Contrato de encargo de tratamiento

Quien organiza el evento es la responsable del tratamiento de las fotos, los vídeos y los textos que se comparten en él («el Responsable»). Nostos Memories, a través de [TITULAR] con NIF [NIF] y domicilio en [DOMICILIO], actúa como encargada del tratamiento («la Encargada»). Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y se acepta al crear cada evento.

1. Objeto

La Encargada aloja, procesa y entrega al grupo del evento las fotos, los vídeos, las dedicatorias y las misiones que las personas invitadas aportan, y genera con ellos los recuerdos del evento. Solo trata los datos para prestar este servicio.

2. Duración

El contrato dura lo que dure el evento y su plazo de conservación (Gratis 30 días, Esencial 6 meses, Pro 12 meses desde el cierre), más el tiempo necesario para borrar las copias de seguridad.

3. Tipos de datos e interesados

• Datos: imágenes y vídeos, textos y dedicatorias, nombres de invitado y metadatos técnicos de los archivos (sin ubicación).
• Interesados: el propio Responsable y las personas invitadas, que pueden aparecer en las imágenes. Entre ellas puede haber menores de edad: la base legal para tratar sus imágenes la declara el Responsable al crear el evento.

4. Obligaciones de la Encargada

La Encargada:

• trata los datos solo siguiendo las instrucciones documentadas del Responsable, que se dan al usar la aplicación; si cree que una instrucción infringe la ley, se lo comunica;
• no usa los datos para fines propios ni los cede a terceros, salvo a los subencargados autorizados;
• garantiza que las personas de su equipo con acceso están sujetas a confidencialidad;
• trata los datos dentro de la Unión Europea, salvo lo indicado en la lista de subencargados y siempre con las garantías del RGPD.

5. Obligaciones del Responsable

El Responsable informa a las personas invitadas (el aviso del evento lo hace), cuenta con una base legal para tratar las imágenes, incluidas las de menores, y no sube ni permite contenido ilegal.

6. Subencargados

El Responsable da una autorización general para recurrir a los subencargados de la lista pública. La Encargada le avisará de cualquier incorporación o sustitución con al menos 15 días de antelación, en la aplicación o por email, para que pueda oponerse; si se opone y no hay alternativa, puede cerrar el evento y exportarlo. La Encargada impone a cada subencargado las mismas obligaciones de protección de datos que este contrato y responde ante el Responsable.

7. Seguridad

La Encargada aplica medidas técnicas y organizativas adecuadas: cifrado en tránsito y en reposo, aislamiento de cada evento, control de accesos, eliminación de la ubicación de los archivos, copias de seguridad cifradas y registros de seguridad sin datos personales.

8. Asistencia al Responsable

La Encargada ayuda al Responsable, con herramientas en la aplicación y, si hace falta, por email, a atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y a cumplir sus obligaciones de seguridad, evaluación de impacto y consulta previa. Pone a su disposición la información necesaria para demostrar el cumplimiento y permite auditorías razonables, con aviso previo.

9. Brechas de seguridad

La Encargada avisa al Responsable sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia de una brecha que afecte a los datos del evento, con la información de que disponga: naturaleza, datos y personas afectados, consecuencias probables y medidas adoptadas.

10. Finalización: devolución y borrado

Al cerrar el evento, el Responsable puede exportarlo todo. Pasado el plazo de conservación de su plan, la Encargada borra los datos del evento, con una red de seguridad de 7 días, y las copias de seguridad los olvidan en un máximo de 35 días. A petición del Responsable, antes de ese plazo, puede borrarlos de inmediato. La Encargada conservará únicamente lo que la ley le obligue a guardar.

11. Aceptación y versión

El Responsable acepta este contrato por medios electrónicos al crear el evento; Nostos Memories guarda la versión aceptada, la fecha y la cuenta que la aceptó.