Contrato de encargo del tratamiento
Anexo a las Condiciones generales de contratación. Cumple el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la LOPDGDD.
- Responsable: el Cliente identificado en el Presupuesto.
- Encargado: Mariano Hernán Lineros (CeroPixels), NIF 77992057T, Avenida de la Constitución, 7, 6.º D, 18001 Granada (España), [email protected].
1. Objeto, naturaleza y finalidad
El Encargado trata, por cuenta del Responsable, los datos personales contenidos en el Contenido del Cliente con la única finalidad de prestar el servicio contratado: almacenar, retocar, generar y editar imágenes (también con inteligencia artificial), revisarlas, y entregarlas a través de la Plataforma.
Operaciones: recogida (subida), almacenamiento, conservación, consulta, adaptación o modificación, recorte, comunicación a subencargados, puesta a disposición del Responsable y supresión.
2. Datos e interesados
- Categorías de interesados: modelos y otras personas que aparecen en las imágenes; empleados o colaboradores del Responsable cuyos nombres figuren en archivos, metadatos o comentarios.
- Tipos de datos: imagen física de personas (fotografías), nombres y datos identificativos en nombres de archivo, metadatos o comentarios.
- Datos que no deben subirse: categorías especiales del art. 9 RGPD (salud, origen étnico, vida sexual, etc.) más allá de lo inevitable en una fotografía de moda, imágenes de menores sin la autorización de sus representantes legales, ni datos ajenos al encargo. El Responsable se compromete a no incluirlos.
3. Duración
Lo que dure el contrato de servicio, más los plazos de supresión del apartado 11.
4. Obligaciones del Responsable
Entregar los datos con base legal suficiente, haber informado a los interesados y obtenido, cuando corresponda, su autorización para el tratamiento previsto (incluido el uso de inteligencia artificial y la intervención de los subencargados), y supervisar el tratamiento.
5. Instrucciones
El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable, que son las de este contrato, las del Presupuesto y las que el Responsable dé por escrito o a través de la Plataforma. Si una instrucción infringe a su juicio la normativa, lo comunicará de inmediato. Si la ley le obliga a tratar los datos para otro fin, informará al Responsable antes, salvo que la ley lo prohíba.
6. Confidencialidad
El Encargado garantiza que quienes tratan los datos (él mismo, el equipo de CeroPixels que desarrolla y opera la Plataforma, retocadores y revisores) se han comprometido por escrito a la confidencialidad, también después de terminar su relación.
7. Seguridad
El Encargado aplica las medidas del art. 32 RGPD descritas en el Anexo I, y las revisa periódicamente.
8. Subencargados
8.1. El Responsable da su autorización general para que el Encargado recurra a los subencargados de la lista publicada en Subencargados.
8.2. El Encargado avisará al Responsable por email con al menos 15 días de antelación de cualquier alta o sustitución. El Responsable puede oponerse por motivos razonables relacionados con la protección de datos; si no se llega a una solución, puede terminar el servicio afectado sin penalización.
8.3. El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a estas y responde ante el Responsable de su cumplimiento.
9. Transferencias internacionales
Algunos subencargados están en Estados Unidos o pueden tratar datos fuera del EEE. El Encargado solo transfiere datos con las garantías del capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo), indicadas en la lista de subencargados.
10. Asistencia
El Encargado ayudará al Responsable, teniendo en cuenta la naturaleza del tratamiento:
- a responder a las solicitudes de ejercicio de derechos: si un interesado se dirige al Encargado, se la trasladará en un plazo de 5 días hábiles;
- con las evaluaciones de impacto y consultas previas que el Responsable deba hacer;
- brechas de seguridad: notificará al Responsable sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento, toda brecha que afecte a sus datos, con la información disponible (naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables y medidas adoptadas o propuestas), completándola por fases si no la tiene toda.
11. Fin de la prestación y supresión
Los archivos de cada Paquete aceptado se suprimen 7 días después de su última actividad (apartado 10 de las condiciones). Al terminar el contrato, el Responsable puede descargar sus Entregables durante 30 días; después, el Encargado suprime los datos que queden, incluidas las copias en poder de los subencargados, salvo los que la ley obligue a conservar, que mantendrá bloqueados. Las copias de seguridad de la base de datos se sobrescriben en su ciclo ordinario, de 7 días.
12. Auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato. El Responsable puede hacer, o encargar a un auditor sujeto a confidencialidad, una auditoría al año, avisando con 30 días de antelación y asumiendo su coste, salvo que se detecte un incumplimiento grave.
13. Responsabilidad
Cada parte responde de sus incumplimientos conforme al art. 82 RGPD. Para lo demás se aplica la cláusula de responsabilidad de las condiciones generales.
Anexo I. Medidas de seguridad
- Cifrado de todas las comunicaciones (HTTPS/TLS).
- Archivos en almacenamiento privado (Cloudflare R2), accesibles solo mediante enlaces firmados de corta duración, emitidos tras comprobar en el servidor a qué cliente pertenece cada archivo.
- Aislamiento lógico de los datos de cada Cliente: toda consulta se filtra y autoriza en el servidor por workspace.
- Control de acceso por roles (cliente, retocador, control de calidad, administración) y por asignación de trabajos a cada retocador y revisor.
- Autenticación con contraseña, sesiones en cookies
HttpOnly/Secure, limitación de intentos de inicio de sesión por IP y por cuenta. - Registro de auditoría de inicios de sesión y acciones sensibles.
- Borrado programado de archivos (7 días tras la aceptación) y borrado de cuentas en dos fases.
- Proveedores con contrato de encargo; la lista, dónde tratan los datos y con qué garantías está en la página de Subencargados.
- Retocadores y revisores con contrato de confidencialidad y de subencargo, prohibición de guardar copias locales una vez entregado el trabajo y de usar herramientas no autorizadas.
Anexo II. Subencargados
Ver Subencargados, en su versión vigente.