1. Roles: responsable y encargado
Cuando un camping utiliza UPCAMP para gestionar reservas, registros de viajeros, pagos y comunicaciones, el camping es el responsable del tratamiento de los datos de sus huéspedes y [Razón social] actúa como encargado del tratamiento (art. 28 RGPD).
Solo tratamos esos datos siguiendo las instrucciones documentadas del cliente y para prestar el servicio contratado. Nunca los usamos con fines propios ni los vendemos a terceros.
2. Contrato de encargo (DPA)
Todos los clientes firman un Acuerdo de Encargo de Tratamiento (DPA) que incluye, conforme al art. 28.3 RGPD:
- Objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos y categorías de interesados.
- Deber de confidencialidad del personal autorizado.
- Medidas de seguridad del art. 32 RGPD.
- Régimen de subencargados con autorización general y derecho de oposición del cliente.
- Asistencia al cliente en el ejercicio de derechos de los interesados y en evaluaciones de impacto.
- Devolución o supresión de los datos al finalizar el servicio.
- Derecho de auditoría del cliente.
Puedes solicitar una copia del DPA desde el área de clientes o escribiendo a nuestro DPO.
3. Ubicación de los datos
Los datos de la plataforma se alojan en centros de datos situados en la Unión Europea, con réplica en una segunda región también dentro de la UE para continuidad de negocio. No realizamos transferencias internacionales de datos de huéspedes salvo instrucción expresa del cliente (por ejemplo, al conectar un canal de venta cuyo proveedor esté fuera del EEE).
4. Medidas técnicas y organizativas
- Cifrado en tránsito: TLS 1.2 o superior en todas las comunicaciones.
- Cifrado en reposo: AES-256 en bases de datos, documentos de identidad y copias de seguridad.
- Control de acceso: roles por usuario, bloqueo tras varios intentos fallidos, recuperación de contraseña por email y registro de actividad (quién hizo cada acción y cuándo).
- Minimización: los datos de documentos de identidad se enmascaran en pantalla y solo son visibles para perfiles autorizados.
- Desarrollo seguro: revisiones de código, análisis de dependencias y pruebas de penetración periódicas por terceros independientes.
- Personal: acuerdos de confidencialidad y formación anual en protección de datos.
5. Certificaciones
Nuestro Sistema de Gestión de Seguridad de la Información está certificado conforme a la norma ISO/IEC 27001 ([entidad certificadora y nº de certificado]).
UPCAMP no procesa ni almacena números de tarjeta. El cobro con tarjeta está previsto como próxima funcionalidad y se realizará mediante una pasarela de pago certificada PCI-DSS.
6. Copias de seguridad y continuidad
- Copia de seguridad semanal automática de los datos de cada camping, cifrada y almacenada dentro de la UE.
- Datos de cada camping separados de los del resto de clientes.
- Pruebas de restauración trimestrales documentadas.
- Objetivo de disponibilidad del 99,9% y monitorización 24/7, con refuerzo de guardias en temporada alta.
7. Subencargados del tratamiento
Listado orientativo de categorías de subencargados ([completar con proveedores reales]). Notificaremos a los clientes cualquier cambio con al menos 30 días de antelación.
| Proveedor | Servicio | Ubicación | Garantías |
|---|---|---|---|
| [Proveedor cloud] | Infraestructura y alojamiento | UE | DPA art. 28, ISO 27001 |
| [Proveedor email transaccional] | Envío de emails del camping (presupuestos, facturas y avisos) | UE | DPA art. 28 |
| [Herramienta de soporte] | Gestión de tickets y chat de soporte | UE / EE. UU. | DPA, cláusulas contractuales tipo |
8. Notificación de brechas de seguridad
Disponemos de un procedimiento de gestión de incidentes. Si se produce una violación de seguridad que afecte a datos personales de un cliente, se lo notificaremos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tengamos constancia, con la información necesaria para que el cliente pueda cumplir su obligación de notificar a la AEPD en 72 horas (art. 33 RGPD) y, en su caso, a los interesados (art. 34 RGPD).
9. Fin del servicio y portabilidad
Al finalizar el contrato, el cliente puede exportar sus datos en formatos estándar (CSV, JSON, PDF). Transcurrido el plazo acordado en el DPA, los datos se suprimen de forma segura de los sistemas productivos y de las copias de seguridad según su ciclo de rotación, salvo obligación legal de conservación.
10. Contacto con el DPO
Para cualquier consulta sobre protección de datos o seguridad, solicitar el DPA, el informe de certificación o comunicar una vulnerabilidad, escribe a [email DPO].
Más información sobre los datos que tratamos como responsable en la Política de Privacidad.