Acuerdo de encargo del tratamiento

De una parte, el cliente: la residencia canina, guardería, centro de cuidado animal o profesional que ha contratado Okamisato y que determina los fines y medios del tratamiento de los datos personales que incorpora a la plataforma. Sus datos identificativos son los facilitados en la contratación y los que consten en su cuenta.

De otra parte, el prestador: Víctor Tapias González, persona física (empresario individual / autónomo), con NIF 38865407F, nombre comercial Okamisato y domicilio en Serrat del Portinyol, 1, 3-1, 08350 Arenys de Mar, Barcelona, España.

El cliente actúa como responsable del tratamiento. Okamisato actúa como encargada del tratamiento respecto de los datos personales que trata por cuenta del cliente en la prestación del servicio. Okamisato no determina los fines ni los medios esenciales de ese tratamiento y no utiliza esos datos para finalidades propias.

Cuando el cliente incorpore datos personales cuyo responsable sea un tercero, el cliente garantiza estar legitimado para encargar su tratamiento a Okamisato en los términos de este acuerdo.

Este acuerdo regula el tratamiento de datos personales que Okamisato realiza por cuenta del cliente al prestarle el servicio. Se incorpora automáticamente a la relación contractual cuando el cliente utiliza Okamisato para tratar datos personales, forma parte integrante de las Condiciones generales de contratación y produce plenos efectos entre las partes sin necesidad de un documento adicional.

• Condiciones generales de contratación

Este acuerdo entra en vigor con el inicio del tratamiento y permanece vigente mientras Okamisato trate datos personales por cuenta del cliente. Las obligaciones de confidencialidad, y las relativas a la devolución, supresión y conservación legal, subsisten tras su terminación.

La naturaleza del tratamiento es la prestación de un servicio de software en la nube. Su finalidad es permitir al cliente gestionar su actividad: reservas y estancias, clientes y perros, alojamientos y planificación diaria, tareas del equipo, documentación y contratos, comunicaciones con sus clientes, cobros y facturación, e informes de su actividad. El detalle figura en el Anexo I.

Recogida, registro, estructuración, conservación, consulta, modificación, extracción, utilización, comunicación por transmisión a los destinatarios indicados por el cliente, cotejo, limitación, supresión y destrucción, por medios automatizados, dentro de la plataforma y de la infraestructura empleada para prestarla.

Las categorías de interesados y de datos son las descritas en el Anexo I de este acuerdo.

El servicio no está diseñado para tratar categorías especiales de datos del artículo 9 del RGPD. La información sobre la salud, la medicación o las pautas de cuidado de un perro se refiere a un animal y al servicio contratado, y no constituye por sí misma un dato de salud de una persona física. Si el cliente decidiera incorporar categorías especiales de datos, lo haría bajo su exclusiva responsabilidad y debiendo asegurar la existencia de una base jurídica del artículo 9.

Okamisato tratará los datos personales únicamente siguiendo las instrucciones documentadas del cliente. Constituyen instrucciones documentadas: este acuerdo, las Condiciones generales de contratación, la configuración que el cliente establece en la plataforma, el uso ordinario de las funcionalidades del servicio y las instrucciones adicionales que el cliente comunique por escrito a través del canal de contacto.

Okamisato tratará los datos al margen de esas instrucciones únicamente cuando lo exija el Derecho de la Unión o de un Estado miembro que le sea aplicable, en cuyo caso informará al cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

Okamisato informará al cliente sin demora si, en su opinión, una instrucción infringe la normativa de protección de datos, y podrá suspender la ejecución de esa instrucción hasta que el cliente la confirme o la modifique.

Okamisato mantendrá la confidencialidad de los datos personales tratados por cuenta del cliente, obligación que subsiste tras la terminación del contrato.

El acceso queda limitado a las personas que necesiten intervenir en la prestación del servicio, y únicamente en la medida necesaria. Esas personas están sujetas a un compromiso de confidencialidad de naturaleza contractual o legal y reciben la información necesaria sobre sus obligaciones en materia de protección de datos.

Okamisato aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento. Las medidas concretas figuran en el Anexo II y podrán actualizarse, siempre que el nivel de seguridad no se vea reducido.

El cliente otorga a Okamisato una autorización general para recurrir a otros encargados (subencargados) para la prestación del servicio. Los subencargados actuales figuran en el Anexo III.

Okamisato impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este acuerdo, y seguirá siendo plenamente responsable ante el cliente del cumplimiento por parte del subencargado.

Okamisato informará al cliente de la incorporación o sustitución de subencargados con una antelación razonable, y en todo caso no inferior a treinta días naturales antes de que el nuevo subencargado comience a tratar datos, mediante comunicación al correo de contacto del cliente o publicación de una versión actualizada del Anexo III.

El cliente podrá oponerse de forma razonada dentro de ese plazo, exponiendo los motivos de protección de datos en que funde su objeción. Las partes buscarán de buena fe una solución alternativa. Si no fuera posible y Okamisato mantuviera el cambio, el cliente podrá resolver el contrato sin penalización, con efectos desde la fecha en que el nuevo subencargado comience a tratar datos.

Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. No se garantiza que la totalidad de los datos permanezca en España o en la Unión Europea.

Toda transferencia internacional se realizará al amparo de alguno de los mecanismos previstos en el capítulo V del RGPD: una decisión de adecuación de la Comisión Europea o, en su defecto, las cláusulas contractuales tipo adoptadas por la Comisión, junto con las medidas complementarias que resulten necesarias tras el análisis correspondiente. El Anexo III indica esta circunstancia para cada subencargado.

Teniendo en cuenta la naturaleza del tratamiento, Okamisato asistirá al cliente, mediante las funcionalidades de la plataforma y, cuando sea necesario, con medidas técnicas y organizativas apropiadas, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.

Si un interesado dirige a Okamisato una solicitud relativa a datos tratados por cuenta del cliente, Okamisato no la atenderá por sí misma: la remitirá al cliente sin demora indebida y le prestará la asistencia razonable que precise.

Okamisato notificará al cliente, sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por su cuenta, a través del correo de contacto del cliente.

La notificación incluirá, en la medida en que la información esté disponible, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos. Si no fuera posible facilitar toda la información simultáneamente, se comunicará de forma gradual sin dilación indebida.

Corresponde al cliente, como responsable, decidir sobre la notificación a la autoridad de control y, en su caso, la comunicación a los interesados.

Okamisato prestará al cliente la asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, para el cumplimiento de sus obligaciones en materia de seguridad del tratamiento, notificación y comunicación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control.

Okamisato cooperará con la autoridad de control competente cuando así se le requiera en el ejercicio de sus funciones, e informará al cliente de cualquier requerimiento relacionado con los datos tratados por su cuenta, salvo que la normativa lo prohíba.

Okamisato pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de las obligaciones de este acuerdo y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del cliente o de un auditor que este mandate.

Las auditorías se solicitarán con una antelación mínima de treinta días naturales, se realizarán en horario laboral, sin interrumpir la prestación del servicio, con una periodicidad máxima anual salvo requerimiento de una autoridad o incidente de seguridad relevante, y sujetas a un compromiso de confidencialidad. El auditor no podrá ser un competidor de Okamisato. Los costes de la auditoría corren a cargo del cliente, salvo que la auditoría revele un incumplimiento material imputable a Okamisato.

Terminada la prestación del servicio, y a elección del cliente comunicada por escrito, Okamisato devolverá los datos personales o los suprimirá, junto con las copias existentes, salvo que deba conservarlos por obligación legal.

El cliente dispondrá de un plazo razonable tras la terminación para solicitar la devolución o la exportación de la información mediante las funcionalidades disponibles en el producto. Este acuerdo no compromete un formato de exportación determinado ni una fecha concreta de borrado: la política operativa de conservación, exportación y baja se publicará como documento específico.

La supresión de los datos en el entorno productivo no implica su desaparición inmediata de las copias de seguridad gestionadas por los proveedores de infraestructura. Esas copias se sobrescriben conforme a los ciclos de retención de dichos proveedores, y los datos que permanezcan en ellas no serán objeto de tratamiento activo hasta su eliminación.

Determinada información debe conservarse aunque el cliente solicite su supresión: la documentación contractual, contable y fiscal y, en particular, los registros de facturación ya emitidos y, en su caso, remitidos a la Administración, que la normativa fiscal obliga a mantener inalterados durante los plazos legalmente establecidos. Esta información se conserva bloqueada, a disposición exclusiva de las autoridades competentes, y se suprime al vencer el plazo.

El cliente, como responsable del tratamiento, garantiza que:

• dispone de una base jurídica válida para los tratamientos que realiza a través de la plataforma
• ha informado a los interesados conforme a los artículos 13 y 14 del RGPD y, cuando procede, ha recabado su consentimiento
• los datos que incorpora son adecuados, pertinentes y limitados a lo necesario
• sus instrucciones a Okamisato son lícitas y conformes con la normativa de protección de datos
• gestiona correctamente los accesos de su equipo y retira los de quien deja de necesitarlos
• atiende las solicitudes de ejercicio de derechos que le dirijan los interesados

Contacto de Okamisato a efectos de este acuerdo, incluidas las notificaciones de violaciones de seguridad, las solicitudes de asistencia y las peticiones de auditoría: soporte@okamisato.com.

Contacto del cliente: la dirección de correo electrónico asociada a su cuenta, que el cliente debe mantener actualizada y en la que se entenderán válidamente recibidas las comunicaciones previstas en este acuerdo.

En caso de contradicción entre documentos, prevalecerá, por este orden: la normativa imperativa de protección de datos; este acuerdo de encargo del tratamiento; las Condiciones generales de contratación; el resto de documentación contractual y comercial. Este acuerdo prevalece sobre cualquier documento anterior relativo al mismo objeto.

Versión 2026-09-v2, en vigor desde el 12 de septiembre de 2026. La versión vigente es la publicada en esta página. Las modificaciones sustanciales se comunicarán con antelación razonable y, si el cliente no las acepta, podrá resolver el contrato conforme a las Condiciones generales de contratación.

La lengua de este acuerdo es el castellano. Las traducciones que puedan publicarse no tienen valor contractual y la versión en castellano prevalece en caso de discrepancia.

Descripción de los tratamientos que Okamisato realiza por cuenta del cliente. El cliente decide qué datos incorpora efectivamente a la plataforma, por lo que no todos los tratamientos aplican necesariamente a todas las residencias.

Duración de los tratamientos: mientras dure la relación contractual entre el cliente y Okamisato y, después, durante los plazos de conservación legal aplicables conforme a las cláusulas 19 a 21.

Medidas efectivamente aplicadas y sostenidas por el producto y por su infraestructura. Este anexo no invoca certificaciones que Okamisato no posee: no dispone de certificación ISO 27001 propia, ni de informe SOC propio, ni de ninguna otra certificación externa de seguridad.

• Aislamiento por residencia: la información de cada cliente está separada lógicamente y las consultas se filtran por su ámbito, de modo que una residencia no accede a los datos de otra.
• Seguridad a nivel de fila en la base de datos, que aplica el aislamiento en la propia capa de datos y no únicamente en la aplicación.
• Autenticación de todos los accesos a la aplicación de gestión y al portal de cliente.
• Control de acceso basado en roles: cada usuario ve y puede hacer únicamente lo que su rol permite.
• Cifrado de las comunicaciones en tránsito mediante HTTPS/TLS.
• Gestión de secretos y credenciales mediante variables de entorno y almacenes del proveedor, sin incorporarlos al código fuente.
• Trazabilidad de las operaciones sensibles en aquellos ámbitos en que el producto la registra, en particular en los flujos de facturación y en los registros fiscales.
• Registros técnicos de la aplicación y de la infraestructura para la detección y el diagnóstico de incidencias.
• Verificación antibot en los formularios públicos para proteger frente a envíos automatizados.
• Separación de entornos y control de los cambios que se despliegan en producción.
• Recuperación y continuidad conforme a los mecanismos que ofrecen los proveedores de infraestructura y de base de datos utilizados.
• Procesos de archivo y borrado existentes en el producto para la información que el cliente deja de necesitar, dentro de los límites de conservación legal.

Estas medidas no comprometen un porcentaje de disponibilidad del servicio ni afirman la verificación periódica de las copias de seguridad de los proveedores. Las medidas podrán actualizarse siempre que el nivel de seguridad no se vea reducido.

Subencargados que tratan datos personales por cuenta de Okamisato en la prestación del servicio.

No figuran en este anexo aquellos terceros que no actúan como subencargados de Okamisato. Stripe determina por sí mismo parte de los fines y medios de su tratamiento y asume obligaciones regulatorias propias, por lo que actúa como responsable propio o con rol mixto conforme a sus condiciones. La Agencia Estatal de Administración Tributaria es la administración destinataria de los registros de facturación por obligación legal, no una subencargada. Google Analytics y Microsoft Clarity intervienen únicamente en la analítica de la web pública, con consentimiento, fuera del ámbito de este encargo. Holded, cuando la residencia lo tiene configurado, es una integración externa cuya relación establece la propia residencia con el proveedor.

La incorporación o sustitución de subencargados se comunicará conforme a la cláusula 12, que reconoce al cliente el derecho a oponerse de forma razonada.