Acuerdo de tratamiento de datos
1. Partes, ámbito y situación
Este acuerdo establece las condiciones de tratamiento de datos entre el cliente empresarial identificado en un contrato de servicios de OrsunPay (el «Cliente») y Orsun Tech OÜ, código de registro 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia («OrsunPay»). Solo será vinculante cuando se incorpore a un contrato aceptado por ambas partes, con sus anexos de tratamiento y seguridad completados.
Para el tratamiento aquí contemplado, el Cliente determina los fines y los medios esenciales, y OrsunPay trata los datos personales por cuenta del Cliente. Si el Cliente actúa a su vez como encargado del tratamiento, deberá contar con la autorización de su responsable para designar a OrsunPay. El tratamiento para los fines propios de OrsunPay relacionados con el sitio web, los contactos comerciales y la administración de cuentas se describe en el aviso de privacidad.
«Datos personales», «responsable del tratamiento», «encargado del tratamiento» y los términos relacionados tienen el significado atribuido por la normativa de protección de datos aplicable, incluido el RGPD cuando proceda. Este acuerdo prevalece sobre las condiciones del servicio incompatibles respecto del tratamiento que regula; las cláusulas obligatorias de transferencia prevalecen cuando sean aplicables.
2. Descripción del tratamiento
| Elemento | Ámbito del tratamiento |
|---|---|
| Objeto | Datos personales gestionados mediante los servicios de orquestación de pagos y el soporte relacionado acordados con el Cliente. |
| Naturaleza de las operaciones | Recepción, registro, organización, recuperación, transmisión y visualización de registros; ejecución de instrucciones de enrutamiento y operativas; resolución de problemas; y devolución o eliminación de datos. |
| Finalidades | Operar los flujos de pago configurados, intercambiar información con los proveedores seleccionados, conservar registros de transacciones y webhooks, facilitar acceso autorizado e investigar incidencias del servicio. |
| Personas | Compradores del Cliente y otros participantes en los pagos, así como usuarios o representantes autorizados del Cliente cuando sus datos se traten siguiendo sus instrucciones. |
| Categorías de datos | Referencias de clientes y transacciones, datos de contacto cuando se faciliten, importes y divisas, estados de pagos y reembolsos, referencias de proveedores, información tokenizada o enmascarada de métodos de pago, datos técnicos de conexión y material de soporte pertinente. El anexo final debe reflejar la integración real. |
| Duración y frecuencia | Durante el uso del servicio y el plazo acordado de devolución o eliminación; tratamiento continuo o activado por eventos según las funciones utilizadas. |
| Datos sensibles | Los datos de categorías especiales, los relativos a infracciones penales y las credenciales de pago completas quedan fuera de esta descripción general, salvo que un ámbito separado por escrito y controles adecuados los contemplen expresamente. |
3. Instrucciones y responsabilidades del Cliente
El contrato de servicios, los anexos completados, los ajustes autorizados y las solicitudes de API documentadas constituyen las instrucciones del Cliente. OrsunPay tratará los datos cubiertos únicamente conforme a dichas instrucciones, incluidas las relativas a transferencias, salvo que la legislación aplicable exija lo contrario. Informará al Cliente del requisito legal antes del tratamiento, salvo que la ley prohíba dicha comunicación.
El Cliente debe proporcionar instrucciones lícitas, la información de privacidad necesaria y una base válida para la recogida y el tratamiento que solicite. Debe limitar los datos facilitados a los necesarios para el servicio y mantener permisos adecuados en las cuentas. OrsunPay informará al Cliente si considera que una instrucción infringe la normativa de protección de datos aplicable y podrá suspender el tratamiento afectado mientras se resuelve la cuestión.
4. Confidencialidad y seguridad
OrsunPay limitará el acceso a personas autorizadas que lo necesiten para prestar el servicio y garantizará que estén sujetas a obligaciones de confidencialidad. Mantendrá medidas técnicas y organizativas adecuadas a la naturaleza de los datos y a los riesgos del tratamiento.
El anexo de seguridad debe documentar el control de acceso, la autenticación, las disposiciones de cifrado, la separación de entornos de clientes, el registro de actividad, la gestión de incidentes, las copias de seguridad y la recuperación, la eliminación y el proceso para evaluar estas medidas. Debe distinguir los controles desplegados de los previstos e identificar el ámbito del servicio aplicable. La mera publicación de este acuerdo no incorpora ninguna certificación de auditoría ni declaración de seguridad.
5. Subencargados del tratamiento
OrsunPay solo podrá designar subencargados con la autorización previa, específica o general, por escrito del Cliente. El anexo autorizado definitivo identificará la entidad jurídica, su función y los lugares de tratamiento pertinentes. El registro de proveedores es información de apoyo e incluye proveedores del sitio web y acuerdos en revisión; su inclusión por sí sola no constituye autorización del cliente.
En caso de autorización general, OrsunPay comunicará por escrito y con antelación las adiciones o sustituciones previstas y ofrecerá al Cliente una oportunidad efectiva de oponerse por motivos de protección de datos antes del inicio del nuevo tratamiento. El anexo formalizado debe especificar el plazo de preaviso, el canal de entrega y el procedimiento de resolución. Si una objeción no puede resolverse, las partes acordarán una alternativa lícita o pondrán fin al servicio afectado conforme a su contrato.
OrsunPay impondrá contractualmente a cada subencargado las obligaciones de protección de datos aplicables y seguirá siendo responsable de su cumplimiento por parte del subencargado según lo exigido por la ley.
6. Asistencia y violaciones de seguridad de datos personales
Teniendo en cuenta el tratamiento y la información de que disponga, OrsunPay ayudará al Cliente con las solicitudes de derechos individuales, las obligaciones de seguridad, las evaluaciones de impacto y las consultas a las autoridades competentes. Si recibe una solicitud relativa a los datos del Cliente, se lo notificará y no responderá sobre el fondo salvo por instrucciones o exigencia legal.
OrsunPay notificará al Cliente sin dilación indebida cuando tenga conocimiento de una violación de seguridad de los datos personales cubiertos. La información disponible describirá el incidente, los datos y personas afectados, las consecuencias probables, las medidas de mitigación y un contacto de seguimiento. La información podrá facilitarse por etapas conforme avance la investigación. OrsunPay colaborará en la respuesta del Cliente; el Cliente seguirá siendo responsable de las notificaciones que le correspondan legalmente.
7. Transferencias internacionales
Antes de que el tratamiento implique una transferencia restringida, las partes deben identificar al exportador, al importador, los destinos y el mecanismo de transferencia adecuado. Cuando corresponda, esto incluye una decisión de adecuación aplicable o cláusulas contractuales tipo completadas con el módulo, los anexos y las medidas complementarias correctos. Se deberán atender los requisitos del Reino Unido o Suiza cuando sean aplicables.
Un enlace al acuerdo de tratamiento de un proveedor no completa por sí solo la documentación de transferencias del Cliente. El anexo formalizado debe incluir las disposiciones reales, incluidos el acceso remoto y las transferencias ulteriores.
8. Devolución, eliminación y conservación
Al finalizar el tratamiento, OrsunPay, a elección del Cliente, devolverá o eliminará los datos personales cubiertos y eliminará las copias restantes, salvo que la legislación aplicable exija conservarlos. Las partes deben acordar el formato de exportación, el procedimiento de solicitud, el plazo de finalización y la caducidad de las copias de seguridad en el anexo de tratamiento.
Cuando la conservación sea legalmente obligatoria, OrsunPay identificará el requisito cuando esté permitido, limitará los datos conservados a esa finalidad y los eliminará al finalizar la obligación. Las copias de seguridad pendientes de caducidad programada deben seguir protegidas y no estar disponibles para el uso ordinario. OrsunPay confirmará la finalización si se solicita.
9. Información y auditorías
OrsunPay facilitará la información necesaria para demostrar el cumplimiento de sus obligaciones como encargado y permitirá y contribuirá a las auditorías, incluidas las inspecciones del Cliente o de su auditor designado. Las partes coordinarán un preaviso razonable, la confidencialidad y las medidas de protección de la información de otros clientes. Las disposiciones prácticas no deben impedir una auditoría exigida por la ley o por una autoridad competente.
10. Formalización del acuerdo
Antes de formalizarlo, las partes deben completar las categorías de datos específicas del servicio, los lugares de tratamiento, los subencargados aprobados, los documentos de transferencia, las medidas de seguridad, las disposiciones de conservación y devolución, los contactos de notificación y el procedimiento de cambio de proveedores. Las disposiciones de responsabilidad y ley aplicable seguirán el contrato de servicios formalizado en la medida permitida por la ley; nada de lo aquí dispuesto elimina los derechos legales de las personas. Las consultas sobre el contrato y el acuerdo de tratamiento pueden enviarse a través de Contacto.