RGPD y tratamiento de datos

Roles de responsable y encargado

Las tiendas normalmente son responsables de sus propios datos de clientes, ventas, inventario y reparaciones. Manage Repairs actúa como encargado para esos datos de tienda y como responsable para datos de cuenta, facturación y soporte de la plataforma.

Instrucciones de tratamiento

Tratamos datos de clientes de la tienda solo para prestar, proteger, apoyar y mejorar el servicio, o según indique el propietario de la cuenta. Las tiendas deben tener una base legal para guardar sus datos de clientes, imágenes de productos y fotos de reparación.

Compartición de metadatos de inventario

El catálogo GTIN compartido usa solo metadatos de producto no personales como GTIN/código de barras, nombre, marca y categoría. Quedan excluidos clientes, reparaciones, personal, proveedores, precios, costes, niveles de stock, notas y fotos.

Medidas de seguridad

La plataforma se diseña con separación por tienda, acceso autenticado, contraseñas cifradas mediante hash, cifrado de campos sensibles, registros auditables, permisos mínimos, copias controladas y despliegues seguros.

Auditoría y monitorización

Podemos registrar eventos de seguridad, inicio de sesión, error, analytics y operación para diagnosticar fallos, investigar usos indebidos, proteger cuentas y entender la fiabilidad de la plataforma. Estos registros deben ser proporcionales y estar protegidos contra accesos innecesarios.

Subencargados

Podemos usar proveedores seleccionados de alojamiento, correo, pagos, analítica, almacenamiento y soporte para prestar el servicio. Estos proveedores deben tratar los datos solo para la finalidad del servicio y aplicar controles adecuados de confidencialidad y seguridad.

Solicitudes de personas interesadas

Las tiendas deben gestionar las solicitudes de sus propios clientes. Podemos ayudar a los propietarios con exportaciones o eliminaciones cuando sea técnicamente posible.

Brechas de datos personales

Si conocemos una brecha confirmada que afecte datos de clientes de una tienda, investigaremos, tomaremos medidas razonables de contención e informaremos sin demora indebida a los titulares afectados para que cumplan sus obligaciones. Cuando haya que notificar a una autoridad, el UK GDPR espera que sea dentro de 72 horas cuando sea viable.

Servicios internacionales

Algunos proveedores de infraestructura, correo o pagos pueden tratar datos fuera del Reino Unido. Deben utilizarse garantías adecuadas cuando sean necesarias.