Acuerdo de Encargado del Tratamiento de Datos (art. 28 del Reglamento (UE) 2016/679, RGPD). Forma parte de los Términos y Condiciones de Uso de Retorna y se entiende aceptado junto con ellos. Última actualización: 7 de octubre de 2026.
1. Partes
- Responsable del tratamiento: el negocio que contrata Retorna (el «Negocio»), identificado en el proceso de alta.
- Encargado del tratamiento: Héctor Morales Marín (empresario autónomo), NIF 26850858Z, con domicilio en Calle José María Cagigal, 46, Portal 2, 5ºA, Roquetas de Mar (Almería), correo retorna.dev@gmail.com («Retorna»).
2. Objeto
Retorna tratará por cuenta del Negocio los datos personales necesarios para prestar el servicio descrito en los Términos y Condiciones: gestión de programas de fidelización, emisión de tarjetas en Apple Wallet y Google Wallet, gestión de clientes, envío de comunicaciones y campañas, y estadísticas.
3. Descripción del tratamiento
- Naturaleza: alojamiento, almacenamiento, consulta, organización, modificación, envío y supresión de datos.
- Finalidad: prestar al Negocio la plataforma de fidelización contratada.
- Categorías de interesados: clientes finales del Negocio y personas que se unen a su programa.
- Tipos de datos: nombre, correo electrónico, teléfono (opcional), identificador de tarjeta y código QR, puntos, sellos, visitas, recompensas y movimientos, preferencias y consentimiento comercial.
- Categorías especiales de datos: no se prevé el tratamiento de datos de categorías especiales; el Negocio se compromete a no introducirlos en la plataforma.
- Duración: la del contrato, más el plazo de supresión indicado en el apartado 10.
4. Obligaciones del encargado
Retorna se compromete a:
- tratar los datos únicamente siguiendo las instrucciones documentadas del Negocio, que son las contenidas en este acuerdo, en los Términos y en el uso normal de la plataforma; si considera que una instrucción infringe la normativa, se lo comunicará;
- no usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal;
- garantizar que las personas con acceso a los datos están sujetas a un deber de confidencialidad;
- aplicar las medidas de seguridad del apartado 6;
- llevar un registro de las actividades de tratamiento realizadas por cuenta del Negocio.
5. Subencargados
El Negocio autoriza de forma general la contratación de los subencargados siguientes:
- Supabase — base de datos (región de Irlanda, UE).
- Vercel — alojamiento de la aplicación (UE).
- Resend — envío de correos electrónicos a los clientes finales.
- Google (Google Wallet) y Apple (Apple Wallet) — emisión y distribución de las tarjetas digitales.
Retorna informará al Negocio por correo electrónico de cualquier incorporación o sustitución de subencargados con al menos 15 días de antelación, para que pueda oponerse con motivos razonables. Retorna impondrá a los subencargados las mismas obligaciones de protección de datos de este acuerdo y responderá frente al Negocio de su cumplimiento.
Cuando algún subencargado trate datos fuera del Espacio Económico Europeo, Retorna se asegurará de que existen garantías adecuadas (decisión de adecuación o cláusulas contractuales tipo).
6. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS) y almacenamiento seguro de contraseñas.
- Control de accesos por usuario y separación lógica de los datos de cada negocio.
- Limitación de intentos de acceso y medidas contra el abuso.
- Copias de seguridad y capacidad de restablecer la disponibilidad de los datos.
- Acceso del personal limitado a lo estrictamente necesario.
- Revisión periódica y actualización de las medidas según el estado de la técnica.
7. Derechos de los interesados
Retorna ayudará al Negocio, con medidas técnicas y organizativas adecuadas, a atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige directamente a Retorna, se le remitirá al Negocio y se le trasladará la solicitud sin demora, sin responder por su cuenta salvo instrucción del Negocio.
8. Violaciones de seguridad
Retorna notificará al Negocio, sin dilación indebida y como máximo en 72 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a los datos tratados, aportando la información disponible (naturaleza, datos y personas afectadas, consecuencias probables y medidas adoptadas) para que el Negocio pueda cumplir con sus propias obligaciones de notificación.
9. Asistencia y auditorías
Retorna ayudará al Negocio en las evaluaciones de impacto y consultas previas cuando proceda y pondrá a su disposición la información necesaria para demostrar el cumplimiento de este acuerdo. El Negocio podrá solicitar por escrito, con un preaviso razonable y no más de una vez al año salvo incidencia grave, la información o auditoría necesaria, sin perturbar el funcionamiento del servicio y cubriendo sus propios costes.
10. Devolución y supresión
Al finalizar el contrato, Retorna facilitará al Negocio, si lo solicita, la exportación de sus datos en un formato habitual. A los 90 días desde la baja, Retorna eliminará los datos tratados por cuenta del Negocio, incluidas las copias, salvo que una norma exija conservarlos (en cuyo caso se mantendrán bloqueados el tiempo exigido).
11. Obligaciones del responsable
El Negocio declara y se compromete a:
- tener una base de legitimación válida para tratar los datos de sus clientes finales, en particular obtener el consentimiento previo para las comunicaciones comerciales;
- informar a los interesados conforme a los arts. 13 y 14 del RGPD;
- facilitar a Retorna instrucciones lícitas y no introducir datos que no sean necesarios ni datos de categorías especiales;
- atender las solicitudes de ejercicio de derechos y notificar, cuando proceda, las violaciones de seguridad a la autoridad y a los afectados.
12. Responsabilidad
Cada parte responde por el incumplimiento de sus obligaciones conforme a la normativa de protección de datos. En lo no previsto, se aplican los límites de responsabilidad de los Términos y Condiciones, sin perjuicio de los derechos de los interesados y de lo que la ley no permita limitar.
13. Legislación y jurisdicción
Este acuerdo se rige por la legislación española y el RGPD. Las partes se someten a los juzgados y tribunales de Almería.