Este Acuerdo de Encargo del Tratamiento (en adelante, «el Acuerdo») forma parte de los Términos y Condiciones de Showly y se acepta con ellos. Da cumplimiento al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).
1. Partes
Responsable del tratamiento: el titular de cada espacio de Showly (en adelante, «el Responsable»), que decide qué datos personales incorpora a su espacio y con qué finalidad.
Encargado del tratamiento:
- Titular
- Rodrigo Rubén Galán, que opera bajo la denominación Galán Studio
- NIF
- Y8016547A
- Domicilio
- Av. Joan Miró, 126, Ponent, 07015 Palma, Illes Balears, España
- Correo electrónico
- galanstudiohq@gmail.com
Si el Responsable usa Showly para una actividad exclusivamente personal o doméstica, el RGPD no le resulta aplicable en esa medida; aun así, el Encargado tratará esos datos con las mismas garantías que se describen aquí.
2. Objeto, naturaleza y finalidad
El Encargado trata los datos personales que el Responsable y sus integrantes incorporan al espacio con la única finalidad de prestar el servicio: alojarlos, mostrarlos a las personas autorizadas, procesarlos técnicamente (por ejemplo, para reproducir una grabación o generar un documento descargable), protegerlos y realizar copias de seguridad.
3. Datos y personas afectadas
- Integrantes del espacio: nombre, correo electrónico, color e instrumento asignados, permiso, mensajes en las conversaciones de los ensayos.
- Personas que aparecen en el contenido: la voz y la interpretación recogidas en las tomas de ensayo y la imagen de fotografías y vídeos.
- Invitados de un show incluidos por el Responsable en la lista de invitados: nombre, de parte de quién vienen, notas y si han entrado.
- Contactos profesionales que el Responsable incorpore, como los de una sala o un técnico: nombre y datos de contacto.
Showly no está concebido para tratar categorías especiales de datos (como los de salud) ni datos de infracciones penales. El Responsable se compromete a no incorporarlos.
4. Duración
El Acuerdo dura lo mismo que la relación con el Responsable al amparo de los Términos. A su terminación se aplica lo previsto en el apartado sobre el destino de los datos.
5. Obligaciones del Encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que se concretan en los Términos y en la configuración que el propio Responsable hace del espacio. Si una instrucción le pareciera contraria a la normativa, se lo comunicará de inmediato.
- No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o cuando lo exija la ley.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
- Aplicar las medidas de seguridad del artículo 32 del RGPD adecuadas al riesgo, entre ellas: cifrado de las comunicaciones, control de acceso por permisos verificado en el servidor, separación entre espacios de modo que ningún usuario pueda acceder a los datos de otro, verificación de la integridad de la aplicación frente a accesos automatizados y copias de seguridad periódicas.
- Asistir al Responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de las personas afectadas, en particular facilitando que pueda corregir o eliminar sus datos desde la propia aplicación.
- Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos de su espacio, con la información disponible para que pueda documentarla y, en su caso, comunicarla a la autoridad de control.
- Ayudar al Responsable, cuando sea necesario, con las evaluaciones de impacto y las consultas previas a la autoridad de control.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir, previa solicitud razonable, las verificaciones oportunas.
6. Subencargados
El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, que ofrecen garantías suficientes y están sujetos a obligaciones equivalentes a las de este Acuerdo:
| Subencargado | Servicio | Ubicación | Garantías |
|---|---|---|---|
| Google Ireland Limited / Google LLC (Firebase) | Autenticación de usuarios, base de datos, almacenamiento de archivos y alojamiento web | Unión Europea y Estados Unidos | Google LLC está adherida al Marco de Privacidad de Datos UE-EE.UU. y aplica además Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. |
| Cloudinary Ltd. | Alojamiento, optimización y conversión de imágenes, vídeo y audio | Israel y Estados Unidos | Israel cuenta con decisión de adecuación de la Comisión Europea. Para el resto se aplican Cláusulas Contractuales Tipo. |
| Google Ireland Limited / Google LLC (reCAPTCHA, vía Firebase App Check) | Comprobar que las peticiones proceden de la aplicación legítima y no de programas automatizados, para proteger las cuentas y el servicio | Unión Europea y Estados Unidos | Marco de Privacidad de Datos UE-EE.UU. y Cláusulas Contractuales Tipo. |
| EmailJS | Envío de los correos generados por los formularios del sitio | Estados Unidos | Cláusulas Contractuales Tipo. |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos con tarjeta y prevención del fraude | Irlanda, con acceso desde Estados Unidos | Cláusulas Contractuales Tipo. Stripe actúa como responsable independiente en lo relativo a la prevención del fraude y al cumplimiento de la normativa de pagos. |
| Google Ireland Limited (Google Drive) | Conservación de las copias de seguridad de la base de datos | Unión Europea y Estados Unidos | Marco de Privacidad de Datos UE-EE.UU. y Cláusulas Contractuales Tipo. |
El Encargado informará con al menos 30 días de antelación de cualquier incorporación o sustitución de subencargados, publicándolo en esta página y avisando por correo electrónico a los titulares de espacios de pago. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se encontrara una solución, podrá resolver el contrato y obtener la devolución de la parte no consumida.
7. Transferencias internacionales
Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación de la Comisión Europea, en el Marco de Privacidad de Datos UE-EE.UU. o en Cláusulas Contractuales Tipo, según se indica en la tabla.
8. Obligaciones del Responsable
- Contar con una base jurídica para incorporar al servicio los datos de otras personas y informarlas de ello, en particular a los integrantes que invita, a las personas que graba o fotografía y a los invitados que incluye en una lista.
- Incorporar solo los datos adecuados y necesarios para la finalidad musical y organizativa del espacio.
- Gestionar con diligencia los permisos de su espacio y retirar el acceso a quien ya no deba tenerlo.
- Atender las solicitudes de las personas afectadas y trasladar al Encargado las que requieran su ayuda.
9. Destino de los datos al terminar
Al terminar la prestación del servicio, el Encargado suprimirá los datos del espacio en un plazo máximo de 30 días, tras haber dado al Responsable la oportunidad de descargarlos. Las copias de seguridad que los contengan se sustituyen de forma periódica y se eliminan en un plazo máximo de 3 meses; mientras tanto permanecen bloqueadas. Se exceptúan los datos que deban conservarse por obligación legal, que se mantendrán bloqueados durante el plazo correspondiente.