Acuerdo de Tratamiento de Datos

Última actualización: 11 de noviembre de 2026

Yollty S.A. · 74, rue du Canal, L-4051 Esch-sur-Alzette, Gran Ducado de Luxemburgo · R.C.S. Luxemburgo B205415

Este Acuerdo de Tratamiento de Datos (el «ADP») forma parte del Contrato entre Yollty y el Cliente Empresarial para el uso de la plataforma Yollty Hub, tal como se define en las Condiciones Generales de Venta de Yollty (los «Términos»). Establece cómo Yollty trata los datos personales en nombre del Cliente Empresarial, conforme a lo requerido por el Artículo 28 del Reglamento General de Protección de Datos.

Partes

  • El Cliente Empresarial, tal como se identifica durante el registro en línea o en el formulario de solicitud de suscripción, que actúa como responsable del tratamiento (el «Responsable»).
  • Yollty S.A., una sociedad anónima regida por la legislación luxemburguesa, con domicilio social en 74, rue du Canal, L-4051 Esch-sur-Alzette, Gran Ducado de Luxemburgo, inscrita en el R.C.S. de Luxemburgo con el número B205415, que actúa como encargado del tratamiento (el «Encargado»).

Definiciones

Los términos no definidos en este ADP tienen el significado que se les atribuye en los Términos o en el RGPD.

  • «RGPD» significa el Reglamento (UE) 2016/679 y, cuando sea aplicable, el RGPD del Reino Unido y la Ley de Protección de Datos del Reino Unido de 2018.
  • «Leyes de protección de datos» significa el RGPD y cualquier otra ley de protección de datos o privacidad aplicable al tratamiento objeto de este ADP, incluidas las leyes que implementan la Directiva sobre la privacidad y las comunicaciones electrónicas.
  • «Datos de Clientes del Hub» significa los datos personales de los Clientes finales recopilados a través de o importados en Yollty Hub, tal como se describe en el Anexo 1.
  • «Clientes finales» significa los clientes del Cliente Empresarial y cualquier otra persona cuyos datos personales sean tratados a través de Yollty Hub.
  • «Violación de datos personales» significa una brecha de seguridad que ocasione la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a los Datos de Clientes del Hub.
  • "Subprocesador" significa cualquier tercero contratado por Yollty para tratar Datos de Clientes del Hub en su nombre.

Este ADP se aplica únicamente a Yollty Hub. No se aplica a la plataforma Yollty Classic, para la cual se aplica el artículo 22.2.1 de los Términos.

1. Funciones de las partes

1.1. El Cliente Empresarial es el responsable del tratamiento de los Datos de Clientes del Hub y Yollty es su encargado.

1.2. El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se describen en el Anexo 1.

1.3. Yollty actúa como responsable independiente, y no como encargado, para: (a) los datos de cuenta, contacto y facturación del Cliente Empresarial y de sus usuarios del panel de control; (b) los datos de uso, soporte y seguridad relacionados con el funcionamiento de Yollty Hub, tales como registros de acceso e informes de errores; y (c) los datos agregados de los que no se pueda identificar a ningún Cliente Final, que Yollty puede utilizar para operar, asegurar y mejorar Yollty Hub. La política de privacidad de Yollty describe este tratamiento.

2. Instrucciones

2.1. Yollty trata los Datos de Clientes del Hub únicamente siguiendo las instrucciones documentadas del Cliente Empresarial, incluso en lo que respecta a las transferencias de datos personales a un tercer país, a menos que la legislación de la UE o de un Estado miembro exija lo contrario. En tal caso, Yollty informará al Cliente Empresarial de dicha exigencia legal antes del tratamiento, salvo que la ley lo prohíba.

2.2. Los Términos, este ADP y el uso y configuración de Yollty Hub por parte del Cliente Empresarial (incluyendo sus ajustes, campañas, automatizaciones y segmentos) constituyen las instrucciones completas del Cliente Empresarial.

2.3. Yollty informará al Cliente Empresarial inmediatamente si, en su opinión, alguna instrucción infringe las Leyes de Protección de Datos.

3. Confidencialidad

Yollty garantiza que todas las personas autorizadas para tratar Datos de Clientes del Hub están sujetas a una obligación de confidencialidad y solo acceden a ellos en la medida necesaria para prestar los Servicios de Yollty.

4. Seguridad

4.1. Yollty implementa las medidas técnicas y organizativas adecuadas para proteger los Datos de Clientes del Hub, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Estas medidas se describen en el Anexo 2.

4.2. Yollty podrá actualizar estas medidas con el tiempo, siempre que sigan garantizando un nivel de seguridad adecuado al riesgo, tal como exige el artículo 32 del RGPD.

5. Subprocesadores

5.1. El Cliente Empresarial otorga a Yollty autorización general para contratar Subprocesadores. Los Subprocesadores utilizados a la fecha de este ADP se enumeran en el Anexo 3.

5.2. Yollty informará al Cliente Empresarial de cualquier intención de añadir o sustituir a un Subprocesador con al menos 30 días de antelación, por correo electrónico o a través de Yollty Hub. El Cliente Empresarial podrá oponerse por motivos razonables relacionados con la protección de datos dentro de dicho plazo. Si las partes no pueden resolver la objeción, el Cliente Empresarial podrá rescindir el Contrato sin que proceda indemnización alguna, y Yollty reembolsará las cuotas pagadas por adelantado correspondientes al periodo posterior a la rescisión.

5.3. Yollty impone a cada Subprocesador, mediante contrato escrito, obligaciones de protección de datos que ofrecen al menos el mismo nivel de protección que este ADP (que pueden ser los términos estándar de tratamiento de datos del Subprocesador), y sigue siendo plenamente responsable ante el Cliente Empresarial del cumplimiento de sus Subprocesadores, sujeto a la Cláusula 13.

5.4. Los servicios que el Cliente Empresarial decide conectar a Yollty Hub, como su sistema de punto de venta (por ejemplo, Square, Loyverse o Epos Now), su Perfil de Negocio de Google o su propio proveedor de nombres de dominio, no son Subprocesadores. Yollty intercambia Datos de Clientes del Hub con estos servicios siguiendo las instrucciones del Cliente Empresarial cuando este habilita la conexión, y el acuerdo propio del Cliente Empresarial con el proveedor rige el tratamiento realizado por dicho proveedor. Del mismo modo, cuando un Subprocesador enumerado en el Anexo 3 también trata Datos de Clientes del Hub como responsable independiente, por ejemplo, Google o Apple una vez que un Cliente Final ha guardado un pase en su Google Wallet o Apple Wallet, esa parte de su tratamiento se rige por los términos propios del proveedor con el Cliente Final, tales como los términos de su cuenta de Apple o Google, y no se lleva a cabo en nombre de Yollty ni del Cliente Empresarial.

6. Transferencias internacionales

6.1. Yollty almacena los Datos de Clientes del Hub en la Unión Europea (Google Cloud, región de Bélgica). Algunos Subprocesadores enumerados en el Anexo 3 tratan datos limitados de Clientes del Hub fuera del Espacio Económico Europeo, tal y como se describe en dicho anexo.

6.2. Cuando los Datos de Clientes del Hub se transfieran a un país fuera del Espacio Económico Europeo o del Reino Unido que no esté cubierto por una decisión de adecuación, Yollty se asegurará de que la transferencia esté protegida por salvaguardias adecuadas, como las Cláusulas Contractuales Tipo (“CCT”) de la Comisión Europea y, para las transferencias desde el Reino Unido, el Anexo de Transferencia Internacional de Datos del Reino Unido.

7. Solicitudes de los interesados

7.1. Teniendo en cuenta la naturaleza del tratamiento, Yollty asistirá al Cliente Empresarial, a través de las funciones de Yollty Hub o de otro modo, en la respuesta a las solicitudes de los Clientes Finales para ejercer sus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición.

7.2. Cuando Yollty Hub proporcione funciones que permitan a los Clientes Finales ejercer sus derechos por sí mismos, como cambiar sus preferencias de comunicación o eliminar su cuenta, el Cliente Empresarial instruye a Yollty para que lleve a cabo estas solicitudes automáticamente a través de dichas funciones, a medida que se vayan habilitando, y el resultado se mostrará en Yollty Hub. Si Yollty recibe cualquier otra solicitud directamente, la remitirá al Cliente Empresarial sin dilación indebida y no responderá por sí misma, salvo para confirmar que la solicitud ha sido remitida.

8. Violaciones de Datos Personales

8.1. Yollty notificará al Cliente Empresarial sin dilación indebida, y en cualquier caso en un plazo de 48 horas, tras tener conocimiento de una Violación de Datos Personales que afecte a los Datos de Clientes del Hub.

8.2. La notificación describirá, en la medida en que se conozca en ese momento, la naturaleza de la violación, las categorías y el número aproximado de Clientes Finales y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas. Yollty proporcionará información adicional a medida que esté disponible.

8.3. Yollty tomará las medidas razonables para contener y subsanar la violación, y asistirá al Cliente Empresarial en el cumplimiento de sus obligaciones de notificar a la autoridad de control y a los Clientes Finales.

9. Asistencia en el cumplimiento

Teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone, Yollty prestará una asistencia razonable al Cliente Empresarial en relación con sus obligaciones en virtud de los Artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos y las consultas previas a las autoridades de control, cuando estas se refieran a Yollty Hub.

10. Auditorías

10.1. Yollty pone a disposición del Cliente Empresarial, previa solicitud por escrito, la información razonablemente necesaria para demostrar el cumplimiento del Artículo 28 del RGPD, en la forma que Yollty elija, como este APD y sus Anexos, un resumen por escrito de sus medidas de seguridad o respuestas a un cuestionario de seguridad. Yollty no está obligada a revelar información que sea confidencial, que afecte a otros clientes o que pueda poner en riesgo la seguridad de Yollty Hub. El Cliente Empresarial no podrá realizar dicha solicitud más de una vez al año, a menos que se haya producido una Violación de Datos Personales.

10.2. Cuando esta información no sea suficiente, el Cliente Empresarial podrá realizar una auditoría, o hacer que la realice un auditor independiente sujeto a confidencialidad, no más de una vez al año (a menos que una autoridad de control lo exija, o la auditoría sea consecuencia de una Violación de Datos Personales), con al menos 30 días de preaviso por escrito, durante el horario laboral habitual y sin interrumpir las operaciones de Yollty. Cada parte asumirá sus propios costes, a menos que la auditoría revele un incumplimiento material de este APD por parte de Yollty.

11. Devolución y eliminación de datos

11.1. Tras la finalización del Contrato, el Cliente Empresarial podrá exportar los Datos de Clientes del Hub desde Yollty Hub en un plazo de 30 días.

11.2. Transcurrido dicho periodo, Yollty eliminará los Datos de Clientes del Hub, incluidas las copias existentes, a menos que la legislación de la UE o de un Estado miembro exija su conservación. Las copias de seguridad se sobrescriben de acuerdo con el ciclo de copias de seguridad de Yollty y, en cualquier caso, en un plazo de 30 días. Cuando el Cliente Empresarial elimine a un Cliente Final durante la vigencia del Contrato, Yollty conservará un hash unidireccional del número de teléfono de dicho Cliente Final, a partir del cual no es posible recuperar el número, y lo utilizará únicamente para prevenir el fraude y el abuso del programa del Cliente Empresarial y para proteger la seguridad de Yollty Hub, por ejemplo, para evitar que se vuelvan a conceder beneficios de bienvenida si la misma persona se registra de nuevo. El hash se eliminará junto con el resto de los Datos de Clientes del Hub conforme a esta Cláusula.

12. Obligaciones del Cliente Empresarial

12.1. El Cliente Empresarial es responsable de contar con una base legal válida para el tratamiento de los Datos de Clientes del Hub. Esto incluye obtener el consentimiento de los Clientes Finales antes de enviarles comunicaciones de marketing por correo electrónico, SMS o notificaciones push, e informarles según lo exijan las Leyes de Protección de Datos.

12.2. Cuando el Cliente Empresarial importe datos de contacto de Clientes Finales a Yollty Hub, garantiza que dichos datos se recopilaron legalmente y que dispone de una base jurídica válida, incluido cualquier consentimiento requerido, para tratarlos y enviar comunicaciones a dichos Clientes Finales a través de Yollty Hub.

12.3. El Cliente Empresarial no utilizará Yollty Hub para tratar categorías especiales de datos personales (como datos de salud) a menos que se acuerde por escrito con Yollty.

12.4. El Cliente Empresarial designa a una persona de contacto para asuntos de protección de datos al registrarse, en Yollty Hub o por correo electrónico a Yollty, y mantiene esta información actualizada. Cuando haya nombrado a un Delegado de Protección de Datos, proporcionará sus datos de contacto.

12.5. Yollty pone a disposición en Yollty Hub un aviso de privacidad predeterminado para los Clientes Finales, emitido en nombre del Cliente Empresarial. A menos que el Cliente Empresarial proporcione su propio aviso de privacidad en Yollty Hub, el Cliente Empresarial adopta el aviso predeterminado como propio, y Yollty lo muestra a los Clientes Finales en la aplicación. El Cliente Empresarial sigue siendo responsable de verificar que el aviso que utiliza describa con precisión su tratamiento, en particular cualquier tratamiento de los datos de los Clientes Finales fuera de Yollty Hub, y de mantener actualizados los datos que figuran en dicho aviso.

13. Responsabilidad

La responsabilidad de cada parte en virtud de este ADP está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos, en la medida permitida por las Leyes de Protección de Datos.

14. Orden de prelación

En caso de conflicto entre este ADP y los Términos en relación con el tratamiento de los Datos de Clientes del Hub, prevalecerá este ADP.

15. Duración y legislación aplicable

15.1. Este ADP entra en vigor en la fecha de celebración del Contrato y permanece vigente mientras Yollty trate Datos de Clientes del Hub en nombre del Cliente Empresarial.

15.2. Este ADP se rige por la legislación de Luxemburgo. Cualquier disputa estará sujeta a la jurisdicción exclusiva de los tribunales de Luxemburgo.

15.3. El contacto de Yollty para asuntos de protección de datos es Alexandros Trepeklis ([email protected]).

Anexo 1 – Descripción del tratamiento

  • Objeto: prestación de la plataforma de fidelización y compromiso del cliente Yollty Hub al Cliente Empresarial.
  • Duración: la vigencia del Contrato, más el periodo de exportación de 30 días y el periodo de eliminación establecido en la Cláusula 11.
  • Naturaleza y finalidad: alojamiento y gestión del programa de fidelización del Cliente Empresarial; registro de Clientes Finales; registro de visitas, compras, puntos y recompensas; emisión de tarjetas para Google Wallet y Apple Wallet; recopilación y gestión del consentimiento y las preferencias de comunicación de los Clientes Finales; envío de notificaciones push, correos electrónicos y SMS en nombre del Cliente Empresarial; segmentación y automatizaciones; referencias; solicitudes de comentarios y reseñas; integraciones con TPV; informes y análisis; promociones y ruletas de la fortuna; registro de entrada y canje mediante tableta para el personal; verificación por teléfono y correo electrónico.
  • Categorías de interesados: los Clientes Finales del Cliente Empresarial (miembros del programa de fidelización), incluidos los contactos importados por el Cliente Empresarial; el personal del Cliente Empresarial, en la medida en que queden registrados en transacciones, registros de entrada y canjes.
  • Tipos de datos personales: nombre; dirección de correo electrónico; número de teléfono; fecha de nacimiento, género y foto de perfil (si se recopilan); idioma preferido; identificadores de tarjetas de fidelización y monederos; historial de visitas y transacciones (fecha, tienda, importe, productos comprados); puntos, niveles y recompensas; cupones, promociones y resultados de la ruleta de la fortuna; consentimiento y preferencias de comunicación, junto con la dirección IP y la información del navegador registrada al otorgar el consentimiento; comentarios y valoraciones; información de referencias; identificadores de dispositivos para notificaciones push; mensajes enviados y su estado de entrega; identificadores de clientes de sistemas de punto de venta conectados; nombres e identificadores del personal; cualquier otro dato personal que el Cliente Empresarial decida recopilar o importar a través de Yollty Hub, por ejemplo, mediante atributos personalizados de los miembros o listas de contactos importadas, sujeto a la Cláusula 12.3.
  • Categorías especiales de datos: ninguna, salvo acuerdo por escrito conforme a la Cláusula 12.3.
  • Frecuencia: continua, durante la vigencia del Contrato.

Anexo 2 – Medidas de seguridad técnicas y organizativas

Yollty implementa las siguientes medidas:

  • cifrado de datos en tránsito (TLS) y en reposo (AES-256, gestionado por Google Cloud);
  • control de acceso basado en roles, con acceso limitado al personal autorizado (incluidos límites de acceso por tienda para los usuarios del panel de control y un PIN personal para cada usuario de la tableta del personal);
  • separación lógica de los datos de cada Cliente Empresarial (aplicada en cada consulta de base de datos por la aplicación);
  • copias de seguridad periódicas (copias de seguridad automatizadas diarias de la base de datos conservadas durante 7 días, con recuperación puntual);
  • registro y supervisión del acceso a los sistemas de producción (registros de auditoría de Google Cloud; los números de teléfono y las direcciones de correo electrónico se enmascaran o se omiten en los registros de la aplicación);
  • prácticas de desarrollo seguro y actualizaciones de seguridad periódicas (los secretos se guardan en un almacén de secretos gestionado y las firmas se verifican en todos los webhooks entrantes del punto de venta);
  • compromisos de confidencialidad para el personal y los contratistas;
  • un procedimiento documentado para gestionar las violaciones de datos personales.

Anexo 3 – Subprocesadores

  • Google Cloud EMEA Limited (Google Cloud Platform y Firebase) — Servicio: alojamiento, base de datos, almacenamiento de archivos, programación de tareas y notificaciones dentro de la aplicación. Ubicación: Unión Europea (Bélgica). Salvaguarda: no aplicable (UE); Anexo de procesamiento de datos de Google Cloud, con cláusulas contractuales tipo para cualquier acceso desde fuera del EEE.
  • ActiveCampaign, LLC (Postmark) — Servicio: envío de correos electrónicos. Ubicación: Estados Unidos. Salvaguarda: Marco de Privacidad de Datos UE-EE. UU.; cláusulas contractuales tipo (Anexo de procesamiento de datos de Postmark).
  • Twilio Inc. — Servicio: envío de SMS y códigos de verificación telefónica. Ubicación: Estados Unidos. Salvaguarda: Marco de Privacidad de Datos UE-EE. UU.; normas corporativas vinculantes de Twilio; cláusulas contractuales tipo (Anexo de protección de datos de Twilio).
  • Google LLC (Firebase Cloud Messaging) — Servicio: envío de notificaciones push. Ubicación: Estados Unidos y otras ubicaciones de Google. Salvaguarda: Marco de Privacidad de Datos UE-EE. UU.; cláusulas contractuales tipo (Anexo de procesamiento de datos de Google Cloud).
  • Google LLC (Google Wallet API) — Servicio: pases de Google Wallet. Ubicación: Estados Unidos y otras ubicaciones de Google. Salvaguarda: Marco de Privacidad de Datos UE-EE. UU.
  • Apple Inc. (Apple Push Notification service) — Servicio: actualizaciones de pases de Apple Wallet (solo tokens de notificación push del dispositivo; el pase en sí se descarga directamente desde Yollty). Ubicación: Estados Unidos. Salvaguarda: necesario para ejecutar el programa de fidelización del Cliente Empresarial para el Cliente Final, quien eligió añadir su pase a Apple Wallet (artículo 49(1)(b) del RGPD); solo tokens de notificación push del dispositivo.
  • Google LLC (Firebase Authentication) — Servicio: inicio de sesión para clientes finales y usuarios del panel de control. Ubicación: Estados Unidos y otras ubicaciones de Google. Salvaguarda: Marco de Privacidad de Datos UE-EE. UU.; cláusulas contractuales tipo (Anexo de procesamiento de datos de Google Cloud).
  • Functional Software, Inc. (Sentry) — Servicio: supervisión de errores para la aplicación, el panel de control y la tableta del personal. Ubicación: Unión Europea (Alemania). Salvaguarda: no aplicable (UE); Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (Anexo de procesamiento de datos de Sentry) para el acceso desde Estados Unidos.
  • Ably Realtime Ltd (Ably) — Servicio: actualizaciones en tiempo real para el panel de control y la tableta del personal. Ubicación: Reino Unido; procesamiento a nivel mundial en Amazon Web Services. Salvaguarda: decisión de adecuación del Reino Unido; cláusulas contractuales tipo (Anexo de procesamiento de datos de Ably).

Versión 1.0 · En vigor desde el 11 de noviembre de 2026