RGPD y tratamiento de datos

1. Quién es responsable de qué

El Proveedor del Servicio es TU Italia S.r.l., con domicilio social en Via Sommacampagna 9, 00185 Roma, Italia, número de IVA IT09802381005, REA RM-1190289, correo electrónico info@touroperate.com, teléfono 0039 393 4578504.

Para los datos personales que un Operador introduce en el Servicio (sus guías y proveedores, su personal, los participantes de sus salidas), el Operador es el responsable del tratamiento y TU Italia S.r.l. es el encargado del tratamiento (art. 18.1 y art. A.1.1 de las Condiciones). Para los datos que necesita para gestionar su propia relación con el Operador (cuenta, acceso, asistencia, facturación, seguridad del Servicio) y para los visitantes del sitio web, TU Italia S.r.l. es el responsable, tal como se describe en la política de privacidad.

2. El Acuerdo de Tratamiento de Datos

El Anexo A de las Condiciones es el Acuerdo de Tratamiento de Datos Personales que exige el art. 28 del RGPD. Forma parte integrante de las Condiciones, por lo que se aplica a toda suscripción como parte de las Condiciones que acepta el Operador, y regula el tratamiento de los datos personales contenidos en los Datos del Cliente.

Establece el objeto y la duración del tratamiento, su naturaleza y finalidad, las categorías de interesados y de datos, y las obligaciones y los derechos de ambas partes (arts. A.1 a A.7).

3. Qué trata el Servicio para un Operador

El tratamiento abarca los datos necesarios para prestar el Servicio, durante la vigencia del contrato y los plazos indicados en el art. A.6: recogida, registro, conservación, consulta, extracción, comunicación al Operador y supresión, realizadas por medios electrónicos con el único fin de prestar las funciones de gestión del Servicio (art. A.1.2).

Los interesados son los clientes finales y participantes del Operador, sus contactos y su personal, y sus guías y proveedores; los datos son datos identificativos y de contacto, datos de reserva y las notas operativas que introduce el Operador. El Servicio no está destinado al tratamiento sistemático de categorías especiales de datos conforme al art. 9 del RGPD, y no recoge ni conserva los datos de pago de los clientes finales (art. A.1.3).

4. Los compromisos de TourOperate como encargado

Conforme al art. A.2 de las Condiciones, TU Italia S.r.l. se compromete a:

• tratar los datos solo siguiendo instrucciones documentadas del Operador, salvo obligaciones legales;
• garantizar que las personas autorizadas a tratar los datos estén sujetas a confidencialidad;
• adoptar las medidas de seguridad que exige el art. 32 del RGPD;
• respetar las condiciones para recurrir a subencargados;
• asistir al Operador en la respuesta a las solicitudes de los interesados y en sus obligaciones conforme a los arts. 32 a 36 del RGPD;
• informar sin demora al Operador si una instrucción infringe la normativa de protección de datos;
• poner a disposición la información necesaria para demostrar el cumplimiento del art. 28 del RGPD y permitir auditorías.

5. Seguridad

Las medidas incluyen el control de acceso basado en roles y el principio de mínimo privilegio, el cifrado de los datos en tránsito (TLS) y en reposo, copias de seguridad periódicas y procedimientos de restauración, la separación de entornos y las actualizaciones de seguridad, instrucciones y formación para el personal autorizado, y un procedimiento interno de gestión de brechas. Pueden actualizarse siempre que no se reduzca el nivel global de protección (art. A.3).

El acceso del personal de asistencia, administración y seguridad de TourOperate es nominativo, autenticado, limitado a lo estrictamente necesario, registrado en registros específicos y revisado periódicamente (art. B.3).

6. Subencargados

El Operador otorga una autorización general para los subencargados necesarios para prestar el Servicio. TU Italia S.r.l. impone a cada uno de ellos obligaciones de protección de datos equivalentes a las del Anexo A y sigue siendo responsable ante el Operador de su cumplimiento (arts. A.4.1 y A.4.2). Los subencargados contratados actualmente para el Servicio son:

Los proveedores de correo electrónico y de servicios contables, fiscales y jurídicos actúan dentro de los límites de sus encargos; su identidad puede solicitarse en info@touroperate.com. Los cambios previstos en la lista se notifican al Operador con al menos 15 días de antelación; el Operador puede oponerse por motivos legítimos y, a falta de una solución alternativa, resolver sin penalización (art. A.4.1).

7. Transferencias fuera del Espacio Económico Europeo

La base de datos principal del Servicio está alojada en la Unión Europea, en la región de Fráncfort. Algunos subencargados están establecidos fuera del Espacio Económico Europeo, en particular en Estados Unidos, y los servicios de copia de seguridad, asistencia y accesorios pueden implicar tratamientos fuera del EEE.

Conforme al art. A.5.2 de las Condiciones, TU Italia S.r.l. se compromete a que cada transferencia de este tipo esté cubierta por un instrumento de transferencia del Capítulo V del RGPD (una decisión de adecuación cuando sea aplicable, o cláusulas contractuales tipo con las medidas complementarias necesarias en el caso concreto), a mantener documentadas las garantías de cada subencargado y a facilitar al Operador, previa solicitud en info@touroperate.com, sus datos y una copia.

8. Brechas de datos personales

TU Italia S.r.l. notifica al Operador toda brecha de datos personales sin dilación indebida tras tener conocimiento de ella, con la información disponible que el Operador necesite para cumplir sus propias obligaciones conforme a los arts. 33 y 34 del RGPD (art. A.5.1).

9. Solicitudes de los interesados

Cuando una persona solicita ejercer sus derechos sobre datos que un Operador ha introducido en el Servicio, el responsable es ese Operador. TourOperate traslada la solicitud al Operador sin demora y le asiste en la respuesta (art. A.2, letra e) de las Condiciones y sección 10 de la política de privacidad).

Para los datos que TU Italia S.r.l. trata como responsable, las solicitudes se responden sin dilación indebida y, en todo caso, en el plazo de un mes, prorrogable dos meses en casos de especial complejidad (art. 12.3 del RGPD).

10. Auditorías y verificación

El Operador puede realizar auditorías e inspecciones, por sí mismo o mediante un auditor que designe, con un preaviso razonable; por lo general una vez al año, sin perjuicio de cualquier auditoría adicional exigida por la ley o por una autoridad de control, o tras una brecha de datos personales (art. A.2, letra g)).

Previa solicitud razonable, el Operador también puede obtener los registros de acceso relativos a su propio tenant, la lista actualizada de subencargados y el punto de contacto para cuestiones de seguridad y protección de datos (art. B.6.1).

11. Al terminar el contrato

A elección del Operador, sus datos se devuelven en un formato estándar legible por máquina y/o se suprimen junto con las copias existentes, sin perjuicio de las obligaciones legales de conservación. El Operador puede solicitar la exportación durante los 30 días siguientes a la terminación; si no hay otra solicitud, los datos se suprimen después, salvo las copias de seguridad, que se mantienen aisladas y se sobrescriben según los ciclos ordinarios (arts. 10.4 y A.6).

Hay un límite que debe decirse con claridad: un correo electrónico ya entregado no puede recuperarse ni borrarse. La supresión alcanza las copias que conserva TourOperate; la conservación en el proveedor de correo sigue las políticas de ese proveedor, y la copia en el buzón del destinatario queda definitivamente fuera del control de TourOperate.

12. Separación de EnRoma.com

TU Italia S.r.l. también gestiona el negocio turístico EnRoma.com. El Anexo B de las Condiciones lo mantiene separado de los datos de los Operadores: EnRoma.com usa el Servicio como un tenant ordinario, sin accesos privilegiados, su personal turístico no está autorizado a acceder a los datos de otros Operadores, y los datos de los Operadores, también en forma agregada o derivada, nunca se usan para los precios, el marketing, las ventas o el posicionamiento de EnRoma.com. Un incumplimiento da al Operador derecho a resolver el contrato con efecto inmediato, a una exportación gratuita de sus datos y a la indemnización del daño que demuestre, fuera de los límites de responsabilidad de las Condiciones (arts. B.1 a B.5). Los compromisos se resumen también en la página Confianza.

13. Contacto y autoridad de control

Las preguntas sobre protección de datos, seguridad, el Acuerdo de Tratamiento de Datos y los subencargados se atienden en info@touroperate.com.

Los interesados tienen además derecho a presentar una reclamación ante el Garante per la protezione dei dati personali (www.garanteprivacy.it), autoridad de control italiana, o ante la autoridad de control de su Estado de residencia; en España, la Agencia Española de Protección de Datos (www.aepd.es).