Seguridad y protección de datos en Sweeply
Sweeply protege los datos de los hoteles con cifrado en tránsito y en reposo, autenticación de dos factores, acceso basado en roles y registro de cambios, y los trata conforme a un contrato de encargo del tratamiento según el RGPD con cada cliente.
¿Cómo protege Sweeply los datos de los hoteles?
Los datos de los hoteles se cifran en tránsito y en reposo, el acceso está limitado por roles y protegido con autenticación de dos factores, y cada cambio queda registrado.
Cifrado: TLS para todos los datos en tránsito y cifrado AES-256 para los datos almacenados en Google Cloud.
Control de acceso: autenticación de dos factores, permisos basados en roles concedidos solo cuando son necesarios y un número mínimo de administradores.
Registro: el acceso a los datos queda registrado, y cada entrada, cambio y eliminación se asocia a un usuario identificado.
Copias de seguridad: copias de seguridad automáticas y cifradas en Google Cloud, con un plan de emergencia documentado para restablecer el acceso.
Separación: los sistemas de producción y de pruebas se mantienen separados, y los datos de cada hotel están separados lógicamente de los datos de otros clientes.
Personas: todo el equipo de Sweeply está sujeto a obligaciones de confidencialidad, y los datos de clientes no pueden almacenarse en dispositivos personales.
¿Dónde se alojan y tratan los datos de los hoteles?
Sweeply ehf. es una empresa islandesa, por lo que el RGPD se aplica directamente a Sweeply a través del Acuerdo sobre el EEE.
La producción se ejecuta en Google Cloud en la región us-central1, en Iowa (EE. UU.), por lo que los datos de los hoteles se tratan en EE. UU. Estas transferencias están amparadas por el Marco de Privacidad de Datos UE-EE. UU. o por las cláusulas contractuales tipo de la UE.
La seguridad física de los centros de datos la gestiona Google Cloud. Sus certificaciones figuran en la página de cumplimiento normativo de Google Cloud.
¿Cumple Sweeply el RGPD y podemos firmar un contrato de encargo del tratamiento?
Sí. Sweeply actúa como encargado del tratamiento para tu hotel y firma un contrato de encargo del tratamiento conforme al artículo 28 del RGPD, sujeto a la legislación islandesa.
Notificación de violaciones de seguridad: te lo notificamos sin dilación indebida y, cuando sea posible, en un plazo de 48 horas desde que tengamos conocimiento de la violación.
Solicitudes de los interesados: te ayudamos a responder y podemos exportar los datos de una persona en formato CSV o JSON.
Cambios de subencargados: te avisamos con 30 días de antelación de cualquier subencargado nuevo o sustituido, y puedes oponerte.
¿Qué subencargados utiliza Sweeply?
Sweeply utiliza los subencargados indicados a continuación. Cada uno está sujeto a un acuerdo por escrito con obligaciones de protección de datos al menos tan estrictas como las de nuestro contrato de encargo del tratamiento.
Google Cloud
Funcionalidad principal de la aplicación
EE. UU.
Twilio
Mensaje SMS de bienvenida a un usuario
EE. UU.
Sentry
Resolución de incidencias
Alojado en la UE
Chargebee
Gestión de suscripciones y facturación
UE
Intercom
Atención al cliente dentro del producto, mensajería y comunicaciones relacionadas
EE. UU. con DPF
Honeycomb
Resolución de incidencias
Alojado en la UE
Inngest
Procesamiento de tareas en segundo plano
EE. UU.
OpenAI
Procesamiento con IA
EE. UU.
Google Vertex AI
Funciones del producto asistidas por IA
EE. UU.
Las transferencias a subencargados en EE. UU. se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está certificado conforme a él y, en caso contrario, en las cláusulas contractuales tipo de la UE.
¿Cómo utiliza Sweeply los proveedores de IA con los datos de los hoteles?
Las funciones de IA de Sweeply funcionan con OpenAI y Google Vertex AI, que son subencargados en las mismas condiciones que el resto de subencargados.
Sweeply puede crear datos anonimizados o agregados que no identifican a tu hotel, a tus huéspedes ni a tu personal, y utilizarlos para operar y mejorar el servicio, incluidas las funciones de IA. Los datos anonimizados no son datos personales.
Los datos de clientes no se utilizan para entrenar los modelos de IA de OpenAI ni de Google.
¿Qué datos trata Sweeply y por cuenta de quién?
Sweeply trata datos personales por cuenta de tu hotel, que sigue siendo el responsable del tratamiento. Abarca a los huéspedes del hotel, así como al personal y los contratistas del hotel que utilizan Sweeply.
Nombres
Datos de contacto, como números de teléfono y direcciones de correo electrónico
Datos de uso y de registro, como ID de usuario, direcciones IP, información del dispositivo y registros de actividad
Datos de operaciones del hotel, como nombres de huéspedes, números de habitación, fechas de llegada y salida, solicitudes de huéspedes y asignaciones de tareas
Datos de planificación, como horarios de turnos y de tareas y estado de las tareas
Los datos se utilizan para prestar Sweeply: alojamiento, notificaciones por correo electrónico, SMS y push, atención al cliente, resolución de incidencias y funciones asistidas por IA. No está previsto tratar categorías especiales de datos, como información de salud, y estos datos no deberían introducirse en Sweeply.
¿Qué ocurre con nuestros datos cuando finaliza el contrato?
Sweeply elimina tus datos en un plazo de 30 días tras la finalización del contrato, salvo que la ley nos obligue a conservarlos.
Antes de que finalice el contrato, puedes exportar tus datos en cualquier momento en un formato común. Las copias incluidas en las copias de seguridad se eliminan a medida que estas rotan, y confirmamos la eliminación por escrito si lo solicitas.
¿Con quién contactamos para cuestiones de seguridad y protección de datos?
Escribe a legal@getsweeply.com para consultas sobre seguridad y protección de datos, solicitudes de contrato de encargo del tratamiento e información sobre subencargados.