Cuando tratamos datos por cuenta de tu empresa.

Este acuerdo se aplica a los datos personales que SeeYouSoon trata por cuenta de tu empresa, por ejemplo sobre vuestro personal, sobre clientes a los que reserváis vosotros mismos y sobre empleados de una cuenta de empresa. Forma parte de las Condiciones para socios y de las condiciones de las cuentas de empresa.

1. Las partes

Responsable del tratamiento es la empresa adherida o la empresa cliente con cuenta de empresa que utiliza las funciones de la sección 3 (en este contrato, «vosotros» o «la empresa»).

Encargado del tratamiento es Timmarna Platform (empresa individual), n.º de registro 970905-3558, Lilla Bommen 1, 411 04 Göteborg, que gestiona el servicio SeeYouSoon (en este contrato, «nosotros»).

El contrato forma parte de las Condiciones para socios y de las condiciones de las cuentas de empresa, y debe aceptarse antes de que se active una cuenta de socio o una cuenta de empresa. Cumple los requisitos de contrato por escrito de los arts. 28.3 y 28.9 del RGPD. Lo aceptáis marcando la casilla en la solicitud, al activar la cuenta de empresa, en la app o en el panel, y guardamos qué versión aceptasteis y cuándo. Si las Condiciones para socios y este contrato dicen cosas distintas sobre datos personales, prevalece este contrato.

2. A qué se aplica el acuerdo y a qué no

Esto lo tratamos por vosotros

El contrato se aplica a los datos que vosotros mismos introducís, o dejáis que vuestro personal introduzca, en las herramientas para vuestra propia actividad: personal, horarios, jornada laboral y datos para nóminas en Kassa & personal, vuestra lista de personal en el sector, reservas que hacéis para clientes sin cuenta, Fordonskoll y las órdenes de trabajo del taller, el hotel de neumáticos, los pedidos de neumáticos a proveedores, así como las listas de empleados, permisos, centros de coste e informes mensuales en una cuenta de empresa para viajes y transporte de mercancías. El apartado 3 describe cada tratamiento.

De esto nos encargamos nosotros

En lo siguiente, SeeYouSoon es responsable del tratamiento de forma independiente y, en ese caso, se aplica la política de privacidad, no este contrato:

  • La cuenta y el inicio de sesión de cada usuario, incluidas las cuentas de los propietarios, directivos y empleados de vuestra empresa y de los pasajeros de una cuenta de empresa.
  • Reservas, pedidos, envíos de mercancías y viajes que los clientes o empleados hacen en la app, el chat y las llamadas sobre ellos, valoraciones y reseñas, y SeeYouSoon Club. En cuanto a la ejecución del propio transporte y a los requisitos legales en materia de tráfico y contabilidad, la empresa cliente, SeeYouSoon y la empresa de transporte que lo realiza son cada una responsable del tratamiento independiente. Del mismo modo, cuando vosotros, como empresa vendedora, recibís los datos de un cliente a través de una reserva, sois vosotros mismos responsables del tratamiento en cuanto al uso que hacéis de ellos.
  • Tu solicitud para convertirte en partner, los documentos que nos envíes y nuestra revisión de ellos.
  • Atención al cliente, seguridad, protección contra el fraude y nuestros propios registros de qué miembro de nuestro personal ha visto qué.

Aparte de lo que menciona el apartado 3, no llevamos ningún registro de clientes para empresas.

3. Los tratamientos: naturaleza y finalidad

Almacenamos los datos, los mostramos a las personas de vuestra empresa que tienen derecho a verlos, hacemos cálculos con ellos y enviamos notificaciones sobre ellos, para que podáis gestionar vuestro negocio. No los usamos para fines propios.

Caja & personal

  • El personal. Añadís personas a la empresa y les asignáis un rol (propietario, responsable o personal), un cargo y un número de empleado. A una persona que todavía no figura en la lista de personal del sector se la invita mediante la dirección de correo electrónico o el número de teléfono de una cuenta de SeeYouSoon existente. No guardamos esa dirección ni ese número en Caja & personal, solo el vínculo con la cuenta. Una invitación es válida durante 7 días.
  • Horarios. Un horario semanal con día, hora de inicio y hora de fin. Los salones, los lavaderos de coches y las empresas de limpieza usan en su lugar su horario del sector.
  • Fichaje y pausas. Cuando el personal ficha la entrada y la salida en la app, se guardan las horas, así como el inicio y el fin de cada pausa. Cada miembro ve qué compañeros han fichado la entrada en ese momento.
  • La distancia al lugar de trabajo. Consulta el recuadro de abajo.
  • Correcciones. El propietario o responsable que corrija un horario debe indicar un motivo (3–300 caracteres). La corrección se guarda en un registro de cambios con el valor anterior y el posterior, y el empleado recibe una notificación con el motivo. El registro nunca se modifica ni se borra.
  • Salario. El propietario elige un modelo salarial por persona (salario por hora, salario mensual, porcentaje, salario garantizado más porcentaje o por unidad), registra las propinas y aprueba una base salarial por periodo. Para el salario basado en comisiones, contabilizamos las ventas o los servicios vinculados a la persona en SeeYouSoon. El propietario descarga la base en CSV o PAXml para su propio sistema de nóminas. No pagamos salarios ni practicamos retenciones fiscales.

Así funciona el control de distancia. La app pide al teléfono su posición al fichar la entrada solo cuando hayáis activado «Fichar cerca del lugar de trabajo», y la persona puede negarse. El servidor calcula entonces la distancia en línea recta hasta el lugar de trabajo, la redondea a 10 metros y guarda únicamente esa distancia junto con el fichaje. Si el requisito está desactivado, la app no pide la posición. Las coordenadas nunca se guardan. Al fichar la salida y en las pausas, la app no envía ninguna posición.

Si activáis «Fichar cerca del lugar de trabajo», se rechaza el fichaje de entrada sin ubicación, con una precisión insuficiente o a una distancia mayor que el radio (50–2 000 metros; 200 metros si no elegís otro). El fichaje de salida nunca se rechaza por la distancia. Un fichaje de entrada rechazado no se guarda.

La lista de personal del sector

Tu personal del sector (por ejemplo, peluqueros, personal de lavado, de limpieza, mecánicos, personal de mudanzas y de restaurante) se guarda con su nombre, su función y su horario de trabajo, y con su dirección de correo electrónico cuando invitas a alguien. Cuando bloqueas un horario en la columna de un peluquero, también se guarda el motivo que escribas.

Reservas que introducís vosotros mismos

  • Reserva del salón en caja. Un cliente sin cuenta se reserva con el nombre de pila, el número de teléfono si el cliente quiere darlo, una nota, el servicio, el peluquero y la hora. El propietario, los peluqueros y el personal de SeeYouSoon para salones pueden introducir estas reservas.
  • La cola sin cita. El nombre que vuestro personal escribe para un cliente en la cola.
  • La reserva del taller en caja. Un cliente sin cuenta se reserva con el nombre, el número de teléfono si el cliente quiere darlo, la matrícula y el modelo del coche. Los introducen el propietario y los responsables.

El invitado no recibe notificaciones nuestras ni paga comisiones a través de SeeYouSoon.

Revisión del vehículo y orden de trabajo

  • Ficha del vehículo. La ficha propia del taller para cada coche: matrícula, marca, modelo, año, combustible, caja de cambios, motor y número de bastidor, tal como los ha introducido el taller. En la ficha no figura el nombre de ninguna cuenta. No obtenemos datos del coche de ningún registro de vehículos.
  • La ficha de trabajo. En una visita al taller se guardan el kilometraje, una nota en la recepción del vehículo, qué mecánico tiene el coche, los pasos del trabajo y las notas del taller. El cliente solo ve las notas que el taller ha marcado como «Visible para el cliente».

El hotel de neumáticos

Para cada juego de neumáticos se guardan el cliente (la cuenta o, si el cliente no tiene cuenta, su nombre; la empresa solo ve el nombre de pila), la matrícula, la denominación del coche, los datos de los neumáticos y la ubicación en la estantería. Cada entrega y cada cambio generan un acta con la profundidad del dibujo de cada neumático, los daños, una nota y el kilometraje, y un máximo de 8 fotos. El alquiler se guarda con el periodo, el importe y la forma de pago. Un cliente con cuenta ve sus propios neumáticos, actas y fotos en la app y recibe recordatorios antes de cada temporada.

Pedido de neumáticos a un proveedor

Cuando vuestro taller pide neumáticos para el coche de un cliente a un proveedor de SeeYouSoon, enviamos al proveedor la matrícula del coche y el nombre de pila de quien hace el pedido, nunca el nombre ni el número de teléfono del cliente. El proveedor es un destinatario que elegís vosotros, no nuestro encargado del tratamiento.

Cuentas de empresa (viajes y envíos)

Cuando vuestra empresa tiene una cuenta de empresa para viajes de trabajo o transporte de mercancías de empresa, vuestro administrador de empresa gestiona qué empleados pueden reservar con la cuenta, su rol y sus límites de importe, los centros de coste y las referencias, y extrae los informes mensuales y la documentación para la facturación (fecha, hora, nombre abreviado del empleado, centro de coste, importe y número de recibo, sin las direcciones del viaje). Tratamos estos datos como vuestro encargado del tratamiento. El servicio de transporte en sí lo tratáis vosotros, nosotros y la empresa de transporte como responsables del tratamiento independientes.

4. Datos e interesados

Las funciones no están pensadas para datos personales sensibles. Pero los campos de texto libre, como notas, motivos de correcciones y motivos de tiempo bloqueado, pueden contener lo que alguien escriba. Escribe solo lo necesario.

5. Duración del contrato

El contrato está vigente mientras utilicéis alguna de las funciones del apartado 3 y, después, mientras conservemos datos que hayamos tratado por vuestra cuenta. El anexo indica durante cuánto tiempo se conservan hoy los datos.

6. Vuestras instrucciones

Solo tratamos los datos conforme a vuestras instrucciones documentadas. Las instrucciones son este contrato y las elecciones que vosotros y vuestro personal hacéis en el panel y en la app, por ejemplo, quién forma parte de la empresa, el lugar de trabajo y el radio, si está activado el requisito de fichar cerca del lugar de trabajo, los modelos salariales y lo que introducís.

Si quieres dar una instrucción que las funciones no permiten, escribe a [email protected]. Te avisaremos de inmediato si consideramos que una instrucción infringe la normativa de protección de datos.

Si una ley nos exige tratar los datos de otra manera, os lo comunicaremos antes, salvo que la ley lo prohíba.

7. Confidencialidad

Solo tienen acceso a los datos las personas de nuestro equipo que los necesitan para operar el servicio y dar soporte. Nos aseguraremos de que se hayan comprometido a mantener los datos en secreto.

8. Seguridad

Estas son las medidas que protegen los datos hoy (art. 32 RGPD):

  • Cifrado en la transmisión. Todo el tráfico hacia la app, el panel y nuestra API viaja cifrado mediante HTTPS (TLS), y se obliga al navegador a usar HTTPS.
  • Permisos según el rol. En cada llamada, el servidor comprueba en la base de datos qué rol tiene la persona en vuestra empresa. En Caja & personal, solo el propietario ve los modelos salariales, los periodos de nómina y los datos para la nómina; el propietario y los responsables ven los horarios y las propinas del personal, y cada uno ve los suyos. En el taller, el salón y el guardaneumáticos rigen roles equivalentes.
  • El registro de cambios. El registro de cambios de Caja & personal también pueden leerlo los responsables. Los cambios en los modelos salariales y los periodos de nómina solo los ve el propietario; las propinas también las ven los responsables.
  • Nuestro propio personal. Nuestro personal solo tiene acceso mediante permisos por sector concedidos en la base de datos, y un permiso retirado deja de tener efecto de inmediato. En Caja & personal, nuestro personal solo ve cifras, nunca nombres, horarios ni salarios. El número de teléfono de un cliente solo se muestra a nuestro personal con las cuatro últimas cifras. El personal de cada sector puede leer las listas del hotel de neumáticos con el nombre del cliente, las fichas de los coches y las órdenes de trabajo de los talleres; esas lecturas no se registran actualmente.
  • Cifrado en el almacenamiento. Los números de teléfono de los clientes se almacenan cifrados con AES-256-GCM. Los demás datos, como nombres, horarios y salarios, no se almacenan cifrados campo por campo.
  • Ubicación. Las coordenadas al fichar nunca se guardan, solo la distancia redondeada a 10 metros.
  • Fotos. Eliminamos todos los metadatos de las fotos, incluida la posición GPS, antes de guardarlas. Se almacenan en un espacio privado y solo se muestran a quien tiene derecho a verlas, sin guardarse en ninguna caché.
  • Trazabilidad. Las correcciones del tiempo de trabajo se guardan en un registro que no se puede modificar, y la persona empleada recibe un aviso de cada corrección.
  • Inicio de sesión. Las cuentas del panel disponen de verificación en dos pasos. El número de intentos de inicio de sesión está limitado. Cuando retiramos a una persona de nuestro personal, todas sus sesiones se cierran de inmediato.
  • Copias de seguridad. La base de datos se copia cada noche. La copia se almacena como un archivo normal en un almacenamiento privado de Cloudflare dentro de la UE, cifrada en reposo por Cloudflare, pero no con una clave propia. Si alguna vez se restaura desde una copia de seguridad, se aplica un registro de eliminaciones aparte, sin datos personales, justo antes de reabrir el tráfico, para que las cuentas eliminadas sigan eliminadas. Las fotos no se incluyen en las copias de seguridad.

9. Subencargados

Nos dais una autorización general para contratar subencargados. Estos subencargados tratan actualmente los datos por cuenta nuestra:

Nos aseguramos de que cada subencargado tenga con nosotros un contrato que imponga los mismos requisitos de protección de datos que este contrato. Respondemos ante vosotros del trabajo de los subencargados.

Antes de contratar a un nuevo subencargado o sustituir a uno existente, publicamos una nueva versión de este contrato con la lista actualizada y os lo notificamos por escrito por correo electrónico (además de con un aviso en el panel y en la app) al menos 15 días antes de que el cambio entre en vigor (al menos 30 días antes de que se active la caja registradora). Si queréis oponeros conforme al art. 28.2 del RGPD, escribid a [email protected] antes de que el cambio empiece a aplicarse. Si no podemos atender vuestra oposición, tenéis derecho a desactivar el módulo afectado (por ejemplo, Caja & personal) o a resolver el contrato antes de que el cambio entre en vigor.

10. Transferencia fuera de la UE/EEE

Los subencargados del apartado 9, excepto fiskaly, son empresas estadounidenses, y las fotos de las herramientas de asistencia pueden tratarse fuera del EEE. Al utilizar las funciones, nos dais instrucciones para esas transferencias. La base de datos se almacena en Europa Occidental (incluido el Reino Unido, al amparo de la decisión de adecuación de la Comisión Europea) y está protegida por el EU-US DPF y por cláusulas contractuales tipo; Cloudflare está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. e incluye las cláusulas contractuales tipo de la UE en su contrato de encargo del tratamiento. No transferimos los datos a ningún otro país sin una garantía que cumpla el capítulo V del RGPD.

11. Derechos de los interesados

Atendéis las solicitudes de vuestros empleados y clientes, por ejemplo para ver, rectificar o borrar sus datos. La mayor parte podéis verla y corregirla directamente en el panel. Cada empleado ve en la app sus propios horarios, su planificación y sus nóminas aprobadas.

Hoy no hay ninguna función en el panel para borrar una cita, una ficha de vehículo o un juego de neumáticos del Däckhotell, ni ninguna exportación aparte de la base para nóminas. La descarga que un empleado hace de sus propios datos en la app no incluye los datos de Caja & personal. Si lo necesitáis, escribid a [email protected] y obtendremos o borraremos los datos por vosotros.

Si un interesado se dirige directamente a nosotros con una solicitud relativa a datos que tratamos por cuenta vuestra, os la remitiremos sin demora y no responderemos nosotros sobre el fondo, salvo que nos lo pidáis.

12. Violaciones de la seguridad de los datos personales

Si detectamos una violación de la seguridad de los datos personales que afecte a datos que tratamos por cuenta vuestra, os lo comunicaremos sin dilación indebida. Os contaremos qué ha ocurrido, qué datos y aproximadamente a cuántas personas afecta, qué consecuencias puede tener y qué medidas estamos tomando. Lo que no sepamos de inmediato os lo enviaremos en cuanto lo sepamos. Vosotros decidís si notificáis la violación a Integritetsskyddsmyndigheten (imy.se), lo que debe hacerse en un plazo de 72 horas, y si informáis a las personas afectadas (arts. 33 y 34 del RGPD).

13. Evaluación de impacto y consulta previa

El control de jornada y de distancia al fichar puede exigir que hagáis una evaluación de impacto (art. 35 RGPD). Os damos los datos sobre las funciones que necesitáis para ella y para una posible consulta previa a la Integritetsskyddsmyndigheten (art. 36 RGPD).

14. Cuando finaliza el contrato

Cuando dejéis de usar las funciones, elegís si debemos eliminar los datos o entregároslos. Escribe a [email protected].

Hoy los datos no se borran automáticamente cuando termina el contrato, ni tampoco cuando se borra la cuenta del titular: los datos de la empresa se conservan hasta que nos pidáis borrarlos. La exportación disponible en el panel es la base de nóminas en CSV o PAXml de los periodos aprobados. El resto de los datos os los facilitamos previa solicitud.

Los datos que hemos eliminado permanecen en las copias de seguridad hasta que esas copias se depuran; consulta el anexo.

15. Información y revisión

Os facilitamos la información que necesitáis para demostrar que se cumplen este contrato y el art. 28 RGPD, y respondemos por escrito a vuestras preguntas. Vosotros, o un auditor independiente que designéis y que esté sujeto a deber de confidencialidad, podéis auditar nuestro tratamiento previo acuerdo sobre el momento y el alcance. Integritetsskyddsmyndigheten siempre puede realizar los controles que la ley le permite.

16. Vuestra responsabilidad como responsables del tratamiento

  • Os aseguráis de tener una base jurídica para el tratamiento y de que vuestros empleados y clientes reciban información sobre él (art. 13 del RGPD). Por ejemplo, vuestros empleados deben saber que la app pide la ubicación del teléfono al fichar y que se guarda la distancia al lugar de trabajo cuando habéis indicado uno.
  • Antes de activar el requisito de fichar cerca del lugar de trabajo, deberíais hacer una ponderación de intereses y cumplir una posible obligación de negociar conforme al artículo 11 de lagen om medbestämmande i arbetslivet (MBL).
  • Vosotros decidís cuánto tiempo se conservan los datos y nos avisáis de cuándo deben borrarse, por ejemplo el tiempo de trabajo conforme a la arbetstidslagen y la documentación de nóminas conforme a la bokföringslagen.
  • Solo dais permisos a las personas que los necesitan, y elimináis a las personas que se van.
  • Una vez que el archivo ha salido de SeeYouSoon, sois responsables de la base para nóminas que descarguéis.

17. Cambios y contacto

Publicamos aquí cada nueva versión del contrato, con fecha y número de versión. Contacto para cuestiones de protección de datos: [email protected]. Otras consultas: [email protected].

18. Anexo: tratamientos y plazos de conservación

La tabla muestra durante cuánto tiempo se conservan los datos según funciona el servicio hoy. Donde pone «sin eliminación automática», los datos se conservan hasta que nos pidas que los eliminemos.