Acuerdo de Tratamiento de Datos

El presente Acuerdo de Tratamiento de Datos (en adelante, «DPA») regula el tratamiento de datos personales que Godolphy Software LLC (en adelante, «Encargado del Tratamiento») realiza en nombre de sus clientes (en adelante, «Responsable del Tratamiento») en el contexto de la prestación de los servicios SaaS de Godolphy, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes

• Responsable del Tratamiento: El cliente que suscribe los servicios de Godolphy y cuyos datos de contacto constan en la cuenta de usuario.
• Encargado del Tratamiento: GODOLPHY SOFTWARE LLC, 63 N. Burritt Ave, Room 100, East Buffalo, WY 82834, USA. Email: hello@godolphy.com

2. Objeto y naturaleza del tratamiento

El Encargado tratará datos personales en nombre del Responsable para la prestación de los servicios de gestión de citas, clientes, empleados, pagos y comunicaciones a través de la plataforma Godolphy.

3. Categorías de datos y personas afectadas

Categoría de datos	Personas afectadas
Nombre, email, teléfono, historial de citas	Clientes finales del Responsable
Nombre, horario, rol, acceso a la plataforma	Empleados del Responsable
Datos de facturación y pago	Clientes del Responsable
Comunicaciones (SMS, email, WhatsApp)	Clientes y empleados del Responsable

No se tratan categorías especiales de datos (artículo 9 RGPD) salvo instrucción expresa del Responsable.

4. Duración del tratamiento

El tratamiento se realizará durante la vigencia del contrato de prestación de servicios. Una vez extinguido el contrato, el Encargado suprimirá o devolverá los datos al Responsable en el plazo de 30 días, salvo que la legislación aplicable exija su conservación.

5. Obligaciones del Encargado del Tratamiento

El Encargado se compromete a:

• Tratar los datos únicamente según las instrucciones documentadas del Responsable.
• Garantizar que las personas autorizadas para tratar los datos están sujetas a obligaciones de confidencialidad.
• Adoptar todas las medidas de seguridad técnicas y organizativas requeridas por el artículo 32 del RGPD.
• Respetar las condiciones para recurrir a otro encargado del tratamiento (sub-encargados).
• Asistir al Responsable en el cumplimiento de las obligaciones relativas a los derechos de los interesados.
• Notificar al Responsable cualquier violación de la seguridad en un plazo máximo de 72 horas desde su conocimiento.
• Suprimir o devolver todos los datos personales al final del tratamiento.
• Proporcionar al Responsable toda la información necesaria para demostrar el cumplimiento del presente DPA.

6. Sub-encargados del tratamiento

El Responsable autoriza al Encargado a recurrir a los siguientes sub-encargados:

Sub-encargado	Servicio	Ubicación	Garantías
Google Cloud / Webempresa	Hosting e infraestructura	UE / EE.UU.	Cláusulas Contractuales Tipo
Sendgrid / Twilio	Email y WhatsApp	EE.UU.	CCT
ActiveCampaign	CRM y automatización	EE.UU.	CCT
Zendesk	Soporte técnico	EE.UU.	CCT
Stripe	Procesamiento de pagos	UE / EE.UU.	CCT

El Encargado informará al Responsable de cualquier cambio en la lista de sub-encargados con al menos 30 días de antelación. El Responsable podrá oponerse a dichos cambios por escrito.

7. Transferencias internacionales

Las transferencias de datos fuera del Espacio Económico Europeo se realizan mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, conforme al artículo 46 del RGPD, y medidas de seguridad adicionales cuando sea necesario.

8. Seguridad del tratamiento

El Encargado aplica, entre otras, las siguientes medidas:

• Cifrado de datos en tránsito (TLS) y en reposo (AES-256)
• Control de acceso basado en roles y autenticación segura
• Copias de seguridad cifradas y periódicas
• Registros de acceso y monitorización de actividad
• Plan de respuesta ante incidentes de seguridad

9. Derechos de los interesados

El Encargado asistirá al Responsable, en la medida de lo posible, para dar respuesta a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición) de los interesados en un plazo máximo de 72 horas.

10. Evaluaciones de impacto y consultas previas

El Encargado proporcionará al Responsable la asistencia necesaria para llevar a cabo evaluaciones de impacto relativas a la protección de datos (EIPD) y para las consultas previas a la autoridad supervisora cuando así lo requiera el artículo 36 del RGPD.

11. Ley aplicable

El presente DPA se rige por el RGPD y la legislación española (LOPDGDD). Las disputas se someterán a los tribunales competentes de Barcelona, España.

12. Contacto

Para cualquier cuestión relativa a este DPA:
hello@godolphy.com
GODOLPHY SOFTWARE LLC, 63 N. Burritt Ave, Room 100, East Buffalo, WY 82834, USA