo, agenda, permisos y ubicación;
   4. historial de comunicaciones transaccionales y metadatos de entrega;
   5. preferencias, consentimientos y notas limitadas relacionadas con la organización del servicio;
   6. identificadores, eventos de auditoría y metadatos técnicos de seguridad;
   7. archivos y fotografías facilitados por el Responsable dentro del ámbito permitido.
3. El Responsable no confía datos de salud ni otras categorías especiales del artículo 9 del RGPD, datos relativos a condenas del artículo 10 ni datos que requieran funciones que Ariveno no ofrece.
4. Si el Responsable pretende modificar las categorías de datos o las finalidades, debe obtener previamente la confirmación escrita del Encargado y garantizar el cumplimiento de la ley.

5. Instrucciones y licitud

1. El Encargado trata los Datos Confiados únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias fuera del EEE, salvo que el Derecho de la Unión o de un Estado miembro exija otra cosa.
2. Si la ley exige tratar datos sin una Instrucción, el Encargado informa al Responsable antes de comenzar, salvo que la ley lo prohíba por razones importantes de interés público.
3. Las Condiciones del servicio, la configuración del Servicio, las acciones de los Usuarios autorizados y las solicitudes del Responsable constituyen el conjunto completo de Instrucciones iniciales.
4. El Responsable responde de la licitud de las Instrucciones, las bases jurídicas, la transparencia frente a los interesados, la exactitud de los datos y el alcance del acceso de los Usuarios.
5. El Encargado informa inmediatamente al Responsable si, a su juicio, una Instrucción infringe el RGPD u otras normas de protección de datos. Puede suspender su ejecución hasta aclarar el asunto.
6. Una Instrucción adicional que exceda el Servicio estándar puede requerir acordar un coste y un plazo, siempre que ello no limite las obligaciones legales del Encargado.

6. Confidencialidad y autorizaciones

1. El Encargado concede acceso a los Datos Confiados únicamente a las personas que lo necesitan.
2. Estas personas están sujetas a una obligación legal o contractual de confidencialidad, reciben formación en seguridad y están sometidas a controles de acceso.
3. El acceso administrativo se concede según el principio de mínimo privilegio, se registra y se revisa periódicamente.
4. La obligación de confidencialidad continúa después de finalizar la colaboración.

7. Medidas técnicas y organizativas

1. El Encargado aplica las medidas del artículo 32 del RGPD adecuadas al riesgo, al estado de la técnica, al coste y a la naturaleza del tratamiento.
2. El conjunto mínimo actual se describe en el Anexo B. El Encargado puede modificar las medidas siempre que no reduzca el nivel global de protección.
3. El Responsable responde de la configuración segura de sus propios Usuarios, dispositivos, buzones, SMSAPI, exportaciones y canales de integración.

8. Asistencia al Responsable

1. Teniendo en cuenta la naturaleza del tratamiento, el Encargado ayuda al Responsable mediante medidas técnicas y organizativas adecuadas a cumplir los derechos de los interesados, en particular acceso, rectificación, supresión, limitación y portabilidad.
2. El Encargado remite al Responsable las solicitudes sobre Datos Confiados que recibe directamente de un interesado, sin resolverlas por su cuenta, salvo que la ley exija otra cosa.
3. El Encargado ayuda al Responsable a cumplir las obligaciones de los artículos 32–36 del RGPD, incluidas:
   1. evaluación de riesgos y seguridad;
   2. violaciones de seguridad y notificaciones;
   3. evaluaciones de impacto relativas a la protección de datos;
   4. consultas previas a la autoridad.
4. La asistencia estándar se presta mediante las funciones y la documentación del Servicio. Los trabajos no estándar pueden ser de pago en condiciones acordadas previamente, salvo que la necesidad de asistencia derive de un incumplimiento del Acuerdo por el Encargado.

9. Violaciones de la seguridad de los datos personales

1. El Encargado notifica al Responsable sin dilación indebida cuando tiene conocimiento de una violación relativa a los Datos Confiados.
2. El objetivo operativo es una primera notificación en las 24 horas siguientes a la confirmación o calificación razonable del evento. Si antes existe un riesgo importante, el Encargado emite una alerta preliminar sin esperar la confirmación completa.
3. En la medida en que esté disponible, la notificación incluye:
   1. la naturaleza de la violación, los sistemas afectados y las categorías y cantidades aproximadas de interesados y registros;
   2. las posibles consecuencias;
   3. las medidas adoptadas o propuestas;
   4. un punto de contacto;
   5. la información que el Responsable necesita para evaluar sus obligaciones conforme a los artículos 33 y 34 del RGPD.
4. La información puede facilitarse por fases.
5. La notificación no constituye reconocimiento de culpa ni de responsabilidad.
6. El Encargado documenta la violación y coopera para mitigar sus efectos. El Responsable se encarga de notificar a la autoridad y a los interesados cuando exista tal obligación.

10. Subencargados

1. El Responsable concede una autorización general para recurrir a las entidades de la Lista de subencargados vigente.
2. El Encargado comunica la intención de añadir o sustituir un Subencargado directo con al menos 30 días de antelación, por correo electrónico o en el Panel.
3. Durante ese plazo, el Responsable puede formular una objeción motivada relacionada con la protección de datos en privacy@ariveno.com.
4. Las partes buscan de buena fe una solución, como un cambio de configuración. Si no es razonablemente posible, el Responsable puede terminar la parte del Servicio afectada antes de que el nuevo Subencargado entre en funcionamiento.
5. El Encargado celebra con el Subencargado un acuerdo que impone obligaciones de protección de datos sustancialmente equivalentes, en particular garantías adecuadas.
6. El Encargado sigue respondiendo ante el Responsable del cumplimiento de las obligaciones de protección de datos por un Subencargado directo en la medida exigida por el artículo 28(4) del RGPD.
7. La Lista distingue los Subencargados directos de los proveedores que actúan como responsables separados o de las entidades elegidas directamente por el Responsable.

11. Transferencias fuera del EEE

1. El Encargado utiliza recursos principales configurados para la jurisdicción de la UE, pero el soporte global, la red y el envío de correo de emergencia pueden ocasionar transferencias fuera del EEE.
2. Estas transferencias se realizan siguiendo la Instrucción del Responsable expresada al celebrar el Acuerdo y activar la función correspondiente, aplicando un mecanismo adecuado del capítulo V del RGPD.
3. Según el destinatario, el mecanismo puede ser una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo junto con medidas complementarias.
4. Ante una solicitud motivada, el Encargado facilita información sobre el mecanismo, la evaluación de la transferencia y las medidas complementarias, protegiendo secretos y la seguridad.
5. Si el Responsable prohíbe una transferencia necesaria para una función, el Encargado desactivará esa función o, si no es posible, las partes acordarán la terminación del Servicio.

12. Auditorías e información de cumplimiento

1. El Encargado facilita la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, incluidos este Acuerdo, la Lista de subencargados, una descripción de las medidas y pruebas razonablemente disponibles de los controles.
2. El Responsable evalúa primero los documentos y las respuestas facilitados.
3. Si resultan insuficientes, el Responsable puede realizar una auditoría por sí mismo o mediante un auditor independiente:
   1. como máximo una vez al año, salvo que se haya producido una violación, un cambio importante del riesgo o una solicitud de una autoridad;
   2. con un preaviso mínimo de 30 días, salvo urgencia derivada de una violación o de una autoridad;
   3. en días laborables, sin perturbar injustificadamente el Servicio;
   4. manteniendo la confidencialidad y sin acceder a datos de otros Clientes ni a secretos que no sean necesarios.
4. El Responsable asume los costes razonables de la auditoría y su atención, salvo que esta revele un incumplimiento importante del Acuerdo por el Encargado.
5. El Encargado coopera con la autoridad de control competente conforme a la ley.

13. Conservación, devolución y supresión

1. Durante el contrato, el Responsable fija la conservación de los datos de los clientes del salón entre 30–3650 días; el valor predeterminado es de 180 días desde la última visita completada. El valor activo indicado en el Panel es la configuración vigente para ese Responsable y puede diferir del valor predeterminado.
2. El Responsable puede exportar los Datos Confiados durante el contrato y durante los 30 días de acceso de solo lectura posteriores a su terminación.
3. Tras la terminación, el Responsable puede elegir la devolución mediante exportación y la supresión, o únicamente la supresión. Si no da otra Instrucción, el Encargado ofrece una exportación estándar durante 30 días y después elimina los datos.
4. Los datos operativos y los recursos de la organización se eliminan a más tardar transcurridos 90 días. D1 Time Travel puede permitir la restauración técnica durante un máximo de 30 días y las copias R2 rotan durante un máximo de 35 días. Los datos de las copias de seguridad cerradas no se restituyen al uso normal y se eliminan en el ciclo de rotación.
5. El Encargado puede conservar datos cuyo almacenamiento exija la ley, únicamente en la medida necesaria, con el tratamiento limitado e informando al Responsable cuando esté permitido.
6. Una retención activa por motivos legales o de seguridad requiere una razón documentada y una fecha de revisión.
7. A petición del Responsable, el Encargado confirma que la supresión ha finalizado.

14. Responsabilidad

1. La responsabilidad de las partes conforme al RGPD se rige, en particular, por el artículo 82 del RGPD y el Derecho imperativo.
2. En la relación contractual entre las partes se aplican las limitaciones de las Condiciones del servicio en la medida en que la ley permita aplicarlas a la obligación correspondiente.
3. Cada parte responde de sus propias Instrucciones, decisiones, incumplimientos y del alcance de sus obligaciones legales.

15. Vigencia y prioridad

1. El Acuerdo permanece en vigor mientras el Encargado trate los Datos Confiados.
2. Las disposiciones de confidencialidad, auditoría, responsabilidad y supresión subsisten tras la terminación en la medida necesaria.
3. En caso de conflicto sobre tratamiento de datos, el Acuerdo prevalece sobre las Condiciones del servicio.
4. Un cambio que afecte sustancialmente a los derechos del Responsable requiere notificación y, cuando sea necesario, una nueva aceptación.
5. El Acuerdo se rige por el Derecho polaco, sin perjuicio del Derecho de la Unión directamente aplicable.

Anexo A — Detalles del tratamiento

Anexo B — Medidas técnicas y organizativas

1. Arquitectura y aislamiento

1. Una base de datos D1 privada y un recurso R2 privado por organización, más coordinación de reservas mediante Durable Objects.
2. Recursos operativos configurados para la jurisdicción de la UE.
3. Aislamiento lógico de organizaciones y vinculaciones explícitas de recursos.
4. Separación de producción y pruebas mediante zonas, tokens, prefijos, vinculaciones y salvaguardas de despliegue separados. No se declara una cuenta de Cloudflare independiente para cada entorno.

2. Control de acceso

1. Cuentas individuales, autenticación y funciones.
2. Principio de mínimo privilegio y revocación de accesos innecesarios.
3. Registro de operaciones administrativas importantes.
4. Secretos almacenados fuera del código y no mostrados a los Usuarios.

3. Cifrado y transmisión

1. TLS para las transmisiones.
2. Cifrado en reposo de los recursos gestionados por el proveedor, conforme a su estándar.
3. Tokens de corta duración para exportaciones; el token no se incluye en la URL.
4. Recursos de archivos privados y control de acceso a objetos.

4. Minimización

1. Colas y mensajes asíncronos sin contenido de datos personales: utilizan identificadores de organización, tarea, registro, idempotencia e intento.
2. Sin píxeles de seguimiento en los mensajes configurados por Ariveno.
3. Sin almacenamiento persistente de datos de clientes, visitas y agendas en el navegador para uso sin conexión.
4. Sin proveedores publicitarios, grabación de sesiones ni proveedores de IA para los Datos Confiados.

5. Registros y auditoría

1. Auditoría de operaciones del salón en D1 durante 24 meses.
2. Registros de Workers durante un máximo de 7 días.
3. Registros enviados a un R2 privado configurado para la UE durante un máximo de 90 días.
4. Identificadores de correlación, alertas y procedimiento de análisis de eventos.

6. Disponibilidad y recuperación

1. Objetivo de disponibilidad mensual del 99,5 %.
2. RPO de hasta 24 horas y RTO objetivo de hasta 8 horas.
3. D1 Time Travel de hasta 30 días y rotación de copias de seguridad R2 de hasta 35 días.
4. Pruebas de recuperación y procedimientos de continuidad.
5. Las copias principales permanecen en el mismo proveedor y no se presentan como recuperación completa ante desastres en una cuenta separada.

7. Desarrollo seguro y gestión de cambios

1. Revisiones de cambios, despliegues controlados y salvaguardas contra confusiones entre entornos.
2. Pruebas funcionales, de privacidad y de aislamiento.
3. Actualizaciones de dependencias y respuesta a vulnerabilidades adecuadas al riesgo.
4. Procedimientos de incidentes y contacto security@ariveno.com.

8. Supresión y derechos de los interesados

1. Conservación configurable y tareas de supresión.
2. Centro de privacidad que gestiona acceso, rectificación, limitación, supresión y portabilidad.
3. Anonimización irreversible cuando proceda eliminar por completo los identificadores manteniendo la coherencia estadística.
4. Estado y prueba de cumplimiento sin almacenar el contenido completo de la solicitud si no es necesario.