Contrato de encargo del tratamiento

1. Partes y objeto

Este contrato se celebra entre la clínica veterinaria o la protectora que usa Mizuu (el «Responsable») y Mizuu (el «Encargado»). Se acepta al dar de alta la clínica o la protectora y forma parte de sus condiciones de uso.

Objeto: Mizuu trata por cuenta del Responsable los datos personales que este guarda en la plataforma, solo para prestarle el servicio contratado (agenda y citas, historial clínico, clientes, facturas, avisos y recordatorios, importación de datos desde otro programa, gestión de animales, candidaturas, acogidas y voluntariado, y contratos de adopción).

2. Datos e interesados

• Interesados: clientes y responsables de los animales, candidatos a adoptar, personas de acogida, voluntarios y miembros del equipo del Responsable.
• Datos: identificativos y de contacto, dirección, datos de los animales y su historial, citas, facturas y pagos, mensajes, documentos de identidad de adoptantes (cifrados) y firmas de contratos.
• No se tratan categorías especiales de datos del art. 9 RGPD, salvo que el Responsable las introduzca por su cuenta en campos de texto libre, cosa que debe evitar.

3. Duración

Dura mientras el Responsable tenga cuenta en Mizuu. Al terminar se aplica el punto 11 (devolución y borrado).

4. Instrucciones del Responsable

Mizuu trata los datos solo siguiendo las instrucciones documentadas del Responsable: estas condiciones, la configuración que el Responsable elige en su panel y las peticiones que haga por escrito a [email protected]. Si Mizuu cree que una instrucción infringe la normativa de protección de datos, se lo dirá al Responsable de inmediato.

Mizuu no usa estos datos para sus propios fines, no los vende y no los cede, salvo obligación legal. Las familias que tienen su propia cuenta en Mizuu son, para los datos de esa cuenta, usuarias de Mizuu, y ahí Mizuu es responsable de su propio tratamiento.

5. Confidencialidad

Las personas de Mizuu que acceden a los datos están obligadas a guardar secreto, también después de dejar de trabajar con Mizuu, y solo acceden cuando lo necesitan para dar el servicio o para atender una incidencia o una denuncia.

6. Medidas de seguridad (art. 32 RGPD)

• Cifrado en tránsito (TLS) y cifrado en reposo de los datos más sensibles (documentos de identidad, IBAN, teléfonos y direcciones) con AES-256-GCM.
• Contraseñas guardadas con Argon2id, doble factor para cuentas de protectora y administración, bloqueo tras intentos fallidos y límites de peticiones.
• Permisos por rol dentro del equipo del Responsable y registro de auditoría de las acciones sensibles.
• Copias de seguridad cifradas y procedimiento de gestión de incidentes.

7. Subencargados

El Responsable autoriza de forma general a Mizuu a usar estos subencargados, que tratan los datos con garantías equivalentes a las de este contrato:

• Cloudflare (red, protección y alojamiento de archivos).
• Resend (envío de correos).
• Google Firebase (notificaciones push).
• Stripe (cobros).
• Google Play (cobro de la suscripción desde la app de Android).
• Anthropic (solo si se usa el escaneo de cartillas con IA).
• OpenAI (solo para pasar a texto notas de voz).

Mizuu avisará al Responsable con al menos 15 días de antelación antes de añadir o cambiar un subencargado, y el Responsable podrá oponerse. Si la oposición impide prestar el servicio, el Responsable podrá darse de baja sin coste. Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.

8. Ayuda con los derechos de los interesados

Si un interesado pide a Mizuu ejercer sus derechos sobre datos del Responsable, Mizuu se lo pasará al Responsable en un máximo de 5 días hábiles. Mizuu ayudará al Responsable con las herramientas de la plataforma (exportar, corregir y borrar datos) para que pueda responder en plazo.

9. Brechas de seguridad

Mizuu avisará al Responsable sin dilación indebida, y en todo caso antes de 48 horas desde que conozca una brecha que afecte a sus datos, con la información disponible: qué ha pasado, qué datos y cuántas personas afecta, consecuencias probables y medidas tomadas. Así el Responsable puede notificar a la autoridad de control en 72 horas (art. 33 RGPD) y, si hay alto riesgo, a los interesados (art. 34 RGPD).

10. Otras ayudas al Responsable

Mizuu dará al Responsable la información razonable que necesite para hacer evaluaciones de impacto o consultas previas, cuando procedan.

11. Devolución y borrado al terminar

Antes de darse de baja, el Responsable puede descargar sus datos desde el panel (exportación de clientes, historial y facturas). Tras la baja, Mizuu borrará los datos del Responsable en un máximo de 90 días, salvo lo que la ley obligue a conservar (por ejemplo, facturas), que se guardará bloqueado durante el plazo legal. El historial clínico que forma parte del pasaporte de un animal con dueño en Mizuu se conserva en ese pasaporte, como información del animal.

12. Información y auditorías

Mizuu pondrá a disposición del Responsable la información necesaria para demostrar que cumple este contrato y permitirá auditorías razonables, con aviso previo de 30 días, una vez al año como máximo salvo que haya una brecha, a cargo del Responsable y sin acceso a datos de otros clientes.

13. Obligaciones del Responsable

El Responsable garantiza que tiene base legal para tratar los datos que sube a Mizuu (incluidos los que importa desde otro programa) y que ha informado a sus clientes, candidatos y voluntarios. Si la normativa lo exige, es quien atiende los derechos de los interesados y quien notifica las brechas a la autoridad.