El presente Contrato de encargo de tratamiento forma parte integrante del contrato entre ZoppaBox y la Asociación.
Artículo 1 – Funciones
- Respecto de los datos personales que la Asociación trata a través de ZoppaBox para sus propias actividades asociativas, la Asociación es en principio responsable del tratamiento en el sentido del RGPD.
- ZoppaBox trata estos datos personales en nombre y por encargo de la Asociación y actúa como encargado del tratamiento.
- Respecto de los datos personales que ZoppaBox trata para sus propios fines, como la administración de clientes, la facturación, la seguridad, el soporte y la gestión empresarial, ZoppaBox puede ser responsable del tratamiento de forma independiente.
Artículo 2 – Objeto, naturaleza, finalidad y duración
- ZoppaBox trata datos personales en la medida necesaria para ofrecer, mantener, proteger y dar soporte a las funcionalidades utilizadas por la Asociación.
- El tratamiento puede consistir, entre otras cosas, en recoger, registrar, organizar, almacenar, consultar, modificar, poner a disposición de Usuarios autorizados, sincronizar, proteger, exportar y suprimir.
- La finalidad del tratamiento es apoyar la organización y las actividades de la Asociación.
- El tratamiento dura mientras esté vigente el contrato entre ZoppaBox y la Asociación y, en la medida necesaria, durante los plazos de supresión y de copias de seguridad aplicables posteriores.
Artículo 3 – Interesados
En función del uso de ZoppaBox, pueden tratarse datos personales de, entre otros:
- socios y antiguos socios;
- miembros de la junta directiva y voluntarios;
- directores y dirección musical;
- profesores y alumnos;
- padres y tutores;
- músicos invitados;
- donantes y contactos;
- visitantes y personas de contacto;
- participantes en eventos y compradores de entradas;
- otras personas registradas por la Asociación en ZoppaBox.
Artículo 4 – Datos personales
En función de las funcionalidades utilizadas, pueden tratarse, entre otros:
- nombre y datos de contacto;
- datos de dirección;
- fecha de nacimiento;
- datos de afiliación;
- instrumento, agrupación, sección, equipo o comisión;
- asistencia y disponibilidad;
- funciones y autorizaciones;
- datos de clases y de planificación;
- datos de contactos y donantes;
- datos de eventos y entradas;
- fotos y medios;
- mensajes y comentarios;
- documentos;
- datos en campos personalizados;
- datos técnicos de cuenta, dispositivo, registro y seguridad;
- otros datos introducidos por la Asociación o sus Usuarios.
Los campos de texto libre, documentos, fotos, campos personalizados y otro Contenido pueden contener categorías especiales de datos personales. La Asociación es responsable de la licitud y necesidad de introducirlos.
Artículo 5 – Instrucciones
- ZoppaBox trata los datos personales únicamente siguiendo instrucciones documentadas de la Asociación, salvo que ZoppaBox esté legalmente obligada a tratarlos.
- El uso y la configuración de las funcionalidades elegidas por la Asociación se consideran una instrucción documentada.
- ZoppaBox no utiliza los datos personales que recibe como encargado del tratamiento para sus propios fines publicitarios o de marketing.
- Si ZoppaBox considera que una instrucción infringe la normativa de privacidad aplicable, informará de ello a la Asociación en la medida en que la ley lo permita.
Artículo 6 – Confidencialidad y acceso
- Las personas que tienen acceso a datos personales en nombre de ZoppaBox están sujetas a un deber de confidencialidad.
- El acceso se limita a las personas y sistemas para los que es necesario para prestar, mantener, proteger o dar soporte a ZoppaBox.
- ZoppaBox aplica medidas adecuadas de autorización y control de acceso.
Artículo 7 – Seguridad
- ZoppaBox adopta medidas técnicas y organizativas adecuadas de conformidad con el artículo 32 del RGPD.
- Para ello se tienen en cuenta el estado de la técnica, los costes de aplicación, la naturaleza y el alcance del tratamiento y los riesgos para los interesados.
- Las medidas pueden referirse, entre otras cosas, a:
- transferencia cifrada de datos;
- autenticación;
- autenticación de dos factores cuando esté disponible o sea obligatoria;
- funciones y autorizaciones;
- limitación del acceso;
- seguridad de los servicios en la nube y de almacenamiento;
- actualizaciones de seguridad;
- registro y supervisión cuando proceda;
- mecanismos de copia de seguridad y recuperación;
- procedimientos para incidentes de seguridad.
- Las medidas de seguridad se adaptan cuando es necesario a la evolución técnica y a los cambios en los riesgos.
Artículo 8 – Subencargados
- La Asociación otorga a ZoppaBox una autorización general por escrito para recurrir a los subencargados necesarios para el Servicio.
- ZoppaBox mantiene a disposición una lista actualizada de los subencargados pertinentes.
- ZoppaBox informa a las Asociaciones de las incorporaciones o sustituciones sustanciales de subencargados.
- La Asociación puede oponerse a un nuevo subencargado por motivos razonables de privacidad.
- ZoppaBox impone a los subencargados obligaciones adecuadas de protección de datos.
- ZoppaBox sigue siendo responsable ante la Asociación del cumplimiento de las obligaciones aplicables por parte de sus subencargados, en la medida en que lo establezca el RGPD.
- Si se tratan datos personales fuera del Espacio Económico Europeo, ZoppaBox garantiza un mecanismo de transferencia válido conforme al RGPD.
Artículo 9 – Violaciones de datos e incidentes de seguridad
- Cuando ZoppaBox tenga conocimiento de una violación relacionada con datos personales tratados por cuenta de la Asociación, informará a la Asociación sin dilación indebida.
- ZoppaBox facilita, en la medida en que esté disponible, información sobre:
- la naturaleza del incidente;
- los datos personales afectados;
- las categorías y el número de interesados, en la medida en que se conozcan;
- las consecuencias probables;
- las medidas adoptadas o previstas.
- Si no toda la información está disponible de inmediato, ZoppaBox puede facilitarla de forma escalonada.
- ZoppaBox colabora razonablemente en la evaluación del incidente.
- La Asociación sigue siendo responsable de una eventual notificación a la autoridad de control y a los interesados, salvo acuerdo por escrito en contrario.
- Una notificación por parte de ZoppaBox no implica el reconocimiento de responsabilidad.
Artículo 10 – Derechos de los interesados
- Teniendo en cuenta la naturaleza del tratamiento, ZoppaBox ayuda razonablemente a la Asociación con las solicitudes de acceso, rectificación, supresión, limitación, oposición o portabilidad de los datos.
- Si un interesado se dirige directamente a ZoppaBox en relación con datos de los que la Asociación es responsable del tratamiento, ZoppaBox remitirá la solicitud a la Asociación cuando proceda.
Artículo 11 – Otra asistencia
Teniendo en cuenta la naturaleza del tratamiento y la información disponible, ZoppaBox presta una asistencia razonable en relación con:
- las obligaciones de seguridad;
- la investigación y notificación de violaciones de datos;
- las evaluaciones de impacto relativas a la protección de datos (EIPD);
- una eventual consulta previa a una autoridad de control.
Artículo 12 – Información y auditorías
- ZoppaBox pone a disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD.
- Si esta información es insuficiente, la Asociación puede solicitar una auditoría.
- Una auditoría se anuncia con antelación y se realiza, en principio, durante el horario laboral habitual.
- Una auditoría se limita a los sistemas y procesos relevantes para el tratamiento por cuenta de la Asociación y no puede afectar a la seguridad ni a la confidencialidad de otros clientes.
- Siempre que sea posible, se utilizarán primero la documentación, declaraciones, certificaciones o informes de auditoría disponibles.
- Los costes razonables de una auditoría solicitada específicamente por la Asociación correrán en principio a cargo de la Asociación, salvo que revele un incumplimiento sustancial de ZoppaBox.
Artículo 13 – Terminación, devolución y supresión
- Tras la finalización de la prestación del servicio, la Asociación dispone de 30 días para exportar los datos que lo permitan y descargar sus propios archivos, en la medida en que sea técnicamente posible.
- A petición de la Asociación, ZoppaBox suprime los datos personales o, en la medida en que sea técnica y razonablemente posible, los pone a disposición de la Asociación.
- Transcurrido el plazo aplicable, ZoppaBox puede eliminar los datos personales del entorno activo.
- Posteriormente, los datos pueden permanecer durante un máximo de 30 días en copias de seguridad técnicas, hasta que se eliminen o sobrescriban según el ciclo de conservación habitual.
- Los datos de dichas copias de seguridad no se utilizan para fines distintos de la seguridad, la recuperación técnica o las obligaciones legales.
- Una obligación legal de conservación puede impedir la supresión de determinados datos.
Artículo 14 – Obligaciones de la Asociación
La Asociación:
- dispone de una base jurídica válida para su tratamiento;
- informa a los interesados cuando la ley lo exija;
- solo trata datos necesarios y lícitos;
- gestiona con cuidado las funciones y autorizaciones;
- limita, cuando sea necesario, el acceso a categorías especiales de datos personales;
- informa a ZoppaBox de los incidentes de seguridad en su ámbito que puedan afectar al Servicio.
Artículo 15 – Responsabilidad
La responsabilidad entre ZoppaBox y la Asociación se rige por las disposiciones sobre responsabilidad de los Términos y condiciones de ZoppaBox, en la medida en que no contravenga normas imperativas.
Artículo 16 – Vigencia y orden de prelación
- El presente Contrato de encargo de tratamiento se aplica mientras ZoppaBox trate datos personales por cuenta de la Asociación.
- Las obligaciones que por su naturaleza deban perdurar, como la confidencialidad, siguen vigentes tras la terminación.
- En caso de contradicción entre el presente Contrato de encargo de tratamiento y los Términos y condiciones, prevalecerá el presente Contrato en lo relativo al tratamiento de datos personales.