Acuerdo de Tratamiento de Datos (DPA)

Este acuerdo forma parte de los Términos de Servicio y regula el tratamiento de datos personales que Mayordomía Digital hace por cuenta de cada hermandad cliente, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018.

1. Partes

2. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable solo para prestarle el servicio Mayordomía Digital: el inventario de su patrimonio, con sus fotos, documentos y funciones asociadas. El acuerdo está vigente mientras lo esté el servicio; al terminar se aplica la cláusula 9.

3. En qué consiste el tratamiento

• Guardar y mostrar el inventario del Cliente, con sus fotos y documentos.
• Gestionar los usuarios a los que el Cliente da acceso.
• Guardar los documentos de préstamo y cesión, con los datos y las firmas de quienes intervienen.
• Registrar qué usuario hace cada cambio y cuándo.
• Aplicar los límites del plan contratado: dejar en solo consulta las piezas que excedan y en pausa los accesos que excedan, sin borrar nada.
• Mostrar avisos al Cliente dentro del panel y enviarle los correos del servicio.

4. Qué datos personales puede haber

Según lo que el propio Cliente introduzca:

• De los usuarios del panel: nombre, correo electrónico y tipo de usuario.
• De quienes firman un préstamo o una cesión: nombre, cargo y la imagen de su firma; y de la entidad que recibe, su NIF, domicilio y datos de contacto.
• De personas mencionadas en las fichas: a quién está entregada una prenda (preferiblemente por su número de hermano), quién donó una pieza, quién es su autor.
• Fotografías de piezas, en las que excepcionalmente puede aparecer alguna persona.
• El registro de actividad de cada usuario.

El servicio no está pensado para guardar categorías especiales de datos (salud, ideología, origen étnico…) ni para llevar el censo de hermanos. Como la pertenencia a una hermandad puede revelar creencias religiosas, el Responsable se compromete a introducir solo los datos de personas imprescindibles para gestionar su patrimonio (nombre y cargo de quien firma un préstamo, número de hermano a quien se entrega una prenda) y a no introducir DNI, teléfonos, direcciones ni datos de salud de personas físicas. Lo que el Responsable introduzca más allá de esto lo hace bajo su responsabilidad. Dado el tipo y el volumen de datos, no se prevé que el tratamiento requiera una evaluación de impacto; si el Responsable la considera necesaria, el Encargado le facilitará la información que tenga.

5. De quién son esos datos

• Los usuarios del panel (miembros de la junta, voluntarios, personal de la hermandad).
• Las personas que intervienen en un préstamo o una cesión.
• Los hermanos, donantes o autores que el Cliente mencione en sus fichas.

6. Obligaciones del Encargado

6.1 Instrucciones

Tratar los datos solo conforme a las instrucciones del Responsable, que son las de este acuerdo y las de los Términos de Servicio. Si una instrucción le parece contraria a la normativa, se lo comunicará de inmediato.

6.2 Confidencialidad

Garantizar que quienes puedan acceder a los datos están obligados a guardar confidencialidad. El Encargado solo consultará el panel del Responsable cuando sea necesario para atender una incidencia o una petición suya: en modo de solo lectura, sin poder modificar nada, durante un tiempo limitado y dejando constancia en el historial que ve el Responsable.

6.3 Medidas de seguridad

• Cifrado de los datos en tránsito (TLS) y en reposo.
• Base de datos y aplicación alojadas en servidores de la Unión Europea.
• Separación de los datos de cada cliente: cada petición comprueba que lo pedido pertenece a la hermandad de quien lo pide.
• Acceso solo con una cuenta de Google autorizada, sin contraseñas propias del servicio; sesiones revocables, una sola sesión abierta por cuenta y bloqueo de las cuentas desactivadas.
• Tres tipos de usuario con distintos permisos, y registro de la actividad.
• Los archivos solo se sirven a usuarios con sesión de su hermandad; se comprueba qué son por su contenido real y las imágenes se muestran aisladas.
• Revisión periódica de la seguridad y actualización de las librerías con fallos conocidos.
• Papelera para lo eliminado y procedimiento de respuesta ante incidentes.
• Registro de las actividades de tratamiento que hace por cuenta de sus clientes (artículo 30.2 RGPD).

6.4 Subencargados

El Responsable autoriza al Encargado a recurrir a estos proveedores para prestar el servicio:

El Encargado avisará con al menos 30 días de antelación de cualquier cambio en esta lista, para que el Responsable pueda oponerse.

6.5 Ayuda al Responsable

Ayudar al Responsable, en lo que esté a su alcance, a atender las solicitudes de derechos de los interesados, a cumplir sus obligaciones de seguridad, a notificar las violaciones de seguridad y a hacer las evaluaciones de impacto que procedan.

7. Violaciones de seguridad

Si se produce una violación de la seguridad de los datos, el Encargado lo comunicará al Responsable sin dilación indebida y, como muy tarde, en 72 horas desde que la conozca, por correo electrónico al responsable de la cuenta, indicando:

• Qué ha ocurrido.
• Qué categorías de datos y, aproximadamente, cuántas personas y registros están afectados.
• Las consecuencias probables.
• Las medidas tomadas o propuestas para remediarlo.
• Con quién contactar para saber más.

8. Auditorías

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar que cumple este acuerdo y permitirá auditorías, avisadas con al menos 30 días de antelación, en horario laborable y sin afectar al servicio ni a la privacidad de otros clientes.

9. Devolución y borrado al terminar

Al terminar el servicio, el Encargado:

• Durante 30 días facilitará al Responsable, si lo pide, sus datos en un formato de uso común (el inventario en CSV, compatible con Excel, y los documentos en PDF).
• Pasado ese plazo, o antes si el Responsable lo pide, borrará todos los datos de forma definitiva, salvo que una ley obligue a conservarlos.

Si el Responsable lo pide, el Encargado certificará el borrado por escrito.

10. Transferencias internacionales

El Encargado no transferirá datos fuera del Espacio Económico Europeo sin las garantías del capítulo V del RGPD. Las transferencias a los proveedores estadounidenses de la cláusula 6.4 se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

11. Contacto

Para cualquier comunicación sobre este acuerdo o para avisar de una incidencia de seguridad, escribe a mayordomia.digital.info@gmail.com.