Contrato de prestación de servicios de tratamiento de datos

Última actualización: 2026-10-11

Contrato según el art. 25 de la Ley 25.326 y su reglamentación entre el Comercio que usa el Servicio (el Responsable de la base de datos de sus clientes) y el titular de la web (el Prestador). Se acepta al crear la cuenta y dura mientras esta exista.

1. Objeto

El Prestador trata, por cuenta del Responsable, los datos de sus clientes necesarios para gestionar su programa de fidelidad y mandar emails a través del Servicio.

2. Tratamiento

• Operaciones: recolección mediante el formulario de alta, registro, conservación, consulta, modificación (sellos y premios), envío de emails a través del email del Responsable, exportación y supresión. Si un cliente lo pide y verificó su email, el Prestador le muestra su propia tarjeta dentro de su cuenta de Habitué: es el acceso del titular a sus datos (art. 14) y no implica cederlos a nadie.
• Datos: nombre, email, teléfono (opcional), sellos, premios, fechas de actividad y registro de aceptación de las condiciones y del consentimiento para publicidad. No se tratan datos sensibles.
• Titulares de los datos: clientes del Responsable que se adhieren a su programa.

3. Obligaciones del Prestador

• Usar los datos solo para prestar el Servicio y siguiendo las instrucciones del Responsable, que son el uso y la configuración que hace del Servicio. No aplicarlos ni utilizarlos con un fin distinto ni cederlos a otras personas, ni siquiera para su conservación (art. 25, inc. 1).
• Guardar secreto sobre los datos (art. 10) y aplicar las medidas de seguridad del art. 9 y de la Resolución AAIP 47/2018: conexión cifrada (HTTPS), contraseñas guardadas de forma irreversible, credenciales de email, teléfonos y enlaces de las tarjetas cifrados, separación de los datos de cada comercio, límite de intentos de acceso y de envíos, protección contra bots y borrado automático de las tarjetas sin actividad durante 24 meses.
• Subcontratistas: el Responsable autoriza el uso de Cloudflare, Inc. (alojamiento y base de datos), con servidores fuera de Argentina. El Prestador se obliga a mantener con ese proveedor cláusulas que recojan los principios de la Ley 25.326 para la transferencia internacional (art. 12 y Disposición DNPDP 60-E/2016, actualizada por las Resoluciones AAIP 34/2019 y 198/2023). Avisará con anticipación cualquier cambio de subcontratista para que el Responsable pueda oponerse. El proveedor de correo con el que el Responsable manda sus emails lo contrata directamente el Responsable.
• Ayudar al Responsable a cumplir los plazos de los derechos de los titulares (10 días corridos para el acceso y 5 días hábiles para la rectificación, actualización o supresión). El Servicio permite exportar y borrar clientes, y cada cliente puede descargar o borrar sus datos desde su tarjeta.
• Avisar al Responsable, en un plazo máximo de 48 horas desde que tome conocimiento, de cualquier incidente de seguridad que afecte sus datos, con la información disponible.
• Al terminar el contrato (cuando el Responsable da de baja su cuenta), destruir los datos tratados (art. 25, inc. 2). El Prestador no los conserva para encargos futuros. El Responsable puede exportarlos antes desde el panel.
• Dar al Responsable la información necesaria para demostrar el cumplimiento y permitir verificaciones razonables, con aviso previo.

4. Obligaciones del Responsable

• Informar a sus clientes según el art. 6 de la Ley 25.326 y contar con fundamento legal para tratar sus datos. El Servicio incluye los textos informativos y las casillas de aceptación, que el Responsable debe revisar y mantener actualizados con sus datos.
• Evaluar la inscripción de su base en el Registro Nacional de Bases de Datos Personales y cumplir la normativa de protección de datos y de publicidad.