Contrato de encargo do tratamento

1. Partes e obxecto

Este contrato celébrase entre a clínica veterinaria ou a protectora que usa Mizuu (o «Responsable») e Mizuu (o «Encargado»). Acéptase ao dar de alta a clínica ou a protectora e forma parte das súas condicións de uso.

Obxecto: Mizuu trata por conta do Responsable os datos persoais que este garda na plataforma, só para prestarlle o servizo contratado (axenda e citas, historial clínico, clientes, facturas, avisos e recordatorios, importación de datos desde outro programa, xestión de animais, candidaturas, acollidas e voluntariado, e contratos de adopción).

2. Datos e interesados

• Interesados: clientes e responsables dos animais, candidatos a adoptar, persoas de acollida, voluntarios e membros do equipo do Responsable.
• Datos: identificativos e de contacto, enderezo, datos dos animais e o seu historial, citas, facturas e pagos, mensaxes, documentos de identidade de adoptantes (cifrados) e firmas de contratos.
• Non se tratan categorías especiais de datos do art. 9 RXPD, salvo que o Responsable as introduza pola súa conta en campos de texto libre, cousa que debe evitar.

3. Duración

Dura mentres o Responsable teña conta en Mizuu. Ao terminar aplícase o punto 11 (devolución e borrado).

4. Instrucións do Responsable

Mizuu trata os datos só seguindo as instrucións documentadas do Responsable: estas condicións, a configuración que o Responsable elixe no seu panel e as peticións que faga por escrito a [email protected]. Se Mizuu cre que unha instrución infrinxe a normativa de protección de datos, dirállelo ao Responsable de inmediato.

Mizuu non usa estes datos para os seus propios fins, non os vende e non os cede, salvo obriga legal. As familias que teñen a súa propia conta en Mizuu son, para os datos desa conta, usuarias de Mizuu, e aí Mizuu é responsable do seu propio tratamento.

5. Confidencialidade

As persoas de Mizuu que acceden aos datos están obrigadas a gardar segredo, tamén despois de deixar de traballar con Mizuu, e só acceden cando o precisan para dar o servizo ou para atender unha incidencia ou unha denuncia.

6. Medidas de seguridade (art. 32 RXPD)

• Cifrado en tránsito (TLS) e cifrado en repouso dos datos máis sensibles (documentos de identidade, IBAN, teléfonos e enderezos) con AES-256-GCM.
• Contrasinais gardados con Argon2id, dobre factor para contas de protectora e administración, bloqueo tras intentos fallidos e límites de peticións.
• Permisos por rol dentro do equipo do Responsable e rexistro de auditoría das accións sensibles.
• Copias de seguridade cifradas e procedemento de xestión de incidentes.

7. Subencargados

O Responsable autoriza de forma xeral a Mizuu a usar estes subencargados, que tratan os datos con garantías equivalentes ás deste contrato:

• Cloudflare (rede, protección e aloxamento de arquivos).
• Resend (envío de correos).
• Google Firebase (notificacións push).
• Stripe (cobros).
• Google Play (cobro da subscrición desde a app de Android).
• Anthropic (só se se usa o escaneo de cartillas con IA).
• OpenAI (só para pasar a texto notas de voz).

Mizuu avisará ao Responsable con polo menos 15 días de antelación antes de engadir ou cambiar un subencargado, e o Responsable poderá opoñerse. Se a oposición impide prestar o servizo, o Responsable poderá darse de baixa sen custo. As transferencias fóra do Espazo Económico Europeo ampáranse no Marco de Privacidade de Datos UE-EE. UU. ou en cláusulas contractuais tipo.

8. Axuda cos dereitos dos interesados

Se un interesado lle pide a Mizuu exercer os seus dereitos sobre datos do Responsable, Mizuu pasarállo ao Responsable nun máximo de 5 días hábiles. Mizuu axudará o Responsable coas ferramentas da plataforma (exportar, corrixir e borrar datos) para que poida responder en prazo.

9. Fendas de seguridade

Mizuu avisará ao Responsable sen dilación indebida, e en todo caso antes de 48 horas desde que coñeza unha fenda que afecte aos seus datos, coa información dispoñible: que pasou, que datos e cantas persoas afecta, consecuencias probables e medidas tomadas. Así o Responsable pode notificar á autoridade de control en 72 horas (art. 33 RXPD) e, se hai alto risco, aos interesados (art. 34 RXPD).

10. Outras axudas ao Responsable

Mizuu daralle ao Responsable a información razoable que precise para facer avaliacións de impacto ou consultas previas, cando procedan.

11. Devolución e borrado ao terminar

Antes de darse de baixa, o Responsable pode descargar os seus datos desde o panel (exportación de clientes, historial e facturas). Tras a baixa, Mizuu borrará os datos do Responsable nun máximo de 90 días, salvo o que a lei obrigue a conservar (por exemplo, facturas), que se gardará bloqueado durante o prazo legal. O historial clínico que forma parte do pasaporte dun animal con dono en Mizuu consérvase nese pasaporte, como información do animal.

12. Información e auditorías

Mizuu porá a disposición do Responsable a información necesaria para demostrar que cumpre este contrato e permitirá auditorías razoables, con aviso previo de 30 días, unha vez ao ano como máximo salvo que haxa unha fenda, a cargo do Responsable e sen acceso a datos doutros clientes.

13. Obrigas do Responsable

O Responsable garante que ten base legal para tratar os datos que sube a Mizuu (incluídos os que importa desde outro programa) e que informou os seus clientes, candidatos e voluntarios. Se a normativa o esixe, é quen atende os dereitos dos interesados e quen notifica as fendas á autoridade.