Contrato de encargo del tratamiento
Última actualización: 26 de octubre de 2026
Este contrato regula cómo trata Apegio los datos personales de los clientes y del equipo de cada negocio que usa Apegio. Lo acepta el negocio al darse de alta, con la casilla del formulario, o desde su panel. Se aplica mientras el negocio use Apegio. Versión encargo-v1.
1. Partes
- Responsable del tratamiento
- El negocio que se da de alta en Apegio, con los datos legales que indica en su panel (Ajustes → Datos legales).
- Encargado del tratamiento
- Pol Renom Vendrell (Apegio), NIF 47424470B, Sabadell (Barcelona), España.
- Contacto del encargado
- ayuda@apegio.com
2. Objeto
Apegio presta al negocio un programa de fidelización: tarjetas en Apple Wallet y Google Wallet, la página donde sus clientes se dan de alta, el panel de su equipo (escáner, clientes, equipo, tarjeta y estadísticas) y los avisos en la tarjeta. Para ello trata datos personales por cuenta del negocio, que es quien decide para qué se usan.
3. Duración
Mientras el negocio use Apegio. Al terminar se aplica el apartado 11.
4. Datos y personas afectadas
- Clientes del negocio: nombre, apellidos, correo, fecha de nacimiento si la dan, sellos y recompensas con su fecha, centro y persona del equipo, datos técnicos de su tarjeta en el Wallet y su consentimiento para recibir ofertas.
- Equipo del negocio: el registro de lo que hace cada persona en el panel (por ejemplo, qué sellos dio y cuándo). Las cuentas de acceso del equipo (correo, inicio de sesión y seguridad) las trata Apegio como responsable, según su política de privacidad.
No se tratan categorías especiales de datos (salud, ideología, etc.). El negocio no debe pedirlas a través de Apegio.
5. Instrucciones del negocio
Apegio trata los datos solo para prestar el servicio y según las instrucciones del negocio, que son las que da al configurar y usar su panel. No los usa para nada propio, no los vende y no los comparte con otros negocios. Si una instrucción le parece contraria a la ley, Apegio avisará al negocio.
6. Confidencialidad
Las personas que trabajan para Apegio y tienen acceso a los datos están obligadas a guardar secreto, también después de dejar de hacerlo.
7. Seguridad
Apegio aplica medidas adecuadas al riesgo (art. 32 RGPD), entre ellas:
- Datos cifrados en tránsito (HTTPS) y en los servidores de la base de datos.
- Separación por negocio en la base de datos: cada negocio solo ve sus datos, y cada persona de su equipo solo lo que su rol permite.
- Acceso con un código de un solo uso enviado al correo, sin contraseñas.
- Registro de las operaciones sobre sellos y del equipo.
- El código QR de la tarjeta es un identificador aleatorio que no contiene datos personales.
- Copias de seguridad del proveedor de base de datos.
8. Subencargados
El negocio autoriza a Apegio a usar estos proveedores, que solo tratan los datos para prestar el servicio y con las mismas obligaciones de protección:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Supabase Inc. | Base de datos y acceso con código por correo | Servidores en Irlanda (UE) |
| Vercel Inc. | Alojamiento de la web y del panel | EE. UU. y UE, con garantías del RGPD |
| Postmark (ActiveCampaign, LLC) | Envío de los correos con el código de acceso y de los avisos internos de altas de negocios | EE. UU., con garantías del RGPD |
| Apple Inc. | Tarjetas y avisos en Apple Wallet | EE. UU., con garantías del RGPD |
| Google LLC | Tarjetas y avisos en Google Wallet | EE. UU., con garantías del RGPD |
Cuando un proveedor puede tratar los datos fuera del Espacio Económico Europeo, lo hace con las garantías del RGPD: cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU.
Si Apegio quiere añadir o cambiar un proveedor, lo avisará antes en el panel o por correo, y el negocio podrá oponerse y dejar el servicio.
9. Derechos de los clientes
Los clientes ejercen sus derechos ante el negocio, en el correo de privacidad que indica en su panel. Si alguno escribe a Apegio, Apegio lo trasladará al negocio sin demora y le ayudará a responder (por ejemplo, exportando o borrando los datos de ese cliente).
10. Brechas de seguridad
Si Apegio detecta una brecha que afecte a los datos del negocio, le avisará sin dilación indebida y en todo caso en menos de 48 horas desde que la conozca, con la información disponible para que el negocio pueda decidir si debe comunicarla a la Agencia Española de Protección de Datos y a los afectados. Apegio también ayudará al negocio en las evaluaciones de impacto o consultas previas que necesite.
11. Fin del servicio
Cuando el negocio deje Apegio, podrá pedir una copia de los datos de sus clientes en un formato habitual. Después, Apegio borrará los datos en un máximo de 90 días, salvo lo que la ley obligue a conservar, que quedará bloqueado.
12. Auditorías
Apegio pondrá a disposición del negocio la información necesaria para demostrar que cumple este contrato y permitirá las auditorías razonables que el negocio solicite, con un aviso previo de al menos 30 días.
13. Responsabilidades del negocio
- Informar a sus clientes, lo que hace la página de privacidad de su tarjeta que Apegio le prepara con sus datos legales.
- Tener una base legal para cada uso de los datos y no enviar ofertas a quien no las haya aceptado.
- Dar acceso al panel solo a las personas de su equipo que lo necesiten y retirarlo cuando dejen de necesitarlo.
14. Cambios
Si este contrato cambia, el panel del negocio le pedirá aceptar la versión nueva. Las versiones anteriores se conservan para saber qué aceptó cada negocio y cuándo.
Más información en la política de privacidad y el aviso legal de Apegio.