Contrato de Encargo de Tratamiento

Evnyo está autorizado a tratar por cuenta del Cliente los datos personales necesarios para la prestación de los Servicios tal como se definen en los Términos y Condiciones. Las características de estos tratamientos se resumen en la tabla siguiente, conforme a los requisitos del artículo 28 del RGPD:

Observaciones: Las categorías de interesados de estos tratamientos son principalmente los Invitados designados por el Cliente (contactos profesionales o privados invitados a sus eventos). El Cliente también puede verse obligado a introducir datos concernientes a sus usuarios internos (ej. coordenadas de un colaborador organizador) en la plataforma – estos datos de usuarios del Cliente se refieren generalmente a la cuenta Cliente misma y son tratados en el marco del funcionamiento del servicio (ej. gestión de accesos). Finalmente, los datos propios del Cliente (como su información de facturación, sus identificadores) son tratados por Evnyo en calidad de Responsable del tratamiento en el marco de la gestión de la relación contractual (cf. Política de Privacidad Evnyo), y no se detallan aquí por estar fuera del ámbito del presente Contrato.

Se conviene que si el Cliente utiliza los Servicios para tratar Datos o categorías de Datos o en el marco de finalidades distintas a las descritas arriba, lo hace bajo su riesgo y responsabilidad. Evnyo no podrá ser considerado responsable en caso de incumplimiento de la normativa derivado de tratamientos no previstos por las Partes. El Cliente se compromete a utilizar la plataforma solo para las finalidades para las que está prevista, conforme a los Términos y Condiciones y a la presente tabla.

En calidad de Responsable del Tratamiento, el Cliente se compromete a:

• Conformidad e instrucciones documentadas: Respetar en todos los puntos la normativa aplicable a los datos personales (RGPD, LOPD-GDD) para los tratamientos que efectúa a través de Evnyo. El Cliente determina las finalidades y medios de los tratamientos confiados a Evnyo y garantiza que las instrucciones que da a Evnyo son documentadas, conformes al contrato y a la normativa. Cualquier instrucción del Cliente que exceda el perímetro del Servicio o sea contraria a la normativa no será ejecutada por Evnyo. El Cliente utilizará la plataforma de manera conforme a los documentos contractuales y no instruirá a Evnyo para tratar datos en violación de las leyes.

• Licitud de los datos tratados: Asegurar que los datos personales confiados a Evnyo han sido recogidos y son tratados por el Cliente en conformidad con el RGPD y la LOPD-GDD. Esto incluye, sin limitarse a: la información previa de los interesados desde la recogida de sus datos, comunicándoles todas las menciones obligatorias (identidad del responsable del tratamiento, finalidad de la invitación, base jurídica – consentimiento o interés legítimo, derechos de las personas, etc.). El Cliente debe proporcionar a los Invitados una información clara, por ejemplo a través de su propia política de privacidad o un texto entregado en el momento de la recogida de los emails. Cuando la base jurídica del tratamiento es el consentimiento (particularmente para el envío de emails/SMS de marketing a particulares), obtener un consentimiento válido y demostrable de cada interesado previamente al envío de invitaciones. El Cliente debe ser capaz de probar que el Invitado ha consentido recibir las invitaciones, o en su defecto, que el envío se basa en otra base jurídica válida (por ejemplo, interés legítimo en B2B con derecho de oposición respetado). Tener en cuenta los derechos de oposición de las personas (ej: si un Invitado se ha opuesto a recibir solicitaciones, asegurarse de no importarlo o invitarlo más). De manera general, tratar a través de Evnyo solo datos adecuados, pertinentes y limitados a lo necesario respecto a las finalidades perseguidas (principio de minimización).

• Exactitud y actualización: Velar por la exactitud de los datos de los Invitados y actualizarlos si es necesario. Evnyo proporciona herramientas que permiten al Cliente rectificar o suprimir datos; corresponde al Cliente dar curso a las eventuales peticiones de rectificación de los interesados. Evnyo puede, en la medida de lo posible, ayudar al Cliente a mantener datos exactos según sus instrucciones.

• Medidas de seguridad del Cliente: Implementar medidas de seguridad apropiadas del lado Cliente para asegurar la protección de los datos durante su utilización de la plataforma. Por ejemplo, el Cliente debe asegurar el acceso a su cuenta (contraseñas fuertes, autenticación de doble factor si está disponible), y velar por la confidencialidad de los datos cuando exporta o descarga información desde Evnyo.

• Utilización conforme de la plataforma: No desviar las funcionalidades de Evnyo para recoger o tratar datos sensibles o altamente personales sin acuerdo previo de Evnyo. La plataforma puede contener campos libres (por ejemplo, posibilidad para el Cliente de introducir un mensaje personalizado) que no están destinados a contener datos sensibles (como datos de salud, origen racial, opiniones, etc.). El Cliente se compromete a no introducir tales datos especiales. Evnyo declina toda responsabilidad en caso de utilización no conforme de estos campos por parte del Cliente.

• Cooperación: Más generalmente, colaborar de buena fe con Evnyo para permitir la conformidad del tratamiento. Por ejemplo, en caso de petición de auditoría o información (ver sección 4.5), el Cliente participará en la medida de lo razonable.

El Cliente reconoce que conserva la entera responsabilidad de los Datos personales tratados por su cuenta. El Cliente permanece responsable de la conformidad global del tratamiento vis-à-vis de los interesados y las autoridades, en el marco de sus obligaciones como Responsable del Tratamiento. Evnyo asume su responsabilidad de Encargado del Tratamiento conforme al artículo 28 del RGPD, particularmente en materia de seguridad, confidencialidad y cooperación. En caso de violación por parte del Cliente de sus obligaciones de Responsable del Tratamiento, las consecuencias financieras y jurídicas que de ello deriven son de su responsabilidad, sin perjuicio de la responsabilidad propia de Evnyo como Encargado del Tratamiento.

En calidad de Encargado del Tratamiento, Evnyo se compromete a respetar las siguientes obligaciones, conforme al artículo 28 del RGPD:

4.1. Tratamiento conforme a las instrucciones

Evnyo tratará los datos personales de los Invitados solo bajo instrucción documentada del Cliente y con el único objetivo de proporcionar los Servicios tal como se definen en el Contrato. Esto incluye las operaciones técnicas necesarias como el alojamiento, el almacenamiento, el envío de emails/SMS, el formato de las invitaciones, el seguimiento de respuestas, el mantenimiento y el soporte.

Evnyo no decidirá las finalidades o medios del tratamiento fuera de las instrucciones del Cliente. Evnyo se abstendrá particularmente de cualquier utilización de los datos para otros fines (marketing propio, elaboración de perfiles, etc.), de cualquier venta o alquiler de los datos, y de cualquier fusión de los datos de los Invitados con otras bases, salvo obligación legal contraria.

Si Evnyo considera que una instrucción del Cliente constituye una violación del RGPD o de otras disposiciones aplicables, informará prontamente al Cliente. Del mismo modo, si Evnyo está obligado por el derecho de la Unión o el derecho nacional a proceder a un tratamiento que va más allá de las instrucciones (ej. una divulgación por orden judicial), informará al Cliente antes del tratamiento (salvo que la ley lo prohíba por motivos importantes de interés público).

Evnyo garantiza que los datos personales tratados por cuenta del Cliente serán mantenidos estrictamente confidenciales. Para ello, Evnyo se compromete a:

• Divulgar los datos de los Invitados solo a los miembros de su personal, encargados del tratamiento o prestadores que necesiten acceder a ellos para las necesidades de la ejecución de los Servicios, y solo en la medida estrictamente necesaria para su intervención.
• Asegurar que estas personas autorizadas estén sujetas a una obligación legal o contractual de confidencialidad. Evnyo integra en los contratos de trabajo o prestaciones cláusulas de confidencialidad conformes a los requisitos del presente Contrato.
• No copiar, reproducir o utilizar los datos de los Invitados para finalidades distintas a las previstas por el Contrato, y no conservar copias de los datos más allá de lo necesario para el servicio o para conformarse a la ley.
• Velar por que su personal que trata los datos esté formado en los requisitos de protección de datos y sensibilizado sobre la importancia de la confidencialidad.

Esta obligación de confidencialidad perdura incluso después del fin del contrato.

Evnyo implementará todas las medidas de seguridad técnicas y organizativas apropiadas con el fin de garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Evnyo se compromete a mantener un nivel de seguridad conforme al estado del arte. Teniendo en cuenta el estado de los conocimientos, los costos de implementación y la naturaleza de los datos, Evnyo adopta particularmente las siguientes medidas:

• Seguridad lógica de los datos: Protección de servidores y bases de datos contra intrusiones (cortafuegos, sistemas de detección de intrusiones), cifrado de comunicaciones (ej: TLS para las interfaces web, SMTP seguro para los emails salientes), políticas de control de accesos estrictas (acceso a los datos reservado a las personas autorizadas mencionadas arriba, con autenticación fuerte). Los datos de los Invitados almacenados en los servidores están alojados en un entorno seguro que respeta los estándares de la industria (centros de datos seguros, vigilancia 24/7, etc.).
• Seguridad física: Los datos están alojados a través de servicios de hosting cloud reconocidos por su seguridad (ver Subencargados más abajo).
• Resistencia e integridad: Copias de seguridad regulares de los datos para prevenir la pérdida de datos, pruebas de integridad, plan de reanudación de actividad en caso de incidente mayor, con el fin de asegurar la disponibilidad de los datos del Cliente en la medida de lo posible.
• Pruebas y auditorías de seguridad: Evnyo realiza periódicamente evaluaciones de seguridad de su plataforma (pruebas internas, auditorías externas si son necesarias) para identificar y corregir vulnerabilidades. Estas pruebas se conducen de manera confidencial y los resultados pueden ser comunicados al Cliente bajo petición legítima, sujeto a confidencialidad.

Evnyo se compromete a notificar al Cliente cualquier violación de datos personales (incidente de seguridad que comporte accidental o ilícitamente la destrucción, pérdida, alteración, divulgación no autorizada o el acceso no autorizado a datos personales) del que tenga conocimiento y concerniente a los datos del Cliente. Esta notificación se efectuará en las 24 horas después del descubrimiento del incidente. Evnyo proporcionará al Cliente toda la información pertinente sobre la naturaleza de la violación, los datos potencialmente afectados, las consecuencias probables y las medidas correctivas adoptadas, con el fin de permitir al Cliente, si es necesario, notificar este incidente a la autoridad de protección de datos competente (AEPD) y/o a los interesados, conforme a los artículos 33 y 34 del RGPD. Las Partes cooperarán de buena fe en caso de incidente para atenuar sus efectos.

El Cliente consiente expresamente a que Evnyo pueda recurrir a subencargados del tratamiento (también llamados encargados del tratamiento subordinados o prestadores terceros) para llevar actividades de tratamiento específicas por cuenta del Cliente, en el marco de la prestación del Servicio. Puede tratarse particularmente de las siguientes categorías: hosting cloud, servicios de envío de emails y SMS, herramientas de análisis técnicas, corrección de datos por IA, etc.

Los subencargados actuales a los que Evnyo recurre incluyen (lista no exhaustiva):

• Supabase – Base de datos y alojamiento de archivos: Supabase es nuestro proveedor de infraestructura de aplicaciones. Papel: alojamiento de la base de datos PostgreSQL que contiene los datos de Evnyo (cuentas, eventos, invitaciones, respuestas, etc.), y almacenamiento de archivos asociados (ej. imágenes de sus eventos) en un espacio dedicado. Localización: Unión Europea. Utilizamos los servidores europeos de Supabase (región UE) para que todos los datos y archivos estén alojados exclusivamente en Europa. Los datos almacenados están cifrados en reposo y solo son accesibles a las aplicaciones de Evnyo y a nuestros administradores autorizados.

• Vercel – Alojamiento frontend: Vercel es la plataforma de alojamiento del frontend de nuestra aplicación (sitio web e interfaz de usuario de Evnyo). Papel: distribución de la aplicación web y contenidos estáticos a los usuarios finales, a través de una red mundial de distribución (CDN) para un rendimiento óptimo. Localización: principalmente en Estados Unidos (Vercel Inc.), con un CDN a través del mundo (incluyendo servidores en Europa). Garantías de transferencia: Vercel está certificado en el EU-US Data Privacy Framework y ofrece un Acuerdo de Procesamiento de Datos estándar conforme al RGPD.

• Postmark – Envío de emails transaccionales: servicio de emailing utilizado para encaminar los correos generados por Evnyo. Papel: envío fiable de emails transaccionales relacionados con eventos (ej. invitaciones, confirmaciones de inscripción, recordatorios, seguimientos post-evento) en nombre del organizador. Localización: principalmente en Estados Unidos, con infraestructuras redundantes. Garantías de transferencia: Postmark ofrece un Acuerdo de Procesamiento de Datos estándar conforme a los requisitos del RGPD y garantías contractuales para transferencias internacionales.

• Twilio – Envío de SMS transaccionales: plataforma utilizada para el envío de SMS (por ejemplo invitaciones o recordatorios por SMS, o mensajes de verificación) a participantes que han proporcionado un número de teléfono. Papel: encaminar SMS hacia los operadores telefónicos de sus contactos. Localización: Twilio Inc. es una empresa americana, pero dispone de puntos de presencia en la UE. Garantías de transferencia: Twilio dispone de Normas Corporativas Vinculantes (BCR) aprobadas por las autoridades europeas de protección de datos y ofrece un Acuerdo de Procesamiento de Datos conforme al RGPD.

• CookieYes – Plataforma de Gestión de Consentimiento: herramienta de gestión de consentimientos de cookies. CookieYes despliega el banner de cookies en nuestro sitio y registra las decisiones de cada usuario respecto a las cookies. Papel: garantizar que los rastreadores no esenciales solo se activen con consentimiento, y conservar la prueba del consentimiento o rechazo del usuario. Localización: CookieYes Limited es una empresa registrada en el Reino Unido.

• OpenAI – Inteligencia artificial: servicio de IA avanzada que utilizamos a través de API para funcionalidades específicas (ej: corrección de datos mal formateados, generación de imágenes bajo demanda). Papel: tratamiento algorítmico del contenido que le enviamos con el fin de producir un resultado (archivo corregido o imagen generada) devuelto a Evnyo. Localización: Estados Unidos (OpenAI, Inc.). Garantías: Conforme a las condiciones de utilización de la API de OpenAI, los datos que transmitimos no son utilizados por OpenAI para entrenar sus modelos de IA y se eliminan automáticamente de sus sistemas en un plazo máximo de 30 días después del tratamiento.

• OVH – Gestión del nombre de dominio y DNS: OVHcloud es nuestro registrador y host DNS para el dominio evnyo.com. Papel: gestión técnica del nombre de dominio, registros DNS y alojamiento de ciertas funciones auxiliares. Localización: Francia (OVH, empresa francesa). Datos personales: muy pocos datos en realidad – OVH trata esencialmente datos técnicos (consultas DNS de visitantes).

Evnyo se asegura de que todos sus subencargados dispongan de mecanismos de transferencia validados para países terceros (BCR, Cláusulas Contractuales Tipo, decisión de adecuación) y que sus DPA estándar respeten los requisitos del artículo 28 del RGPD. Evnyo se compromete a que cada subencargado ofrezca garantías suficientes en cuanto a la implementación de medidas técnicas y organizativas apropiadas, de manera que el tratamiento responda a los requisitos del RGPD y garantice la protección de los derechos de los interesados. Evnyo concluye con cada uno de estos subencargados un contrato escrito que impone obligaciones de protección de datos equivalentes a las del presente Contrato, particularmente en términos de confidencialidad, seguridad y notificación de violaciones.

Evnyo permanece plenamente responsable vis-à-vis del Cliente de la ejecución por parte de sus subencargados de sus obligaciones de protección de datos. Evnyo supervisará estos subencargados y permanecerá como interlocutor único del Cliente.

Información y derecho de oposición: Evnyo tendrá al Cliente informado de cualquier cambio previsto concerniente a la adición o reemplazo de subencargados importantes que impliquen un tratamiento de datos personales del Cliente. Esta información se proporcionará a través de una notificación (por ejemplo, en la interfaz administrador del Cliente o por email) al menos 15 días antes del cambio. El Cliente tiene la facultad de emitir objeciones razonables y legítimas contra estos cambios en este plazo de 15 días. Una objeción deberá estar motivada de buena fe, por ejemplo si el Cliente estima que un nuevo subencargado presenta garantías insuficientes de conformidad.

En caso de objeción no resuelta concerniente a un nuevo subencargado, Evnyo podrá, a su elección, bien renunciar a contratar este subencargado, bien proponer una solución alternativa al Cliente. Si no se encuentra ninguna solución aceptable, el Cliente podrá rescindir el contrato sin penalidad debido a esta objeción. Esta rescisión se considerará como legítima y no culposa por parte de Evnyo.

Al término de la relación contractual, es decir en caso de rescisión o expiración de los Términos y Condiciones, el Cliente tiene la facultad de recuperar el conjunto de datos personales tratados por su cuenta a través de Evnyo. Evnyo proporciona, bajo petición del Cliente, los datos en un formato estándar legible (por ejemplo, export CSV de las listas de invitados y respuestas).

El Cliente deberá ejercer esta opción de restitución antes de la fecha de fin del contrato o como máximo en los 15 días siguientes. Más allá, Evnyo procederá a la supresión completa de los datos personales del Cliente aún en su posesión, según el calendario siguiente:

• Supresión activa inmediata: Inmediatamente después del fin del contrato, Evnyo hará inaccesibles los datos del Cliente en la plataforma (cuenta desactivada). Los datos podrán conservarse temporalmente en las copias de seguridad del sistema.
• Borrado definitivo: En ausencia de instrucción contraria del Cliente, Evnyo borrará todos los datos personales del Cliente en un plazo máximo de 90 días después del fin del evento o la rescisión del contrato, según la primera de estas fechas. Esto incluye la eliminación de las bases de datos activas y la sobreescritura o cifrado de las copias de seguridad que contengan aún estos datos. Bajo petición escrita del Cliente, Evnyo podrá atestiguar por escrito la destrucción efectiva de los datos una vez realizada.

Si el Cliente desea una restitución de datos antes de la supresión, Evnyo podrá asistirle (este servicio puede ser facturado si genera un costo importante). En todo caso, Evnyo no conservará ningún dato personal del Cliente más allá del período mencionado, salvo obligación legal de conservación más larga. Por ejemplo, Evnyo podrá conservar logs de conexión o transacciones que contengan accesoriamente datos personales si la ley lo impone, pero en este caso estos datos permanecerán protegidos y archivados separadamente.

Las obligaciones de Evnyo en materia de confidencialidad y seguridad continúan aplicándose mientras Evnyo conserve los datos.

En caso de rescisión de urgencia (suspensión inmediata por incumplimiento grave), el Cliente dispone de un plazo de 7 días para recuperar sus datos a través de export automatizado desde su interfaz. Pasado este plazo, se aplica el procedimiento normal de supresión (plazo de 90 días máximo según las modalidades definidas arriba).

Para cualquier pregunta o instrucción relativa a la protección de datos personales en el marco del presente Contrato, el Cliente puede contactar con el referente de protección de datos de Evnyo. Este referente no dispone del estatus de DPO en el sentido del artículo 37 RGPD. Las coordenadas de contacto se indican en la Política de Privacidad y/o en el sitio Evnyo (ej. una dirección email dedicada como privacy@evnyo.com).

Evnyo se compromete a tratar cualquier petición del Cliente relativa al presente Contrato en los mejores plazos.

7.1. Jerarquía de documentos

El presente Contrato forma parte de los Términos y Condiciones. En caso de contradicción entre una disposición de los Términos y Condiciones y una disposición del presente Contrato concerniente al tratamiento de datos personales, el Contrato prevalecerá. En caso de conflicto entre documentos contractuales y obligaciones legales imperativas, estas últimas prevalecen automáticamente. Las otras estipulaciones de los Términos y Condiciones permanecen plenamente aplicables para todo lo que no esté tratado en el Contrato.

7.2. Duración

Las obligaciones de Evnyo en tanto que Encargado del Tratamiento en virtud del presente Contrato se aplican durante toda la duración de la prestación de Servicios que implique un tratamiento de datos personales por cuenta del Cliente, y hasta la supresión de los datos. Las obligaciones que por naturaleza perduran (confidencialidad, asistencia, etc.) sobrevivirán tanto como sea necesario después del fin del contrato.

7.3. Ley aplicable y jurisdicción

El presente Contrato está sometido a la misma ley que los Términos y Condiciones (ver artículo 9 de los Términos). Cualquier disputa relativa a su ejecución o interpretación se regulará según las modalidades de regulación de litigios previstas en los Términos y Condiciones. No obstante, en caso de litigio específico a la protección de datos, las Partes cooperarán de buena fe para encontrar una solución conforme a la normativa y, si es necesario, consultarán a la autoridad de control competente (ej. la AEPD) para opinión.

7.4. Integridad y modificación

Este Contrato constituye el entero acuerdo de las Partes en cuanto a la protección de datos para los Servicios Evnyo. Puede ser completado o modificado por un escrito firmado por las dos Partes (incluso a través de consentimiento electrónico explícito). Evnyo se reserva el derecho de proponer actualizaciones de este Contrato en caso de evolución de la normativa o de los Servicios, siguiendo las mismas modalidades que la modificación de los Términos y Condiciones. El Cliente será informado de cualquier modificación sustancial y podrá rechazarla rescindiendo el Servicio antes de su entrada en vigor si le es perjudicial.

En caso de declaración de nulidad de una cláusula por un tribunal, las partes se comprometen a negociar de buena fe su reemplazo por una cláusula equivalente y lícita.

Firmando o aceptando electrónicamente los Términos y Condiciones, el Cliente y Evnyo reconocen haber leído y comprendido el presente Contrato y se comprometen a respetar todas sus disposiciones.