Contracte d'encàrrec del tractament

1. Parts i objecte

Aquest contracte se celebra entre la clínica veterinària o la protectora que fa servir Mizuu (el «Responsable») i Mizuu (l'«Encarregat»). S'accepta en donar d'alta la clínica o la protectora i forma part de les seves condicions d'ús.

Objecte: Mizuu tracta per compte del Responsable les dades personals que aquest guarda a la plataforma, només per prestar-li el servei contractat (agenda i cites, historial clínic, clients, factures, avisos i recordatoris, importació de dades des d'un altre programa, gestió d'animals, candidatures, acollides i voluntariat, i contractes d'adopció).

2. Dades i interessats

• Interessats: clients i responsables dels animals, candidats a adoptar, persones d'acollida, voluntaris i membres de l'equip del Responsable.
• Dades: identificatives i de contacte, adreça, dades dels animals i el seu historial, cites, factures i pagaments, missatges, documents d'identitat d'adoptants (xifrats) i signatures de contractes.
• No es tracten categories especials de dades de l'art. 9 RGPD, tret que el Responsable les introdueixi pel seu compte en camps de text lliure, cosa que ha d'evitar.

3. Durada

Dura mentre el Responsable tingui compte a Mizuu. En acabar s'aplica el punt 11 (devolució i esborrat).

4. Instruccions del Responsable

Mizuu tracta les dades només seguint les instruccions documentades del Responsable: aquestes condicions, la configuració que el Responsable tria al seu tauler i les peticions que faci per escrit a [email protected]. Si Mizuu creu que una instrucció infringeix la normativa de protecció de dades, ho dirà al Responsable de seguida.

Mizuu no fa servir aquestes dades per als seus propis fins, no les ven i no les cedeix, tret d'obligació legal. Les famílies que tenen el seu propi compte a Mizuu són, per a les dades d'aquest compte, usuàries de Mizuu, i allà Mizuu és responsable del seu propi tractament.

5. Confidencialitat

Les persones de Mizuu que accedeixen a les dades estan obligades a guardar secret, també després de deixar de treballar amb Mizuu, i només hi accedeixen quan ho necessiten per donar el servei o per atendre una incidència o una denúncia.

6. Mesures de seguretat (art. 32 RGPD)

• Xifratge en trànsit (TLS) i xifratge en repòs de les dades més sensibles (documents d'identitat, IBAN, telèfons i adreces) amb AES-256-GCM.
• Contrasenyes desades amb Argon2id, doble factor per a comptes de protectora i administració, bloqueig després d'intents fallits i límits de peticions.
• Permisos per rol dins de l'equip del Responsable i registre d'auditoria de les accions sensibles.
• Còpies de seguretat xifrades i procediment de gestió d'incidents.

7. Subencarregats

El Responsable autoritza de manera general Mizuu a fer servir aquests subencarregats, que tracten les dades amb garanties equivalents a les d'aquest contracte:

• Cloudflare (xarxa, protecció i allotjament d'arxius).
• Resend (enviament de correus).
• Google Firebase (notificacions push).
• Stripe (cobraments).
• Google Play (cobrament de la subscripció des de l'app d'Android).
• Anthropic (només si es fa servir l'escaneig de cartilles amb IA).
• OpenAI (només per passar a text notes de veu).

Mizuu avisarà el Responsable amb almenys 15 dies d'antelació abans d'afegir o canviar un subencarregat, i el Responsable s'hi podrà oposar. Si l'oposició impedeix prestar el servei, el Responsable es podrà donar de baixa sense cost. Les transferències fora de l'Espai Econòmic Europeu s'emparen en el Marc de Privacitat de Dades UE-EUA o en clàusules contractuals tipus.

8. Ajuda amb els drets dels interessats

Si un interessat demana a Mizuu exercir els seus drets sobre dades del Responsable, Mizuu li ho passarà al Responsable en un màxim de 5 dies hàbils. Mizuu ajudarà el Responsable amb les eines de la plataforma (exportar, corregir i esborrar dades) perquè pugui respondre dins de termini.

9. Bretxes de seguretat

Mizuu avisarà el Responsable sense dilació indeguda, i en tot cas abans de 48 hores des que conegui una bretxa que afecti les seves dades, amb la informació disponible: què ha passat, quines dades i quantes persones afecta, conseqüències probables i mesures preses. Així el Responsable pot notificar l'autoritat de control en 72 hores (art. 33 RGPD) i, si hi ha alt risc, els interessats (art. 34 RGPD).

10. Altres ajudes al Responsable

Mizuu donarà al Responsable la informació raonable que necessiti per fer avaluacions d'impacte o consultes prèvies, quan escaiguin.

11. Devolució i esborrat en acabar

Abans de donar-se de baixa, el Responsable pot descarregar les seves dades des del tauler (exportació de clients, historial i factures). Després de la baixa, Mizuu esborrarà les dades del Responsable en un màxim de 90 dies, tret del que la llei obligui a conservar (per exemple, factures), que es guardarà bloquejat durant el termini legal. L'historial clínic que forma part del passaport d'un animal amb propietari a Mizuu es conserva en aquest passaport, com a informació de l'animal.

12. Informació i auditories

Mizuu posarà a disposició del Responsable la informació necessària per demostrar que compleix aquest contracte i permetrà auditories raonables, amb avís previ de 30 dies, una vegada l'any com a màxim tret que hi hagi una bretxa, a càrrec del Responsable i sense accés a dades d'altres clients.

13. Obligacions del Responsable

El Responsable garanteix que té base legal per tractar les dades que puja a Mizuu (incloses les que importa des d'un altre programa) i que ha informat els seus clients, candidats i voluntaris. Si la normativa ho exigeix, és qui atén els drets dels interessats i qui notifica les bretxes a l'autoritat.