JPOS («el Servicio») es un software de terminal punto de venta (TPV) en la nube, de tipo SaaS, cuya titularidad y explotación corresponden a Jantrah Tech (Pvt) Ltd («Jantrah Tech», «nosotros»), sociedad de responsabilidad limitada constituida en la República Islámica de Pakistán. Esta Política de Privacidad explica, de conformidad con los artículos 13 y 14 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, «RGPD») y con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»), qué datos tratamos cuando usted utiliza https://jpos.jantrah.com/es, con qué finalidad y base jurídica, cómo los protegemos y qué derechos le asisten.
1. Responsable del tratamiento
El responsable del tratamiento de los datos personales relativos a su cuenta y a su relación con nosotros es Jantrah Tech (Pvt) Ltd, Pakistán, con la que puede contactar por correo electrónico y a través del sitio web indicados en el apartado 13. Cuando resulte exigible conforme al artículo 27 del RGPD, Jantrah Tech tiene designado un representante en la Unión Europea; sus datos de contacto se facilitan previa solicitud dirigida al correo electrónico de contacto.
El Servicio es una herramienta profesional dirigida a empresarios y profesionales. Cuando usted registra los datos de sus propios clientes, empleados o proveedores dentro de JPOS, usted es el responsable de ese tratamiento y Jantrah Tech actúa como encargado del tratamiento (véase el apartado 4).
2. Datos que tratamos
Datos de la cuenta y del negocio
- Datos de registro: nombre del negocio, nombre del titular, correo electrónico, teléfono, ciudad y, opcionalmente, dirección del negocio, NIF/CIF y sitio web.
- Cuentas de personal que usted crea dentro de su negocio (nombres, nombres de usuario, datos de contacto, roles y permisos).
Datos del negocio que usted introduce
- Productos, precios, existencias, ventas, compras, fichas de clientes y proveedores (incluidas las cuentas de crédito o «fiado»), gastos, nóminas y registros relacionados. Estos datos son suyos; los almacenamos y tratamos únicamente para prestarle el Servicio.
Datos técnicos y de uso
- Datos de registro (logs) como la dirección IP, el tipo de navegador, las páginas visitadas, las horas de inicio de sesión y los eventos de seguridad (por ejemplo, intentos fallidos de acceso).
No recogemos en ningún caso datos de tarjetas bancarias, monederos electrónicos ni credenciales bancarias: el Servicio se presta actualmente de forma gratuita y no existe ningún flujo de pago.
3. Finalidades y bases jurídicas
Tratamos sus datos para las siguientes finalidades, con la base jurídica del artículo 6.1 del RGPD que se indica en cada caso:
- Prestación del Servicio (crear y gestionar su cuenta, ofrecer todas las funciones del TPV, emitir correos de servicio como la verificación del correo electrónico, el restablecimiento de contraseña y los avisos importantes): ejecución del contrato del que usted es parte o aplicación de medidas precontractuales a petición suya (art. 6.1.b RGPD).
- Seguridad de la plataforma (detección de accesos no autorizados, abusos y fraude, registros de auditoría, copias de seguridad): interés legítimo de Jantrah Tech y de todos los usuarios en la integridad y disponibilidad del Servicio (art. 6.1.f RGPD), teniendo en cuenta que el artículo 32 del RGPD nos obliga a aplicar medidas de seguridad adecuadas.
- Atención al usuario y mejora del Servicio: ejecución del contrato (art. 6.1.b) y, en lo que exceda de ella, interés legítimo en atender sus consultas y mejorar el producto (art. 6.1.f RGPD). Nunca utilizamos sus datos con fines publicitarios ni los cedemos a terceros con ese fin.
- Cumplimiento de obligaciones legales (atención a requerimientos de autoridades competentes, conservación de registros exigidos por la ley): obligación legal aplicable al responsable (art. 6.1.c RGPD).
- Cookie opcional «recordarme»: se instala únicamente si usted la solicita expresamente al iniciar sesión, por lo que constituye un servicio expresamente solicitado por usted (art. 6.1.b RGPD y art. 22.2 LSSI-CE).
No tomamos decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar (art. 22 RGPD). No vendemos sus datos y no los utilizamos para publicidad.
4. Datos de sus clientes y empleados: encargo del tratamiento
- Respecto de los datos personales que usted almacena en JPOS sobre sus propios clientes, empleados y proveedores (por ejemplo, fichas de clientes con saldos de fiado o datos de nómina), usted es el responsable del tratamiento y Jantrah Tech es su encargado del tratamiento en el sentido del artículo 28 del RGPD y del artículo 33 de la LOPDGDD.
- Tratamos esos datos exclusivamente siguiendo sus instrucciones documentadas, para prestarle el Servicio, y no los utilizamos para fines propios. Nuestro personal está sujeto al deber de confidencialidad.
- A petición suya, ponemos a su disposición un contrato de encargo del tratamiento con el contenido mínimo exigido por el artículo 28.3 del RGPD (objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos, obligaciones de seguridad, subencargados, asistencia en el ejercicio de derechos y en las notificaciones de brechas, y devolución o supresión de los datos al finalizar).
- Utilizamos como subencargados a nuestro proveedor de alojamiento (Hetzner Online GmbH, Unión Europea) y a nuestro proveedor de correo electrónico transaccional (SMTP), bajo obligaciones contractuales equivalentes. Le informaremos de cualquier cambio previsto en la lista de subencargados para que pueda oponerse.
- Si sufrimos una violación de la seguridad que afecte a datos que tratamos por su cuenta, se lo notificaremos sin dilación indebida (art. 33.2 RGPD) para que usted pueda cumplir, en su caso, con su obligación de notificar a la Agencia Española de Protección de Datos en el plazo de 72 horas y de comunicarlo a los afectados (arts. 33 y 34 RGPD).
- Como responsable, usted debe contar con una base jurídica válida para los datos que registra, informar a sus clientes y empleados y respetar los principios del artículo 5 del RGPD (en particular, la minimización de datos). Le recomendamos no registrar en el Servicio más datos personales de los necesarios para gestionar su negocio.
5. Cookies y sesiones
- Utilizamos exclusivamente cookies técnicas estrictamente necesarias: una cookie de sesión que mantiene su inicio de sesión y una cookie con el token CSRF que protege los formularios contra falsificación de peticiones.
- Si usted lo elige al iniciar sesión, una cookie opcional «recordarme» mantiene su sesión abierta entre visitas.
- Conforme al artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE), estas cookies están exentas del deber de obtener consentimiento, porque son necesarias para la prestación de un servicio expresamente solicitado por usted. Por ello no mostramos un banner de cookies.
- No utilizamos cookies publicitarias, de seguimiento entre sitios ni de analítica, ni cookies de terceros.
- Puede borrar o bloquear las cookies desde su navegador, pero el Servicio no funcionará sin las estrictamente necesarias.
6. Almacenamiento y seguridad
- La aplicación y la base de datos se alojan en servidores de Hetzner Online GmbH situados en la Unión Europea.
- Todo el tráfico entre su navegador y el Servicio se cifra mediante HTTPS/TLS.
- Las contraseñas se almacenan únicamente como hashes unidireccionales robustos: no podemos leer su contraseña.
- Los datos de cada negocio están lógicamente aislados: ningún otro negocio de la plataforma puede acceder a sus registros y nuestros controles de acceso lo verifican en cada petición.
- Los registros de seguridad y auditoría documentan las acciones sensibles a efectos de trazabilidad y responsabilidad.
- Se realizan copias de seguridad periódicas para proteger los datos frente a pérdidas.
Ningún sistema puede garantizarse seguro al 100 %, pero aplicamos las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y los riesgos para los derechos y libertades de las personas.
7. Transferencias internacionales
- Sus datos se almacenan y tratan en la Unión Europea. No obstante, el personal de soporte y operaciones de Jantrah Tech, situado en Pakistán, puede acceder a ellos de forma remota estrictamente en la medida necesaria para prestar el Servicio y el soporte técnico.
- Pakistán es un tercer país respecto del que la Comisión Europea no ha adoptado una decisión de adecuación conforme al artículo 45 del RGPD. Por ello, este acceso se ampara en las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) conforme al artículo 46.2.c) del RGPD, suscritas entre las entidades intervinientes, complementadas con medidas adicionales: los datos permanecen en servidores de la UE, el acceso se limita al personal autorizado y al mínimo necesario, se realiza a través de conexiones cifradas y queda registrado en los logs de auditoría.
- Puede solicitar una copia de las garantías aplicables escribiendo al correo electrónico de contacto.
8. Destinatarios de los datos
Solo comunicamos datos personales a:
- Proveedores de servicios necesarios para operar la plataforma (alojamiento e infraestructura en Hetzner Online GmbH y el proveedor de correo electrónico transaccional), que actúan como encargados o subencargados vinculados por contrato y solo pueden tratar los datos para prestarnos su servicio;
- Autoridades públicas, jueces y tribunales, cuando la comunicación sea exigida por el Derecho de la Unión o de España, por resolución judicial o por requerimiento legítimo de una autoridad competente;
- Una entidad sucesora, en caso de fusión, adquisición o reestructuración de Jantrah Tech, en cuyo caso esta política seguirá aplicándose a sus datos y se le informará previamente.
No cedemos sus datos a otros negocios usuarios de la plataforma ni a terceros con fines comerciales.
9. Conservación y supresión
- Los datos de su cuenta y de su negocio se conservan mientras su cuenta esté activa y durante un plazo razonable después, para que pueda reanudar el uso sin perder nada.
- Si cierra su cuenta o solicita la supresión, eliminaremos o anonimizaremos sus datos personales en un plazo razonable, salvo aquellos que debamos conservar para cumplir obligaciones legales, contables o fiscales o para la formulación, el ejercicio o la defensa de reclamaciones. Conforme al artículo 32 de la LOPDGDD, los datos suprimidos pueden mantenerse bloqueados a disposición exclusiva de las autoridades durante los plazos de prescripción de las posibles responsabilidades.
- Los registros de seguridad se conservan durante el tiempo necesario para su finalidad y, a continuación, se eliminan.
- Sus propios registros mercantiles y fiscales: los datos del negocio que usted introduce (ventas, tickets, compras, nóminas) pueden estar sujetos a la obligación de conservación de seis años del artículo 30 del Código de Comercio y a los plazos de prescripción de la Ley 58/2003, de 17 de diciembre, General Tributaria. Esa obligación es suya como responsable: antes de solicitar la supresión de su cuenta, exporte o conserve por otros medios los registros que deba mantener.
10. Sus derechos
En virtud de los artículos 15 a 22 del RGPD y 12 a 18 de la LOPDGDD, usted tiene derecho a:
- Acceso: obtener confirmación de si tratamos sus datos y una copia de los mismos (art. 15 RGPD);
- Rectificación de los datos inexactos o incompletos (art. 16), que además puede hacer directamente desde su perfil y la Configuración del negocio dentro de la aplicación;
- Supresión («derecho al olvido») cuando los datos ya no sean necesarios o no exista base jurídica que ampare su tratamiento (art. 17);
- Limitación del tratamiento en los supuestos del artículo 18;
- Portabilidad: recibir los datos que nos haya facilitado en un formato estructurado, de uso común y lectura mecánica, o que se transmitan a otro responsable (art. 20);
- Oposición a los tratamientos basados en el interés legítimo, por motivos relacionados con su situación particular (art. 21);
- No ser objeto de decisiones individuales automatizadas (art. 22) y retirar el consentimiento en cualquier momento cuando esa sea la base del tratamiento, sin que ello afecte a la licitud del tratamiento previo (art. 7.3).
Para ejercer estos derechos, escriba al correo electrónico indicado en el apartado 13 desde la dirección asociada a su cuenta, indicando el derecho que desea ejercer. Si tenemos dudas razonables sobre su identidad, podremos solicitarle información adicional para confirmarla. Responderemos sin dilación indebida y, en todo caso, en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses en casos complejos, en cuyo caso se lo comunicaremos (art. 12.3 RGPD). El ejercicio de estos derechos es gratuito.
Si considera que el tratamiento de sus datos vulnera la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, conforme al artículo 77 del RGPD, así como a la tutela judicial efectiva (art. 79 RGPD). Le agradeceremos que se dirija primero a nosotros para intentar resolver cualquier cuestión.
Si usted es cliente o empleado de un negocio que utiliza JPOS y desea ejercer sus derechos sobre los datos que ese negocio ha registrado, diríjase en primer lugar a dicho negocio, que es el responsable de ese tratamiento. Si recibimos su solicitud, se la trasladaremos y le prestaremos la asistencia prevista en el artículo 28.3.e) del RGPD.
11. Menores de edad
El Servicio es una herramienta profesional destinada a personas mayores de 18 años. No recogemos conscientemente datos personales de menores. Si cree que un menor nos ha facilitado datos personales, contacte con nosotros y los eliminaremos.
12. Cambios en esta política
Podemos actualizar esta Política de Privacidad para reflejar cambios legales, técnicos u operativos. La fecha de «Última actualización» que figura en la cabecera identifica la versión vigente. Los cambios sustanciales se le comunicarán por correo electrónico o mediante un aviso dentro de la aplicación con antelación a su entrada en vigor. La versión vigente estará siempre disponible en esta página, junto con nuestros Términos y Condiciones.
Jantrah Tech (Pvt) Ltd — Pakistán (responsable del tratamiento)