Contrato de encargo del tratamiento

• Responsable del tratamiento: el negocio titular de la cuenta de Stampaz, con los datos legales que indica en Ajustes.
• Encargado del tratamiento: Miranda Network, S.L., NIF B-75866194, domicilio en Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), contacto support@mirandanetwork.es.

El encargado trata los datos solo para prestar el servicio de tarjetas de fidelidad: alta de clientes, gestión de sellos, puntos y premios, emisión y actualización de las tarjetas en Apple Wallet y Google Wallet, envío de los avisos que decida el responsable, estadísticas y atención de los derechos de los clientes.

Operaciones: recogida, registro, conservación, consulta, modificación, comunicación a Apple y Google para emitir la tarjeta, exportación y supresión.

El encargo dura mientras el negocio tenga una cuenta en Stampaz.

• Interesados: clientes del responsable que se apuntan a su programa de fidelidad y miembros de su equipo que usan el escáner.
• Datos: nombre; email, teléfono y fecha de cumpleaños si el responsable los pide; historial de visitas, sellos, puntos y premios; preferencia sobre ofertas; prueba del consentimiento (fecha, hora y versión del texto); identificadores técnicos de la tarjeta.
• No se tratan categorías especiales de datos ni datos de ubicación: el aviso de cercanía lo decide el móvil del cliente.

El responsable da sus instrucciones a través de la configuración de su panel: qué datos pide, qué avisos envía, cuánto tiempo se conservan los clientes inactivos (entre 6 y 60 meses) y qué información legal se muestra al cliente. Al apuntarse, el cliente ve una primera capa de información con los datos del responsable, y Stampaz guarda la prueba de su consentimiento.

Si el encargado considera que una instrucción infringe la normativa, lo comunicará al responsable.

• Tratar los datos solo según las instrucciones documentadas del responsable y no usarlos para fines propios.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar las medidas de seguridad del artículo 32 RGPD: cifrado en tránsito, aislamiento de los datos por negocio, control de accesos, copias de seguridad y registro de accesos.
• Ayudar al responsable a atender los derechos de los interesados. Los clientes pueden corregir y descargar sus datos, dejar de recibir ofertas y borrarlo todo desde su tarjeta; las solicitudes que lleguen al encargado se trasladarán al responsable sin demora.
• Notificar al responsable las violaciones de seguridad sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, con la información disponible.
• Ayudar al responsable, cuando proceda, con evaluaciones de impacto y consultas a la autoridad de control.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo de 30 días y a cargo del responsable.
• Llevar el registro de actividades de tratamiento como encargado.

El responsable autoriza de forma general a los siguientes subencargados:

• Supabase: base de datos, autenticación y almacenamiento (alojamiento en la UE).
• Vercel: alojamiento de la aplicación, ejecutada en su región de Frankfurt (Unión Europea).
• Apple y Google: emisión y actualización de las tarjetas en sus Wallets (solo el contenido de la tarjeta: nombre, sellos o puntos y código).

Avisaremos con al menos 15 días de antelación de cualquier cambio de subencargados para que el responsable pueda oponerse; si se opone y no hay alternativa, podrá cancelar. Cada subencargado queda sujeto a obligaciones equivalentes. Las transferencias fuera del EEE se hacen con las garantías del capítulo V del RGPD (decisiones de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo).

• Rellenar sus datos legales en Ajustes, informar a sus clientes y contar con una base legal válida.
• Enviar ofertas solo a quien las aceptó y sin abusar de los avisos.
• Velar por que su personal cumpla el RGPD y custodie el acceso al escáner.

Al terminar la suscripción, el encargado suprime automáticamente todos los datos 30 días después. Durante ese plazo, el responsable puede exportarlos (JSON). Si el responsable borra su cuenta, la supresión es inmediata. Solo se conservarán bloqueados los datos que una ley obligue a mantener.