Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos («ATD») forma parte de las Condiciones de Servicio entre RealTime.Photos (operado por Nanjing Zhiyin Trading Co., Ltd.) y el fotógrafo u organización que usa la plataforma («Responsable»). Regula el tratamiento de los datos personales que el Responsable sube a la plataforma en el curso del uso del servicio.

Al aceptar las Condiciones de Servicio, el Responsable suscribe este ATD. Cuando la normativa aplicable exija un acuerdo firmado por separado, el Responsable puede solicitar una copia refrendada escribiendo a hello@realtime.photos con el asunto «Solicitud de ATD».

Normativa de protección de datos aplicable significa el Reglamento General de Protección de Datos de la UE (RGPD 2016/679), el RGPD del Reino Unido, la California Consumer Privacy Act (CCPA), la Virginia Consumer Data Protection Act (VCDPA), la Colorado Privacy Act (CPA), la Connecticut Data Privacy Act (CTDPA), la Utah Consumer Privacy Act (UCPA) y cualquier otra normativa de protección de datos o privacidad aplicable a nivel nacional o estatal.

Responsable significa el fotógrafo u organización que determina los fines y medios del tratamiento de los datos personales subidos a RealTime.Photos.

Encargado significa RealTime.Photos (Nanjing Zhiyin Trading Co., Ltd.), que trata los datos personales por cuenta del Responsable.

Subencargado significa cualquier encargado del tratamiento tercero contratado por RealTime.Photos para tratar datos personales en el curso de la prestación del servicio.

Interesados significa las personas físicas cuyos datos personales se encuentran en el contenido subido por el Responsable.

Los términos Datos personales, Tratamiento, Violación de seguridad de datos y demás términos de protección de datos en mayúsculas tienen los significados que les otorga el RGPD.

El Responsable es el responsable del tratamiento de los datos personales de los invitados al evento y de las demás personas cuyas imágenes se suben a la plataforma. RealTime.Photos es el encargado del tratamiento y trata esos datos exclusivamente por cuenta del Responsable y de conformidad con este ATD y las instrucciones documentadas del Responsable (recogidas en las Condiciones de Servicio).

El Responsable es responsable de:

• Cumplir con las obligaciones de transparencia frente a los interesados previstas en los artículos 13 y 14 del RGPD (o equivalentes bajo la normativa aplicable), incluida la comunicación del uso de tecnología de reconocimiento facial en el evento. La tarjeta QR imprimible de la plataforma (pestaña Compartir) está diseñada para facilitar este cumplimiento.
• Garantizar que la configuración de consentimiento elegida cumple sus obligaciones en virtud del artículo 9.2 del RGPD. Hay dos configuraciones disponibles: (i) consentimiento previo al evento, en el que el Responsable recaba el consentimiento de los asistentes antes del evento a través de un formulario de registro o aviso de privacidad, de modo que la indexación de reconocimiento facial se ejecuta una vez que el consentimiento ya existe; y (ii) consentimiento integrado en la aplicación, en el que los invitados que decidan usar la búsqueda facial ven una pantalla de consentimiento mostrada por RealTime.Photos antes de que se muestren sus fotos. Para los eventos de plan estándar (Small, Medium, Large), el consentimiento integrado en la aplicación es la opción predeterminada de la plataforma. Para los eventos de plan Custom, incluido el Agency Plan, el consentimiento previo al evento se activa de forma predeterminada al crear el evento y el asistente integrado queda suprimido; el Responsable es responsable de garantizar que los asistentes han dado su consentimiento antes del evento. RealTime.Photos facilita el texto de consentimiento listo para usar desde el panel de control para asistir en este proceso. El Responsable, como responsable del tratamiento, es responsable de garantizar que la configuración elegida cumple el artículo 9.2.a) del RGPD o la normativa equivalente aplicable.
• Garantizar que cualquier transferencia de datos personales a RealTime.Photos cumple con las normas de transferencia transfronteriza aplicables.

El objeto, la duración, la naturaleza y la finalidad del tratamiento realizado por RealTime.Photos como Encargado son los siguientes:

(a) Instrucciones. RealTime.Photos trata los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, recogidas en las Condiciones de Servicio y en este ATD. Si la normativa aplicable obliga a RealTime.Photos a tratar datos con otra finalidad, informará al Responsable antes de hacerlo, salvo que la ley lo prohíba. RealTime.Photos también informará de inmediato al Responsable si, en su opinión razonada, alguna instrucción del Responsable pudiera provocar el incumplimiento de la normativa de protección de datos aplicable.

(b) Confidencialidad. RealTime.Photos garantiza que todo el personal autorizado para tratar los datos personales del Responsable está sujeto a obligaciones de confidencialidad adecuadas.

(c) Seguridad. RealTime.Photos aplica medidas técnicas y organizativas adecuadas para proteger los datos personales frente a tratamientos no autorizados o ilícitos, así como frente a su pérdida, destrucción o daño accidentales. Las medidas actuales incluyen:

• Cifrado en tránsito: todos los datos transmitidos entre clientes, la aplicación y los subencargados se cifran mediante TLS 1.2 o superior.
• Cifrado en reposo: los datos personales almacenados en bases de datos y almacenamiento en la nube se cifran en reposo con AES-256 o equivalente.
• Controles de acceso: el acceso a los datos personales está restringido al personal autorizado según el principio de necesidad, mediante controles de acceso basados en roles.
• Seudonimización: los embeddings de reconocimiento facial se almacenan separados de los metadatos de las fotos, reduciendo el riesgo de reidentificación en caso de brecha parcial.
• Evaluaciones de seguridad: los componentes clave de la plataforma se someten a revisiones de seguridad periódicas.
• Respuesta a incidentes: RealTime.Photos mantiene procedimientos documentados de detección y respuesta a incidentes.

Puede solicitarse información más detallada sobre las medidas de seguridad técnicas y organizativas mediante petición escrita.

(d) Subencargados. RealTime.Photos contrata a los subencargados que figuran en la sección correspondiente más adelante. Al suscribir este ATD, el Responsable otorga autorización escrita general para la contratación de dichos subencargados. RealTime.Photos notificará al Responsable cualquier incorporación o sustitución prevista de un subencargado actualizando este ATD y notificando a los titulares de cuentas registradas por correo electrónico o aviso en la aplicación con al menos 14 días de antelación. El Responsable podrá oponerse por escrito en los 14 días siguientes a dicha notificación. Si el Responsable se opone y RealTime.Photos no puede atender razonablemente la objeción sin contratar al nuevo subencargado, el Responsable podrá resolver el servicio afectado sin penalización, con efecto a los 30 días de la notificación escrita de resolución.

(e) Derechos de los interesados. RealTime.Photos asistirá al Responsable en el cumplimiento de sus obligaciones de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición) facilitando los datos disponibles, herramientas de eliminación y funcionalidad de exportación a través del panel o, cuando no estén disponibles en él, previa solicitud escrita a hello@realtime.photos.

(f) Notificación de brechas de seguridad. RealTime.Photos notificará al Responsable sin dilación indebida, y en cualquier caso en el plazo de 72 horas desde que tenga conocimiento de ella, cualquier brecha de seguridad de datos personales confirmada que afecte a los datos del Responsable. La notificación incluirá: la naturaleza de la brecha; las categorías y el número aproximado de interesados y registros afectados; las consecuencias probables; y las medidas adoptadas o propuestas.

(g) Devolución y supresión. A la resolución del servicio o a petición del Responsable, RealTime.Photos eliminará o devolverá todos los datos personales de conformidad con el calendario de retención de datos recogido en las Condiciones de Servicio. A petición del Responsable, RealTime.Photos proporcionará certificación escrita de la eliminación en el plazo de 30 días desde la solicitud.

(h) Auditoría. RealTime.Photos pondrá a disposición del Responsable toda la información razonablemente necesaria para demostrar el cumplimiento de este ATD y permitirá y contribuirá a las auditorías o inspecciones realizadas por el Responsable o un auditor designado, con sujeción a: un preaviso razonable por escrito de al menos 30 días; una frecuencia no superior a una vez por año natural; y que el auditor esté vinculado por obligaciones de confidencialidad adecuadas.

(i) Asistencia para EIPD y consulta previa. Cuando el Responsable esté obligado a realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) en virtud del artículo 35 del RGPD en relación con el tratamiento realizado por RealTime.Photos, prestaremos asistencia razonable, facilitando información sobre nuestras actividades de tratamiento, medidas de seguridad y subencargados. Cuando sea necesario, también asistiremos en cualquier consulta previa con la autoridad de control competente conforme al artículo 36 del RGPD.

(j) Registros de actividades de tratamiento. RealTime.Photos mantiene registros de las actividades de tratamiento realizadas por cuenta de los Responsables, según lo exige el artículo 30.2 del RGPD. Estos registros incluyen las categorías de tratamiento realizadas, los subencargados contratados e información sobre las transferencias internacionales de datos. Los registros se mantienen en formato escrito y se ponen a disposición de las autoridades de control cuando sea requerido.

Los siguientes subencargados están actualmente contratados por RealTime.Photos para tratar datos personales de los invitados al evento del Responsable:

Dodo Payments (procesamiento de pagos), Clerk (autenticación de cuentas de fotógrafo) y Resend (entrega de email transaccional a cuentas de fotógrafo) tratan datos del Responsable en su calidad de titular de cuenta, no datos de los invitados al evento del Responsable, y no son subencargados en el marco de este ATD.

Los subencargados indicados anteriormente están ubicados en Estados Unidos. Los datos personales transferidos desde el Espacio Económico Europeo (EEE) o el Reino Unido a estos subencargados están protegidos por uno o más de los siguientes mecanismos:

• Cláusulas Contractuales Tipo (CCT): Decisión de la Comisión Europea 2021/914 (para transferencias desde el EEE) y el Addendum de Transferencia Internacional de Datos de la ICO del Reino Unido (para transferencias desde el Reino Unido), incorporados a nuestros acuerdos con cada subencargado.
• Marco de Privacidad de Datos UE-EE.UU. o su extensión al Reino Unido: cuando un subencargado cuente con la certificación vigente bajo dichos marcos, las transferencias a esa entidad también podrán ampararse en la decisión de adecuación aplicable.

El Responsable puede solicitar un resumen de los mecanismos de transferencia vigentes para cada subencargado escribiendo a hello@realtime.photos.

Cuando el Responsable o sus interesados estén sujetos a la CCPA (California), la VCDPA (Virginia), la CPA (Colorado), la CTDPA (Connecticut), la UCPA (Utah) u otra normativa de privacidad estatal aplicable de EE.UU., RealTime.Photos se compromete a actuar como «proveedor de servicios» o «encargado del tratamiento» según la definición de la normativa aplicable y a:

• Tratar los datos personales únicamente para los fines empresariales especificados en este ATD y en las Condiciones de Servicio, sin venderlos ni compartirlos para publicidad comportamental contextual cruzada.
• No conservar, usar ni divulgar datos personales con ninguna finalidad distinta a la prestación del servicio, salvo lo permitido por la normativa aplicable.
• Asistir al Responsable en el cumplimiento de sus obligaciones de responder a las solicitudes de derechos de los consumidores (acceso, supresión, corrección y exclusión) respecto a los datos personales tratados por cuenta del Responsable.
• Notificar al Responsable de inmediato si RealTime.Photos determina que ya no puede cumplir sus obligaciones bajo la normativa de privacidad de EE.UU. aplicable.

Podemos actualizar este ATD de vez en cuando para reflejar cambios en la normativa de protección de datos aplicable, las funciones de la plataforma o los acuerdos con subencargados. Proporcionaremos al menos 14 días de antelación para cambios sustanciales mediante correo electrónico o aviso en la aplicación a los titulares de cuentas registradas. El uso continuado de la plataforma tras la fecha de entrada en vigor implica la aceptación del ATD revisado.

Cuando la normativa aplicable exija un ATD firmado por separado, el Responsable puede solicitar una copia refrendada de la versión vigente en cualquier momento escribiendo a hello@realtime.photos con el asunto «Solicitud de ATD».

Este ATD se rige por las leyes de España y de la Unión Europea. Cuando el Responsable esté establecido en el Reino Unido, este ATD se interpretará de conformidad con la normativa de protección de datos del Reino Unido (UK RGPD y la Ley de Protección de Datos de 2018). Cuando el Responsable esté sujeto a la normativa de privacidad estatal de EE.UU., las disposiciones de la sección sobre normativa de privacidad de EE.UU. anterior se aplican de forma concurrente y no están limitadas por esta cláusula de ley aplicable.

Prevalencia. En caso de conflicto entre este ATD y las Condiciones de Servicio en relación con el tratamiento de datos personales, prevalecerá este ATD. Para el resto de materias, regirán las Condiciones de Servicio. Cuando el Responsable haya suscrito un contrato escrito independiente con RealTime.Photos que prevalezca expresamente sobre las Condiciones de Servicio, dicho contrato prevalecerá también sobre este ATD en la medida en que regule expresamente cualquier materia aquí contemplada, incluida la limitación de responsabilidad aplicable a las reclamaciones derivadas de este ATD.

Vigencia. Este ATD permanecerá en vigor durante la vigencia de las Condiciones de Servicio y se resolverá automáticamente cuando las Condiciones de Servicio se resuelvan o expiren, con sujeción a la cláusula de supervivencia siguiente.

Supervivencia. Las obligaciones de las secciones (b) Confidencialidad, (c) Seguridad, (f) Notificación de brechas de seguridad, (g) Devolución y supresión y (j) Registros de actividades de tratamiento sobreviven a la resolución de este ATD mientras RealTime.Photos conserve datos personales del Responsable, o durante el período más largo que exija la normativa aplicable.

Limitación de responsabilidad. La responsabilidad de cada parte derivada de este ATD o relacionada con él está sujeta a las disposiciones sobre limitación de responsabilidad recogidas en las Condiciones de Servicio. Nada en este ATD pretende ampliar la responsabilidad agregada de ninguna de las partes más allá del límite establecido en las Condiciones de Servicio.

Para consultas sobre protección de datos, para ejercer derechos de los interesados o para solicitar una copia refrendada de este ATD, escríbenos a hello@realtime.photos con el asunto «Solicitud de ATD».