Contrato de encargo del tratamiento conforme al art. 28 del RGPD

Versión de 2 de octubre de 2026

entre

el respectivo cliente del servicio BookinX, cuyo nombre o razón social, dirección y datos de contacto se indican en el marco del registro o de la gestión del contrato,

en lo sucesivo, el «Cliente» o el «Responsable del tratamiento»,

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Austria

Teléfono: +436641664446

Correo electrónico: robert@x-orbit.app

Operador del servicio BookinX y de Xorbit

en lo sucesivo, el «Proveedor» o el «Encargado del tratamiento».

Conjuntamente, en lo sucesivo, las «Partes».

El presente contrato de encargo del tratamiento, incluidos sus anexos, se denominará en lo sucesivo el «Contrato de Encargo».

⸻

1. Objeto y ámbito de aplicación

1.1. El Proveedor pone a disposición del Cliente el servicio de reserva de citas BookinX. Con BookinX, el Cliente puede, en particular, configurar páginas de reserva, gestionar citas y permitir que sus clientes finales e interesados reserven citas.

1.2. En la medida en que el Proveedor trate datos personales por cuenta del Cliente en el marco de la prestación de BookinX, el Cliente actúa como responsable del tratamiento conforme al art. 4, punto 7, del RGPD y el Proveedor como encargado del tratamiento conforme al art. 4, punto 8, del RGPD.

1.3. El presente Contrato de Encargo concreta los derechos y obligaciones de las Partes en materia de protección de datos y forma parte del contrato principal existente entre las Partes sobre el uso de BookinX.

1.4. El presente Contrato de Encargo se aplica exclusivamente a las actividades de tratamiento en las que el Proveedor trata datos personales por cuenta del Cliente.

1.5. En la medida en que el Proveedor trate datos personales para fines propios y bajo su propia responsabilidad en materia de protección de datos, en particular para la gestión del contrato, la facturación, la seguridad informática o el cumplimiento de obligaciones legales propias, dichas actividades de tratamiento no son objeto del presente Contrato de Encargo. Se rigen por la política de privacidad de BookinX y por las disposiciones legales aplicables.

1.6. En las páginas de reserva, el Proveedor opera bajo su propia responsabilidad una estadística de uso basada en el consentimiento en servidores propios en Austria. Los contenidos de las reservas no se incorporan a ella.

⸻

2. Celebración electrónica del contrato

2.1. El presente Contrato de Encargo se celebra electrónicamente como parte de la relación contractual sobre el uso de BookinX.

2.2. El Cliente acepta el presente Contrato de Encargo en el marco del registro mediante una declaración electrónica expresa.

2.3. La versión del Contrato de Encargo vigente en el momento de la celebración del contrato se identifica con una fecha de versión o, en su caso, un identificador de versión y se pone a disposición del Cliente por vía electrónica.

2.4. El Proveedor documenta de forma adecuada la celebración del Contrato de Encargo. A tal efecto pueden almacenarse, en particular, la cuenta de cliente, la versión del contrato utilizada o, en su caso, el identificador de versión y el momento de la aceptación.

2.5. En caso de contradicción entre el presente Contrato de Encargo y otros acuerdos de las Partes, prevalecerán, en lo que respecta al tratamiento de datos personales por cuenta ajena, las disposiciones del presente Contrato de Encargo, salvo que el derecho imperativo disponga otra cosa.

⸻

3. Objeto, naturaleza y finalidad del tratamiento

3.1. El objeto del tratamiento es la prestación y el funcionamiento técnico del servicio de reserva de citas BookinX para el Cliente.

3.2. El tratamiento comprende, en la medida en que sea necesario para la prestación acordada, en particular:

a. la recogida y recepción de datos de reserva,

b. el almacenamiento y la gestión de reservas,

c. la presentación y transmisión de información sobre citas y participantes,

d. el envío de correos electrónicos técnicamente necesarios en relación con las reservas,

e. la gestión de empleados y de sus permisos,

f. la gestión y presentación de la disponibilidad de citas,

g. con la integración de calendarios activada, el acceso técnicamente necesario a la información del calendario,

h. con la función de videoconferencia activada, la puesta a disposición técnica o la intermediación de los datos necesarios a tal efecto,

i. la copia de seguridad y el restablecimiento de datos,

j. el registro relacionado con la seguridad,

k. la exportación, rectificación y supresión de datos personales.

3.3. Los detalles sobre el objeto y la finalidad del tratamiento, los tipos de datos y las categorías de interesados figuran en el Anexo 1.

⸻

4. Duración del tratamiento

4.1. El encargo del tratamiento se realiza, en principio, durante la vigencia del contrato principal sobre el uso de BookinX.

4.2. Tras la finalización del contrato principal, el Proveedor solo tratará datos personales en la medida en que sea necesario para la devolución, la exportación o la supresión de los datos o en virtud de obligaciones legales imperativas.

4.3. Antes de la supresión definitiva, el Cliente puede solicitar una exportación de los datos que controla en un formato habitual de lectura mecánica, en particular CSV o JSON.

4.4. Los datos personales tratados por cuenta del Cliente se suprimirán, a más tardar, seis meses después de la finalización del contrato principal o se devolverán siguiendo instrucciones del Cliente, salvo que el Derecho de la Unión o el Derecho austriaco exija su conservación adicional.

4.5. En la medida en que, tras su supresión de los sistemas productivos, los datos personales solo existan ya en copias de seguridad y una supresión selectiva no sea técnicamente posible o suponga un esfuerzo desproporcionado, podrán permanecer almacenados hasta la expiración ordinaria del respectivo plazo de conservación de las copias de seguridad. Durante dicho periodo no podrán tratarse para otros fines y deberán protegerse frente al acceso productivo ordinario.

⸻

5. Sujeción a instrucciones

5.1. El Proveedor trata datos personales exclusivamente siguiendo instrucciones documentadas del Cliente, salvo que esté obligado a un tratamiento determinado en virtud del Derecho de la Unión o del Derecho austriaco.

5.2. Se consideran instrucciones documentadas, en particular:

a. el presente Contrato de Encargo y el contrato principal,

b. los ajustes y configuraciones realizados por el Cliente dentro de BookinX,

c. la activación de funciones e integraciones opcionales por parte del Cliente o de sus usuarios autorizados,

d. las instrucciones del Cliente en forma de texto.

5.3. Si el Proveedor está obligado a un tratamiento en virtud del Derecho de la Unión o del Derecho austriaco, informará al Cliente de dicha obligación legal antes del tratamiento, salvo que el Derecho en cuestión prohíba tal información por razones importantes de interés público.

5.4. Si el Proveedor considera que una instrucción del Cliente infringe el RGPD u otras disposiciones aplicables en materia de protección de datos, informará de ello al Cliente sin demora.

5.5. El Proveedor podrá suspender la ejecución de una instrucción manifiestamente ilícita hasta su aclaración.

⸻

6. Obligaciones del Cliente

6.1. El Cliente es responsable de la licitud del tratamiento de los datos personales y de la salvaguarda de los derechos de los interesados.

6.2. El Cliente garantiza, en particular, que existe una base jurídica suficiente para los tratamientos realizados a través de BookinX y que los interesados reciben la información sobre protección de datos legalmente exigida.

6.3. El Cliente imparte exclusivamente instrucciones lícitas.

6.4. El Cliente decide, en particular, sobre la finalidad y los medios esenciales del tratamiento de los datos de sus clientes finales, interesados y empleados, así como sobre la activación de integraciones opcionales.

6.5. El Cliente informará sin demora al Proveedor si detecta errores, irregularidades o posibles violaciones de la protección de datos en relación con el encargo del tratamiento.

⸻

7. Confidencialidad y secreto de los datos

7.1. El Proveedor garantiza que las personas autorizadas para tratar datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal adecuada.

7.2. Los datos personales solo podrán tratarse conforme a las instrucciones documentadas del Cliente y únicamente en la medida necesaria para el cumplimiento de las respectivas tareas.

7.3. La obligación de confidencialidad subsiste también tras la finalización de la respectiva actividad.

7.4. El Proveedor y sus empleados respetan, en la medida en que sea aplicable, el secreto de los datos conforme al § 6 de la Ley austriaca de Protección de Datos (DSG).

⸻

8. Medidas técnicas y organizativas

8.1. Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables, el Proveedor aplica medidas técnicas y organizativas apropiadas conforme al art. 32 del RGPD.

8.2. Las medidas técnicas y organizativas acordadas se describen en el Anexo 2.

8.3. El Proveedor podrá desarrollar las medidas técnicas y organizativas durante la vigencia del contrato y sustituirlas por medidas equivalentes o más eficaces, siempre que con ello no se rebaje el nivel de seguridad acordado.

8.4. Los cambios esenciales relevantes para la seguridad se documentarán adecuadamente.

⸻

9. Separación de clientes y de accesos

9.1. El Proveedor aplica mecanismos técnicos y organizativos para separar los datos de los distintos clientes.

9.2. Los accesos a datos personales se limitan conforme a los principios de necesidad de conocer (need to know) y de mínimo privilegio (least privilege).

9.3. Los roles y permisos se controlan en el lado del servidor.

9.4. Los accesos a la base de datos tienen en cuenta las asignaciones de clientes y de recursos para impedir accesos no autorizados entre clientes.

⸻

10. Asistencia en relación con los derechos de los interesados

10.1. Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asiste al Cliente, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de sus obligaciones frente a los interesados.

10.2. Ello afecta, en particular, a los derechos de:

a. acceso,

b. rectificación,

c. supresión,

d. limitación del tratamiento,

e. portabilidad de los datos,

f. oposición, en la medida en que sea aplicable.

10.3. Si un interesado dirige una solicitud directamente al Proveedor y esta afecta a datos personales tratados por cuenta de un Cliente, el Proveedor la remitirá sin demora al Cliente correspondiente, en la medida en que sea posible su asignación.

10.4. El Proveedor no responderá por sí mismo en cuanto al fondo a dicha solicitud, salvo que haya recibido instrucciones del Cliente para ello o esté legalmente obligado.

⸻

11. Otras obligaciones de asistencia

11.1. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Proveedor asiste al Cliente en el cumplimiento de las obligaciones establecidas en los arts. 32 a 36 del RGPD.

11.2. La asistencia comprende, en particular:

a. la seguridad del tratamiento,

b. la investigación y evaluación de violaciones de la seguridad de los datos personales,

c. el cumplimiento de las obligaciones legales de notificación y comunicación,

d. las evaluaciones de impacto relativas a la protección de datos conforme al art. 35 del RGPD,

e. las consultas previas a la autoridad de control competente conforme al art. 36 del RGPD.

11.3. A tal efecto, el Proveedor pone a disposición del Cliente, en una medida razonable, la información de que dispone y que sea necesaria para la respectiva evaluación.

⸻

12. Violaciones de la seguridad de los datos personales

12.1. Si el Proveedor tiene conocimiento de una violación de la seguridad de los datos personales que afecte a datos tratados por cuenta del Cliente, informará de ello al Cliente sin demora y, en todo caso, a más tardar en un plazo de 48 horas desde que tenga conocimiento de ella.

12.2. La notificación contendrá, en la medida en que se disponga de la información correspondiente:

a. una descripción de la naturaleza de la violación,

b. las categorías de datos personales y de interesados afectados,

c. en la medida de lo posible, el número aproximado de interesados y de registros afectados,

d. las consecuencias conocidas o probables de la violación,

e. las medidas correctoras ya adoptadas o propuestas,

f. datos de contacto para obtener más información.

12.3. Si no se dispone de toda la información al mismo tiempo, esta se completará de forma gradual sin dilación indebida adicional.

12.4. La decisión sobre si es necesaria una notificación a una autoridad de control conforme al art. 33 del RGPD o una comunicación a los interesados conforme al art. 34 del RGPD corresponde al Cliente como responsable del tratamiento.

12.5. El Proveedor documenta de forma adecuada las violaciones de la protección de datos que le afecten y asiste al Cliente en el necesario esclarecimiento de los hechos.

⸻

13. Subencargados del tratamiento

13.1. El Cliente otorga al Proveedor una autorización general para recurrir a los subencargados del tratamiento enumerados en el Anexo 3.

13.2. El Proveedor informará al Cliente con una antelación mínima de 30 días sobre la incorporación prevista de un nuevo subencargado del tratamiento o la sustitución de uno existente.

13.3. La información podrá facilitarse, en particular, por correo electrónico o a través de la cuenta de cliente de BookinX.

13.4. El Cliente podrá oponerse a un cambio dentro del plazo de 30 días por motivos objetivamente justificados en materia de protección de datos.

13.5. Si las Partes no pueden resolver una oposición justificada y el subencargado del tratamiento en cuestión es necesario para la prestación del servicio, podrá ponerse fin al servicio afectado o, en su caso, al contrato principal conforme a las disposiciones de resolución acordadas.

13.6. El Proveedor obliga contractualmente a los subencargados del tratamiento a cumplir obligaciones de protección de datos que, en lo que respecta a las actividades de tratamiento asumidas, se correspondan con los requisitos del art. 28, apartado 4, del RGPD.

13.7. El Proveedor sigue siendo responsable frente al Cliente, en la medida prevista por la ley, del cumplimiento de las obligaciones de protección de datos de sus subencargados del tratamiento.

⸻

14. Transferencias a terceros países

14.1. El tratamiento de datos personales se realiza, en principio, dentro de la Unión Europea o, en su caso, del Espacio Económico Europeo, salvo que en el Anexo 3 se indique otra cosa.

14.2. Solo se realizará una transferencia de datos personales a un tercer país o a una organización internacional si se cumplen los requisitos de los arts. 44 y siguientes del RGPD.

14.3. En caso necesario, una transferencia a un tercer país se basará, en particular, en una decisión de adecuación de la Comisión Europea o en garantías adecuadas conforme al art. 46 del RGPD.

14.4. En la medida en que para una transferencia a un tercer país sean necesarias cláusulas contractuales tipo o medidas de protección complementarias, estas se establecerán antes del inicio de la transferencia correspondiente.

⸻

15. Pruebas y derechos de control

15.1. El Proveedor pone a disposición del Cliente, previa solicitud, toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD.

15.2. La prueba podrá aportarse, en particular, mediante:

a. descripciones de las medidas técnicas y organizativas,

b. informes de seguridad o de auditoría,

c. revisiones internas documentadas,

d. otras pruebas adecuadas.

15.3. El Cliente tiene derecho a realizar controles por sí mismo o a través de un auditor independiente sujeto a confidencialidad, en la medida en que sea necesario para verificar el cumplimiento del presente Contrato de Encargo.

15.4. Las inspecciones in situ se realizarán, en principio, previo aviso con una antelación razonable durante el horario comercial habitual.

15.5. No será necesario un aviso previo en la medida en que un incidente de seguridad grave o una sospecha fundada de una infracción significativa de la protección de datos haga objetivamente necesario un control a corto plazo.

15.6. Los controles deberán realizarse de forma que los secretos comerciales, los intereses de seguridad y los datos personales de otros clientes permanezcan adecuadamente protegidos.

15.7. El Proveedor coopera con la autoridad de control de protección de datos competente en la medida legalmente exigida.

⸻

16. Devolución y supresión

16.1. Tras la finalización del encargo del tratamiento, el Proveedor suprimirá, a elección del Cliente, los datos personales tratados por su cuenta o los devolverá al Cliente, salvo que exista una obligación legal de conservarlos.

16.2. Antes de la supresión definitiva, el Cliente puede solicitar una exportación de los datos almacenados para él en CSV y/o JSON.

16.3. Si el Cliente no imparte una instrucción distinta, el Proveedor tendrá derecho a suprimir los datos conforme a lo dispuesto en la cláusula 4.

16.4. Los datos que deban seguir almacenándose en virtud de obligaciones legales de conservación se bloquearán para otros fines o, en su caso, su tratamiento se limitará a la medida legalmente necesaria.

⸻

17. Responsabilidad

17.1. A la responsabilidad de las Partes por infracciones del RGPD se aplican las disposiciones legales, en particular el art. 82 del RGPD.

17.2. Las disposiciones legales imperativas en materia de responsabilidad no se ven afectadas.

17.3. Las limitaciones de responsabilidad del contrato principal no se aplicarán en la medida en que dicha limitación no esté permitida conforme al RGPD o a otro derecho imperativo.

⸻

18. Modificaciones del presente Contrato de Encargo

18.1. Las modificaciones del presente Contrato de Encargo se comunicarán al Cliente en forma de texto o a través de otro medio de comunicación electrónica duradero.

18.2. Las modificaciones sustanciales de los derechos y obligaciones de las Partes se anunciarán con una antelación razonable.

18.3. Las modificaciones relativas a la incorporación o sustitución de subencargados del tratamiento se rigen, con independencia de ello, por la cláusula 13.

18.4. Las versiones del presente Contrato de Encargo aplicables al Cliente se identifican con una fecha de versión o, en su caso, un identificador de versión y se documentan de forma trazable.

⸻

19. Derecho aplicable y jurisdicción

19.1. El presente Contrato de Encargo se rige por el Derecho austriaco, salvo que el Derecho imperativo de la Unión u otro derecho imperativo disponga otra cosa.

19.2. En la medida en que un acuerdo de sumisión jurisdiccional esté legalmente permitido, para los litigios derivados del presente Contrato de Encargo o relacionados con él se acuerda la competencia de los tribunales competentes por razón de la materia de Viena, Austria.

19.3. Ello no limita los fueros legales imperativos ni los derechos de los interesados conforme al RGPD.

⸻

20. Disposiciones finales

20.1. Los Anexos 1 a 3 forman parte integrante del presente Contrato de Encargo.

20.2. El presente Contrato de Encargo finaliza, en principio, con el contrato principal. Las disposiciones sobre confidencialidad, protección de datos, devolución, supresión, pruebas y responsabilidad seguirán vigentes, en la medida en que sea necesario, después de la finalización del contrato.

20.3. Si alguna de las disposiciones del presente Contrato de Encargo fuera o llegara a ser ineficaz o inejecutable, las demás disposiciones no se verán afectadas. La disposición ineficaz o inejecutable será sustituida por las disposiciones legales aplicables.

⸻

Anexo 1 – Objeto del tratamiento, tipos de datos e interesados

1. Objeto

Prestación y funcionamiento del servicio de reserva de citas BookinX.

El Cliente puede configurar páginas de reserva y permitir que sus clientes finales e interesados reserven citas. Los empleados del Cliente pueden gestionar reservas y, si están activadas, utilizar las funciones de calendario y de videoconferencia.

2. Finalidad del tratamiento

El tratamiento se realiza, en particular, para:

la recepción y gestión de reservas de citas,
la coordinación y presentación de disponibilidades,
la comunicación en relación con citas,
la gestión de los empleados que participan en el proceso de reserva,
la sincronización con calendarios conectados,
la preparación de citas (agenda, objetivos de la conversación, documentación),
la reserva de salas por parte de los empleados del Cliente,
la puesta a disposición técnica de videoconferencias, si está activada,
la grabación, transcripción y resumen de videoconferencias, si los ha iniciado la persona organizadora,
la presentación de perfiles públicos de los empleados, si están habilitados,
la importación de listas de usuarios por parte del Cliente,
el mantenimiento de un registro de cambios para los administradores del Cliente,
la garantía de la seguridad, la disponibilidad y la capacidad de restablecimiento del servicio.

3. Categorías de interesados

3.1. Clientes finales e interesados del Cliente

Personas que reservan una cita a través de una página de reserva de BookinX o que interactúan con el Cliente en relación con una reserva de cita.

3.2. Empleados del Cliente

Empleados, colaboradores autónomos u otros usuarios autorizados por el Cliente que ofrecen o gestionan citas a través de BookinX o que participan en ellas.

4. Categorías de datos personales

4.1. Clientes finales e interesados

Según la configuración:

tratamiento de cortesía,
título,
nombre,
apellidos,
dirección de correo electrónico,
empresa,
mensaje o, en su caso, información de reserva introducida por el cliente final,
hora de la cita,
zona horaria,
idioma,
momento del consentimiento, en la medida en que se documente un consentimiento a través de BookinX,
datos técnicos de entrega en relación con correos electrónicos,
información para la preparación de la cita, en particular complementos a la agenda y objetivo propio de la conversación,
accesos a la página de preparación de la cita,
en caso de grabación iniciada de una videoconferencia: imagen y sonido (durante un breve periodo), grabación de audio (hasta la transcripción), transcripción, resumen, así como nombre mostrado y momentos de intervención.

4.2. Empleados del Cliente

Según el uso y la configuración:

nombre,
dirección de correo electrónico,
número de teléfono,
rol y permiso,
foto de perfil, opcional,
breve presentación, opcional,
vídeo de presentación, opcional,
función o, en su caso, cargo y departamento,
tratamiento de cortesía e idioma, también a partir de una lista de usuarios importada por el Cliente,
datos del perfil público, opcionales: saludo, texto „Über mich“ (sobre mí), lema, descripción de la empresa, vídeo de la empresa, banner de perfil,
código QR y tarjeta de contacto digital (nombre, empresa, número de teléfono, dirección de correo electrónico), opcional,
periodos ocupados del calendario con calendario conectado (Microsoft 365, Google Calendar o Apple Calendar),
citas y ausencias escritas o, en su caso, registradas con calendario conectado,
reservas de salas (sala, título, inicio, fin, persona que realiza la reserva),
entradas en el registro de cambios (quién modificó qué y cuándo, sin los contenidos modificados),
en caso de grabación iniciada de una videoconferencia: imagen y sonido (durante un breve periodo), grabación de audio (hasta la transcripción), transcripción, resumen, así como nombre mostrado y momentos de intervención,
tokens de acceso almacenados de forma cifrada para servicios conectados.

5. Categorías especiales de datos personales

BookinX, en el marco de sus funciones ordinarias, no está orientado a recoger categorías especiales de datos personales conforme al art. 9 del RGPD. En las grabaciones de videoconferencias, las voces no se evalúan para identificar a personas; la asignación de los hablantes se realiza únicamente mediante el nombre mostrado en la conferencia.

En la medida en que el Cliente permita que se transmitan tales datos, en particular a través de campos de texto libre u otras posibilidades de introducción de datos, el Cliente es responsable de la existencia de una base jurídica correspondiente y del cumplimiento de los requisitos adicionales en materia de protección de datos.

El Proveedor trata dichos datos exclusivamente conforme a las instrucciones documentadas del Cliente y en el marco de las funciones de BookinX acordadas.

6. Operaciones de tratamiento

Según el uso, en particular:

recogida,
registro,
organización,
almacenamiento,
consulta,
visualización,
transmisión,
sincronización,
actualización,
copia de seguridad,
exportación,
limitación,
supresión.

7. Lugar principal del tratamiento

El tratamiento principal se realiza en servidores propios del Proveedor en Austria.

Los demás lugares de tratamiento figuran en el Anexo 3.

⸻

Anexo 2 – Medidas técnicas y organizativas

1. Cifrado del transporte

Cifrado de las conexiones externas mediante TLS.
Prevención o, en su caso, redirección de los accesos no cifrados, en la medida en que sea técnicamente posible.
Comunicación cifrada con los servicios externos conectados.

2. Seguridad de las contraseñas

No se almacenan contraseñas en texto claro.
Hash de contraseñas mediante Argon2id.
Selección y revisión periódica de parámetros de Argon2id adecuados.

3. Protección de los tokens de acceso externos

Almacenamiento cifrado de los tokens de acceso para servicios conectados.
Cifrado mediante AES-256-GCM.
Separación de las claves de cifrado respecto de los datos útiles cifrados.
Rotación de claves.
Limitación del acceso a las claves a los componentes técnicamente necesarios y a las personas autorizadas.

4. Control de acceso y permisos

Control de acceso basado en roles.
Verificación de permisos en el lado del servidor.
Separación de clientes a nivel de base de datos.
Separación de recursos y verificación de la asignación de recursos a un cliente.
Aplicación de los principios de necesidad de conocer (need to know) y de mínimo privilegio (least privilege).

5. Gestión de sesiones

Sesiones en el lado del servidor.
Tiempos de caducidad definidos.
Posibilidad de invalidar sesiones en el lado del servidor.
Tratamiento de las sesiones existentes con criterios de seguridad en caso de cambios relevantes.

6. Protección frente a ataques automatizados y abusos

Límites de frecuencia (rate limits) para los puntos de acceso relevantes para la seguridad.
Limitación de las solicitudes automatizadas, en particular en las funciones de autenticación y en las funciones de reserva accesibles públicamente.
Validación en el lado del servidor de las entradas relevantes.

7. Registro

Registro de las operaciones relevantes para la seguridad y la administración en un registro de auditoría.
Registro de cambios para los administradores del Cliente: momento, persona, acción y objeto afectado, nunca los contenidos modificados; visible únicamente para los administradores del propio cliente.
Plazo de conservación del registro de auditoría: en principio, 12 meses.
Limitación del acceso a la información de auditoría.
No se utilizan los registros de auditoría para publicidad ni para la elaboración de perfiles publicitarios.

8. Copia de seguridad de los datos

Copias de seguridad diarias cifradas.
Copia de seguridad adicional fuera del servidor principal.
Conservación de las copias de seguridad diarias durante 14 días.
Conservación de las copias de seguridad semanales durante 8 semanas.
Limitación del acceso a las copias de seguridad.
Pruebas periódicas de restauración.

9. Disponibilidad y capacidad de restablecimiento

Medidas para el restablecimiento de los datos personales tras incidentes técnicos o físicos.
Verificación de la capacidad de restablecimiento de las copias de seguridad.
Realización y documentación de pruebas de restauración.

10. Revisiones de seguridad

Revisiones de seguridad antes de las publicaciones de versiones.
Revisión de los cambios relevantes para la seguridad antes de su puesta en producción.
Priorización basada en el riesgo y corrección de las deficiencias de seguridad detectadas.
Revisión periódica de la eficacia de las medidas de seguridad.

11. Minimización de datos

Limitación del tratamiento a los datos necesarios para la respectiva función o, en su caso, a los facilitados por el Cliente dentro de las funciones previstas.
Los datos de perfil opcionales solo se tratan si se utilizan las funciones correspondientes.
Las integraciones de calendario solo se activan tras la conexión expresa por parte de un usuario autorizado.

12. Seguimiento y publicidad

No se utilizan rastreadores publicitarios en el marco del encargo del tratamiento.
No se utilizan los datos de reserva ni los datos de empleados tratados por cuenta del Cliente para publicidad personalizada.

13. Revisión y desarrollo

Las medidas técnicas y organizativas se revisan periódicamente, así como tras cambios sustanciales o incidentes de seguridad, y se desarrollan en función del riesgo y del estado de la técnica.

⸻

Anexo 3 – Subencargados del tratamiento

El Cliente otorga su autorización general para los subencargados del tratamiento enumerados a continuación.

1. netcup GmbH

Proveedor: netcup GmbH

Sede: Alemania

Servicio: Envío técnico de correos electrónicos

Datos tratados: Direcciones de correo electrónico, información sobre remitentes y destinatarios, así como datos de correo electrónico y de entrega técnicamente necesarios

Tratamiento: Unión Europea o, en su caso, Espacio Económico Europeo

Uso: Parte integrante del envío de correos electrónicos de BookinX

⸻

2. Microsoft Ireland Operations Limited

Proveedor: Microsoft Ireland Operations Limited

Sede: Irlanda

Servicio: Microsoft Graph, Microsoft 365 y Microsoft Teams

Datos tratados: Según la función activada, datos de empleados, periodos ocupados del calendario, citas, así como datos de identificación, autenticación y conexión técnicamente necesarios

Uso: Solo en la medida en que un usuario autorizado conecte o, en su caso, active una integración de Microsoft correspondiente con BookinX.

En la medida en que en el marco de la prestación del servicio se produzca una transferencia de datos personales fuera del EEE, esta se realizará exclusivamente respetando los requisitos de los arts. 44 y siguientes del RGPD.

⸻

3. Google Ireland Limited

Proveedor: Google Ireland Limited

Sede: Irlanda

Servicio: Google Calendar API

Datos tratados: Según la función activada, periodos ocupados del calendario, citas, dirección de correo electrónico de la cuenta de Google, así como datos de autenticación y conexión técnicamente necesarios

Uso: Solo en la medida en que un usuario autorizado conecte su Google Calendar con BookinX.

⸻

4. Apple Distribution International Ltd.

Proveedor: Apple Distribution International Ltd.

Sede: Irlanda

Servicio: Calendario de iCloud (CalDAV)

Datos tratados: Según la función activada, periodos ocupados del calendario, citas, Apple ID, así como datos de conexión técnicamente necesarios

Uso: Solo en la medida en que un usuario autorizado conecte su Apple Calendar con BookinX.

⸻

5. Infraestructura de copias de seguridad

Infraestructura propia del Proveedor

Servicio: Copia de seguridad externa cifrada

Datos tratados: Copia de seguridad cifrada de los datos almacenados por BookinX

Uso: Copia de seguridad y restablecimiento de datos

Si la segunda copia se opera exclusivamente en infraestructura propia del Proveedor y no interviene ningún otro encargado del tratamiento, esta entrada queda sin efecto.

⸻

Infraestructura propia del Proveedor (sin subencargados del tratamiento)

Videoconferencia (Xorbit Meeting): instancia propia de Jitsi Meet en meet.x-orbit.app en servidores del Proveedor en Austria.
Grabación y transcripción (opcional): grabación mediante la instancia propia de Jitsi (Jibri), reconocimiento de voz con Whisper y resumen con el modelo de lenguaje Qwen 2.5 a través de Ollama, todo ello en servidores del Proveedor; sin transmisión a terceros y sin entrenamiento de modelos con datos de clientes. Archivo de vídeo eliminado inmediatamente después de la grabación y grabación de audio eliminada tras la transcripción; transcripción y resumen cifrados, supresión 30 días después del fin de la grabación o, en su caso, de la cita.
Gestión de citas y conferencias (MeetinX): módulo interno de BookinX en los mismos servidores en Austria; genera salas de conferencia y entradas de calendario. El correo electrónico de los participantes y los enlaces de las conferencias se almacenan cifrados, y el correo electrónico de los participantes se suprime 30 días después del fin de la cita.
Copia de seguridad de los datos: copia de seguridad diaria cifrada (GPG, AES-256) en un servidor de netcup, así como una segunda copia cifrada en un dispositivo del Proveedor en Austria; conservación de 14 días para las diarias y de 8 semanas para las semanales.

⸻

Consentimiento electrónico

En el marco del registro puede utilizarse la siguiente declaración:

Acepto las condiciones de uso y el contrato de encargo del tratamiento y confirmo que estoy autorizado para celebrarlos en nombre del cliente indicado.

Las condiciones de uso y el presente Contrato de Encargo se ponen a disposición por vía electrónica antes de emitir la declaración.

BookinX documenta la versión del Contrato de Encargo o, en su caso, el identificador de versión vigente en el momento de la celebración del contrato y el momento de la aceptación.