Acuerdo de Tratamiento de Datos Personales (DPA) — VandoraSoft

Versión: 0.1 Última actualización: 01 de octubre de 2026

Este Acuerdo de Tratamiento de Datos Personales forma parte de los Términos y Condiciones o del contrato celebrado entre VandoraSoft y el Negocio cuando VandoraSoft trate datos personales por cuenta del Negocio.

1. Partes

Responsable

El Negocio que determina la finalidad para la cual utiliza datos personales de sus clientes mediante VandoraSoft.

Encargado

VandoraSoft, nombre comercial del proyecto.

La calificación anterior constituye el modelo contractual para los tratamientos en los que VandoraSoft actúe únicamente por cuenta e instrucciones documentadas del Negocio.

Si VandoraSoft determina una finalidad propia respecto de determinados datos, deberá identificar separadamente el rol jurídico que le corresponda para ese tratamiento.

2. Objeto

El Negocio encarga a VandoraSoft el tratamiento de los datos personales estrictamente necesario para prestar las funcionalidades contratadas que impliquen procesamiento de información de clientes finales, incluyendo Reservas cuando se encuentre habilitado.

VandoraSoft tratará dichos datos únicamente de acuerdo con:

1. este DPA;
2. los Términos y Condiciones;
3. la configuración legítima del servicio;
4. las instrucciones documentadas del Negocio;
5. la legislación peruana aplicable.

3. Duración

El encargo permanecerá vigente mientras VandoraSoft preste al Negocio una funcionalidad que requiera tratamiento por cuenta de este y durante el período posterior estrictamente necesario para realizar devolución, exportación, bloqueo, eliminación o conservación legal excepcional.

4. Naturaleza y finalidad del tratamiento

El tratamiento podrá comprender, según la funcionalidad:

• recopilación;
• registro;
• estructuración;
• almacenamiento;
• consulta;
• modificación;
• organización;
• transmisión técnica autorizada;
• generación de comunicaciones transaccionales;
• eliminación;
• anonimización.

Para Reservas V1 la finalidad principal es permitir que el Negocio gestione solicitudes, confirmaciones, cambios, cancelaciones, atención y estado de reservas.

VandoraSoft no utilizará los datos de clientes finales para publicidad propia, perfilado transversal entre Negocios o creación de una identidad global de consumidor salvo que exista una finalidad propia independiente, base jurídica válida y transparencia específica.

5. Categorías de titulares

Podrán incluir:

• clientes del Negocio;
• personas que solicitan una reserva;
• personas que mantienen una relación comercial o de servicio con el Negocio a través de funcionalidades expresamente habilitadas.

6. Categorías de datos

Para Reservas V1, las categorías autorizadas se limitarán preferentemente a:

• nombre;
• teléfono o canal de contacto;
• servicio reservado;
• fecha y hora;
• profesional, recurso o sede cuando corresponda;
• estado de la reserva;
• identificadores internos;
• metadatos operativos proporcionales.

Datos no previstos para Reservas V1

Salvo habilitación y evaluación posterior, no se prevé tratar:

• DNI;
• fecha de nacimiento;
• dirección domiciliaria;
• contraseñas del cliente final;
• notas libres;
• historias clínicas;
• diagnósticos;
• datos biométricos;
• otros datos sensibles.

El Negocio se obliga a no forzar deliberadamente el uso de campos ordinarios para introducir categorías de datos que la funcionalidad no está diseñada para procesar.

7. Instrucciones del Responsable

El Negocio instruye a VandoraSoft a tratar los datos únicamente para prestar las funcionalidades contratadas y según su configuración.

Si VandoraSoft considera que una instrucción puede infringir la normativa aplicable, podrá suspender su ejecución y comunicarlo al Negocio hasta que la instrucción sea aclarada o modificada.

8. Obligaciones de VandoraSoft como Encargado

VandoraSoft se obliga, en el ámbito del encargo, a:

1. tratar los datos únicamente por cuenta del Negocio y para las finalidades autorizadas;
2. mantener confidencialidad;
3. limitar el acceso a personal y proveedores que lo necesiten;
4. implementar medidas de seguridad apropiadas al riesgo;
5. asistir razonablemente al Negocio en la atención de derechos de los titulares;
6. informar de forma inmediata al Negocio sobre incidentes de seguridad de los que tome conocimiento y que afecten datos tratados por su cuenta;
7. mantener documentación razonable del tratamiento cuando sea exigible;
8. aplicar políticas de retención, eliminación o anonimización acordes con las instrucciones y obligaciones legales;
9. no vender ni utilizar para fines propios incompatibles los datos objeto del encargo;
10. colaborar razonablemente con requerimientos de la ANPD u otras autoridades competentes cuando corresponda.

9. Obligaciones del Negocio como Responsable

El Negocio es responsable de:

• definir una finalidad lícita;
• determinar qué datos necesita;
• cumplir el deber de información frente a sus clientes;
• obtener consentimiento cuando sea exigible;
• no utilizar Reservas como mecanismo de captación publicitaria encubierta;
• atender derechos ARCO;
• mantener actualizados sus datos de contacto de privacidad;
• cumplir las obligaciones de inscripción de bancos de datos que le correspondan;
• comunicar o regular flujos transfronterizos cuando le correspondan como responsable;
• no introducir datos excesivos o prohibidos para la funcionalidad;
• informar a VandoraSoft sobre instrucciones especiales necesarias para cumplir obligaciones legales aplicables al Negocio.

10. Subencargados

VandoraSoft podrá utilizar proveedores necesarios para prestar el servicio siempre que exista autorización previa en el instrumento contractual o mecanismo permitido por la normativa aplicable y que el subencargado quede sujeto a obligaciones de protección de datos equivalentes en lo pertinente.

VandoraSoft mantendrá un listado actualizado de subencargados relevantes que incluya, cuando corresponda:

• identidad del proveedor;
• servicio prestado;
• ubicación o países relevantes;
• tipo de tratamiento.

11. Flujos transfronterizos

Cuando la prestación del servicio implique transferencia o almacenamiento de datos fuera del Perú, las partes cumplirán las obligaciones que les correspondan conforme a la normativa peruana.

VandoraSoft informará al Negocio de los países y proveedores relevantes dentro de su cadena de tratamiento cuando corresponda.

12. Seguridad

VandoraSoft implementará medidas apropiadas al riesgo y al estado de la técnica razonablemente disponible, incluyendo según corresponda:

• control de acceso basado en roles;
• aislamiento lógico entre Negocios;
• autenticación segura;
• protección de sesiones;
• cifrado en tránsito;
• gestión de secretos;
• backups controlados;
• registros de auditoría;
• gestión de vulnerabilidades;
• minimización de PII en logs;
• controles sobre accesos administrativos.

La arquitectura deberá evitar que el teléfono u otro identificador de un cliente final se convierta por defecto en una identidad compartida entre diferentes Negocios.

13. Incidentes de seguridad

VandoraSoft informará de forma inmediata al Negocio al tomar conocimiento de un incidente de seguridad que afecte datos tratados por su cuenta.

La comunicación incluirá, en la medida en que la información esté disponible:

• naturaleza del incidente;
• categorías de datos afectadas;
• alcance conocido o estimado;
• posibles consecuencias;
• medidas adoptadas o propuestas;
• punto de contacto para seguimiento.

VandoraSoft no retrasará injustificadamente la primera notificación por no contar todavía con todos los detalles.

El Negocio conserva las obligaciones que le correspondan como responsable frente a la ANPD y a los titulares, sin perjuicio de la asistencia de VandoraSoft.

14. Derechos ARCO

Cuando VandoraSoft reciba directamente una solicitud relacionada con datos respecto de los cuales actúa como encargado, podrá:

1. informar al solicitante que el Negocio es el responsable correspondiente; y/o
2. trasladar la solicitud al Negocio sin dilación indebida, salvo impedimento legal.

VandoraSoft prestará asistencia técnica razonable para localizar, exportar, rectificar, bloquear o eliminar datos cuando ello resulte necesario para que el Negocio atienda una solicitud válida.

15. Retención, devolución y eliminación

Los datos no deberán conservarse indefinidamente por defecto.

Al terminar la finalidad o el servicio, VandoraSoft ejecutará la devolución, eliminación o anonimización conforme a:

• instrucciones del Negocio;
• configuración del producto;
• períodos de backups técnicamente necesarios;
• obligaciones legales aplicables.

Cuando una obligación legal exija conservación excepcional, el acceso quedará restringido a dicha finalidad.

Para Reservas, VandoraSoft podrá conservar métricas históricas únicamente cuando se hayan eliminado o anonimizado los identificadores de forma que la información restante no permita identificar razonablemente al cliente final.

16. Auditoría y evidencia

VandoraSoft mantendrá información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones como encargado.

El Negocio podrá solicitar información proporcional sobre las medidas aplicadas. Cualquier auditoría deberá:

• guardar confidencialidad;
• evitar afectar a otros clientes;
• respetar seguridad y secretos empresariales;
• coordinarse con anticipación razonable;
• limitarse a información relevante para el encargo.

17. Analytics y datos derivados

VandoraSoft podrá generar métricas técnicas y operativas necesarias para prestar y proteger la plataforma.

Cuando se utilicen datos derivados para análisis agregado o mejora del servicio, deberán aplicarse medidas que eviten reutilizar indebidamente la identidad de los clientes finales y respetar la finalidad y roles aplicables.

La PII operacional de Reservas no debe copiarse a Vandora Analytics cuando la métrica pueda obtenerse sin ella.

18. Orden de prevalencia

En caso de contradicción entre este DPA y disposiciones generales de los Términos respecto del tratamiento realizado por cuenta del Negocio, prevalecerá este DPA en materia de protección de datos, salvo norma imperativa en contrario.

19. Legislación aplicable

Este DPA se rige por la legislación de la República del Perú, incluyendo la Ley N.º 29733, el Decreto Supremo N.º 016-2024-JUS y demás disposiciones aplicables.

Anexo A — Ficha del tratamiento de Reservas V1