Acuerdo de tratamiento de datos

Este Acuerdo de tratamiento de datos (“DPA”) forma parte de los Términos de servicio (el “Acuerdo”) entre ExtraGM LLC (“ExtraGM”, “nosotros”, “nos”) y la empresa que cuenta con una cuenta de ExtraGM (el “Cliente”). Se aplica siempre que ExtraGM procese datos personales en nombre del Cliente y que una de las leyes de protección de datos que se enumeran a continuación sea aplicable a dicho tratamiento. Los Clientes aceptan este acuerdo al aceptar el Acuerdo; no se requiere firma. Si necesita una copia firmada, escriba a support@extragm.com.

1. Definiciones

Por «Leyes de protección de datos» se entiende toda ley sobre privacidad y datos personales que se aplique al tratamiento en virtud del Acuerdo, incluyendo el Reglamento General de Protección de Datos de la UE 2016/679 («RGPD»), el RGPD en la medida en que forma parte de la legislación del Reino Unido y la Ley de Protección de Datos del Reino Unido de 2018 («RGPD del Reino Unido»), la Ley Federal Suiza de Protección de Datos («FADP») y las leyes estatales de privacidad de Estados Unidos, como la Ley de Privacidad del Consumidor de California («CCPA»).

«Datos personales del cliente» se refiere a los datos personales que el cliente, sus propietarios, administradores o personal introducen en los Servicios, o que los Servicios generan sobre ellos, y que ExtraGM trata por cuenta del cliente.

«Subencargado del tratamiento» se refiere a una empresa que ExtraGM contrata para tratar los Datos Personales del Cliente.

«CCT» se refiere a las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914. «Anexo del Reino Unido» se refiere al Anexo sobre transferencia internacional de datos a las CCT emitido por el Comisionado de Información del Reino Unido (versión B1.0, vigente a partir del 21 de marzo de 2022).

«Responsable del tratamiento», «encargado del tratamiento», «titular de los datos», «datos personales», «violación de datos personales», «tratamiento» y «autoridad de supervisión» tienen los significados que se les atribuyen en el RGPD. «Servicios» tiene el significado que se le atribuye en el Contrato.

2. Funciones

En lo que respecta a los Datos Personales del Cliente, el Cliente es el responsable del tratamiento y ExtraGM es el encargado del tratamiento. Si el propio Cliente actúa como encargado del tratamiento para otro responsable, ExtraGM es su subencargado del tratamiento y el Cliente es responsable de transmitir las instrucciones de dicho responsable.

ExtraGM es un responsable del tratamiento, no un encargado, de los datos personales que necesita para llevar a cabo su propia actividad comercial: datos de la cuenta y de inicio de sesión del titular de la cuenta del Cliente, registros de facturación y pago, conversaciones de soporte, visitas al sitio web y marketing. Nuestra Política de privacidad cubre esos datos.

El Cliente es responsable de contar con una base legal para los datos que introduce en los Servicios, de informar a su personal sobre cómo se utilizan sus datos y de la exactitud de dichos datos. El Cliente no debe introducir categorías especiales de datos personales (como información de salud) en los Servicios, salvo cuando su propia legislación lo permita y solo en la medida necesaria, por ejemplo, en una nota de ausencia.

3. Tratamiento según las instrucciones del Cliente

ExtraGM trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente. El Contrato, este DPA y el uso y la configuración de los Servicios por parte del Cliente constituyen dichas instrucciones. ExtraGM no tratará los Datos Personales del Cliente para ningún otro fin, a menos que lo exija una ley a la que esté sujeto; en ese caso, se lo comunicaremos primero al Cliente, a menos que dicha ley lo prohíba. Informaremos al Cliente si creemos que una instrucción infringe las Leyes de Protección de Datos.

El Anexo I describe el tratamiento: su objeto, naturaleza, finalidad y duración, así como los tipos de datos personales y los titulares de los datos.

4. Confidencialidad

ExtraGM otorga acceso a los Datos Personales del Cliente únicamente a las personas que lo necesitan para proporcionar, dar soporte o proteger los Servicios, y solo después de que se hayan comprometido a mantener la confidencialidad o estén sujetas a un deber legal de confidencialidad.

5. Seguridad

ExtraGM adopta las medidas técnicas y organizativas descritas en el Anexo II para proteger los datos personales del Cliente contra la destrucción, pérdida, alteración, divulgación o acceso no autorizados, ya sean accidentales o ilícitos. Podemos actualizar estas medidas con el tiempo, siempre y cuando el nivel general de protección no disminuya.

6. Subencargados del tratamiento

El Cliente otorga a ExtraGM autorización general para contratar subencargados del tratamiento. Los subencargados del tratamiento actuales se enumeran en el Anexo III.

ExtraGM notificará al Cliente con al menos 30 días de antelación antes de que un nuevo subencargado comience a tratar los Datos Personales del Cliente, mediante correo electrónico al titular de la cuenta y mediante la actualización del Anexo III. El Cliente podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo escribiendo a support@extragm.com. A continuación, intentaremos de buena fe encontrar una solución. Si no podemos hacerlo, el Cliente podrá rescindir el Contrato y le reembolsaremos cualquier tarifa pagada por adelantado correspondiente al período posterior a la rescisión.

ExtraGM impone a cada subencargado del tratamiento, mediante contrato escrito, obligaciones de protección de datos que protejan los datos personales del Cliente al menos en la misma medida que el presente DPA. ExtraGM sigue siendo responsable ante el Cliente por el trabajo de sus subencargados del tratamiento. Apple Inc. es la excepción: Apple ofrece el servicio de notificaciones push de Apple únicamente en virtud de su Contrato de licencia estándar del Apple Developer Program, y no mediante un acuerdo de tratamiento de datos independiente. Según esos términos, Apple solo puede acceder al contenido de una notificación o revelarlo en casos limitados, como para cumplir con un proceso legal o para hacer cumplir dichos términos.

7. Solicitudes de los titulares de datos

La mayoría de las solicitudes pueden gestionarse directamente en los Servicios: los propietarios y administradores pueden ver, corregir y eliminar la información del personal, y el personal puede eliminar su propia cuenta. Teniendo en cuenta la naturaleza del tratamiento, ExtraGM ayudará al Cliente a responder a las solicitudes de los titulares de datos para que ejerzan sus derechos. Si un titular de datos se comunica directamente con ExtraGM respecto a los Datos Personales del Cliente, remitiremos la solicitud al Cliente y no la responderemos nosotros mismos, a menos que el Cliente nos lo pida o que la ley lo exija.

8. Violaciones de datos personales

ExtraGM notificará al Cliente sin demora indebida, y en cualquier caso dentro de las 48 horas, tras tener conocimiento de una violación de datos personales que afecte a los Datos Personales del Cliente. La notificación describirá, según lo que sepamos en ese momento, lo que ocurrió, los datos y las personas afectadas, las consecuencias probables y las medidas tomadas o propuestas. Agregaremos información a medida que esté disponible, tomaremos medidas razonables para contener la violación y ayudaremos al Cliente a cumplir con sus propias obligaciones de notificar a las autoridades y a los interesados. Notificar una violación no constituye una admisión de culpa.

9. Evaluaciones de impacto y consultas

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, ExtraGM brindará al Cliente ayuda razonable con las evaluaciones de impacto en materia de protección de datos y con las consultas previas a las autoridades de supervisión relacionadas con los Servicios.

10. Devolución y eliminación

Mientras la cuenta esté activa, el Cliente puede consultar sus datos en los Servicios, descargar los archivos de exportación que ofrecen los Servicios o solicitarnos una copia. Cuando el Cliente elimine su cuenta, o nos solicite que la cerremos o que eliminemos sus datos, ExtraGM eliminará los Datos Personales del Cliente en un plazo de 30 días. Si un periodo de prueba o una suscripción finaliza sin que se produzca dicha solicitud, la cuenta queda en pausa y los datos se conservan, protegidos por este DPA, hasta que el Cliente elimine la cuenta o nos solicite que eliminemos los datos. Las copias en las copias de seguridad se sobrescriben en el ciclo normal de copias de seguridad y no se utilizan mientras tanto. Esto no se aplica cuando una ley nos exige conservar los datos; cualquier dato conservado por ese motivo sigue estando protegido por este DPA.

11. Información y auditorías

ExtraGM pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA, incluyendo respuestas a cuestionarios de seguridad y, cuando estén disponibles, los informes de seguridad y las certificaciones de nuestros subencargados del tratamiento. Si eso no fuera suficiente, o si una autoridad supervisora así lo exigiera, el Cliente podrá auditar el cumplimiento de ExtraGM una vez al año, con un aviso por escrito de al menos 30 días, durante el horario comercial, sin interrumpir los Servicios, a su propio costo y a través de un auditor sujeto a confidencialidad que no sea competidor de ExtraGM.

12. Transferencias internacionales

ExtraGM tiene su sede en los Estados Unidos y almacena los Datos Personales del Cliente en los Estados Unidos. Algunos subencargados del tratamiento pueden tratarlos en otros países, como se indica en el Anexo III.

UE y EEE

Cuando los Datos Personales del Cliente se transfieran desde el Espacio Económico Europeo a ExtraGM en un país sin una decisión de adecuación, se aplicarán las Cláusulas Contractuales Tipo (CCT) y se incorporarán al presente Acuerdo de tratamiento de datos (DPA) por referencia, de la siguiente manera: se aplica el Módulo Dos (del responsable al encargado del tratamiento), y se aplica el Módulo Tres (de un encargado del tratamiento a otro) cuando el Cliente sea un encargado del tratamiento; el Cliente es el exportador de datos y ExtraGM el importador de datos; se aplica la cláusula de acoplamiento opcional de la Cláusula 7; conforme a la Cláusula 9, se aplica la Opción 2 (autorización general por escrito), con el plazo de notificación establecido en la sección 6 de este DPA; no se aplica la redacción opcional de la Cláusula 11; en virtud de la Cláusula 13, la autoridad de supervisión es la que se determina en dicha cláusula; en virtud de las Cláusulas 17 y 18, las CCT se rigen por la ley de Irlanda y las controversias se someterán a los tribunales de Irlanda; y los Anexos I, II y III del presente DPA constituyen los anexos de las CCT. La aceptación del Acuerdo por parte del Cliente equivale a la firma de las CCT.

Reino Unido

Cuando los Datos Personales del Cliente se transfieran desde el Reino Unido, se aplicará el Anexo del Reino Unido, el cual se incorpora por referencia de la siguiente manera: la Tabla 1 se completa con los datos de las partes que figuran en el Anexo I; la Tabla 2 hace referencia a las CCT seleccionadas anteriormente; la Tabla 3 se completa con los Anexos I, II y III del presente DPA; y en la Tabla 4, cualquiera de las partes puede rescindir el Anexo del Reino Unido según lo permitido por su Sección 19.

Suiza

Cuando los datos personales de los clientes se transfieran desde Suiza, se aplicarán las CCT tal como se describió anteriormente, con los siguientes cambios: el Comisionado Federal Suizo de Protección de Datos e Información es la autoridad supervisora competente en la medida en que la transferencia se rija por la FADP; las referencias al RGPD se interpretarán como referencias a la FADP; y el término «Estado miembro» incluye a Suiza, de modo que los titulares de datos en Suiza puedan presentar reclamaciones en el lugar donde residen habitualmente.

Si la autoridad que aprobó un mecanismo de transferencia lo reemplaza o modifica, ExtraGM podrá adoptar el mecanismo sustituto mediante la actualización de este DPA.

13. Leyes de privacidad de Estados Unidos

Cuando se aplique la CCPA o una ley estatal similar, ExtraGM actuará como proveedor de servicios o encargado del tratamiento del Cliente. ExtraGM no venderá ni compartirá los Datos Personales del Cliente; no los conservará, utilizará ni divulgará para ningún fin que no sea la prestación de los Servicios, ni fuera de su relación comercial directa con el Cliente; no los combinará con datos personales que reciba de terceros, salvo en la medida en que lo permitan dichas leyes; y informará al Cliente si ya no puede cumplir con estas obligaciones.

14. Términos generales

En caso de conflicto, las Cláusulas Contractuales Tipo (CCT) y el Anexo del Reino Unido tienen prioridad sobre este Acuerdo de Protección de Datos (DPA), y este DPA tiene prioridad sobre el resto del Contrato. La responsabilidad de cada parte en virtud de este DPA está sujeta a los límites establecidos en el Contrato, salvo cuando las Leyes de Protección de Datos o las CCT no lo permitan. Este DPA tendrá vigencia mientras ExtraGM procese los Datos Personales del Cliente. ExtraGM podrá actualizar este DPA mediante la publicación de una nueva versión en esta página y notificándoselo al Cliente por correo electrónico; las actualizaciones no reducirán la protección de los Datos Personales del Cliente, a menos que una ley o una autoridad supervisora exija el cambio. Prevalecerá esta versión en inglés; las traducciones se proporcionan para mayor comodidad.

Anexo I: Descripción del tratamiento

A. Partes

Exportador de datos (responsable del tratamiento o encargado del tratamiento según el Módulo Tres): el Cliente, con el nombre, la dirección y la persona de contacto indicados en su cuenta de ExtraGM. Actividades: utilizar ExtraGM para programar, capacitar y comunicarse con el equipo de su restaurante. Firma y fecha: al aceptar el Acuerdo.

Importador de datos (encargado del tratamiento): ExtraGM LLC, 9722 Groffs Mill Dr, PMB 30011, Owings Mills, MD 21117, EE. UU. Contacto: support@extragm.com. Actividades: prestación de los Servicios conforme al Acuerdo. Firma y fecha: al publicar este DPA y prestar los Servicios.

B. Descripción de la transferencia

• Sujetos de datos: los propietarios, gerentes y empleados del Cliente, así como otras personas que el Cliente invite a su cuenta.
• Datos personales: nombres y apodos; direcciones de correo electrónico del trabajo; funciones, cargos y ubicaciones; disponibilidad, solicitudes de tiempo libre y sus notas; horarios, turnos, intercambios de turnos y horas trabajadas, incluidas las horas de entrada y salida, los descansos y, cuando el Cliente activa la verificación de ubicación, la ubicación del dispositivo en ese momento (comparada con la dirección del restaurante, sin almacenarla) y el resultado; tarifas salariales y costos laborales (que solo se muestran a los propietarios y gerentes autorizados); mensajes de chat de equipo, reacciones y anuncios; documentos de capacitación y su estado de lectura; idioma de la aplicación, zona horaria, configuraciones de notificaciones y tokens push del dispositivo; y datos de inicio de sesión, como contraseñas con hash y registros de sesión.
• Categorías especiales: no se prevén. Cualquier dato de este tipo que el Cliente decida introducir, por ejemplo, en una nota de permiso, está protegido por las medidas del Anexo II, incluido el acceso limitado por rol.
• Frecuencia: continua, mientras el Cliente utilice los Servicios.
• Naturaleza del tratamiento: alojamiento, almacenamiento, organización, visualización, envío de notificaciones y correos electrónicos, generación de borradores con IA (como horarios y documentos de capacitación) cuando un usuario lo solicite, traducción de mensajes a petición, respaldo y eliminación.
• Finalidad: proporcionar, dar soporte y asegurar los Servicios para el Cliente.
• Duración y retención: durante la vigencia del Contrato y, posteriormente, hasta su eliminación conforme a la sección 10.
• Transferencias a subencargados del tratamiento: el objeto, la naturaleza y la duración descritos anteriormente, limitados al servicio que presta cada subencargado del tratamiento (Anexo III).

C. Autoridad supervisora competente

La autoridad de supervisión determinada conforme a la Cláusula 13 de las Cláusulas Contractuales Tipo (CCT): la autoridad del lugar donde el Cliente esté establecido en el EEE o, si no está establecido en el EEE, donde esté establecido su representante o donde se encuentren los titulares de datos afectados. Para el Reino Unido, la Oficina del Comisionado de Información. Para Suiza, el Comisionado Federal de Protección de Datos e Información.

Anexo II: Medidas de seguridad técnicas y organizativas

• Cifrado: todo el tráfico hacia y desde los Servicios utiliza TLS. Nuestras empresas de alojamiento cifran las bases de datos, los archivos y las copias de seguridad en reposo (AES-256).
• Separación de clientes: cada consulta a la base de datos está limitada por reglas de seguridad a nivel de fila, por lo que los datos de cada cliente solo pueden ser leídos por los propios usuarios de ese cliente.
• Acceso por rol: los propietarios, gerentes y empleados ven datos diferentes. Las tarifas salariales y los costos laborales nunca se muestran a los empleados. Los chats de equipo son privados para sus miembros, y los gerentes no pueden leer los chats de los que no forman parte.
• Cuentas: las contraseñas se almacenan únicamente como hash con sal. Los enlaces en los correos electrónicos (invitaciones, restablecimientos de contraseña, descargas) utilizan tokens de un solo uso que caducan.
• Acceso del personal de ExtraGM: se limita a las pocas personas que lo necesitan, a través de cuentas protegidas por autenticación multifactorial, y se utiliza únicamente para brindar soporte, mantener o proteger los Servicios.
• Minimización de datos: no recopilamos los números de teléfono del personal. La ubicación precisa solo se lee si el Cliente activa la verificación de ubicación del registro de horas, y únicamente en el momento en que alguien registra su entrada o salida; se compara con la dirección del restaurante y no se almacena, y solo se guarda el resultado. Los informes de errores excluyen los datos de los usuarios, las direcciones IP, las cookies y los tokens secretos de los enlaces.
• Funciones de IA: solo se envía al proveedor de IA la información necesaria para la tarea solicitada por el usuario, y este no la utiliza para entrenar sus modelos.
• Resiliencia: copias de seguridad diarias encriptadas y proveedores de alojamiento con infraestructura redundante.
• Desarrollo: los cambios se revisan y se prueban automáticamente antes de su lanzamiento; las dependencias se mantienen actualizadas; los datos confidenciales se mantienen fuera del código.
• Monitoreo e incidentes: se monitorean los errores y seguimos un proceso de respuesta a incidentes que incluye el aviso de la sección 8.
• Proveedores: elegimos a los subencargados del tratamiento por su seguridad, y cada uno de ellos está sujeto a un acuerdo de tratamiento de datos, excepto Apple, cuyos términos se describen en la sección 6.

Anexo III: Subencargados del tratamiento

ExtraGM utiliza estos subencargados del tratamiento para prestar los Servicios. Esta lista se actualizó por última vez en la fecha que aparece en la parte superior de esta página.

Subencargado del tratamiento	Qué hace para ExtraGM	Datos personales de los clientes involucrados	Ubicación
Supabase Pte. Ltd.	Base de datos, inicio de sesión, almacenamiento de archivos y actualizaciones en tiempo real	Todos los datos personales de los clientes	Estados Unidos (AWS, us-east-1)
Vercel Inc.	Alojamiento del sitio web y las aplicaciones	Todos los datos personales de los clientes, en tránsito	Estados Unidos y la región más cercana al usuario
Anthropic, PBC	Funciones de IA, como borradores de horarios, documentos de capacitación y traducción de mensajes	Solo lo necesario para la tarea solicitada por el usuario, como nombres, funciones y disponibilidad	Estados Unidos
Resend (Plus Five Five, Inc.)	Envío de correos electrónicos, como invitaciones y restablecimientos de contraseña	Nombres, direcciones de correo electrónico y contenido de los correos electrónicos	Estados Unidos
Google LLC (Firebase Cloud Messaging)	Notificaciones push a las aplicaciones de Android y iPhone	Token de notificaciones push del dispositivo y contenido de las notificaciones	Estados Unidos
Apple Inc. (Apple Push Notification service)	Notificaciones push a iPhones	Token de notificaciones push del dispositivo y contenido de las notificaciones	Estados Unidos
Functional Software, Inc. (Sentry)	Monitoreo de errores	Detalles de errores técnicos, sin datos de los usuarios	Estados Unidos
Upstash, Inc.	Contadores compartidos de límite de solicitudes, que protegen el inicio de sesión y otras funciones contra abusos	Contadores de corta duración guardados con claves cifradas mediante hash, derivadas de direcciones IP, correos electrónicos o identificadores de usuario	Estados Unidos

Google LLC ofrece sugerencias de direcciones a través de Google Maps Platform cuando el propietario escribe la dirección del restaurante. Google actúa como un responsable del tratamiento independiente, sujeto a sus propios términos de protección de datos, y solo recibe el texto de la dirección que se escribe; por lo tanto, no es un subencargado del tratamiento.

Stripe procesa los pagos para ExtraGM como un responsable del tratamiento independiente y no es un subencargado del tratamiento de los datos personales de los clientes.

Los navegadores web envían las notificaciones push a través de los servicios push de sus propios fabricantes (como Google, Mozilla, Apple y Microsoft). ExtraGM no elige estos servicios y no tiene ningún contrato con ellos. Solo reciben una dirección de suscripción push y contenido cifrado que no pueden leer, por lo que no son subencargados del tratamiento.