Encargo de tratamiento

Entre quiénes se aplica

Este contrato se aplica entre tú, la empresa de alquiler con una cuenta de BoothBuddy («tú»), y Perception Group BV, Gitsestraat 593, 8800 Roeselare, Bélgica, número de empresa 1031.162.458, IVA BE 1031.162.458 («nosotros»). Forma parte de las condiciones de uso y lo aceptas cuando creas una cuenta.

Quién hace qué

Para las fotos y los datos de los invitados, tú eres el responsable del tratamiento y nosotros el encargado (artículo 28 RGPD). Tú decides por qué y cómo se tratan. Para tus propios datos de cuenta, el responsable somos nosotros: consulta la política de privacidad.

Qué tratamos y por qué

Tratamos las fotos y los datos de los invitados para que puedas hacer eventos: poner las fotos en tu propio Google Drive o Dropbox y cargarlas desde allí, la galería del invitado, la galería de tu cliente, la presentación, el informe para el cliente, la lista de invitados y la exportación CSV, el envío por correo o SMS a través de nuestros subencargados y el reenvío a tu propio webhook. Una foto solo está con nosotros hasta que llega a tu almacenamiento, más una pequeña vista previa para la galería. Lo hacemos mientras dure este contrato y durante el plazo de conservación de tu paquete. No usamos IA ni reconocimiento facial, no elaboramos perfiles y no usamos estos datos para nosotros.

Datos y personas

Datos: fotos, tiras de fotos, GIF y boomerangs; lo que introducen los invitados (por ejemplo, nombre, correo, número de teléfono, respuestas a tus preguntas); sus decisiones de consentimiento; adónde se enviaron los correos y SMS; cuántas veces se abrieron la página de un invitado y la galería de un evento, como un número en nuestro servidor, sin cookie, sin dirección IP y sin registrar cuándo; el nombre y los datos de contacto de tus clientes y tus notas sobre ellos.
Personas: los invitados a tus eventos, que pueden incluir niños, y las personas de contacto de tus clientes.
Datos sensibles: no los pedimos. No hagas en un formulario preguntas que los recojan, salvo que tengas una base jurídica.

Tus instrucciones

Solo tratamos estos datos siguiendo tus instrucciones, tal como las das en los ajustes de la web app y de las apps, o por escrito. Si la ley nos obliga a hacer otra cosa, te lo decimos antes, salvo que esa ley lo prohíba. Si creemos que una instrucción infringe el RGPD, te lo decimos.

Confidencialidad

Todas las personas de nuestro lado con acceso a los datos están obligadas a la confidencialidad, y solo los miran cuando hace falta para ayudarte o para mantener seguro el servicio.

Seguridad

Estas medidas están en vigor:

conexiones cifradas (HTTPS) con la web app, las galerías y las apps;
archivos cifrados en reposo por Cloudflare;
contraseñas guardadas solo como hash PBKDF2 con sal, y cookies de sesión solo como hash SHA-256;
tu acceso a Drive y Dropbox guardado cifrado (AES-GCM);
cada cuenta estrictamente separada de las demás, con pruebas automáticas de esa separación;
límites a los intentos de iniciar sesión, crear una cuenta, vincular y probar códigos de acceso de galerías;
páginas y archivos de invitados en direcciones largas imposibles de adivinar, y un código de acceso que puedes poner a la galería de un evento;
una clave por iPad u ordenador, que puedes revocar en la web app;
un registro de los cambios en tu cuenta, con direcciones IP acortadas;
subidas comprobadas por tipo, y archivos guardados que no pueden ejecutarse como una página.

Subencargados

Nos das autorización general para usar estos subencargados:

Cloudflare, Inc. (Estados Unidos, con una red en todo el mundo): hosting de la web app y la base de datos, el almacenamiento temporal de fotos y las vistas previas. La base de datos y el almacenamiento están vinculados a la Unión Europea desde su creación.
Resend (Plus Five Five, Inc., Estados Unidos, envío desde Irlanda): el correo que pide un invitado. Recibe su dirección de correo, el enlace a su galería y tus palabras. Transferencias en el marco del EU-US Data Privacy Framework y las cláusulas contractuales tipo de la Comisión Europea.
Twilio (Twilio Inc., Estados Unidos): el SMS que pide un invitado. Recibe su número de móvil, el enlace a su galería y tus palabras. Transferencias en el marco del EU-US Data Privacy Framework, las normas corporativas vinculantes de Twilio y las cláusulas contractuales tipo de la Comisión Europea.
Stripe y Apple gestionan los pagos y aquí no son subencargados: no reciben de nosotros datos de invitados. Los citamos para que tengas la imagen completa.

Te avisamos por correo con al menos 30 días de antelación antes de añadir o sustituir un subencargado, con quién es, qué hace y la fecha en que empieza. En ese tiempo puedes oponerte por motivos de protección de datos. Entonces buscamos juntos una solución. Si no lo conseguimos antes de la fecha, puedes terminar el contrato antes de esa fecha sin coste, y te devolvemos lo que pagaste por adelantado por el tiempo posterior. Nuestros subencargados están sujetos a las mismas obligaciones, y seguimos siendo responsables de ellos ante ti.

Cuentas que conectas tú

Google Drive y Dropbox solo se usan a través de tu propia cuenta, con tu propio permiso. Conectar uno de los dos es obligatorio, porque las fotos están allí. Son encargados tuyos, no nuestros: tú los eliges y tú haces tus propios acuerdos con ellos, también sobre dónde están esos datos. Lo mismo vale para la dirección que das a un webhook. Solo enviamos allí las respuestas de los invitados si lo activas.

Transferencias fuera del EEE

La base de datos, el almacenamiento temporal y las vistas previas están dentro de la Unión Europea. Eso no excluye del todo las transferencias: Cloudflare es una empresa estadounidense, las solicitudes pasan por el servidor más cercano de su red mundial, y los datos de tráfico o el acceso para soporte pueden acabar fuera del EEE.

Para ello se aplica el EU-US Data Privacy Framework, al que Cloudflare está adherida. Si deja de existir, se aplican las cláusulas contractuales tipo de la Comisión Europea del contrato de encargo de tratamiento de Cloudflare. Puedes pedirnos una copia.

Ayudarte

Dentro de lo razonable, te ayudamos a responder a las solicitudes de los invitados y a cumplir tus otras obligaciones del RGPD, como una evaluación de impacto. En la web app puedes encontrar, exportar y eliminar tú mismo los datos de un invitado. Si un invitado nos escribe, te pasamos la solicitud y no la respondemos en tu lugar, salvo que nos lo pidas.

Brechas de datos

Si hay una brecha de datos personales, te lo notificamos sin demora indebida y, como muy tarde, en las 48 horas siguientes a saberlo, en el correo de tu cuenta. Esas 48 horas son un límite máximo, no un tiempo de espera. Decimos qué pasó, qué datos y cuántas personas afecta, y qué estamos haciendo. Si aún no lo sabemos todo, notificamos primero lo que sabemos y lo completamos después. Tú decides si avisas a la autoridad y a los invitados; para la autoridad tienes tú mismo 72 horas.

Eliminación y devolución

Durante el contrato puedes descargar y eliminar todo tú mismo. Las sesiones que superan el plazo de conservación de tu paquete (Basis 3 meses, Pro 6 meses, Luxe 1 año, contado desde el día de la sesión) se eliminan automáticamente de nuestro lado: la galería, la vista previa, respuestas a formularios, direcciones y números. Las fotos de tu propio almacenamiento las gestionas tú. Si un invitado pide que se retire una foto, elimínala también allí.
Después del final de tu hosting decides tú: puedes descargar todo por evento y puedes eliminarlo todo de inmediato. Tu cuenta queda en solo lectura para que sea posible. Mientras no hagas otra cosa, el plazo de conservación de tu paquete es tu instrucción: mantiene tus galerías disponibles para ti y tus invitados y te permite volver a empezar.
Recordatorio. Te lo decimos en la web app cuando cancelas. Antes de que, tras el final de tu hosting, se elimine algo automáticamente por primera vez, te avisamos una vez por correo, y después esperamos al menos 30 días. Por eso, la primera eliminación puede producirse hasta 30 días después del final del plazo. Si tu paquete baja por un reembolso, hacemos lo mismo antes de que se aplique el plazo más corto.
Eliminar tu cuenta. Hazlo tú mismo en Ajustes, o pídenoslo, y todos los datos de invitados que contiene desaparecen en un plazo de 30 días, salvo que la ley nos obligue a conservar algo.
Historial de restauración. Los datos eliminados pueden permanecer todavía hasta 30 días en el historial de restauración de la base de datos en Cloudflare. Después desaparecen del todo.
Las fotos en tu propio Drive o Dropbox, en tus dispositivos o en la tarjeta de tu cámara las gestionas tú.

Auditoría

Te damos la información que necesitas para demostrar que cumplimos este contrato, cuando lo pidas y como máximo una vez al año, salvo que haya habido una brecha. Si eso no basta, puedes encargar una auditoría a tu costa, con un aviso razonable y bajo confidencialidad.

Tus obligaciones

Tienes una base jurídica para lo que haces con los datos de los invitados, e informas a los invitados.
Para los invitados menores de 16 años, tú y tu cliente sois responsables de obtener el permiso de su madre, padre o tutor, también para las fotos de niños. Las condiciones de uso explican por qué esto es independiente del límite belga de 13 años.
Respondes a las solicitudes de los invitados y mantienes tu propio contrato con tu cliente.
Mantienes seguros tu contraseña, los códigos PIN de tus dispositivos y tus dispositivos.

Duración y responsabilidad

Este contrato dura mientras guardemos datos personales para ti. Los límites de las condiciones de uso se aplican también aquí, salvo que el RGPD diga otra cosa. No limitan los derechos que los invitados tienen ellos mismos según el RGPD. Si este contrato y las condiciones difieren sobre datos personales, prevalece este contrato. ¿Preguntas? Escribe a info@studio-perception.be.