Acuerdo de tratamiento de datos

Ámbito y ley aplicable

Este Acuerdo de tratamiento de datos (el “ATD”) se aplica siempre que DealCraft trata datos personales por cuenta del Cliente al prestar el Servicio. Está redactado para cumplir el artículo 28 del Reglamento General de Protección de Datos de la UE (el “RGPD”), el RGPD del Reino Unido cuando sea aplicable y la Ley de Georgia sobre Protección de Datos Personales.

Términos como responsable del tratamiento, encargado del tratamiento, tratamiento, interesado y violación de la seguridad de los datos personales tienen el significado que les dan esas leyes. Los términos con mayúscula inicial no definidos aquí tienen el significado que figura en el Contrato marco de servicios.

Funciones

Respecto de los datos de los jugadores recogidos a través de los Juegos del Cliente, el Cliente es el responsable del tratamiento y DealCraft es el encargado del tratamiento.

Respecto de los propios datos de cuenta y facturación del Cliente, DealCraft es un responsable del tratamiento independiente, tal como se describe en el Aviso de privacidad. Dodo Payments trata los datos de pago como responsable del tratamiento independiente en su función de comerciante registrado (merchant of record).

Tratamiento solo conforme a instrucciones

DealCraft trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente. Los ajustes que el Cliente elige en el Servicio, este ATD y el Contrato marco de servicios constituyen esas instrucciones. DealCraft informará al Cliente si considera que una instrucción infringe la ley, y no tratará los datos personales con ningún otro fin salvo que la ley lo exija.

Detalles del tratamiento

Interesados: los jugadores de los Juegos del Cliente y, cuando se usa, el personal de mostrador del Cliente.

Categorías de datos: las direcciones de correo electrónico que pide un Juego, los códigos de premio y su estado, los registros de jugadas (resultado, hora, idioma, la dirección IP desde la que llegó la jugada, el país derivado de ella, el tipo de dispositivo, el navegador y el sistema operativo con sus versiones, el fabricante y el modelo del dispositivo cuando el navegador los informa, el tamaño de la pantalla, cómo se llegó al Juego, el sitio web en el que se mostró y, en el caso de la ventana emergente, la ruta de la página en la que se abrió, sin su cadena de consulta), un identificador de cookie del dispositivo, un hash de una huella digital del navegador y un hash con clave de una dirección de red abreviada. DealCraft no trata categorías especiales de datos.

Finalidad: ejecutar los Juegos del Cliente, hacer cumplir sus límites, prevenir abusos, emitir y comprobar Premios e informar de los resultados al Cliente.

Duración: mientras el Cliente use el Servicio y, después, según lo establecido en el apartado Supresión.

Confidencialidad del personal

DealCraft garantiza que toda persona autorizada para tratar datos personales está sujeta a un deber de confidencialidad y los trata solo en la medida necesaria para el Servicio.

Medidas de seguridad

DealCraft mantiene medidas técnicas y organizativas adecuadas, entre ellas: cifrado de los datos en tránsito con TLS; hash de las contraseñas con scrypt y de los secretos de API con SHA-256; cifrado de los secretos de firma almacenados con AES-256-GCM; basar todo límite por dirección en un hash con clave de la red en lugar de en la dirección; aislamiento de los datos de cada cliente en la capa de base de datos; límites de frecuencia contra abusos; copias de seguridad diarias; y acceso a producción restringido al operador. La página de Seguridad describe estas medidas con más detalle.

Subencargados del tratamiento

El Cliente autoriza a DealCraft a recurrir a los subencargados del tratamiento que se enumeran abajo. DealCraft impone a cada uno de ellos obligaciones de protección de datos no menos protectoras que este ATD y sigue siendo responsable de su actuación.

DealCraft anunciará un nuevo subencargado del tratamiento por correo electrónico al menos 14 días antes de que empiece a tratar datos personales del Cliente. Si el Cliente se opone por motivos razonables de protección de datos y las partes no logran acordar una solución, el Cliente podrá terminar el Servicio afectado sin penalización.

Transferencias internacionales

Los datos personales del Cliente se alojan en Oracle Cloud en los Emiratos Árabes Unidos. El tráfico hacia el servicio pasa por la red mundial de Cloudflare, que filtra los ataques. El correo electrónico se entrega a través de Resend, en los Estados Unidos, y Google interviene solo cuando un jugador elige iniciar sesión con Google.

Cuando una transferencia requiere garantías conforme al RGPD, al RGPD del Reino Unido o a la Ley de Georgia sobre Protección de Datos Personales, DealCraft se basa en las cláusulas contractuales tipo de la Comisión Europea u otro mecanismo reconocido por esas leyes. El Cliente puede pedir una copia de las garantías correspondientes.

Asistencia al Cliente

DealCraft remitirá al Cliente, en un plazo de cinco días hábiles, cualquier solicitud que reciba de un interesado sobre los datos del Cliente, y ayudará al Cliente a responder a las solicitudes de acceso, rectificación, supresión, limitación o portabilidad de los datos.

DealCraft proporcionará información y ayuda razonables para las evaluaciones de impacto relativas a la protección de datos del Cliente y para sus consultas con las autoridades de control.

Violaciones de la seguridad de los datos personales

DealCraft notificará al Cliente sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a datos personales del Cliente. La notificación describirá, en la medida en que se conozcan, la naturaleza de la violación, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas o propuestas.

DealCraft tomará medidas razonables para contener la violación y ayudará al Cliente a cumplir sus propias obligaciones de notificación a las autoridades y a los interesados.

Supresión y devolución

Cuando finaliza el Servicio, el Cliente puede pedir una exportación de sus datos durante 30 días. Después, DealCraft suprime los datos personales del Cliente en un plazo adicional de 30 días, salvo que la ley exija conservarlos. Las copias en las copias de seguridad se sobrescriben en un plazo de 30 días desde su supresión de la base de datos activa.

Información y auditorías

DealCraft pondrá a disposición la información necesaria para demostrar el cumplimiento de este ATD y responderá a cuestionarios de seguridad razonables. Cuando eso no sea suficiente, el Cliente podrá realizar una auditoría, a su cargo, una vez al año, con un preaviso por escrito de al menos 30 días, en horario comercial y sin acceso a los datos de otros clientes.

Responsabilidad

La responsabilidad de cada parte en virtud de este ATD está sujeta a las limitaciones del Contrato marco de servicios, salvo cuando la ley no permita dicha limitación.

Orden de prelación

Si este ATD entra en conflicto con el Contrato marco de servicios o con las Condiciones del servicio en lo relativo al tratamiento de datos personales, prevalece este ATD. Cuando se apliquen cláusulas contractuales tipo, estas prevalecen sobre este ATD.