Este Acuerdo de Encargo del Tratamiento (en adelante, el "Acuerdo") regula el tratamiento de los datos personales de tus clientes que PhotoHeart realiza por tu cuenta cuando utilizas la plataforma. Da cumplimiento al artículo 28 del Reglamento (UE) 2016/679 (en adelante, "RGPD") y al artículo 33 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD").
Los términos definidos en el RGPD ("datos personales", "tratamiento", "responsable", "encargado", "interesado", "violación de la seguridad de los datos personales") tienen en este Acuerdo el mismo significado que en esa norma.
1. Partes
Responsable del tratamiento: el fotógrafo o estudio titular de la cuenta de PhotoHeart (en adelante, el "Responsable"), identificado por los datos de su cuenta y de su perfil profesional.
Encargado del tratamiento (en adelante, el "Encargado" o "PhotoHeart"):
Razón Social: JorgeX Technologies LLC EIN: 61-2301728 Dirección: 30N Gould St Ste N, Sheridan, WY 82801, USA Contacto de protección de datos: privacy@photoheart.app
2. Objeto y Ámbito
2.1. Objeto
El Encargado trata, por cuenta del Responsable, los datos personales que este introduce, recoge o genera en PhotoHeart sobre sus propios clientes y contactos, con el único fin de prestarle el servicio descrito en los Términos y Condiciones.
2.2. Tratamientos no incluidos
Este Acuerdo no se aplica a los datos del propio Responsable como usuario de PhotoHeart (datos de cuenta, suscripción, facturación de la suscripción y uso de la plataforma). Respecto de esos datos, JorgeX Technologies LLC actúa como responsable del tratamiento y se aplica la Política de Privacidad.
3. Aceptación, Duración y Jerarquía
3.1. Aceptación
Este Acuerdo forma parte de los Términos y Condiciones y se acepta con ellos. Consta por escrito en formato electrónico, conforme al artículo 28.9 del RGPD.
3.2. Duración
El Acuerdo se aplica mientras el Encargado trate datos personales por cuenta del Responsable: desde que este introduce los primeros datos hasta que se completa su supresión conforme a la sección 14.
3.3. Jerarquía
En caso de contradicción entre este Acuerdo y los Términos y Condiciones en materia de protección de los datos personales tratados por cuenta del Responsable, prevalece este Acuerdo. Ninguna de sus cláusulas puede interpretarse de forma contraria a los derechos y obligaciones establecidos en el RGPD.
4. Descripción del Tratamiento
4.1. Naturaleza y finalidad
El Encargado presta una plataforma en línea de gestión para fotógrafos. La finalidad del tratamiento es permitir al Responsable gestionar su actividad profesional con sus clientes: contactos, reservas de citas, sesiones y galerías, contratos con firma electrónica, presupuestos y facturas, y comunicaciones relacionadas con todo ello.
Las operaciones de tratamiento son: recogida de datos a través de los formularios públicos del Responsable (reserva, firma de contrato y selección en galería), registro, organización, conservación, consulta, modificación, generación de documentos PDF, comunicación por transmisión al cliente del Responsable cuando este lo ordena (correos y mensajes), exportación y supresión.
4.2. Categorías de interesados
- Clientes y potenciales clientes del Responsable
- Personas que solicitan o reservan una cita
- Firmantes de contratos y, en su caso, el segundo progenitor o tutor
- Menores de edad incluidos en un contrato por sus representantes legales
- Personas que aparecen en las fotografías y vídeos subidos por el Responsable
- Personas a las que el Responsable da acceso a una galería
- Destinatarios de presupuestos y facturas
4.3. Tipos de datos personales
| Categoría | Datos |
|---|---|
| Identificación y contacto | Nombre y apellidos, DNI o documento equivalente, correo electrónico, teléfono, dirección postal, perfiles en redes sociales, fechas señaladas, notas y etiquetas que el Responsable añade |
| Reservas y sesiones | Citas, fechas, tipo de sesión, selecciones de imágenes realizadas por el cliente |
| Contratos | Datos del firmante, contenido del contrato, casillas aceptadas, firma manuscrita digitalizada, fecha y hora, dirección IP y navegador desde los que se firmó; datos identificativos y firma del segundo progenitor o tutor; datos identificativos de los menores incluidos |
| Imágenes | Fotografías y vídeos de las sesiones |
| Facturación | Datos de los presupuestos y facturas que el Responsable emite a sus clientes |
| Comunicaciones | Registro de los correos y mensajes enviados a los clientes por orden del Responsable |
4.4. Datos que requieren especial atención
El servicio trata datos de menores de edad, números de documento de identidad, firmas manuscritas digitalizadas e imágenes de personas. PhotoHeart no realiza reconocimiento facial ni ningún otro tratamiento biométrico de las imágenes.
PhotoHeart no está diseñado para tratar categorías especiales de datos del artículo 9 del RGPD (por ejemplo, datos de salud). Si el Responsable decide incluir datos de ese tipo en notas, contratos o imágenes, le corresponde contar con una base jurídica válida para ello.
4.5. Duración del tratamiento
La indicada en la sección 3.2.
5. Instrucciones del Responsable
El Encargado trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable, también respecto de las transferencias de datos a un tercer país, salvo que esté obligado a tratarlos en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable. En ese caso informará al Responsable de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.
Son instrucciones documentadas del Responsable este Acuerdo, los Términos y Condiciones, y las acciones y configuraciones que el Responsable realiza en su cuenta (por ejemplo, crear un contacto, publicar una galería, enviar un contrato para su firma, activar una notificación o conectar una integración). El Responsable puede dar instrucciones adicionales por escrito en privacy@photoheart.app.
El Encargado no utilizará los datos para fines propios. Informará inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos de la Unión o de los Estados miembros.
6. Obligaciones del Responsable
Corresponde al Responsable:
- Contar con una base jurídica para tratar los datos de sus clientes e informarles conforme a los artículos 13 y 14 del RGPD, incluido el uso de PhotoHeart como encargado
- Obtener las autorizaciones que procedan, en particular las de uso de imagen y las de los representantes legales de los menores
- Introducir solo los datos necesarios para su actividad y mantenerlos exactos y actualizados
- Atender las solicitudes de ejercicio de derechos de los interesados
- Cumplir sus propias obligaciones legales de conservación de documentos, exportando los datos antes de la terminación del servicio (sección 14)
- Custodiar sus credenciales de acceso y decidir con quién comparte los enlaces y contraseñas de sus galerías, reservas y contratos
7. Confidencialidad
El Encargado garantizará que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria. Solo dará acceso a los datos a su personal en la medida estrictamente necesaria para prestar, mantener y dar soporte al servicio.
8. Seguridad del Tratamiento
El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento. Las medidas aplicadas se describen en el Anexo I.
El Encargado puede actualizar estas medidas siempre que no reduzca el nivel de seguridad.
9. Subencargados
9.1. Autorización general
El Responsable concede al Encargado una autorización general para recurrir a otros encargados (en adelante, "subencargados"). Los subencargados actuales figuran en el Anexo II.
9.2. Cambios
El Encargado informará al Responsable, por correo electrónico o mediante un aviso en la plataforma, de cualquier incorporación o sustitución de subencargados con al menos 30 días de antelación, de modo que pueda oponerse antes de que el cambio se aplique. La oposición se comunica por escrito a privacy@photoheart.app. Si las partes no encuentran una solución, el Responsable puede cancelar el servicio antes de que el cambio surta efecto, conforme a los Términos y Condiciones.
9.3. Mismas obligaciones
El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las establecidas en este Acuerdo, en particular la de ofrecer garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas. Si un subencargado incumple sus obligaciones, el Encargado seguirá siendo plenamente responsable ante el Responsable.
10. Transferencias Internacionales
El Encargado es una sociedad establecida en Estados Unidos y algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. La base de datos y los archivos del servicio se alojan en la Unión Europea (ver Anexo II).
Las transferencias de datos personales a un tercer país solo se realizarán siguiendo las instrucciones documentadas del Responsable recogidas en este Acuerdo y de conformidad con el capítulo V del RGPD: al amparo de una decisión de adecuación de la Comisión Europea (artículo 45) o de garantías adecuadas, como las cláusulas tipo de protección de datos adoptadas por la Comisión (artículo 46.2.c).
El Responsable acepta que, cuando el Encargado recurra a un subencargado cuya actividad implique una transferencia internacional, ambos puedan garantizar el cumplimiento del capítulo V del RGPD mediante esas cláusulas tipo, siempre que se cumplan las condiciones para utilizarlas.
11. Derechos de los Interesados
Corresponde al Responsable responder a las solicitudes de sus clientes relativas a los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individuales automatizadas.
Si el Encargado recibe directamente una solicitud de un interesado, la comunicará con presteza al Responsable y no responderá por sí mismo, salvo que el Responsable le haya autorizado a hacerlo.
El Encargado asiste al Responsable mediante las funciones de la plataforma, que le permiten consultar, corregir, exportar y eliminar los datos de sus clientes. Si esas funciones no bastan para atender una solicitud, el Responsable puede pedir ayuda en privacy@photoheart.app.
12. Asistencia al Responsable
Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, el Encargado ayudará al Responsable a garantizar el cumplimiento de sus obligaciones relativas a:
- La seguridad del tratamiento (artículo 32 del RGPD)
- La notificación de violaciones de la seguridad a la autoridad de control y su comunicación a los interesados (artículos 33 y 34)
- Las evaluaciones de impacto relativas a la protección de datos y las consultas previas a la autoridad de control (artículos 35 y 36)
13. Violaciones de la Seguridad de los Datos
El Encargado notificará al Responsable, sin dilación indebida, las violaciones de la seguridad de los datos personales tratados por su cuenta de las que tenga conocimiento. La notificación se enviará al correo electrónico de la cuenta del Responsable e incluirá, como mínimo:
- La naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados, cuando sea posible
- Un punto de contacto en el que obtener más información
- Las consecuencias probables y las medidas adoptadas o propuestas para ponerle remedio y mitigar sus posibles efectos negativos
Si no es posible facilitar toda la información al mismo tiempo, se facilitará de manera gradual sin dilación indebida.
Corresponde al Responsable valorar si debe notificar la violación a la autoridad de control en el plazo del artículo 33.1 del RGPD y comunicarla a los interesados.
14. Fin del Servicio: Devolución y Supresión
14.1. Devolución
El Responsable puede obtener en cualquier momento una copia de los datos desde Configuración → Storage: una exportación de los datos estructurados (contactos, sesiones y selecciones, presupuestos y facturas, contratos firmados con sus PDF, citas y catálogo) y una exportación separada de los archivos originales. La exportación se ofrece de nuevo antes de confirmar la eliminación de la cuenta.
14.2. Supresión
Terminada la prestación del servicio, el Encargado suprime los datos personales tratados por cuenta del Responsable:
- Eliminación de la cuenta: los datos se suprimen conforme al calendario indicado en la sección 7.3 de los Términos y Condiciones. Una vez iniciada, la eliminación es irreversible.
- Cancelación de la suscripción sin eliminar la cuenta: los datos se conservan durante los plazos indicados en esa misma sección, para que el Responsable pueda exportarlos o reactivar el servicio, y se suprimen después.
14.3. Datos que se conservan
Solo se conservan, anonimizados, los registros fiscales y contables obligatorios, durante seis años. Ningún otro dato se conserva por esta excepción.
Los contratos firmados y sus PDF se suprimen junto con el resto de los datos. Si el Responsable está obligado por ley a conservar esos documentos, debe exportarlos antes: conforme al artículo 33.3 de la LOPDGDD, es el Responsable quien garantiza su conservación.
15. Información y Auditorías
El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y en este Acuerdo, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por él.
Las auditorías se solicitan por escrito a privacy@photoheart.app, con un preaviso razonable, y pueden realizarse a intervalos razonables o cuando existan indicios de incumplimiento. Las partes acordarán previamente su alcance para proteger la confidencialidad de los datos de otros clientes del Encargado.
16. Incumplimiento y Resolución
Si el Encargado incumple las obligaciones de este Acuerdo, el Responsable puede ordenarle que suspenda el tratamiento hasta que vuelva a cumplirlas, o cancelar el servicio conforme a los Términos y Condiciones. El Encargado informará con presteza al Responsable si, por cualquier motivo, no puede cumplir este Acuerdo.
El Encargado puede dar por terminado el servicio en lo relativo al tratamiento de datos personales si, tras haber informado al Responsable de que una instrucción infringe la normativa, este insiste en que se siga.
17. Modificaciones
El Encargado puede modificar este Acuerdo para adaptarlo a cambios legales o del servicio. Los cambios significativos se notifican por correo electrónico, conforme a la sección 15 de los Términos y Condiciones. La fecha de "última actualización" indica la versión vigente.
18. Legislación Aplicable
Este Acuerdo se rige por el RGPD y, en lo no previsto en él, por la legislación y la jurisdicción indicadas en la sección 16 de los Términos y Condiciones.
19. Contacto
Protección de datos: privacy@photoheart.app Soporte general: support@photoheart.app
Anexo I. Medidas Técnicas y Organizativas
| Ámbito | Medida |
|---|---|
| Separación entre cuentas | Políticas de seguridad a nivel de fila en la base de datos: cada cuenta solo accede a sus propios datos |
| Control de acceso | Acceso del Responsable mediante cuenta autenticada; las operaciones de eliminación de cuenta requieren verificar de nuevo la identidad |
| Archivos | Las fotografías de las sesiones y los PDF de contratos y facturas se guardan en almacenamiento privado y se sirven mediante URLs firmadas temporales |
| Galerías | Acceso mediante enlace y, si el Responsable lo configura, contraseña, de la que solo se guarda un hash |
| Cifrado en tránsito | Las comunicaciones con la aplicación y con la base de datos se realizan mediante HTTPS/TLS |
| Credenciales de integraciones | Los tokens de las integraciones que conecta el Responsable se guardan en un almacén de secretos cifrado |
| Integridad de contratos | Cada contrato firmado conserva una huella de integridad de su contenido y el registro de fecha, dirección IP y navegador de la firma |
| Trazabilidad | Registro de auditoría de operaciones como la firma de contratos, las reservas, la exportación de datos y la baja |
| Minimización | Las herramientas de analítica no se cargan en las páginas públicas de galería, reserva y contrato; los registros del servicio de mensajería enmascaran los números de teléfono |
| Asistente de IA | Las solicitudes al proveedor de modelos se envían con la opción que deniega la recopilación de datos por parte del proveedor |
| Portabilidad y supresión | Exportación de datos y de archivos originales a petición del Responsable; proceso de supresión al terminar el servicio |
Anexo II. Subencargados
| Subencargado | Servicio | Datos tratados | Ubicación del tratamiento |
|---|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de archivos | Todos los datos de la sección 4.3 | Unión Europea (Fráncfort) |
| Vercel | Alojamiento de la aplicación web y de sus funciones | Datos en tránsito y registros de acceso | Red global; puede tratar datos fuera del EEE |
| Resend | Envío de correos electrónicos a los clientes del Responsable | Correo electrónico, nombre y contenido del mensaje | Estados Unidos |
| OpenRouter | Acceso a modelos de lenguaje para el asistente de IA; solo si el Responsable lo utiliza | Contenido de la conversación y datos de la cuenta que el asistente consulta para responder | Puede tratar datos fuera del EEE |
| Hostinger | Servidor del servicio de notificaciones por WhatsApp; solo si el Responsable conecta su número | Teléfono del destinatario y contenido del mensaje | Puede tratar datos fuera del EEE |
Integraciones que conecta el Responsable. Google Calendar, Gmail, un servidor de correo SMTP propio y WhatsApp funcionan con cuentas del propio Responsable. Cuando este las conecta, PhotoHeart envía a esas cuentas los datos necesarios siguiendo sus instrucciones. Los proveedores de esas cuentas no son subencargados de PhotoHeart: su relación es directa con el Responsable.
Servicios ajenos a este Acuerdo. Stripe gestiona el pago de la suscripción del Responsable y las herramientas de analítica miden el uso de la web y de la aplicación por parte del Responsable. No tratan datos de los clientes del Responsable por cuenta de este y se describen en la Política de Privacidad.
Referencias Legales
- Reglamento (UE) 2016/679 (RGPD), artículos 28, 32, 33 y 44 a 46
- Ley Orgánica 3/2018 (LOPDGDD), artículo 33
- Decisión de Ejecución (UE) 2021/915 de la Comisión: cláusulas contractuales tipo entre responsables y encargados
- AEPD: Directrices para la elaboración de contratos entre responsables y encargados del tratamiento
Documentos relacionados: