Acuerdo de encargo de tratamiento

El comercio es el responsable del tratamiento y GET HAUZED, S.L., como proveedor de Andorpay, es el encargado del tratamiento respecto de esos datos. El comercio garantiza que está autorizado para dar las instrucciones de este acuerdo.

Andorpay tratará datos únicamente para prestar, asegurar, mantener y mejorar técnicamente el servicio contratado durante la vigencia de la relación, salvo conservación exigida por ley. El tratamiento incluye alojamiento y consulta de datos operativos, cuentas, checkout, productos, clientes, suscripciones, facturas, reembolsos, webhooks, soporte y prevención de abuso.

Las personas afectadas pueden incluir compradores, pagadores, suscriptores, contactos y usuarios autorizados del comercio. Las categorías de datos dependen de lo que el comercio introduzca o genere: identificadores, contacto, datos de compra y facturación, estados operativos, eventos técnicos y comunicaciones. No está permitido introducir PAN completo, CVV, PIN ni datos equivalentes de tarjeta fuera de los flujos autorizados por el proveedor de pago.

Andorpay tratará los datos siguiendo las instrucciones documentadas del comercio, estos términos y la configuración elegida por el comercio. Si una instrucción infringe la normativa aplicable, Andorpay podrá informar al comercio y suspender su ejecución cuando sea necesario. El personal autorizado está sujeto a deberes de confidencialidad.

Andorpay aplicará medidas técnicas y organizativas adecuadas al riesgo para proteger los datos y el acceso al servicio. El comercio sigue siendo responsable de sus permisos, credenciales, claves de API, secretos de webhook, información a afectados y base jurídica. Las prácticas públicas y el canal de reporte se describen en la política de seguridad; no constituyen una garantía absoluta ni sustituyen las obligaciones del comercio.

El comercio autoriza el uso de los subencargados publicados en la lista de subencargados, en la medida necesaria para el servicio. Andorpay impondrá a los subencargados obligaciones de protección de datos sustancialmente equivalentes. Para altas o sustituciones que afecten materialmente al tratamiento por cuenta del comercio, la lista se actualizará con antelación razonable; el comercio podrá plantear una objeción razonada por escrito. Si no se resuelve razonablemente, podrá terminar la funcionalidad afectada.

Andorpay, teniendo en cuenta la naturaleza del tratamiento, ayudará razonablemente al comercio mediante las funciones disponibles y la información que obre en su poder para atender solicitudes de derechos, evaluaciones de impacto, consultas previas y requerimientos. Si Andorpay tiene conocimiento de una violación de seguridad de datos personales tratados por cuenta del comercio, lo notificará sin demora indebida con la información disponible, sin asumir la notificación que corresponda al comercio ante afectados o autoridad.

Andorpay no realizará transferencias internacionales por cuenta del comercio salvo instrucción válida, necesidad de un subencargado autorizado o una obligación legal. Cuando proceda, se aplicarán los mecanismos reconocidos por la normativa aplicable, incluidos decisión de adecuación, cláusulas contractuales tipo y medidas complementarias.

A solicitud razonable y no más de una vez al año, Andorpay facilitará información disponible para demostrar cumplimiento de este acuerdo. Las auditorías presenciales requieren aviso previo razonable, acuerdo de confidencialidad, no interferencia con el servicio y se realizarán a cargo del comercio, salvo que una ley aplicable exija otra cosa o exista un incidente atribuible a Andorpay.

Tras la terminación, Andorpay suprimirá o devolverá los datos personales tratados por cuenta del comercio cuando sea técnicamente posible y conforme al plan contratado, salvo conservación exigida por ley, seguridad o defensa de reclamaciones. El comercio debe solicitar con antelación cualquier exportación disponible.