Acuerdo de encargo de tratamiento

Partes y condición

Responsable

El usuario profesional o la entidad identificada en su cuenta y perfil, que decide las finalidades y medios esenciales de las autorizaciones y declara facultades para aceptar este acuerdo.

Encargado

José Irún Sánchez, NIF 37292698S, C/ Gavà 21–23, 4.º 2.ª, 08014 Barcelona, España; info@imageconsent.eu, titular de ImageConsent.

Objeto

Tratamiento técnico de los datos incluidos por el responsable para crear, firmar, conservar, entregar, exportar, verificar, revocar y eliminar registros de autorización de imagen y voz.

Independencia de roles

Este acuerdo no cubre los tratamientos para los que ImageConsent determina fines propios —cuenta, seguridad, compra, soporte y obligaciones legales—, respecto de los cuales actúa como responsable según la Política de privacidad.

1. Alcance, duración y jerarquía

El encargo comienza con la aceptación y dura mientras el responsable mantenga una cuenta o queden datos pendientes de devolución, supresión o bloqueo. La naturaleza, finalidad, datos y personas afectadas se detallan en el anexo I.

Este acuerdo prevalece sobre instrucciones contradictorias de documentación comercial en materia de protección de datos. El RGPD, las Condiciones, este acuerdo y las instrucciones registradas en el producto forman el conjunto contractual. Nada autoriza a ImageConsent a decidir nuevas finalidades para los datos del responsable.

2. Instrucciones documentadas

El encargado tratará los datos solo siguiendo instrucciones documentadas: configuración elegida, acciones autenticadas, solicitudes válidas de soporte y este acuerdo. Esto incluye transferencias a un tercer país únicamente cuando estén documentadas y cumplan el capítulo V RGPD.

Si una norma de la Unión o de un Estado miembro obliga a otro tratamiento, el encargado informará antes al responsable, salvo prohibición legal por razones importantes de interés público. Si considera que una instrucción infringe el RGPD u otra norma aplicable, lo comunicará inmediatamente y podrá suspender solo la operación afectada hasta que se aclare.

3. Deber de confidencialidad

El acceso queda limitado a personas que lo necesiten para operar, asegurar o asistir el servicio y que estén sujetas a confidencialidad contractual o legal. El deber continúa tras finalizar su intervención. Se aplican privilegios mínimos y se revisan los accesos ante cambios de función.

4. Seguridad del tratamiento

El encargado implantará y mantendrá medidas técnicas y organizativas apropiadas al riesgo conforme al artículo 32 RGPD, incluidas las del anexo II. Evaluará confidencialidad, integridad, disponibilidad, resiliencia, restauración y pruebas periódicas sin presentar las medidas como garantía absoluta.

El responsable debe proteger sus credenciales y dispositivos, limitar miembros de su espacio, configurar correctamente cada expediente y no introducir datos innecesarios. Una medida del encargado no sustituye estas obligaciones del responsable.

5. Subencargados

El responsable concede autorización general para las categorías y servicios del anexo III. El encargado mantendrá una relación actualizada y avisará con antelación razonable de altas o sustituciones materiales; como objetivo operativo, 15 días cuando sea posible.

El responsable podrá oponerse dentro del plazo comunicado por motivos razonables relacionados con protección de datos. Las partes intentarán una alternativa razonable; si no existe, cualquiera podrá terminar la función afectada sin penalización adicional, sin perjuicio de derechos ya nacidos.

Antes de permitir acceso, el encargado impondrá al subencargado por escrito obligaciones de protección equivalentes, comprobará el mecanismo de transferencia aplicable y seguirá siendo plenamente responsable frente al responsable por el cumplimiento de su subencargado. Nombrar una marca en el anexo no afirma que esa documentación ya haya sido verificada.

6. Transferencias internacionales

No se realizará una transferencia restringida sin un mecanismo válido del capítulo V RGPD. Cuando no exista decisión de adecuación, se utilizarán, según proceda, las cláusulas contractuales tipo de la Decisión (UE) 2021/914 u otro instrumento válido, junto con evaluación del país y medidas complementarias cuando sean necesarias.

La ubicación comercial de una región no demuestra por sí sola ausencia de transferencias. El registro de proveedores debe identificar entidad contratante, importador, países de acceso, módulos, medidas y fecha de revisión. Si faltan esas evidencias, no se afirmará públicamente que la transferencia está cubierta ni que todo el tratamiento permanece en la UE.

7. Derechos de las personas

Teniendo en cuenta la naturaleza del tratamiento, el encargado asistirá al responsable mediante funciones de búsqueda, exportación, rectificación, revocación y eliminación y mediante soporte razonable para responder a solicitudes de los artículos 12 a 22 RGPD.

Si recibe directamente una solicitud relativa a datos del responsable, la trasladará sin dilación indebida y no responderá en nombre del responsable salvo instrucción o deber legal. Podrá adoptar medidas proporcionadas para verificar identidad y evitar una divulgación indebida.

8. Asistencia de cumplimiento

El encargado facilitará información razonablemente disponible para que el responsable cumpla los artículos 32 a 36 RGPD: seguridad, notificación de brechas, comunicación a afectados, evaluación de impacto y, en su caso, consulta previa. La asistencia tendrá en cuenta la naturaleza del tratamiento y la información disponible para ImageConsent.

La ayuda no transfiere al encargado la decisión del responsable sobre base jurídica, riesgo, notificación, consulta o uso de imágenes. Las tareas extraordinarias podrán acordarse separadamente si exceden el soporte normal, sin limitar la asistencia que la ley imponga.

9. Brechas de datos personales

El encargado notificará al responsable sin dilación indebida después de tener constancia de una brecha que afecte a sus datos; el objetivo interno es una primera alerta dentro de 24 horas desde la confirmación, sin convertirlo en una garantía cuando todavía se investigan hechos.

La notificación incluirá, a medida que esté disponible: naturaleza, sistemas y datos, categorías y número aproximado de afectados/registros, contacto, consecuencias probables, medidas adoptadas o propuestas, cronología y lagunas pendientes. Se actualizará por fases y se conservará un registro del incidente.

El responsable decide y realiza la notificación a la autoridad dentro de 72 horas cuando corresponda y la comunicación a las personas si existe alto riesgo, salvo que haya encargado expresamente a ImageConsent una actuación concreta permitida por ley.

10. Devolución y supresión

Durante el servicio, el responsable puede exportar sus datos y eliminar autorizaciones. Al finalizar, podrá elegir devolución razonablemente disponible y supresión; si no da otra instrucción antes de eliminar la cuenta, la acción de borrado se considera instrucción de suprimir las copias activas controladas por ImageConsent.

La obligación no alcanza datos que una norma obligue a conservar; quedarán bloqueados, separados y no se usarán para otros fines. Las copias de recuperación se suprimirán al rotar conforme al plazo contractual verificado de cada proveedor. El encargado confirmará el resultado razonablemente disponible a petición, sin afirmar borrado físico instantáneo de soportes que no controla.

11. Información, auditorías e inspecciones

El encargado pondrá a disposición la información necesaria para demostrar el artículo 28 y permitirá auditorías razonables del responsable o auditor independiente sujeto a confidencialidad. Normalmente se atenderán primero mediante documentación, cuestionario y reunión remota, con 30 días de preaviso y una vez al año.

Esos límites no se aplican tras una brecha material, ante indicios fundados de incumplimiento o por requerimiento de una autoridad. La auditoría evitará acceder a datos de otros clientes, comprometer seguridad o interrumpir de forma desproporcionada el servicio. Cada parte asume sus costes ordinarios; un incumplimiento material del encargado será corregido por este.

12. Obligaciones del responsable

El responsable garantiza que sus instrucciones son lícitas, que ha informado a las personas, dispone de base jurídica y ha evaluado necesidad, proporcionalidad, menores, plazos y destinatarios. Mantendrá su registro de actividades, tramitará derechos y conservará solo lo necesario.

El responsable no ordenará cargar material que la plataforma no esté diseñada para tratar —como copias fotográficas de documentos o categorías especiales innecesarias— y comunicará sin demora errores, accesos indebidos, revocaciones y cambios de miembros.

13. Responsabilidad y terminación por incumplimiento

Cada parte responde conforme al artículo 82 RGPD y demás normas imperativas por los daños imputables a sus decisiones u obligaciones. Ninguna cláusula limita derechos de las personas ni la competencia de autoridades.

Un incumplimiento material no subsanado tras aviso razonable permite suspender el tratamiento afectado o terminar el encargo. Si la urgencia de seguridad exige actuar antes, se informará tan pronto como resulte seguro y legalmente posible.

14. Contactos y cambios

Las comunicaciones de privacidad, instrucciones excepcionales y brechas se enviarán a info@imageconsent.eu y al correo verificado del responsable. Este debe mantenerlo actualizado.

Una modificación material de este acuerdo cambia su versión y requiere nueva aceptación. Una actualización del listado de subencargados seguirá el procedimiento de información y oposición de la cláusula 5 y no se presentará como contrato firmado hasta conservar evidencia.

Anexo I · Descripción del tratamiento

Personas afectadas

Personas adultas fotografiadas o grabadas; menores; progenitores, tutores o representantes; contactos del proyecto; y usuarios autorizados del espacio profesional.

Datos personales

Nombre, contacto, tipo/número de identificación cuando se facilite, representación, sesión/proyecto, finalidades, alcance territorial/temporal, firma, método, idioma, versión, fechas, eventos, revocación, estado de entrega y huella de integridad.

Categorías especiales

No están previstas. La plataforma no solicita datos de salud, biométricos destinados a identificación única, ideología, religión, afiliación, vida sexual u origen étnico. La firma dibujada no se usa como plantilla biométrica.

Operaciones

Recogida, validación de formato, cifrado/protección, organización, consulta, transmisión para firma o correo, copia de continuidad, generación de documento, exportación, actualización, revocación, restricción y supresión.

Finalidad

Prestar la herramienta de documentación y trazabilidad de autorizaciones siguiendo la configuración y acciones del responsable.

Frecuencia

Continua mientras se utilice la cuenta y bajo demanda para cada operación.

Duración

Mientras la cuenta o registro exista y durante el periodo técnico limitado de devolución, supresión, bloqueo o rotación de copias descrito en este acuerdo.

Lugar

Infraestructura y proveedores documentados en el anexo III. La ubicación exacta y cualquier acceso desde terceros países deben constar en el registro de proveedores; no se presume residencia exclusiva en el EEE.

Anexo II · Medidas técnicas y organizativas

Las medidas se aplican según riesgo y configuración real. Su inclusión contractual obliga a mantenerlas o sustituirlas por controles que ofrezcan protección equivalente o superior; no constituye una certificación.

• Gobierno: inventario de datos y proveedores, control de cambios, revisión de accesos, registro de actividades, análisis de riesgos, plan de incidentes y comprobación previa de afirmaciones públicas.
• Acceso: autenticación, sesiones limitadas, códigos de un solo uso, separación lógica por cuenta/espacio, comprobaciones de autorización en servidor, privilegio mínimo y revocación de accesos.
• Criptografía: HTTPS en tránsito; cifrado de aplicación de campos identificativos, perfiles y firmas; secretos y claves fuera del código; códigos de recuperación como HMAC; huellas de integridad para la evidencia.
• Minimización: no almacenar imágenes de documentos; campos opcionales identificados; números parcialmente ocultos en interfaz; contenido de correos reducido a lo necesario; no incorporar fotografías de la sesión al registro por defecto.
• Seguridad de aplicación: validación de entrada, límites de tamaño e intentos, protección de origen, cabeceras restrictivas, enlaces temporales, códigos caducables, estados atómicos e historial de acciones relevantes.
• Telemetría: evento, resultado, fecha, referencia, agente limitado y huella derivada de IP; retención de 180 días y desvinculación de usuario/recurso al borrar cuenta; sin publicidad ni seguimiento entre aplicaciones.
• Continuidad: copia independiente cifrada, cola de reintentos, comprobaciones de integridad, procedimiento de restauración y pruebas documentadas; ningún objetivo de recuperación se presenta como garantizado sin simulacro.
• Incidentes: canal de aviso, clasificación, contención, preservación de evidencia, evaluación de riesgo, notificación escalonada, registro de decisiones, comunicación y revisión posterior.
• Personal y soporte: confidencialidad, acceso solo por necesidad, verificación proporcionada antes de divulgar datos y prohibición de usar datos del cliente para entrenamiento, marketing o fines incompatibles.
• Fin del servicio: exportación, borrado autenticado, retirada de copia activa, bloqueo cuando lo exija la ley y seguimiento de los ciclos de copias de proveedores.

Anexo III · Subencargados y servicios externos

La tabla distingue uso técnico de evidencia contractual. La aceptación autoriza las categorías, pero no transforma un estado pendiente en un DPA, SCC o certificación existentes. ImageConsent debe cerrar y conservar la evidencia antes de dar por superada la puerta de producción.

Apple y Google tratan distribución, cobro y relación de tienda conforme a sus propios términos y normalmente como responsables independientes; solo se incluirán como subencargados si el análisis contractual de una función concreta demuestra que tratan por cuenta de ImageConsent. Las autoridades y destinatarios elegidos por el profesional no son subencargados de ImageConsent por ese solo hecho.

Anexo IV · Instrucciones operativas iniciales

• Crear y conservar únicamente los expedientes que el responsable inicia y configura.
• Permitir firma presencial o remota; en remoto, exigir la verificación de acceso al correo configurada sin presentarla como prueba plena de identidad.
• Generar vistas, exportaciones, PDF y copias de correo solicitadas; no publicar imágenes ni decidir destinatarios de explotación.
• Registrar cambios, entrega, revocación y borrado necesarios para la trazabilidad.
• Aplicar solicitudes autenticadas de exportación y supresión y asistir en derechos e incidentes.
• No vender, perfilar, anunciar, entrenar modelos ni reutilizar los datos de autorización para una finalidad propia incompatible.

Fuentes oficiales

• RGPD, artículos 28, 29 y 32 a 36
• Decisión (UE) 2021/915: cláusulas responsable-encargado
• Decisión (UE) 2021/914: cláusulas para transferencias
• Directrices 07/2020 del CEPD sobre responsable y encargado