Acuerdo de Encargo de Tratamiento de Datos

1. Partes

El presente Acuerdo de Encargo de Tratamiento de Datos (el "DPA") se celebra entre el profesional titular de una cuenta de socio de Momentzy (el "Responsable") y Momentzy, con sede en Lisboa, Portugal (el "Encargado"). Forma parte de las Condiciones de Uso y se aplica desde que el Responsable lo acepta en Momentzy.

Respecto a los datos personales descritos a continuación, el Responsable decide con qué fines y por qué medios se tratan los datos y Momentzy los trata por cuenta suya, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

2. Objeto y duración

El objeto es el tratamiento de los datos personales que el Responsable recoge o recibe a través de Momentzy al usar la plataforma con sus clientes, en los casos indicados en la sección siguiente.

El DPA dura mientras exista la cuenta de socio del Responsable y, después, mientras Momentzy conserve datos incluidos en él (véase la sección sobre supresión o devolución).

3. Naturaleza y finalidad del tratamiento

Momentzy trata los datos únicamente para prestar al Responsable los siguientes servicios:

• alojar las galerías del Responsable y las fotografías y vídeos que contienen;
• mantener la lista de visitantes de una galería (nombre y correo electrónico de las personas que marcaron la casilla opcional en la puerta de la galería) y ponerla a disposición del Responsable, también como exportación CSV;
• gestionar los pedidos de impresión que los invitados hacen en las galerías del Responsable, para que este pueda cumplirlos;
• búsqueda por rostro en una galería o evento, solo cuando el Responsable ha activado esta función.

Fuera de este ámbito, Momentzy actúa como responsable del tratamiento por derecho propio, por ejemplo en el contador anónimo de entradas, la seguridad y la facturación, como se describe en la Política de Privacidad.

4. Categorías de datos e interesados

Los datos tratados en virtud de este DPA son:

• nombre y correo electrónico de los visitantes de la galería que los facilitaron;
• fechas y número de visitas a una galería;
• fotografías y vídeos subidos a las galerías y eventos del Responsable;
• datos de contacto y dirección de entrega en los pedidos de impresión;
• vectores faciales (representaciones numéricas de rostros), solo si el Responsable ha activado la búsqueda por rostro.

Los interesados son los invitados y visitantes de las galerías del Responsable, los participantes en sus eventos, sus clientes y las personas que aparecen en las fotografías.

Los vectores faciales son datos biométricos (art. 9 RGPD). El Responsable debe contar con una base jurídica válida, normalmente el consentimiento explícito de las personas afectadas, antes de activar la búsqueda por rostro. Momentzy no trata categorías especiales de datos para ninguna otra finalidad.

5. Obligaciones del Responsable

El Responsable confirma que tiene base jurídica para el tratamiento, que informa a los interesados como exige la ley y que sus instrucciones a Momentzy cumplen el RGPD. Es responsable de lo que haga con los datos que exporte de Momentzy, incluida la lista de visitantes.

6. Obligaciones de Momentzy

Momentzy se compromete a:

• tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, que son este DPA y el uso que haga de las funciones de la plataforma, e informarle si considera que una instrucción infringe la normativa de protección de datos;
• garantizar que las personas autorizadas para tratar los datos están sujetas a confidencialidad;
• aplicar medidas técnicas y organizativas de seguridad adecuadas (art. 32 RGPD), incluidos cifrado en tránsito, control de acceso, separación de cuentas, copias de seguridad y supervisión;
• ayudar al Responsable a atender las solicitudes de los interesados (acceso, rectificación, supresión, retirada del consentimiento), entre otras vías mediante los formularios de retirada y supresión disponibles para los visitantes;
• notificar al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos, con la información de que disponga, y ayudarle en la notificación a la autoridad y a los interesados;
• ayudar al Responsable en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas cuando se refieran a este tratamiento.

7. Subencargados

El Responsable otorga a Momentzy una autorización general para recurrir a subencargados.

Los que se usan en la fecha de esta versión son:

• Cloudflare, Inc.: almacenamiento de objetos (R2) de fotografías y vídeos, y red y entrega de contenidos;
• Brevo (Sendinblue SA): envío de correos electrónicos transaccionales;
• Stripe, Inc.: procesamiento de pagos de pedidos de impresión y suscripciones;
• los servidores donde funcionan la aplicación, la base de datos y el servicio de búsqueda por rostro, operados por Momentzy.

Momentzy informa al Responsable de cualquier incorporación o sustitución prevista de un subencargado, por correo electrónico o en esta página, antes de que surta efecto, y el Responsable puede oponerse por motivos razonables de protección de datos. Si la objeción no puede resolverse, el Responsable puede cerrar la cuenta.

Momentzy impone a cada subencargado obligaciones equivalentes a las de este DPA y sigue respondiendo ante el Responsable de su cumplimiento.

8. Transferencias internacionales

Momentzy almacena los datos en la Unión Europea o el Espacio Económico Europeo siempre que es posible. Cuando un subencargado transfiere datos fuera del EEE, lo hace solo en virtud de una decisión de adecuación o de las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas complementarias necesarias.

9. Supresión o devolución de los datos

El Responsable puede exportar la lista de visitantes y las fotografías en cualquier momento mientras la cuenta esté activa. Cuando la cuenta termine, o él lo solicite, Momentzy suprime los datos incluidos en este DPA, dentro de los plazos de conservación descritos en la Política de Privacidad, salvo que la ley le obligue a conservar algunos (por ejemplo, registros de facturación).

Eliminar una galería elimina su lista de visitantes. Un visitante que retire su consentimiento sale de la lista.

10. Auditorías

Momentzy pone a disposición del Responsable, previa solicitud escrita, la información necesaria para demostrar el cumplimiento de este DPA. El Responsable puede realizar una auditoría, una vez al año o tras una violación de datos, con un preaviso razonable, sin perturbar el servicio y con deber de confidencialidad.

11. Responsabilidad

La responsabilidad entre las partes se rige por las Condiciones de Uso, incluidos sus límites. Nada en este DPA limita los derechos de los interesados frente a cualquiera de las partes según el artículo 82 del RGPD.

12. Ley aplicable y prevalencia

Este DPA se rige por la ley portuguesa. En lo relativo al tratamiento de datos personales, prevalece sobre las Condiciones de Uso en caso de conflicto.

Las dudas sobre este DPA pueden enviarse al contacto siguiente.

Contacto de privacidad: support@momentzy.com

13. Aceptación y versiones

El Responsable acepta este DPA marcando la casilla al crear una cuenta de socio, o pulsando el botón de aceptar en su panel. Momentzy registra la fecha, la versión y el usuario que lo aceptó. Cuando el texto cambie, cambiará la versión y se pedirá al Responsable que acepte de nuevo. Hasta entonces, las funciones que dependen de él, como la lista de visitantes, permanecen cerradas.