Acuerdo de tratamiento de datos (DPA)

Este DPA aplica a los datos personales de los Titulares (clientes finales con tarjeta de lealtad) que VOLVÍ trata para prestar el servicio contratado por el Negocio. No aplica a los datos de las cuentas del propio Negocio y su personal, ni a la facturación: para esos datos VOLVÍ es responsable, según la Política de privacidad.

El Negocio es el Responsable del tratamiento: decide para qué usa los datos de sus Titulares y con qué base legal. VOLVÍ es el Encargado: trata esos datos únicamente para prestar el servicio, siguiendo las instrucciones documentadas del Negocio dadas a través de la plataforma (crear tarjetas, registrar sellos, enviar avisos aceptados, generar analítica del propio Negocio) y este DPA.

VOLVÍ no trata esos datos para fines propios, no los combina con los de otros negocios más allá de la analítica agregada y anonimizada descrita en los Términos, y avisará al Negocio si considera que una instrucción infringe la ley.

El personal y los proveedores de VOLVÍ con acceso a estos datos están sujetos a un deber de confidencialidad, contractual o legal, y solo acceden a lo necesario para su función.

VOLVÍ aplica separación de datos entre negocios a nivel de base de datos, control de acceso por rol, cifrado en tránsito, verificación de dispositivos autorizados en cada sucursal y registro de acciones administrativas. Estas medidas se revisan periódicamente y pueden mejorarse sin reducir el nivel de protección.

El Negocio autoriza a VOLVÍ a usar los siguientes subencargados, cada uno sujeto a obligaciones de confidencialidad y seguridad equivalentes a las de este DPA:

• Supabase — base de datos, autenticación y archivos.
• Vercel — alojamiento y despliegue de la aplicación.
• Google — inicio de sesión y Google Wallet.
• Resend — envío de correos de recuperación de tarjeta.
• PagueloFácil — procesamiento de pagos con tarjeta (datos de facturación, no datos del Titular).
• Apple — Apple Wallet: tarjetas y avisos para actualizarlas.

Si VOLVÍ agrega o cambia un subencargado que trate datos de Titulares, avisará al Negocio con al menos 15 días de anticipación por correo o dentro de la plataforma. El Negocio puede objetar por una causa razonable de protección de datos; si no se resuelve, el Negocio puede terminar el servicio sin penalidad por esa causa.

Si VOLVÍ detecta un incidente de seguridad que afecte datos de Titulares del Negocio, se lo notificará sin demora indebida y a más tardar dentro de las 48 horas siguientes a confirmarlo, con la información disponible en ese momento: naturaleza del incidente, datos afectados, medidas tomadas y recomendaciones. El Negocio es responsable de notificar a la autoridad y a sus Titulares cuando la ley lo exija; VOLVÍ le dará la información razonable que necesite para hacerlo.

VOLVÍ dará al Negocio las herramientas de la plataforma y el apoyo razonable para atender solicitudes de acceso, rectificación, cancelación, oposición y portabilidad de sus Titulares, dentro de los plazos que fije la normativa aplicable. Si un Titular contacta directamente a VOLVÍ, VOLVÍ lo remitirá al Negocio salvo que la ley exija otra cosa.

El Negocio puede pedir a VOLVÍ, por escrito y con razonable anticipación, información sobre las medidas de seguridad y el cumplimiento de este DPA, hasta una vez al año salvo que exista un incidente que justifique una revisión adicional. VOLVÍ puede responder mediante documentación (certificaciones de sus proveedores, resúmenes de configuración) en vez de una auditoría presencial, cuando sea razonable.

Al terminar el contrato, el Negocio puede exportar los datos de sus Titulares durante 30 días, según la sección 9 de los Términos. A los 90 días de la terminación, VOLVÍ eliminará o anonimizará esos datos, salvo lo que deba conservar por obligación legal, y podrá certificarlo al Negocio si lo solicita por escrito.

Este DPA está vigente mientras el Negocio use VOLVÍ y se rige por las mismas leyes y tribunales que los Términos y condiciones (sección 16). Prevalece sobre los Términos únicamente en lo referente al tratamiento de datos de los Titulares.