Acord d’encàrrec de tractament

Parts i condició

Responsable

L’usuari professional o l’entitat identificada al compte i perfil, que decideix les finalitats i els mitjans essencials de les autoritzacions i declara facultats per acceptar aquest acord.

Encarregat

José Irún Sánchez, NIF 37292698S, C/ Gavà 21–23, 4t 2a, 08014 Barcelona, Espanya; info@imageconsent.eu, titular d’ImageConsent.

Objecte

Tractament tècnic de les dades incloses pel responsable per crear, signar, conservar, lliurar, exportar, verificar, revocar i eliminar registres d’autorització d’imatge i veu.

Independència de rols

Aquest acord no cobreix els tractaments per als quals ImageConsent determina finalitats pròpies —compte, seguretat, compra, suport i obligacions legals—, respecte dels quals actua com a responsable segons la Política de privacitat.

1. Abast, durada i jerarquia

L’encàrrec comença amb l’acceptació i dura mentre el responsable mantingui un compte o quedin dades pendents de devolució, supressió o bloqueig. La naturalesa, finalitat, dades i persones afectades es detallen a l’annex I.

Aquest acord preval sobre instruccions contradictòries de documentació comercial en matèria de protecció de dades. El RGPD, les Condicions, aquest acord i les instruccions registrades al producte formen el conjunt contractual. Res no autoritza ImageConsent a decidir finalitats noves per a les dades del responsable.

2. Instruccions documentades

L’encarregat tractarà les dades només seguint instruccions documentades: configuració escollida, accions autenticades, sol·licituds vàlides de suport i aquest acord. Això inclou transferències a un tercer país només quan estiguin documentades i compleixin el capítol V RGPD.

Si una norma de la Unió o d’un Estat membre obliga a un altre tractament, l’encarregat n’informarà abans el responsable, tret de prohibició legal per raons importants d’interès públic. Si considera que una instrucció infringeix el RGPD o una altra norma aplicable, ho comunicarà immediatament i podrà suspendre només l’operació afectada fins que s’aclareixi.

3. Deure de confidencialitat

L’accés queda limitat a persones que el necessitin per operar, assegurar o assistir el servei i que estiguin subjectes a confidencialitat contractual o legal. El deure continua després de finalitzar la seva intervenció. S’apliquen privilegis mínims i es revisen els accessos davant de canvis de funció.

4. Seguretat del tractament

L’encarregat implantarà i mantindrà mesures tècniques i organitzatives adequades al risc segons l’article 32 RGPD, incloses les de l’annex II. Avaluarà confidencialitat, integritat, disponibilitat, resiliència, restauració i proves periòdiques sense presentar les mesures com a garantia absoluta.

El responsable ha de protegir credencials i dispositius, limitar membres del seu espai, configurar correctament cada expedient i no introduir dades innecessàries. Una mesura de l’encarregat no substitueix aquestes obligacions.

5. Subencarregats

El responsable concedeix autorització general per a les categories i serveis de l’annex III. L’encarregat mantindrà una relació actualitzada i avisarà amb antelació raonable d’altes o substitucions materials; com a objectiu operatiu, 15 dies quan sigui possible.

El responsable es podrà oposar dins del termini comunicat per motius raonables relacionats amb protecció de dades. Les parts intentaran una alternativa raonable; si no n’hi ha, qualsevol podrà acabar la funció afectada sense penalització addicional, sens perjudici dels drets ja nascuts.

Abans de permetre accés, l’encarregat imposarà al subencarregat per escrit obligacions equivalents, comprovarà el mecanisme de transferència i continuarà sent plenament responsable davant el responsable. Anomenar una marca a l’annex no afirma que aquesta documentació ja s’hagi verificat.

6. Transferències internacionals

No es farà cap transferència restringida sense un mecanisme vàlid del capítol V RGPD. Quan no hi hagi decisió d’adequació, s’utilitzaran les clàusules contractuals tipus de la Decisió (UE) 2021/914 o un altre instrument vàlid, amb avaluació del país i mesures complementàries quan calguin.

La ubicació comercial d’una regió no demostra per si sola l’absència de transferències. El registre de proveïdors ha d’identificar entitat contractant, importador, països d’accés, mòduls, mesures i data de revisió. Si falten evidències, no s’afirmarà que la transferència està coberta ni que tot el tractament roman a la UE.

7. Drets de les persones

Tenint en compte la naturalesa del tractament, l’encarregat assistirà el responsable mitjançant funcions de cerca, exportació, rectificació, revocació i eliminació i suport raonable per respondre als articles 12 a 22 RGPD.

Si rep directament una sol·licitud relativa a dades del responsable, la traslladarà sense dilació indeguda i no respondrà en nom seu excepte instrucció o deure legal. Podrà verificar la identitat de manera proporcionada.

8. Assistència de compliment

L’encarregat facilitarà informació raonablement disponible perquè el responsable compleixi els articles 32 a 36 RGPD: seguretat, bretxes, comunicació, EIPD i consulta prèvia. L’assistència tindrà en compte la naturalesa del tractament i la informació disponible.

L’ajuda no transfereix a l’encarregat la decisió del responsable sobre base jurídica, risc, notificació, consulta o ús d’imatges. Les tasques extraordinàries es podran acordar separadament sense limitar l’assistència imposada per la llei.

9. Bretxes de dades personals

L’encarregat notificarà al responsable sense dilació indeguda després de tenir constància d’una bretxa que afecti les seves dades; l’objectiu intern és una primera alerta dins de 24 hores des de la confirmació, sense convertir-ho en garantia mentre s’investiguen fets.

La notificació inclourà, a mesura que estigui disponible: naturalesa, sistemes i dades, categories i nombre aproximat d’afectats/registres, contacte, conseqüències, mesures, cronologia i mancances. S’actualitzarà per fases i es conservarà un registre.

El responsable decideix i fa la notificació a l’autoritat dins de 72 hores quan correspongui i la comunicació als afectats si hi ha risc alt, tret d’un encàrrec exprés concret permès per la llei.

10. Devolució i supressió

Durant el servei, el responsable pot exportar dades i eliminar autoritzacions. En finalitzar, podrà escollir devolució raonablement disponible i supressió; si no dona una altra instrucció abans d’eliminar el compte, el borrat es considera instrucció de suprimir les còpies actives controlades per ImageConsent.

L’obligació no arriba a dades que una norma obligui a conservar; quedaran bloquejades i separades. Les còpies de recuperació se suprimiran en rotar segons el termini contractual verificat. L’encarregat confirmarà el resultat disponible sense afirmar esborrament físic instantani de suports que no controla.

11. Informació, auditories i inspeccions

L’encarregat facilitarà la informació necessària per demostrar l’article 28 i permetrà auditories raonables del responsable o auditor independent subjecte a confidencialitat. Normalment s’atendran primer amb documentació, qüestionari i reunió remota, amb 30 dies de preavís i una vegada l’any.

Aquests límits no s’apliquen després d’una bretxa material, davant indicis fundats o per requeriment d’autoritat. L’auditoria evitarà dades d’altres clients i riscos de seguretat. Cada part assumeix costos ordinaris; l’encarregat corregirà un incompliment material propi.

12. Obligacions del responsable

El responsable garanteix que les instruccions són lícites, ha informat les persones, disposa de base jurídica i ha avaluat necessitat, proporcionalitat, menors, terminis i destinataris. Mantindrà el registre d’activitats, tramitarà drets i conservarà només el necessari.

No ordenarà carregar material que la plataforma no estigui dissenyada per tractar —com fotografies de documents o categories especials innecessàries— i comunicarà errors, accessos indeguts, revocacions i canvis de membres.

13. Responsabilitat i finalització per incompliment

Cada part respon segons l’article 82 RGPD i altres normes imperatives pels danys imputables a les seves decisions o obligacions. Cap clàusula limita drets de les persones ni la competència d’autoritats.

Un incompliment material no esmenat després d’avís raonable permet suspendre el tractament afectat o acabar l’encàrrec. Si la urgència de seguretat exigeix actuar abans, s’informarà tan aviat com sigui segur i legal.

14. Contactes i canvis

Les comunicacions de privacitat, instruccions excepcionals i bretxes s’enviaran a info@imageconsent.eu i al correu verificat del responsable. Aquest l’ha de mantenir actualitzat.

Una modificació material canvia la versió i requereix una acceptació nova. Una actualització de subencarregats seguirà el procediment de la clàusula 5 i no es presentarà com a contracte signat fins que se’n conservi evidència.

Annex I · Descripció del tractament

Persones afectades

Persones adultes fotografiades o gravades; menors; progenitors, tutors o representants; contactes del projecte; i usuaris autoritzats de l’espai professional.

Dades personals

Nom, contacte, tipus/número d’identificació quan es faciliti, representació, sessió/projecte, finalitats, abast, signatura, mètode, idioma, versió, dates, esdeveniments, revocació, lliurament i empremta d’integritat.

Categories especials

No estan previstes. La plataforma no demana salut, biometria per a identificació única, ideologia, religió, afiliació, vida sexual o origen ètnic. La signatura dibuixada no s’utilitza com a plantilla biomètrica.

Operacions

Recollida, validació, xifratge/protecció, organització, consulta, transmissió per signatura o correu, còpia de continuïtat, document, exportació, actualització, revocació, restricció i supressió.

Finalitat

Prestar l’eina de documentació i traçabilitat d’autoritzacions segons la configuració i accions del responsable.

Freqüència

Contínua mentre s’utilitzi el compte i sota demanda per a cada operació.

Durada

Mentre existeixi el compte o registre i durant el període tècnic limitat de devolució, supressió, bloqueig o rotació de còpies.

Lloc

Infraestructura i proveïdors de l’annex III. La ubicació exacta i qualsevol accés de tercers països han de constar al registre; no es presumeix residència exclusiva a l’EEE.

Annex II · Mesures tècniques i organitzatives

Les mesures s’apliquen segons risc i configuració real. La inclusió obliga a mantenir-les o substituir-les per controls equivalents o superiors; no és una certificació.

• Govern: inventari de dades i proveïdors, canvis, accessos, RAT, riscos, incidents i verificació d’afirmacions públiques.
• Accés: autenticació, sessions limitades, codis d’un sol ús, separació per compte/espai, autorització al servidor, privilegi mínim i revocació.
• Criptografia: HTTPS; xifratge d’aplicació de camps identificatius, perfils i signatures; secrets fora del codi; HMAC; empremtes d’integritat.
• Minimització: no emmagatzemar imatges de documents; camps opcionals; números parcialment ocults; correu mínim; sense fotografies de sessió per defecte.
• Aplicació: validació d’entrada, límits, protecció d’origen, capçaleres restrictives, enllaços temporals, caducitat, estats atòmics i historial.
• Telemetria: acció, resultat, data, referència, agent limitat i empremta d’IP; 180 dies; desvinculació en esborrar; sense publicitat.
• Continuïtat: còpia independent xifrada, reintents, integritat, restauració i proves documentades; cap objectiu es presenta com a garantit sense simulacre.
• Incidents: canal, classificació, contenció, evidència, risc, notificació, comunicació i revisió posterior.
• Personal i suport: confidencialitat, necessitat d’accés, verificació abans de divulgar i prohibició d’entrenament, màrqueting o finalitats incompatibles.
• Finalització: exportació, esborrament autenticat, retirada de còpia activa, bloqueig legal i seguiment dels cicles de còpia.

Annex III · Subencarregats i serveis externs

La taula diferencia ús tècnic d’evidència contractual. L’acceptació autoritza les categories, però no converteix un estat pendent en un DPA, SCC o certificació existents. Cal tancar l’evidència abans de superar la porta de producció.

Apple i Google tracten distribució, cobrament i relació de botiga segons els seus termes i normalment com a responsables independents; només seran subencarregats si l’anàlisi d’una funció concreta ho demostra. Autoritats i destinataris escollits pel professional no són subencarregats per aquest sol fet.

Annex IV · Instruccions operatives inicials

• Crear i conservar només els expedients iniciats i configurats pel responsable.
• Permetre signatura presencial o remota; el codi de correu no es presenta com a prova plena d’identitat.
• Generar vistes, exportacions, PDF i correus sol·licitats; no publicar imatges ni decidir destinataris d’explotació.
• Registrar canvis, lliurament, revocació i esborrament necessaris per a la traçabilitat.
• Aplicar exportació i supressió autenticades i assistir en drets i incidents.
• No vendre, perfilar, anunciar, entrenar models ni reutilitzar les dades per a finalitats incompatibles.

Fonts oficials

• RGPD, articles 28, 29 i 32 a 36
• Decisió (UE) 2021/915: clàusules responsable-encarregat
• Decisió (UE) 2021/914: clàusules per a transferències
• Directrius 07/2020 del CEPD