Acuerdo de procesamiento de datos

FARENIO ECOSISTEMA

(GDPR Artículo 28)

1. PARTES

Este Acuerdo de Procesamiento de Datos ("DPA") forma parte de la relación contractual entre

GQ VENTURES SAS

Nombre comercial: FARENIO ("Procesador") y El Cliente, Anfitrión, Administrador de la propiedad, Agencia, Cliente empresarial u otra organización que utilice la Plataforma FARENIO ("Responsable").

2. FINALIDAD

Este DPA rige el procesamiento de Datos personales por parte de FARENIO en nombre del Controlador.

Satisface los requisitos de:

• Reglamento (EU) 2016/679 (GDPR)
• Ley francesa de protección de datos
• Reino Unido GDPR (cuando corresponda)
• Otra legislación de privacidad aplicable.

3. DEFINICIONES

A menos que se defina lo contrario, los términos tendrán los significados indicados en GDPR.

Incluido:

• Controlador
• Procesador
• Titular de los datos
• Datos personales
• Tratamiento
• Subprocesador
• Violación de datos personales
• Autoridad de Supervisión

4. OBJETO

FARENIO procesa datos personales únicamente para proporcionar:

• SaaS servicios
• Servicios del mercado
• PMS integraciones
• Operaciones de propiedad
• Gestión de facturación
• Coordinación de proveedores
• AI automatización del flujo de trabajo
• Atención al cliente

5. DURACIÓN

El procesamiento continuará solo durante el tiempo necesario para realizar los Servicios, a menos que la ley exija una retención más prolongada.

6. NATURALEZA DEL TRATAMIENTO

El procesamiento puede incluir:

Recopilación

Grabación

Organización

Estructuración

Almacenamiento

Recuperación

Consulta

Usar

Transmisión

Alineación

Restricción

Supresión

Destrucción

7. OBLIGACIONES DE PROCEDIMIENTO

FARENIO deberá:

Procese datos únicamente siguiendo instrucciones documentadas.

Mantenga la confidencialidad.

Implementar la seguridad adecuada.

Asistir al Controlador.

Notificar violaciones de datos personales.

Eliminar o devolver datos en su caso.

Permitir auditorías en condiciones razonables.

Mantener registros del procesamiento.

8. CONFIDENCIALIDAD

FARENIO se asegurará de que cada empleado, contratista y persona autorizada

procesamiento de datos personales:

• está sujeto a obligaciones de confidencialidad;
• recibe capacitación adecuada sobre privacidad;
• accede únicamente a los datos necesarios para los fines autorizados.

9. SEGURIDAD

FARENIO implementará medidas técnicas y organizativas (TOM) apropiadas.

Anexo B.

10. SUBPROCEDIMIENTOS

FARENIO podrá nombrar Subencargados del tratamiento.

Anexo C.

FARENIO deberá:

Ser responsable de su cumplimiento.

Exigir contratos que cumplan con GDPR.

Notificar cambios materiales.

11. TRANSFERENCIAS INTERNACIONALES

Cuando los datos personales salen del EEE,

FARENIO utilizará salvaguardias apropiadas que incluyen:

Cláusulas contractuales estándar

Decisiones de adecuación

Otros mecanismos legales de transferencia.

Anexo D.

12. ASISTENCIA

FARENIO asistirá al Responsable en relación con:

Solicitudes de acceso

Solicitudes de eliminación

Solicitudes de corrección

Portabilidad

Restricción

Objeciones

Evaluaciones de impacto

Consultas regulatorias

13. VIOLACIONES DE DATOS PERSONALES

FARENIO notificará al Responsable sin demora indebida después de tener conocimiento de una Violación de Datos Personales confirmada.

Anexo F.

14. DEVOLUCIÓN Y ELIMINACIÓN DE DATOS

Al terminar,

FARENIO deberá:

Eliminar o devolver datos personales a menos que la conservación sea requerida legalmente.

15. DERECHOS DE AUDITORÍA

El Contralor podrá realizar auditorías razonables.

Las auditorías deberán:

Sea proporcionado.

Proteger la información confidencial.

Evite las interrupciones.

Estar sujeto a un aviso razonable.

16. RESPONSABILIDAD

La responsabilidad se regirá por:

GDPR

El Acuerdo SaaS

El CGU/CGV

Ley aplicable.

17. LEY APLICABLE

Derecho francés.

18. ACEPTACIÓN

El uso de la Plataforma constituye la aceptación de este DPA.

ANEXO A

DESCRIPCIÓN DE LAS ACTIVIDADES DE TRATAMIENTO

Finalidad del tratamiento

FARENIO procesa Datos Personales para:

• Registro de usuario
• Verificación de identidad
• SaaS entrega
• Servicios del mercado
• Operaciones de propiedad
• Limpieza de facturación
• PMS Sincronización
• Gestión de proveedores
• AI Programación
• AI Precios
• AI Despacho
• Atención al cliente
• Facturación
• Prevención de fraude
• DAC7 Informes
• AML/KYC Cumplimiento
• Analítica
• Monitoreo de seguridad

Categorías de datos personales

Datos de identidad

Datos de contacto

Datos de propiedad

Datos de reserva

Datos del huésped

Información de pago

Información comercial

Información del dispositivo

Datos de uso

Datos de ubicación (donde esté autorizado)

Registros de comunicación

Solicitudes de soporte

Fotos subidas por proveedores

Informes de inspección

Datos operativos generados por AI

Categorías de interesados

Anfitriones

Administradores de propiedades

Huéspedes

Limpiadores

Empresas de limpieza

Vendedores

Fogonadura

Empleados

Contratistas

Visitantes del sitio web

Clientes potenciales

Contactos de soporte

Base legal

Artículo 6, apartado 1, letra a)

Consentir

Artículo 6, apartado 1, letra b)

Contrato

Artículo 6, apartado 1, letra c)

Obligación Legal

Artículo 6, apartado 1, letra f)

Intereses legítimos

Artículo 9 cuando corresponda.

Operaciones de procesamiento

Recopilación

Grabación

Almacenamiento

Recuperación

Organización

Análisis

Pareo

Sincronización

Informes

Supresión

Anonimización

ANEXO B

MEDIDAS TÉCNICAS Y ORGANIZATIVAS (TOM)

FARENIO implementa medidas de seguridad que incluyen:

Gobernancia

Programa de gobernanza de la privacidad

Política de seguridad de la información

Evaluaciones de riesgos

Revisiones anuales

Control de acceso

Acceso basado en roles

Mínimo privilegio

Autenticación multifactor

Políticas de contraseña

Monitoreo de acceso privilegiado

Seguridad de infraestructura

Cifrado en tránsito (TLS)

Cifrado en reposo

Protección cortafuegos

Segmentación de red

Protección de terminales

Gestión de vulnerabilidades

Gestión de parches

Seguridad de aplicaciones

Ciclo de vida de desarrollo seguro

Revisión de código

Escaneo de dependencias

Pruebas de penetración

API Autenticación

Gestión de sesiones

Registro de auditoría

Seguridad operativa

Copias de seguridad

Recuperación ante desastres

Continuidad del negocio

Escucha

Gestión de Incidentes de Seguridad

Gestión de riesgos de proveedores

Seguridad del personal

Acuerdos de confidencialidad

Verificaciones de antecedentes cuando sea legal

Capacitación en concientización sobre seguridad.

Procedimientos de revocación de acceso

ANEXO C

REGISTRO DEL SUBPROCEDIMIENTORS APROBADO

Propósito del servicio Ubicación de los datos

Aplicación de infraestructura en la nube

Alojamiento EU/EEE donde esté disponible

Procesador de pagos Procesamiento de pagos Según la infraestructura del proveedor

Proveedor de correo electrónico transaccional

Correo electrónico EU/Global según lo acordado contractualmente

Notificaciones de proveedores de SMS globales con salvaguardias

Atención al cliente

Tickets de soporte de plataforma EU/Global con salvaguardas

Análisis de la plataforma del proveedor de análisis agregado/seudonimizado cuando sea posible

AI Proveedor de servicios AI Características Según lugares de procesamiento aprobados

Proveedor de respaldo Recuperación ante desastres EU/EEE cuando sea posible

FARENIO mantendrá y actualizará este registro a medida que se agreguen, eliminen o reemplacen proveedores de servicios.

ANEXO D

MECANISMO DE TRANSFERENCIA INTERNACIONAL DE DATOSISMS

Las transferencias fuera del EEE se basarán en:

Decisiones de Adecuación o Cláusulas Contractuales Tipo u Otro mecanismo GDPR legal de transferencia.

Las salvaguardias adicionales pueden incluir:

Cifrado

Controles de acceso

Evaluaciones de impacto de transferencias

Cláusulas de seguridad contractuales

Debida diligencia del proveedor

ANEXO E

CALENDARIO DE CONSERVACIÓN DE DATOS

Tipo de datos Período de retención típico

Registros de cuenta Duración de la cuenta + período de retención legal aplicable

Registros de Contabilización De conformidad con las obligaciones legales, fiscales y contractuales

Registros de pago De acuerdo con las leyes contables y fiscales aplicables.

Tickets de soporte Según sea razonablemente necesario para fines legales y de soporte.

AI Registros Período limitado necesario para mejorar el servicio y la seguridad

Registros de auditoría según los requisitos de seguridad y cumplimiento

Consentimiento de comercialización hasta que se retire o ya no sea necesario

Registros de Seguridad Según las necesidades de ciberseguridad y respuesta a incidentes

Siempre que sea posible, los datos se anonimizarán en lugar de conservarse de forma identificable.

ANEXO F

PROCEDIMIENTO DE RESPUESTA POR VIOLACIÓN DE DATOS PERSONALES

Etapa 1

Detección

Incidente identificado.

Se inició la contención inmediata.

Etapa 2

Evaluación

Determinar:

Naturaleza del incumplimiento

Categorías de datos

Número de personas afectadas

Riesgos probables

Etapa 3

Contención

Aislar los sistemas afectados.

Revocar las credenciales comprometidas.

Evite más accesos no autorizados.

Etapa 4

Notificación

Notificar al Responsable sin demoras indebidas.

Cuando sea legalmente requerido:

Notificar a la Autoridad de Supervisión.

Notificar a las personas afectadas.

Etapa 5

Recuperación

Restaurar servicios.

Validar la seguridad.

Monitorear sistemas.

Etapa 6

Documentación

Registro:

Línea de tiempo

Causa principal

Evaluación de impacto

Acciones correctivas

Lecciones aprendidas

Mantener un registro de incumplimientos de acuerdo con los requisitos de rendición de cuentas GDPR.

Etapa 7

Revisión posterior al incidente

Realizar una revisión formal.

Implementar acciones correctivas.

Actualizar los controles de seguridad.

Revisar políticas y capacitación del personal.

Revisar las evaluaciones de riesgos cuando sea necesario.