Acuerdo de encargo del tratamiento
Versión 2026-09-28. Forma parte de las condiciones de uso.
1. Partes y ámbito
Este acuerdo se celebra entre el operador titular de una cuenta de Patifot («Operador», responsable del tratamiento) y PATIFOT, société par actions simplifiée à associé unique (SASU), RCS Paris 983 410 473, 58 rue de Monceau, CS 48756, 75380 Paris Cedex 08, France («Patifot», encargado del tratamiento). Forma parte de las condiciones de uso y cumple el artículo 28 del RGPD. Cubre los datos personales de los Invitados que Patifot trata por cuenta del Operador mediante el Servicio, desde la primera foto real de un Invitado, también durante una prueba gratis. Los términos definidos en las condiciones de uso tienen aquí el mismo significado.
2. Objeto y duración
Patifot trata los datos de los Invitados para hacer funcionar las sesiones del fotomatón, componer e imprimir las imágenes solicitadas, mantener el archivo cerrado del evento, entregarlo al Operador o a un anfitrión autorizado por el Operador, suprimirlo según el calendario, proteger el Servicio y prestar soporte. El tratamiento dura mientras el Operador usa el Servicio, más los plazos de conservación de la política de privacidad.
3. Datos e interesados
Los interesados son los Invitados fotografiados en los fotomatones del Operador. Pueden ser menores cuando uno de sus padres, su representante legal o un adulto autorizado por ellos inicia la sesión. Los datos son las tomas aceptadas y descartadas, las copias finales, los identificadores de evento y de sesión, las elecciones hechas en pantalla y un registro mínimo del aviso mostrado y de la acción de inicio. Patifot no hace reconocimiento facial y no crea plantillas biométricas. El Operador no usa el Servicio para tratar a propósito categorías especiales de datos personales.
4. Instrucciones
Las instrucciones documentadas del Operador son este acuerdo, las condiciones de uso y los ajustes del evento que el Operador publica en el Panel. El Operador encarga a Patifot conservar el registro mínimo del aviso y el registro de supresiones durante los plazos indicados en la política de privacidad, para poder rendir cuentas del tratamiento. Patifot solo trata los datos de los Invitados según estas instrucciones, salvo que el Derecho de la Unión o de un Estado miembro exija otra cosa; en ese caso, Patifot informa antes al Operador, salvo que ese Derecho lo prohíba. Patifot informa inmediatamente al Operador si considera que una instrucción infringe la normativa de protección de datos.
5. Confidencialidad
Solo el personal autorizado de Patifot accede a los datos de los Invitados, solo en la medida en que lo exigen las finalidades anteriores, y cada una de esas personas está sujeta a un deber de confidencialidad.
6. Seguridad
Patifot aplica las siguientes medidas conforme al artículo 32 del RGPD: cifrado en tránsito (TLS), servidores de la aplicación en la UE, copias de seguridad cifradas fuera del servidor, acceso restringido y registrado a los sistemas de producción, comprobaciones App Attest de que las solicitudes vienen de una copia auténtica de la app, permisos de supresión firmados entre el servidor y los iPad, y supresión automática según el calendario publicado. Patifot revisa estas medidas cuando cambia el Servicio. Las fotos de los Invitados no se intercambian por correo electrónico: el Operador no envía datos de Invitados a Patifot por correo, y el soporte de Patifot solo consulta los datos de un evento mediante un acceso temporal al Panel que el titular de la cuenta aprueba y puede revocar.
7. Subencargados
El Operador otorga a Patifot una autorización general para recurrir a subencargados. Para los datos de los Invitados son actualmente UpCloud Oy (servidores de la aplicación y almacenamiento en la UE), Backblaze, Inc. (copias de seguridad fuera del servidor en su región de la UE), Cloudflare, Inc. (distribución y protección de la red) y Proton AG, Suiza (el buzón [email protected], que puede recibir solicitudes de Invitados). Patifot avisa por correo electrónico con al menos 30 días de antelación antes de añadir o sustituir un subencargado. El Operador puede oponerse por motivos razonables de protección de datos. Si las partes no resuelven la oposición, el Operador puede cancelar la suscripción antes de que se aplique el cambio. Los reembolsos se rigen por la política de reembolso. Cada subencargado está vinculado por un contrato escrito con obligaciones de protección de datos al menos tan estrictas como estas, y Patifot responde de él.
8. Transferencias fuera de la UE
Patifot guarda las fotos de los Invitados en servidores situados en la UE. Toda transferencia de datos de los Invitados fuera de la UE se basa en una garantía del capítulo V del RGPD. Cloudflare puede tratar datos de red en los Estados Unidos con arreglo al Marco de Privacidad de Datos UE-EE. UU. y a cláusulas contractuales tipo. Proton AG tiene su sede en Suiza, país cubierto por una decisión de adecuación de la UE, y guarda el buzón de soporte en sus servidores de Suiza, Alemania o Noruega.
9. Ayuda con las solicitudes de los interesados
Patifot remite al Operador, sin dilación indebida, toda solicitud de un Invitado que reciba sobre los eventos del Operador. Ayuda al Operador a responder a las solicitudes de los artículos 12 a 23 del RGPD, por ejemplo buscando, exportando o suprimiendo las fotos de un Invitado en el archivo del evento.
10. Ayuda con la seguridad y las evaluaciones de impacto
Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Patifot ayuda al Operador a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos y la consulta previa a una autoridad de control.
11. Violaciones de la seguridad de los datos personales
Patifot notifica al Operador toda violación de la seguridad de los datos personales que afecte a datos de los Invitados sin dilación indebida y, a más tardar, 48 horas después de tener conocimiento de ella. La notificación da la información del artículo 33, apartado 3, del RGPD en la medida en que se conozca, y Patifot la completa a medida que dispone de más información.
12. Fin del tratamiento
Cuando el Operador deja de usar el Servicio, elige si Patifot le devuelve los datos de los Invitados que aún conserva o los suprime. El Operador descarga los archivos de los eventos (fotos y copias impresas) desde el Panel mientras se conservan. Si lo pide a [email protected] antes de solicitar la supresión de su cuenta, Patifot también le devuelve los demás datos de Invitados que conserva por su cuenta, como los registros del aviso y de la acción de inicio, en un archivo legible en un plazo de 30 días; lo envía protegido con una contraseña, que comunica por otro canal, y borra su exportación temporal una vez entregado el archivo. Patifot no prolonga los plazos de conservación a la espera de una devolución: los datos cuyo plazo ha vencido se suprimen según el calendario. Tras la devolución, o directamente si el Operador elige la supresión, Patifot suprime todas sus copias de los datos de los Invitados al terminar los plazos de conservación o al suprimirse la cuenta del Operador, lo que ocurra primero, y las copias de seguridad los pierden como máximo 15 días después de su supresión de la base de datos activa. Solo quedan dos registros mínimos, conforme a la sección 4: el registro del aviso mostrado y de la acción de inicio, sin nombres ni fotos, hasta su plazo de la política de privacidad y solo para rendir cuentas y para reclamaciones; y el registro de supresiones, que solo contiene identificadores, hashes y firmas e impide que una copia de seguridad antigua restaure datos suprimidos. También se mantiene la conservación que exija el Derecho de la Unión o de un Estado miembro.
13. Auditorías
Patifot pone a disposición del Operador la información necesaria para demostrar el cumplimiento de este acuerdo. El Operador, o un auditor sujeto a confidencialidad que designe, puede realizar una auditoría una vez al año con un preaviso escrito de 30 días, a costa del Operador y sin acceso a datos de otros clientes. El Operador también puede auditar antes, con un preaviso razonable, tras una violación de la seguridad de los datos personales, cuando haya indicios razonables de que no se cumple este acuerdo o cuando lo exija una autoridad de control. Patifot colabora en las inspecciones de las autoridades de control.
14. Obligaciones del Operador
El Operador determina la base jurídica de cada finalidad, da a los Invitados la información exigida por los artículos 13 y 14 del RGPD mediante su bloque de organizador en el fotomatón y cualquier otro medio necesario, obtiene todo consentimiento o permiso que exija la ley y solo da a Patifot instrucciones lícitas.
15. Responsabilidad y prelación
La responsabilidad derivada de este acuerdo sigue la sección 11 de las condiciones de uso, salvo cuando la ley no permita limitarla. Para el tratamiento de los datos de los Invitados, este acuerdo prevalece sobre las condiciones de uso.
16. Ley e idioma
Este acuerdo se rige por la ley francesa, y a los litigios se aplica la sección 14 de las condiciones de uso. Existe en inglés y en francés, y ambas versiones hacen igualmente fe. Esta versión en español es una traducción informativa; en caso de discrepancia, prevalece la versión inglesa.