Acuerdo de tratamiento de datos
Este Acuerdo de Tratamiento de Datos (ATD) complementa los Términos y Condiciones de Fidalo y regula el tratamiento de datos personales de los clientes de los locales (comensales) que Fidalo realiza en nombre del Local. Aplica a los Locales registrados en Fidalo y es obligatorio conforme a la Ley 25.326 de Protección de Datos Personales de Argentina y, en lo que corresponda, al RGPD europeo para Locales con clientes en la Unión Europea.
1. Definiciones
- Responsable del tratamiento: el Local — quien define los fines y medios del tratamiento de datos de sus clientes.
- Encargado del tratamiento: Fidalo — quien trata los datos por cuenta y orden del Local.
- Datos personales de clientes: nombre y apellido, número de teléfono/WhatsApp, dirección de entrega, día y mes de cumpleaños, historial de pedidos y progreso del Club, y el identificador de visitante (UUID anónimo).
- Subencargados: Supabase Inc. (base de datos y autenticación) y Netlify Inc. (hosting y funciones de servidor).
2. Instrucciones del Responsable
Fidalo tratará los datos personales de los clientes del Local exclusivamente según las instrucciones documentadas del Local, implementadas a través de la configuración del servicio (reglas del Club, modalidades, accesos del equipo). Fidalo no tratará esos datos para fines propios distintos a la prestación del servicio.
Si Fidalo considerara que una instrucción del Local infringe la normativa aplicable, lo notificará al Local antes de proceder.
3. Categorías de datos y fines
| Categoría de dato | Fin del tratamiento | Base legal |
|---|---|---|
| Identificador de visitante (UUID anónimo) | Continuidad de la sesión y carrito; analytics técnico | Interés legítimo del Local |
| Nombre y apellido | Identificación para el Club y pedidos con historial | Ejecución del contrato de servicio entre el Local y el cliente |
| Teléfono / WhatsApp | Identificación para el Club; contacto operativo por parte del Local | Ejecución del contrato y consentimiento del cliente |
| Dirección de entrega | Completar pedidos en modalidad delivery | Ejecución del contrato |
| Día y mes de cumpleaños | Beneficios de cumpleaños configurados por el Local | Consentimiento del cliente |
| Historial de pedidos y Club | Operativa del local, cálculo de beneficios, analytics | Ejecución del contrato e interés legítimo |
| Parámetros de origen y datos técnicos agregados | Analytics de tráfico del local | Interés legítimo del Local |
4. Confidencialidad
Fidalo garantiza que las personas con acceso a los datos personales de los clientes del Local están sujetas a obligaciones de confidencialidad. Fidalo no divulga esos datos a terceros, salvo a los subencargados listados en este acuerdo o por requerimiento legal expreso.
5. Medidas de seguridad
Fidalo implementa y mantiene las siguientes medidas técnicas y organizativas:
- Cifrado en tránsito: todas las comunicaciones entre la web del Local y los servidores de Fidalo usan TLS 1.2 o superior.
- Aislamiento por negocio: los datos de cada local se almacenan y acceden bajo políticas de seguridad a nivel de fila (Row Level Security) en la base de datos. Un local no puede acceder a datos de otro.
- Control de acceso basado en roles: cada miembro del equipo del Local accede solo a los datos necesarios según su rol (salón, cocina, caja, administración).
- Autenticación de dos factores: disponible y recomendada para cuentas de administración.
- Almacenamiento local namespaceado: el identificador de visitante y demás datos en el navegador del cliente están aislados por ID de negocio y sede.
- Sin rastreo de terceros: no se usan servicios de analytics de terceros, pixels ni cookies de rastreo en la web del Local.
6. Subencargados
El Local autoriza a Fidalo a utilizar los siguientes subencargados para prestar el servicio:
| Subencargado | Actividad | Ubicación de los datos | Garantías |
|---|---|---|---|
| Supabase Inc. | Base de datos relacional, autenticación, almacenamiento de archivos | AWS us-east-1 (Estados Unidos) | Data Processing Agreement de Supabase; AWS BAA |
| Netlify Inc. | Hosting de la web del Local, CDN, funciones de servidor | Global (AWS + CDN) | Data Processing Agreement de Netlify |
Fidalo notificará al Local con al menos 15 días de anticipación ante cualquier cambio de subencargado que pueda afectar el nivel de protección de los datos.
7. Derechos de los interesados (clientes del Local)
Cuando un cliente del Local ejerza sus derechos de acceso, rectificación, supresión, portabilidad u oposición, el Local es el responsable de responder. Fidalo asistirá al Local en la medida de lo posible para que pueda dar respuesta dentro de los plazos legales:
- Fidalo provee al Local las herramientas de administración necesarias para localizar, exportar o eliminar datos de un cliente específico.
- Para solicitudes que requieran intervención directa de Fidalo, el Local debe notificar a hello@fidalo.io; Fidalo responderá en un plazo máximo de 10 días hábiles.
8. Notificación de incidentes de seguridad
En caso de una brecha de seguridad que afecte datos personales de clientes del Local, Fidalo notificará al Local dentro de las 72 horas de tomar conocimiento del incidente, incluyendo:
- Naturaleza del incidente y categorías de datos afectados.
- Número aproximado de registros comprometidos.
- Medidas adoptadas o propuestas para mitigar los efectos.
El Local es responsable de notificar a las autoridades competentes y a los clientes afectados cuando la normativa así lo exija.
9. Auditoría
El Local tiene derecho a solicitar información sobre las medidas de seguridad implementadas por Fidalo. Fidalo responderá cuestionarios de seguridad razonables y compartirá certificaciones o informes de auditoría disponibles. Para auditorías in situ, las partes acordarán por escrito las condiciones con al menos 30 días de anticipación.
10. Transferencias internacionales
Los datos personales son procesados por Supabase en Estados Unidos (AWS us-east-1) y por Netlify en infraestructura global. Fidalo garantiza que estas transferencias se realizan bajo mecanismos adecuados:
- Para Argentina: conforme a las disposiciones de la AAIP sobre transferencias internacionales.
- Para clientes en la Unión Europea: bajo Cláusulas Contractuales Estándar (CCE) aprobadas por la Comisión Europea.
11. Eliminación de datos al término del servicio
Al concluir la relación contractual entre el Local y Fidalo:
- Fidalo pondrá a disposición del Local una exportación de sus datos en formato estándar dentro de los 30 días posteriores a la baja.
- Fidalo eliminará o anonymizará los datos personales de los clientes del Local dentro de los 90 días de la baja efectiva.
- Los datos de facturación y registros de auditoría requeridos por ley se conservarán por el período legalmente exigido.
12. Vigencia y modificaciones
Este ATD tiene la misma vigencia que la relación contractual entre el Local y Fidalo. Las modificaciones relevantes se notificarán con al menos 30 días de anticipación. Si el Local no está de acuerdo con los cambios, puede dar de baja el servicio antes de la fecha de vigencia.
13. Contacto
Para consultas sobre este acuerdo o el tratamiento de datos: hello@fidalo.io