1. Partes y objeto
El establecimiento identificado en el formulario de onboarding actúa como responsable del tratamiento (el «Responsable»). David García Torres, NIF 01940453N, con domicilio profesional en Calle Cáceres 4, 2º B, 28921 Alcorcón, Madrid, operador de 360Merge y CusBack, actúa como encargado del tratamiento (el «Encargado»).
Este acuerdo regula el acceso y tratamiento de datos personales necesario para prestar CusBack por cuenta del Responsable, de conformidad con el artículo 28 del Reglamento (UE) 2016/679.
2. Duración, naturaleza y finalidad
El encargo dura mientras el Cliente mantenga contratado CusBack y durante las operaciones de devolución, bloqueo o supresión posteriores. El tratamiento es automatizado y consiste en recibir mensajes de WhatsApp iniciados por los consumidores, identificar el establecimiento, registrar y deduplicar visitas, calcular el progreso y los premios, enviar confirmaciones, programar un recordatorio de recuperación y gestionar la baja.
3. Personas y datos afectados
| Interesados | Datos |
|---|---|
| Clientes y potenciales clientes del establecimiento que deciden participar. | Número de WhatsApp, establecimiento asociado, identificadores técnicos del mensaje, fechas de visita, contador, premio, código y estado de canje, caducidad, fecha de recordatorio, mensajes operativos y prueba de consentimiento o baja. |
| Personas de contacto del establecimiento. | Nombre, cargo, correo, teléfono y datos contractuales estrictamente necesarios para administrar el servicio. |
CusBack no necesita nombres de consumidores, datos de pago, categorías especiales de datos ni información sobre el servicio concreto que recibieron. El Responsable no debe incluirlos en las instrucciones o mensajes.
4. Instrucciones documentadas
El Encargado tratará los datos únicamente para prestar CusBack conforme a estas condiciones, a la configuración realizada por el Responsable y a instrucciones posteriores documentadas y lícitas. Informará al Responsable si considera que una instrucción infringe la normativa de protección de datos, salvo prohibición legal.
El Encargado no destinará los datos de los consumidores a fines propios, no los venderá ni los utilizará para prospección comercial.
5. Obligaciones del Responsable
- Determinar una base jurídica válida para el programa y facilitar información transparente a los consumidores.
- Mantener visible la información de privacidad enlazada en el QR y respetar las solicitudes de baja y derechos.
- Configurar premios, plazos y comunicaciones de forma lícita y proporcionada.
- No ordenar tratamientos incompatibles ni introducir datos innecesarios o especialmente protegidos.
6. Confidencialidad y personal autorizado
El Encargado garantiza que las personas autorizadas para tratar datos se comprometen a respetar la confidencialidad, reciben instrucciones adecuadas y acceden solo a la información necesaria para sus funciones.
7. Medidas de seguridad
El Encargado aplicará medidas técnicas y organizativas apropiadas al riesgo, entre ellas control de acceso, credenciales cifradas en la plataforma de automatización, comunicaciones HTTPS, separación lógica por establecimiento, minimización de datos, registros de eventos, deduplicación de mensajes, limitación de una visita diaria, copias de seguridad y procedimientos de restauración y actualización.
Las medidas podrán evolucionar para mejorar la seguridad sin reducir de forma material el nivel de protección.
8. Subencargados
El Responsable concede autorización general para utilizar los proveedores necesarios para prestar CusBack. En la fecha de esta versión intervienen:
- Hetzner Online GmbH, alojamiento de infraestructura en la Unión Europea.
- WhatsApp Ireland Limited y sus subencargados autorizados, transmisión de mensajes a través de WhatsApp. Sus condiciones pueden implicar transferencias internacionales con las garantías publicadas por WhatsApp.
- El proveedor de correo de 360Merge, exclusivamente para comunicaciones operativas con el establecimiento.
n8n, Baserow y WPPConnect se ejecutan como componentes de software en la infraestructura administrada por 360Merge y no reciben los datos como proveedores independientes. Stripe trata los datos de pago y contratación conforme a sus propias condiciones; no recibe los datos de visitas de los consumidores.
El Encargado informará de cambios relevantes en los subencargados con antelación razonable. El Responsable podrá oponerse por motivos fundados relacionados con la protección de datos; si no existe una alternativa viable, podrá resolver el servicio antes del cambio.
9. Transferencias internacionales
Cuando un proveedor trate datos fuera del Espacio Económico Europeo, el Encargado exigirá un mecanismo válido, como una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable o cláusulas contractuales tipo, además de las medidas complementarias que procedan.
10. Derechos, evaluaciones y consultas
El Encargado ayudará al Responsable, teniendo en cuenta la naturaleza del tratamiento, a responder solicitudes de acceso, rectificación, supresión, oposición, limitación o portabilidad. También prestará asistencia razonable en evaluaciones de impacto, consultas a autoridades y acreditación del cumplimiento.
Si un consumidor contacta directamente con 360Merge, se identificará su establecimiento y se coordinará la respuesta con el Responsable, salvo que exista una obligación legal de actuar de otro modo.
11. Incidentes de seguridad
El Encargado notificará al Responsable sin dilación indebida cualquier violación de seguridad de los datos personales de la que tenga conocimiento. Facilitará la información disponible sobre su naturaleza, categorías y volumen aproximado, consecuencias probables y medidas adoptadas, y la completará progresivamente cuando no pueda proporcionarla de una sola vez.
12. Devolución, supresión y conservación
Al finalizar el servicio, el Responsable podrá solicitar una exportación razonable de sus datos. El Encargado aplicará automáticamente los siguientes plazos máximos sobre los datos operativos de consumidores:
- Baja de un consumidor: supresión de su ficha a los 90 días desde la fecha de la baja.
- Inactividad: supresión de la ficha a los 24 meses desde su última visita o, si no la hubiera, desde su alta.
- Historial técnico de eventos: supresión a los 12 meses desde cada evento.
- Premios: supresión a los 12 meses desde su canje o caducidad; se eliminan antes cuando se suprime la ficha del consumidor a la que pertenecen.
- Fin del servicio del establecimiento: supresión de las fichas y eventos de sus consumidores a los 90 días desde el fin efectivo del acceso.
La supresión retira los datos de las tablas operativas. Las copias de seguridad o elementos enviados a la papelera técnica quedarán fuera del uso ordinario y desaparecerán conforme a su ciclo de rotación, salvo que una norma exija conservarlos o deban bloquearse para atender responsabilidades.
Los datos contractuales, de facturación y la prueba de aceptación del establecimiento no forman parte de esta depuración operativa. Se conservarán, debidamente limitados o bloqueados, durante los plazos exigidos para atender obligaciones legales y posibles responsabilidades, y no se utilizarán para otras finalidades.
13. Información y auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, preferentemente documentales y con preaviso, siempre que no comprometan la seguridad ni datos de otros clientes. Los costes extraordinarios de una auditoría no motivada por un incumplimiento podrán ser asumidos por el Responsable.
14. Aceptación y prevalencia
Este acuerdo se acepta electrónicamente mediante una única casilla contractual del onboarding que identifica expresamente este acuerdo y las condiciones del servicio. La versión, huella SHA-256, fecha, texto de aceptación e identificador quedan registrados. En materia de protección de datos, este acuerdo prevalece sobre cualquier disposición contradictoria de las condiciones comerciales.
Documento: CUSBACK-ENCARGO-1.0-2026-09-23 · Versión inmutable aceptable desde el formulario de onboarding.