Anexo de tratamiento de datos

22 de septiembre de 2026.

1. Partes, incorporación y alcance

Este anexo forma parte del contrato del servicio digital easywine cuando SERTEC PESAGE, S. L., con NIF B60043908, domicilio en Carrer Motors 27, 08755 Castellbisbal, Barcelona, España, trata datos personales por cuenta de la organización cliente identificada en la contratación. SERTEC PESAGE actúa como encargado del tratamiento y la organización como responsable. El contacto para este anexo es privacy@easywine.net; para asistencia, support@easywine.net y +34 93 772 46 60.

La organización queda identificada mediante sus datos de contratación, el identificador de organización y la persona que acepta el contrato en su representación. Las instrucciones se dirigirán a los contactos indicados o mediante las funciones del servicio utilizadas por personas autorizadas. La organización mantendrá actualizados sus representantes, administradores y canales de contacto.

Si la organización actúa como encargada por cuenta de otro responsable, debe contar con la autorización necesaria para recurrir a SERTEC PESAGE y transmitir las instrucciones aplicables. En ese ámbito, SERTEC PESAGE actúa como subencargado y asume las obligaciones correspondientes de este anexo.

Este anexo no comprende los tratamientos para los que SERTEC PESAGE determina sus propios fines, como la gestión de su relación contractual y facturación, sus obligaciones legales o la seguridad del servicio en su condición de responsable. Esos tratamientos se describen en la política de privacidad. La atribución de papeles depende del tratamiento concreto, no únicamente de que una persona tenga una cuenta o un permiso de administrador.

2. Objeto, duración y descripción del encargo

El encargo consiste en prestar las funciones contratadas de easywine para gestionar la organización, sus personas autorizadas, contenidos, vinos, botellas, operaciones y configuración e interacción digital con dispensadores compatibles. No comprende la venta, alquiler o mantenimiento físico de equipos.

El tratamiento se realiza durante la prestación y durante las operaciones necesarias de devolución o supresión al finalizarla. Las obligaciones de confidencialidad, protección y cooperación subsisten mientras SERTEC PESAGE conserve datos sujetos a este encargo.

No forma parte del servicio un fichero nominal de consumidores finales. Tampoco se encarga deliberadamente el tratamiento de categorías especiales de datos, datos de condenas o infracciones penales, ni información biométrica. La organización evitará incluir información innecesaria en textos, imágenes y otros contenidos. Si una operación requiere datos o finalidades distintos de los descritos, las partes deberán concretar previamente su encaje y las medidas necesarias.

3. Instrucciones y obligaciones de la organización

Constituyen instrucciones documentadas este anexo, el contrato, la configuración y las operaciones solicitadas desde la organización por personas autorizadas y las solicitudes escritas posteriores compatibles con ellos. Una operación automatizada solicitada mediante el servicio también puede constituir una instrucción; no requiere un consentimiento nuevo por cada sincronización.

La organización determina los fines y la base jurídica de los tratamientos que realiza como responsable, facilita la información exigible a las personas afectadas y verifica que los datos son pertinentes, exactos y necesarios. Debe asignar y revisar los permisos, retirar los accesos que dejen de estar autorizados y comunicar las instrucciones necesarias para atender derechos, corregir errores o finalizar el tratamiento.

SERTEC PESAGE tratará los datos únicamente siguiendo esas instrucciones, también respecto de las transferencias internacionales. Si una norma de la Unión o de un Estado miembro exige otro tratamiento, informará previamente a la organización, salvo prohibición legal por razones importantes de interés público. Informará inmediatamente si considera que una instrucción infringe la normativa de protección de datos y solicitará su aclaración; no ejecutará conscientemente una instrucción ilícita.

El encargo no permite a SERTEC PESAGE utilizar los contenidos para publicidad, venderlos o destinarlos a fines propios incompatibles. Tampoco constituye una autorización general para compartir información de la organización con proveedores de pagos ajena a las operaciones solicitadas.

4. Confidencialidad, personal y soporte

SERTEC PESAGE limitará el acceso a las personas que lo necesiten para desempeñar sus funciones y garantizará que estén sujetas a obligaciones de confidencialidad. Esas obligaciones continuarán después de finalizar su intervención.

Las consultas o modificaciones de datos de la organización por asistencia requieren solicitud o autorización expresa de una persona facultada, con el alcance necesario para atenderla. El acceso remoto a la pantalla del dispensador requiere además la autorización local y el PIN de un solo uso correspondiente, vinculado a una sesión y a su modalidad de visualización o control. La sesión puede finalizarse desde el equipo. Una autorización de visualización no permite por sí sola un control distinto.

Las operaciones administrativas autorizadas dentro del servicio y la asistencia de pantalla son procedimientos diferentes. Su ejecución se ajustará a los permisos e instrucciones aplicables, y se conservará trazabilidad de las actuaciones conforme a su finalidad.

5. Seguridad

SERTEC PESAGE aplicará las medidas técnicas y organizativas que correspondan al riesgo del tratamiento, de acuerdo con el artículo 32 RGPD. La evaluación atenderá al tipo y volumen de los datos, sus usos, las posibles consecuencias para las personas y el estado de la técnica.

La gestión del servicio comprende autenticación, asignación de roles y permisos por organización, comprobación de las credenciales de los dispositivos, control del alcance de la asistencia y registro de las actuaciones pertinentes. La seguridad deberá preservar la confidencialidad, integridad, disponibilidad y resiliencia del tratamiento, permitir restablecer el acceso a los datos cuando corresponda y someter las medidas a evaluación periódica.

La organización podrá solicitar la información pertinente sobre las medidas aplicadas y sus cambios. Esta obligación no implica entregar secretos o credenciales que comprometan a otros clientes; SERTEC PESAGE facilitará información suficiente por medios adecuados para demostrar el cumplimiento.

6. Proveedores que intervienen en el tratamiento

La organización autoriza la intervención de Google Cloud EMEA Limited, Irlanda, para la infraestructura, almacenamiento y autenticación de Google Cloud y Firebase, y de Hostinger International Limited, Chipre, para el alojamiento web y el correo, en la medida en que traten datos objeto de este encargo. Las prestaciones, lugares de tratamiento y garantías se recogen en el registro de proveedores, que acompaña a este anexo.

La infraestructura cloud principal utiliza regiones europeas; el alojamiento web de Hostinger se sitúa en Reino Unido y sus copias en Alemania. Firebase Authentication realiza tratamiento en Estados Unidos. Estas ubicaciones no equivalen a una garantía de tratamiento exclusivamente europeo ni comprenden necesariamente todas las operaciones auxiliares de cada proveedor.

La autorización general para incorporar o sustituir subencargados exige que SERTEC PESAGE comunique previamente su identidad, función, localización y garantías con antelación suficiente para que la organización pueda formular una oposición fundamentada en protección de datos. SERTEC PESAGE atenderá la oposición y examinará las alternativas antes de encomendarle los datos afectados. Una mera publicación de un nombre después de iniciado el acceso no sustituye esta comunicación.

Cada subencargado deberá quedar vinculado por un contrato que le imponga obligaciones de protección de datos equivalentes a las exigibles en su intervención. SERTEC PESAGE seguirá respondiendo ante la organización del cumplimiento de esas obligaciones por el subencargado.

Stripe, Apple y las plataformas de terminales de pago no se convierten automáticamente en subencargados de la organización por aparecer en el servicio. Sus tratamientos propios y las comunicaciones a proveedores designados para una operación se rigen por su función efectiva. La integración de Payweex transmite los datos pertinentes de las operaciones solicitadas. Si SERTEC PESAGE encomienda a uno de esos proveedores un tratamiento por cuenta de la organización, también deberá cumplir las condiciones de autorización y contratación de este apartado.

7. Transferencias internacionales

La intervención de un proveedor extranjero, la ubicación de una parte de la infraestructura en Europa o la aceptación de este anexo no sustituyen los requisitos legales de transferencia.

SERTEC PESAGE solo realizará las transferencias sujetas al capítulo V RGPD que dispongan del mecanismo aplicable, como una decisión de adecuación o garantías válidas del artículo 46, junto con las medidas complementarias necesarias cuando procedan. Mantendrá a disposición de la organización información sobre el mecanismo y las garantías que cubran efectivamente cada transferencia, con las adaptaciones necesarias para proteger información confidencial. La autorización para utilizar un proveedor no equivale al consentimiento de todas las personas afectadas ni autoriza una transferencia ilícita.

8. Derechos de las personas y cooperación

SERTEC PESAGE asistirá a la organización, teniendo en cuenta la naturaleza del tratamiento y mediante medidas apropiadas, para que atienda las solicitudes de derechos. Si recibe directamente una solicitud relativa a datos tratados por cuenta de la organización, la trasladará sin dilación indebida y no decidirá por su cuenta sobre ella salvo instrucción o exigencia legal. Los derechos relativos a tratamientos propios de SERTEC PESAGE se tramitarán en su condición de responsable.

También prestará la ayuda necesaria para las obligaciones de seguridad, las evaluaciones de impacto y, cuando procedan, las consultas previas a la autoridad de control, considerando la información de que disponga. Facilitará los elementos pertinentes sin atribuir a la organización obligaciones que correspondan legalmente a SERTEC PESAGE.

9. Incidentes de seguridad

SERTEC PESAGE notificará a la organización sin dilación indebida las violaciones de seguridad de datos personales objeto del encargo de las que tenga conocimiento. Facilitará, cuando esté disponible, la naturaleza del incidente, las categorías y cifras aproximadas de personas y registros afectados, un contacto, las posibles consecuencias y las medidas adoptadas o propuestas para contenerlo y reducir sus efectos.

Cuando la información no esté disponible simultáneamente, la facilitará por fases sin demoras injustificadas. Cooperará con la organización en la investigación, documentación y comunicaciones que procedan. La organización decide las notificaciones que le correspondan como responsable; esta distribución no limita las obligaciones propias de SERTEC PESAGE.

10. Información y auditorías

SERTEC PESAGE pondrá a disposición de la organización la información necesaria para acreditar el cumplimiento del encargo y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por la organización o por un auditor autorizado por ella.

Las partes coordinarán el alcance, las medidas de confidencialidad y las condiciones razonables de ejecución para proteger los datos de otros clientes y la continuidad del servicio. La coordinación no podrá vaciar de contenido el derecho de auditoría ni impedir una actuación urgente justificada o el acceso de una autoridad competente. La documentación disponible podrá emplearse cuando permita verificar suficientemente el aspecto examinado, sin excluir otras comprobaciones necesarias.

11. Finalización, devolución y supresión

Al finalizar la prestación de tratamiento, SERTEC PESAGE devolverá o suprimirá los datos personales por elección de la organización y eliminará las copias existentes, salvo conservación exigida por el Derecho de la Unión o de un Estado miembro. La organización puede comunicar su elección mediante privacy@easywine.net o support@easywine.net. La ejecución atenderá también a las obligaciones y plazos de salida o cambio de proveedor que correspondan al servicio.

La entrega utilizará un medio apropiado y seguro, tras comprobar la facultad de quien la solicita. No requiere que exista un botón de exportación en la aplicación. La elección de devolución no autoriza a mantener indefinidamente los datos después de entregarlos. SERTEC PESAGE confirmará la ejecución o indicará qué información conserva por exigencia legal, con qué finalidad y bajo qué restricciones.

La supresión comprende las copias del tratamiento. Cuando la eliminación individual en copias de respaldo no sea inmediata, los datos deberán permanecer protegidos y fuera del uso ordinario hasta su eliminación en el ciclo aplicable. No se reutilizarán ni se reintroducirán en producción por una restauración sin aplicar de nuevo las instrucciones de supresión. Este procedimiento no constituye una autorización para conservación indefinida ni una excepción a los plazos legales aplicables.

Cancelar la renovación, suspender funciones por impago, desvincular un equipo y eliminar una organización son operaciones distintas. Las reglas contractuales de capacidad y conservación de fichas no anulan la elección de devolución o supresión ni los derechos legalmente exigibles. Una orden cloud sobre un equipo desconectado puede requerir que vuelva a comunicarse para producir sus efectos locales.

12. Prevalencia y aceptación

Este anexo prevalece sobre una disposición contractual incompatible en lo relativo al tratamiento por cuenta de la organización. No modifica las funciones legales de las partes ni limita los derechos de las personas afectadas o las facultades de la autoridad de control.

La aceptación puede documentarse electrónicamente junto con la contratación o mediante una aceptación específica vinculada a la organización y a esta versión. La simple publicación del anexo no sustituye la incorporación al contrato. Cualquier modificación deberá respetar las instrucciones, garantías y requisitos legales aplicables.