Acuerdo de Encargado del Tratamiento (DPA)

1. Partes y objeto

Este Acuerdo forma parte de las Condiciones de uso y se celebra entre el Usuario de la plataforma («Responsable») y Coora Collective S.L., NIF B21834148, domicilio C/ Urgell 17, 17455 Caldes de Malavella, España («Coora» o «Encargado»). Regula el tratamiento que Coora realiza, por cuenta del Responsable, de los datos personales de los compradores del Responsable, conforme al art. 28 del RGPD.

2. Objeto, duración, naturaleza y finalidad

• Naturaleza y finalidad: prestar el servicio de checkout, cobro, entrega, facturación e integraciones que el Responsable configura en la Plataforma.
• Duración: mientras esté vigente la relación de servicio entre las partes.
• Tipo de datos: identificativos y de contacto (nombre, email, teléfono), y, si el Responsable los solicita, datos fiscales y de dirección y datos de la transacción. No se tratan datos completos de tarjeta (los trata el proveedor de pago) ni, salvo que el Responsable lo configure, categorías especiales de datos.
• Categorías de interesados: los compradores y potenciales compradores del Responsable.

3. Instrucciones del Responsable

Coora tratará los datos únicamente conforme a las instrucciones documentadas del Responsable (incluidas las que resultan de su configuración de la Plataforma y de estas Condiciones), salvo obligación legal, en cuyo caso lo informará si la ley lo permite. El Responsable garantiza que dispone de base jurídica para el tratamiento y que sus instrucciones son lícitas; es el único responsable de la licitud del tratamiento y de la información y consentimientos frente a sus compradores.

4. Confidencialidad y seguridad

Coora garantizará que las personas autorizadas a tratar los datos se comprometan a la confidencialidad. Aplicará las medidas técnicas y organizativas apropiadas del art. 32 RGPD, incluidas, según proceda: cifrado de credenciales sensibles, control de acceso, seudonimización cuando sea posible, aislamiento de datos entre cuentas, y medidas para restaurar la disponibilidad tras un incidente.

5. Subencargados

El Responsable autoriza con carácter general a Coora a recurrir a subencargados (p. ej. alojamiento, envío de correos y el proveedor de pago) con obligaciones de protección de datos equivalentes a las de este Acuerdo. Coora informará de cambios en la lista de subencargados con antelación razonable, pudiendo el Responsable oponerse por motivos justificados. [Inclúyase la lista de subencargados y su ubicación.]

6. Asistencia al Responsable

Coora asistirá al Responsable, en la medida de lo posible, para:

• atender las solicitudes de ejercicio de derechos de los interesados;
• cumplir las obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (arts. 32 a 36 RGPD);
• notificar sin dilación indebida al Responsable las violaciones de seguridad de las que tenga conocimiento, con la información disponible.

7. Supresión o devolución

Finalizada la prestación, Coora suprimirá o devolverá los datos al Responsable, a elección de este, y eliminará las copias existentes, salvo que la normativa exija su conservación.

8. Auditoría y transferencias

Coora pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo y permitirá auditorías razonables. Toda transferencia internacional de datos se realizará con las garantías del RGPD.

9. Responsabilidad y aceptación

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el RGPD le impone directamente. El Responsable acepta este Acuerdo al marcar la casilla correspondiente durante el registro, quedando constancia de la fecha de aceptación. [Complétese y valídese con asesoramiento legal antes de su uso definitivo.]