Contrato de encargo del tratamiento (DPA)

conforme al art. 28 del Reglamento General de Protección de Datos de la UE (RGPD)

Partes

entre el cliente de la plataforma PanelWave (el creador o su equipo) — en lo sucesivo, el «Responsable del tratamiento» —

y

PanelWave, Jens Hoppe
c/o RUFFINI Creative Hub
Sendlinger Straße 1
80331 München
Deutschland
Correo electrónico: privacy@panelwave.org

— en lo sucesivo, el «Encargado del tratamiento» —

Preámbulo

El Responsable del tratamiento utiliza la plataforma de software como servicio PanelWave (creación, gestión, publicación y distribución de novelas gráficas interactivas, incluidas analíticas de lectura y, opcionalmente, monetización de las obras entre los lectores). En este contexto, el Encargado del tratamiento trata datos personales por cuenta del Responsable del tratamiento, en particular datos de los lectores de las obras publicadas por el Responsable del tratamiento. El presente Contrato concreta las obligaciones de las partes en materia de protección de datos conforme al art. 28 del RGPD.

El presente Contrato se celebra por vía electrónica: pasa a formar parte del contrato de servicio, con plenos efectos, en el momento en que el Responsable del tratamiento se registra en la plataforma o acepta las Condiciones del servicio. No se requiere firma por separado (art. 28.9 del RGPD: basta el formato electrónico).

Respecto de los datos personales de los propios usuarios registrados del Responsable del tratamiento (datos de cuenta y de perfil de los creadores y de los miembros de sus equipos), PanelWave es el responsable del tratamiento; dicho tratamiento se rige por la Política de privacidad, no por el presente Contrato.

§ 1 Objeto y duración del tratamiento

1. El objeto del tratamiento es la prestación de los servicios SaaS descritos en el Preámbulo de conformidad con el contrato de servicio.
2. La duración del tratamiento coincide con la vigencia del contrato de servicio. A su terminación será de aplicación el § 12.

§ 2 Naturaleza, finalidad y lugar del tratamiento

1. La naturaleza y la finalidad del tratamiento, las categorías de datos y las categorías de interesados se establecen en el Anexo 1.
2. El tratamiento se realiza en centros de datos situados en la Unión Europea, incluidas las bases de datos, el almacenamiento de objetos y las copias de seguridad.
3. Las transferencias a terceros países solo se producen a través de los subencargados del tratamiento enumerados en el Anexo 3 y solo cuando existen garantías adecuadas conforme al capítulo V del RGPD (decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo de la UE).

§ 3 Responsabilidad y obligaciones del Responsable del tratamiento

1. En el ámbito del presente Contrato, el Responsable del tratamiento es responsable de la licitud del tratamiento y de la salvaguarda de los derechos de los interesados (art. 4.7 y art. 24 del RGPD).
2. El Responsable del tratamiento garantizará, en particular, que los lectores sean informados conforme a los arts. 13 y 14 del RGPD, que se obtengan los consentimientos necesarios (por ejemplo, para las analíticas de lectura, cuando el consentimiento sea la base jurídica elegida; el PanelWave Player ofrece un mecanismo de consentimiento para este fin) y que el contenido subido a la plataforma no contenga datos personales de terceros sin base jurídica.
3. Las instrucciones del Responsable del tratamiento se imparten, por regla general, mediante el uso de las funciones de la plataforma (configuración, introducción de datos, eliminación, exportación); cualquier instrucción adicional deberá impartirse por escrito, inclusive en formato electrónico.

§ 4 Obligaciones del Encargado del tratamiento

El Encargado del tratamiento:

1. tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros; en tal caso, el Encargado del tratamiento informará al Responsable del tratamiento de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba (art. 28.3.a) del RGPD);
2. informará inmediatamente al Responsable del tratamiento si, en su opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos;
3. garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria (art. 28.3.b) del RGPD);
4. tomará todas las medidas necesarias de conformidad con el art. 32 del RGPD (Anexo 2);
5. asistirá al Responsable del tratamiento, mediante medidas técnicas y organizativas apropiadas, en la atención de las solicitudes de los interesados (arts. 12 a 23 del RGPD), en particular a través de las funciones de exportación, rectificación y supresión integradas en la plataforma;
6. ayudará al Responsable del tratamiento a garantizar el cumplimiento de las obligaciones establecidas en los arts. 32 a 36 del RGPD (seguridad del tratamiento, notificación de violaciones, evaluación de impacto relativa a la protección de datos, consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado del tratamiento;
7. notificará al Responsable del tratamiento sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos tratados por cuenta del Responsable del tratamiento, y facilitará la información necesaria para una notificación conforme al art. 33 del RGPD en la medida en que disponga de ella;
8. pondrá a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD (§ 10);
9. llevará un registro de las actividades de tratamiento conforme al art. 30.2 del RGPD;
10. no tratará los datos que se le confíen para fines propios. Quedan exceptuados los análisis agregados y anonimizados, sin referencia a personas (por ejemplo, métricas del sistema y estadísticas de uso de la plataforma).

§ 5 Confidencialidad

El Encargado del tratamiento impone a todas las personas que intervienen en el tratamiento (incluido el personal de soporte con acceso a las cuentas) la obligación de guardar confidencialidad. El acceso del soporte a las cuentas de los clientes (la denominada «impersonation») solo se produce con el fin de prestar el servicio, requiere un motivo documentado, está limitado en el tiempo, queda íntegramente registrado y se comunica por correo electrónico al titular de la cuenta afectada.

§ 6 Medidas técnicas y organizativas (MTO)

1. El Encargado del tratamiento aplica las medidas técnicas y organizativas conforme al art. 32 del RGPD descritas en el Anexo 2.
2. Las medidas están sujetas al progreso técnico. El Encargado del tratamiento puede seguir desarrollándolas, siempre que no se reduzca el nivel de protección.

§ 7 Subencargados del tratamiento

1. El Responsable del tratamiento otorga una autorización general para recurrir a los subencargados del tratamiento enumerados en el Anexo 3 (art. 28.2 del RGPD).
2. El Encargado del tratamiento informará al Responsable del tratamiento de los cambios previstos (incorporación o sustitución de subencargados) con al menos 30 días de antelación, por escrito, inclusive en formato electrónico (por ejemplo, por correo electrónico o mediante un aviso en la aplicación), y publicará en esta página la lista vigente de subencargados del tratamiento.
3. El Responsable del tratamiento puede oponerse a un cambio por motivos importantes de protección de datos en un plazo de 30 días. Si no se alcanza una solución amistosa, ambas partes tendrán derecho a resolver el contrato de servicio de forma extraordinaria.
4. El Encargado del tratamiento impondrá a cada subencargado las mismas obligaciones de protección de datos que las estipuladas en el presente Contrato (art. 28.4 del RGPD) y seguirá siendo responsable ante el Responsable del tratamiento del cumplimiento de las obligaciones del subencargado.

§ 8 Asistencia en relación con los derechos de los interesados

1. Si un interesado se dirige directamente al Encargado del tratamiento, este remitirá la solicitud al Responsable del tratamiento sin dilación indebida, en la medida en que sea posible atribuirla.
2. La plataforma pone a disposición del Responsable del tratamiento herramientas de autoservicio, en particular: exportación de obras y datos en un formato estructurado, de uso común y lectura mecánica (arts. 15 y 20 del RGPD), rectificación de contenidos (art. 16 del RGPD) y supresión de datos concretos y de la cuenta completa (art. 17 del RGPD), sin perjuicio de las obligaciones legales de conservación.

§ 9 Notificaciones

El Encargado del tratamiento envía las notificaciones previstas en el § 4, n.º 7 (violaciones de la seguridad de los datos personales) y las relativas a otros incidentes relevantes para la protección de datos del Responsable del tratamiento a la dirección de correo electrónico registrada en la cuenta de este.

§ 10 Acreditación y derechos de auditoría

1. El Encargado del tratamiento acreditará el cumplimiento de sus obligaciones por medios adecuados, en particular: documentación actualizada de las MTO, certificaciones e informes de auditoría de sus proveedores de centros de datos y de servicios en la nube (por ejemplo, ISO 27001) e información por escrito, inclusive en formato electrónico.
2. Además, el Responsable del tratamiento podrá —como máximo una vez al año y, adicionalmente, cuando existan indicios concretos de incumplimiento—, previo aviso con una antelación razonable y dentro del horario laboral habitual, realizar auditorías por sí mismo o encargarlas a un auditor sujeto a confidencialidad que no sea competidor del Encargado del tratamiento. Las auditorías no deberán perjudicar las operaciones del Encargado del tratamiento ni los datos de otros clientes. El Encargado del tratamiento podrá exigir una compensación razonable por las auditorías in situ, salvo que la auditoría haya sido motivada por un incumplimiento de obligaciones constatado.

§ 11 Responsabilidad

La responsabilidad de las partes se rige por el art. 82 del RGPD. En la relación interna entre las partes se aplican, además, las disposiciones sobre responsabilidad del contrato de servicio.

§ 12 Supresión y devolución tras la terminación

1. Tras la terminación del contrato de servicio, el Encargado del tratamiento suprimirá todos los datos personales tratados por cuenta del Responsable del tratamiento una vez transcurrido un periodo de gracia de 30 días, salvo que el Responsable del tratamiento solicite la supresión antes. Dentro del periodo de gracia, el Responsable del tratamiento puede recuperar los datos mediante las funciones de exportación en un formato estructurado, de uso común y lectura mecánica.
2. Quedan exceptuados de la supresión los datos sujetos a obligaciones legales de conservación, en particular los datos de facturación y contables (8 años para las facturas y los justificantes contables, 10 años para los libros y las cuentas anuales conforme al § 147 AO / GoBD). Dichos datos se bloquean, se conservan exclusivamente para cumplir dicha obligación de conservación y se eliminan automáticamente una vez vencido el plazo.
3. Las copias de seguridad se sobrescriben de forma rotatoria; los datos contenidos en copias de seguridad se eliminan, a más tardar, con el ciclo ordinario de copias de seguridad y no se restauran antes, salvo que la restauración sea necesaria para recuperar el funcionamiento del sistema.

§ 13 Disposiciones finales

1. El presente Contrato se rige por el derecho de la República Federal de Alemania.
2. En caso de contradicción entre el presente Contrato y el contrato de servicio, prevalecerán las disposiciones del presente Contrato en lo relativo a la protección de datos.
3. Si alguna disposición fuera inválida, la validez de las restantes disposiciones no se verá afectada.
4. Las modificaciones y adiciones al presente Contrato deberán constar por escrito, inclusive en formato electrónico. El Encargado del tratamiento podrá adaptar el presente Contrato con efectos para el futuro en la medida en que sea necesario por la evolución jurídica o técnica; el Responsable del tratamiento será informado con la debida antelación.

Anexo 1 — Objeto del tratamiento, categorías de datos, interesados

Finalidades del tratamiento

• alojamiento, gestión y publicación de las novelas gráficas interactivas del Responsable del tratamiento (obras, capítulos, viñetas, recursos)
• distribución de las obras publicadas a los lectores mediante el PanelWave Player y una red de distribución de contenidos
• recogida y agregación de analíticas de lectura (sesiones, visualizaciones de viñetas, tiempos de permanencia, decisiones, finalización, embudos) para los paneles de control del Responsable del tratamiento
• medición de las visualizaciones de contenido adicional («extras») y de las acciones de compartir
• monetización opcional de las obras entre los lectores: muros de pago, derechos de acceso adquiridos y restablecimiento del acceso (el procesamiento de los pagos en sí lo realiza el proveedor de pagos; el Responsable del tratamiento es el comerciante registrado o merchant of record)
• tratamiento opcional asistido por IA del contenido facilitado por el Responsable del tratamiento (importación de guiones, división de páginas, traducción, conversión de texto a voz, ampliación de imágenes)

Categorías de interesados

• lectores y lectores potenciales de las obras publicadas del Responsable del tratamiento
• compradores del acceso a las obras del Responsable del tratamiento (cuando la monetización está activada)
• personas cuyos datos personales figuran en el contenido subido por el Responsable del tratamiento (por ejemplo, personas representadas en ilustraciones o mencionadas en guiones)

Categorías de datos personales

• Eventos de analítica de lectura: ID de sesión aleatorio y seudonimizado por visita; referencias a la obra, el capítulo y la viñeta; tipo de evento (por ejemplo, visualización de viñeta, tiempo de permanencia, decisión, clic en zona interactiva, «me gusta», marcador, compartir, finalización); tipo de dispositivo; idioma de la interfaz; marcas de tiempo. Con estos eventos no se almacena ninguna dirección IP ni ningún user agent; la dirección IP se utiliza de forma transitoria únicamente para limitar la tasa de solicitudes.
• Visualizaciones de extras y acciones de compartir: dirección IP, user agent, marca de tiempo y la referencia al contenido, para medir el alcance y prevenir abusos.
• Datos de derechos de acceso (cuando la monetización está activada): dirección de correo electrónico utilizada en el pago en forma de hash (seudonimizada), referencias del proveedor de pagos (por ejemplo, ID de cliente y de transacción), referencia del producto, estado del derecho de acceso. No se incluyen datos de tarjetas de crédito ni datos bancarios.
• Datos de contenido: datos personales contenidos en obras, guiones, ilustraciones, audio u otros archivos subidos por el Responsable del tratamiento (definidos por el contenido; determinados por el Responsable del tratamiento).
• Estado de la historia en el lado del cliente: variables de la historia (por ejemplo, decisiones y progreso del lector) almacenadas en el almacenamiento local del navegador del lector; estos datos permanecen en el dispositivo del lector y no se transmiten al Encargado del tratamiento.

Las categorías especiales de datos personales (art. 9 del RGPD) no son objeto del presente encargo, aunque pueden figurar indirectamente en el contenido de formato libre subido por el Responsable del tratamiento.

Anexo 2 — Medidas técnicas y organizativas (art. 32 del RGPD)

1. Confidencialidad

• Seguridad física y de los centros de datos: funcionamiento exclusivamente en centros de datos de la UE certificados según ISO 27001, con las medidas de seguridad física del operador del centro de datos.
• Control de acceso a los sistemas: acceso a los sistemas de producción únicamente mediante un acceso administrativo protegido con autenticación basada en claves; los servicios internos (base de datos, colas, almacenamiento de objetos) solo son accesibles a través de la red privada.
• Control de acceso a la aplicación: permisos basados en roles a nivel de equipo (propietario, editor, visualizador) y roles de plataforma independientes para el personal administrativo (superadmin, support, analyst); autenticación en dos pasos (TOTP) opcional para los clientes; limitación de la tasa de solicitudes contra ataques de fuerza bruta en los puntos de acceso de autenticación.
• Separación por cliente (tenant): separación estricta de los datos de los clientes mediante la delimitación por cliente (tenant scoping) en la aplicación y en la base de datos.
• Cifrado y hash: cifrado del transporte (TLS) en todas las conexiones públicas; contraseñas almacenadas exclusivamente como hashes bcrypt/PBKDF2 con sal; tokens de actualización, tokens de restablecimiento de contraseña y códigos de invitación y de recuperación almacenados como hashes SHA-256; direcciones de correo electrónico de compra almacenadas solo como hashes.
• Minimización de datos desde el diseño: el proceso de analíticas de lectura no almacena direcciones IP ni user agents; los ID de sesión son aleatorios, residen en memoria y se generan para cada visita; el Player no instala cookies.

2. Integridad

• Control de introducción: registro de auditoría, que solo admite nuevas entradas, de las acciones administrativas y relevantes para la seguridad (autor, acción, estado anterior/posterior, motivo, fecha y hora, dirección IP); registro completo del acceso del soporte a las cuentas de los clientes, incluida la notificación por correo electrónico al titular de la cuenta.
• Control de transmisión: URL firmadas de corta duración para el acceso a archivos; webhooks de pago con firma verificada; enlaces de vista previa con token para obras no publicadas; registro de sesiones, que pueden revocarse individualmente.

3. Disponibilidad y resiliencia

• copias de seguridad periódicas de la base de datos con recuperación a un momento determinado (point-in-time recovery); las copias de seguridad permanecen en centros de datos de la UE.
• procesamiento en segundo plano basado en colas con mecanismos de reintento; monitorización y alertas.
• limitación de la tasa de solicitudes e interruptores de emergencia (kill switches) en los puntos públicos de recepción de datos.

4. Procedimientos de revisión periódica

• revisión periódica y desarrollo continuo de las medidas conforme al estado de la técnica.
• configuración por defecto respetuosa con la privacidad (art. 25 del RGPD): las analíticas de lectura están sujetas por defecto a consentimiento, los tipos de evento se limitan a una lista cerrada de tipos permitidos y no hay seguimiento publicitario ni entre sitios.
• rutinas de eliminación automatizadas: eliminación de cuentas tras el periodo de gracia, limpieza de sesiones y tokens en función de su caducidad, agregación y eliminación de los eventos de analítica sin procesar.

Anexo 3 — Subencargados del tratamiento autorizados

La lista vigente se publica en esta página; los cambios se anuncian de conformidad con el § 7 del presente Contrato.