Acuerdo de tratamiento de datos RGPD

1. Ámbito de aplicación y objeto del acuerdo

El presente Acuerdo de Tratamiento de Datos RGPD (Anexo de Tratamiento de Datos) forma parte integrante del contrato entre Anatole y el Usuario. Se aplica a las operaciones de tratamiento de datos de carácter personal efectuadas por Anatole por cuenta del Usuario en el marco de la utilización de los Servicios Anatole.

Este documento constituye el Acuerdo de tratamiento de datos RGPD integrado en las [Condiciones de Uso de Anatole](/es/terms/), conforme al artículo 7.3 de las Condiciones. Formaliza las obligaciones respectivas del Usuario (Responsable del Tratamiento) y de Anatole (Encargado del Tratamiento) para la protección de los datos personales de los Invitados, en aplicación del artículo 28 del RGPD.

Las Partes reconocen que, para estos tratamientos, el Usuario es Responsable del Tratamiento y Anatole actúa en calidad de Encargado del Tratamiento en el sentido de la Regulación Aplicable en materia de protección de datos (RGPD y leyes nacionales).

Este Acuerdo tiene por objeto definir las condiciones en las que Anatole se compromete a tratar los datos personales por cuenta del Usuario, así como los derechos y obligaciones de cada parte. Se celebra sin firma separada, considerándose aceptado mediante la aceptación de las Condiciones de Uso en línea.

Salvo mención contraria en el presente Acuerdo, los términos utilizados tienen la definición que les otorga el RGPD. En particular, "datos de carácter personal", "interesado", "tratamiento", "Responsable del tratamiento", "Encargado del tratamiento", "violación de la seguridad de los datos personales" tienen el significado que les atribuye el artículo 4 del RGPD.

2. Descripción de los tratamientos efectuados por Anatole

Anatole está autorizado a tratar por cuenta del Usuario los datos personales necesarios para la prestación de los Servicios tal como se definen en las Condiciones de Uso. Las características de estos tratamientos se resumen en la tabla siguiente, conforme a las exigencias del artículo 28 del RGPD:

Observaciones: Las categorías de personas afectadas por estos tratamientos son principalmente los Invitados designados por el Usuario (familia, amigos, seres queridos invitados a la boda). El Usuario también puede introducir datos relativos a sus co-organizadores (ej. datos de contacto de un testigo o miembro de la familia que ayuda en la organización) en la plataforma – estos datos de usuarios del Usuario generalmente corresponden a la propia cuenta de Usuario y se tratan en el marco del funcionamiento del servicio (ej. gestión de accesos). Por último, los datos propios del Usuario (como su información personal, sus identificadores) son tratados por Anatole en calidad de Responsable del tratamiento en el marco de la gestión de la relación contractual (cf. Política de privacidad de Anatole), y no se detallan aquí porque están fuera del ámbito del presente Acuerdo.

Se acuerda que si el Usuario utiliza los Servicios para tratar Datos o categorías de Datos o con finalidades distintas de las descritas anteriormente, lo hace bajo su propia responsabilidad. Anatole no podrá ser considerado responsable en caso de incumplimiento de la normativa derivado de tratamientos no previstos por las Partes. El Usuario se compromete a utilizar la plataforma únicamente para las finalidades para las que está prevista, conforme a las Condiciones de Uso y a la presente tabla.

3. Obligaciones del usuario (responsable del tratamiento)

En calidad de Responsable del Tratamiento, el Usuario se compromete a:

• Conformidad e instrucciones documentadas: Respetar en todos los puntos la normativa aplicable a los datos personales (RGPD, leyes nacionales) para los tratamientos que efectúa a través de Anatole. El Usuario determina las finalidades y medios de los tratamientos confiados a Anatole y garantiza que las instrucciones que da a Anatole están documentadas, son conformes al contrato y a la normativa. Cualquier instrucción del Usuario que exceda el perímetro del Servicio o sea contraria a la normativa no será ejecutada por Anatole. El Usuario utilizará la plataforma de manera conforme a los documentos contractuales y no instruirá a Anatole para tratar datos en violación de las leyes.

• Licitud de los datos tratados: Asegurar que los datos personales confiados a Anatole han sido recogidos y son tratados por el Usuario conforme al RGPD. Esto incluye, sin limitarse a: la información previa de las personas interesadas desde la recogida de sus datos, comunicándoles todas las menciones obligatorias (identidad del responsable del tratamiento, finalidad de la invitación a la boda, base legal – consentimiento o interés legítimo, derechos de las personas, etc.). El Usuario debe proporcionar a los Invitados información clara, por ejemplo a través de su propia política de privacidad o un texto facilitado durante la recogida de los emails. Cuando la base legal del tratamiento sea el consentimiento (en particular para el envío de emails/SMS a particulares), obtener un consentimiento válido y demostrable de cada persona interesada previamente al envío de invitaciones. El Usuario debe poder probar que el Invitado ha consentido recibir las invitaciones, o en su defecto, que el envío se basa en otra base legal válida (por ejemplo, interés legítimo con derecho de oposición respetado). Tener en cuenta los derechos de oposición de las personas (ej.: si un Invitado se ha opuesto a recibir solicitudes, asegurarse de no volver a importarlo o invitarlo). De manera general, tratar a través de Anatole únicamente datos adecuados, pertinentes y limitados a lo necesario en relación con las finalidades perseguidas (principio de minimización).

• Exactitud y actualización: Velar por la exactitud de los datos de los Invitados y actualizarlos si es necesario. Anatole proporciona herramientas que permiten al Usuario rectificar o eliminar datos; corresponde al Usuario atender las posibles solicitudes de rectificación de las personas interesadas. Anatole puede, en la medida de lo posible, ayudar al Usuario a mantener datos exactos según sus instrucciones.

• Medidas de seguridad del Usuario: Implementar medidas de seguridad apropiadas del lado del Usuario para asegurar la protección de los datos durante su uso de la plataforma. Por ejemplo, el Usuario debe asegurar el acceso a su cuenta (contraseñas fuertes, doble autenticación si está disponible), y velar por la confidencialidad de los datos cuando exporta o descarga información desde Anatole.

• Uso conforme de la plataforma: No desviar las funcionalidades de Anatole para recoger o tratar datos sensibles o altamente personales sin acuerdo previo de Anatole. La plataforma puede contener campos libres (por ejemplo, posibilidad para el Usuario de introducir un mensaje personalizado) que no están destinados a contener datos sensibles (tales como datos de salud, origen racial, opiniones religiosas, etc.). El Usuario se compromete a no introducir tales datos especiales. Anatole declina toda responsabilidad en caso de uso no conforme de estos campos por parte del Usuario.

• Cooperación: De manera más general, colaborar de buena fe con Anatole para permitir la conformidad del tratamiento. Por ejemplo, en caso de solicitud de auditoría o información (ver sección 4.5), el Usuario participará en la medida de lo razonable.

El Usuario reconoce que conserva la entera responsabilidad de los Datos de carácter personal tratados por su cuenta. El Usuario sigue siendo responsable de la conformidad global del tratamiento frente a las personas interesadas y las autoridades, en el marco de sus obligaciones como Responsable del Tratamiento. Anatole asume su responsabilidad de Encargado del Tratamiento conforme al artículo 28 del RGPD, en particular en materia de seguridad, confidencialidad y cooperación. En caso de violación por parte del Usuario de sus obligaciones de Responsable del Tratamiento, las consecuencias financieras y jurídicas que se deriven corresponden a su responsabilidad, sin perjuicio de la responsabilidad propia de Anatole en calidad de Encargado del Tratamiento.

4. Obligaciones de Anatole (encargado del tratamiento)

En calidad de Encargado del Tratamiento, Anatole se compromete a respetar las obligaciones siguientes, conforme al artículo 28 del RGPD:

4.1. Tratamiento conforme a las instrucciones

Anatole tratará los datos personales de los Invitados únicamente según instrucción documentada del Usuario y con el fin exclusivo de prestar los Servicios tal como se definen en el Contrato. Esto incluye las operaciones técnicas necesarias como el alojamiento, el almacenamiento, el envío de los emails/SMS, la maquetación de las invitaciones, el seguimiento de las respuestas, la gestión del regalo común, el mantenimiento y el soporte.

Anatole no decidirá sobre las finalidades o los medios del tratamiento fuera de las instrucciones del Usuario. Anatole se abstendrá en particular de cualquier utilización de los datos con otros fines (marketing propio, perfilado, etc.), de cualquier venta o alquiler de los datos, y de cualquier fusión de los datos de los Invitados con otras bases, salvo obligación legal en contrario.

Si Anatole considera que una instrucción del Usuario constituye una violación del RGPD o de otras disposiciones aplicables, informará prontamente al Usuario. De igual modo, si Anatole está obligado por el derecho de la Unión o el derecho nacional a proceder a un tratamiento que vaya más allá de las instrucciones (ej. una divulgación por orden judicial), informará al Usuario antes del tratamiento (salvo que la ley lo prohíba por motivos importantes de interés público).

4.2. Confidencialidad de los datos

Anatole garantiza que los datos personales tratados por cuenta del Usuario se mantendrán estrictamente confidenciales. A tal efecto, Anatole se compromete a:

• Divulgar los datos de los Invitados únicamente a los miembros de su personal, subcontratistas o prestadores que necesiten acceder a ellos para las necesidades de la ejecución de los Servicios, y únicamente en la medida estrictamente necesaria para su intervención.
• Asegurarse de que estas personas autorizadas estén sujetas a una obligación legal o contractual de confidencialidad. Anatole integra en los contratos de trabajo o prestaciones cláusulas de confidencialidad conformes a las exigencias del presente Acuerdo.
• No copiar, reproducir ni utilizar los datos de los Invitados con fines distintos de los previstos por el Contrato, y no conservar copias de los datos más allá de lo necesario para el servicio o para cumplir con la ley.
• Velar por que su personal que trate los datos esté formado en las exigencias de protección de datos y sensibilizado sobre la importancia de la confidencialidad.

Esta obligación de confidencialidad perdura incluso después del fin del contrato.

4.3. Seguridad de los tratamientos

Anatole implementará todas las medidas de seguridad técnicas y organizativas apropiadas con el fin de garantizar un nivel de seguridad adaptado al riesgo, conforme al artículo 32 del RGPD. Anatole se compromete a mantener un nivel de seguridad conforme al estado del arte. Teniendo en cuenta el estado de los conocimientos, los costes de implementación y la naturaleza de los datos, Anatole toma en particular las medidas siguientes:

• Seguridad lógica de los datos: Protección de los servidores y bases de datos contra las intrusiones (cortafuegos, sistemas de detección de intrusiones), cifrado de las comunicaciones (ej.: TLS para las interfaces web, SMTP seguro para los emails salientes), políticas de control de acceso estrictas (acceso a los datos reservado a las personas autorizadas mencionadas anteriormente, con autenticación fuerte). Los datos de los Invitados almacenados en los servidores están alojados en un entorno seguro que respeta las normas de la industria (centros de datos seguros, vigilancia 24/7, etc.).
• Seguridad física: Los datos están alojados mediante servicios de alojamiento cloud reconocidos por su seguridad (ver Subcontratación posterior más adelante).
• Resiliencia e integridad: Copias de seguridad regulares de los datos (backups) para prevenir la pérdida de datos, tests de integridad, plan de recuperación de la actividad en caso de incidente mayor, con el fin de asegurar la disponibilidad de los datos del Usuario en la medida de lo posible.
• Tests y auditorías de seguridad: Anatole realiza periódicamente evaluaciones de seguridad de su plataforma (tests internos, auditorías externas si es necesario) para identificar y corregir las vulnerabilidades. Estos tests se realizan de manera confidencial y los resultados pueden comunicarse al Usuario previa solicitud legítima, con reserva de confidencialidad.

Anatole se compromete a notificar al Usuario cualquier violación de la seguridad de los datos personales (incidente de seguridad que conlleve accidental o ilícitamente la destrucción, pérdida, alteración, divulgación no autorizada o el acceso no autorizado a datos personales) del que tenga conocimiento y que afecte a los datos del Usuario. Esta notificación se efectuará en las 24 horas siguientes al descubrimiento del incidente. Anatole proporcionará al Usuario toda la información pertinente sobre la naturaleza de la violación, los datos potencialmente afectados, las consecuencias probables y las medidas correctivas adoptadas, con el fin de permitir al Usuario, si es necesario, notificar este incidente a la autoridad de protección de datos competente (CNIL) y/o a las personas interesadas, conforme a los artículos 33 y 34 del RGPD. Las Partes cooperarán de buena fe en caso de incidente para atenuar sus efectos.

4.4. Subcontratación posterior (subencargados)

El Usuario consiente expresamente que Anatole pueda recurrir a subcontratistas posteriores (también llamados subcontratistas subordinados o prestadores terceros) para llevar a cabo actividades de tratamiento específicas por cuenta del Usuario, en el marco de la prestación del Servicio. Puede tratarse en particular de las categorías siguientes: alojamiento cloud, servicios de envío de e-mails y SMS, herramientas de análisis técnico, corrección de datos por IA, etc.

Los subcontratistas actuales a los que recurre Anatole incluyen (lista no exhaustiva):

• Supabase – Base de datos y Alojamiento de archivos: Supabase es nuestro proveedor de infraestructura aplicativa. Rol: alojamiento de la base de datos PostgreSQL que contiene los datos de Anatole (cuentas, bodas, invitaciones, respuestas, regalo común, etc.), y almacenamiento de los archivos asociados (ej. fotos de vuestra boda) en un espacio dedicado. Localización: Unión Europea. Utilizamos los servidores europeos de Supabase (región UE) para que todos los datos y archivos estén alojados exclusivamente en Europa. Los datos almacenados están cifrados en reposo y solo son accesibles a las aplicaciones Anatole y a nuestros administradores habilitados.

• Vercel – Alojamiento front-end: Vercel es la plataforma de alojamiento del front-end de nuestra aplicación (sitio web e interfaz de usuario de Anatole). Rol: difusión de la aplicación web y de los contenidos estáticos a los usuarios finales, mediante una red mundial de difusión (CDN) para un rendimiento óptimo. Localización: principal en Estados Unidos (Vercel Inc.), con CDN a través del mundo (incluidos servidores en Europa). Garantías de transferencia: Vercel está certificado en el EU-US Data Privacy Framework y ofrece un Data Processing Addendum estándar conforme al RGPD.

• Postmark – Envío de emails transaccionales: servicio de emailing utilizado para encaminar los correos electrónicos generados por Anatole. Rol: envío fiable de los e-mails transaccionales relacionados con la boda (ej. invitaciones, confirmaciones de asistencia, recordatorios, información sobre el regalo común) en nombre de los novios. Localización: principal en Estados Unidos, con infraestructuras redundantes. Garantías de transferencia: Postmark ofrece un Data Processing Addendum estándar conforme a las exigencias RGPD y garantías contractuales para las transferencias internacionales.

• Twilio – Envío de SMS transaccionales: plataforma utilizada para el envío de SMS (por ejemplo las invitaciones o recordatorios por SMS, o los mensajes de verificación) a los invitados que han proporcionado un número de teléfono. Rol: encaminar los SMS hacia los operadores telefónicos de vuestros contactos. Localización: Twilio Inc. es una sociedad estadounidense, pero dispone de puntos de presencia en la UE. Garantías de transferencia: Twilio dispone de Binding Corporate Rules (BCR) aprobadas por las autoridades europeas de protección de datos y ofrece un Data Processing Addendum conforme al RGPD.

• CookieYes – Consent Management Platform: herramienta de gestión de los consentimientos de cookies. CookieYes despliega en nuestro sitio el banner de cookies y registra las elecciones de cada usuario en materia de cookies. Rol: garantizar que los rastreadores no esenciales solo se activan con consentimiento, y conservar la prueba del consentimiento o rechazo del usuario. Localización: CookieYes Limited es una sociedad registrada en el Reino Unido.

• OpenAI – Inteligencia artificial: servicio de IA avanzada que utilizamos mediante API para funcionalidades específicas (ej.: corrección de datos mal formateados, generación de imágenes bajo demanda). Rol: tratamiento algorítmico del contenido que le sometemos con el fin de producir un resultado (archivo corregido o imagen generada) devuelto a Anatole. Localización: Estados Unidos (OpenAI, Inc.). Garantías: Conforme a las condiciones de utilización de la API OpenAI, los datos que transmitimos no son utilizados por OpenAI para entrenar sus modelos de IA y se eliminan automáticamente de sus sistemas en un plazo máximo de 30 días después del tratamiento.

• OVH – Gestión del nombre de dominio y DNS: OVHcloud es nuestro registrador y alojador DNS para el dominio anatole.wedding. Rol: gestión técnica del nombre de dominio, de los registros DNS y alojamiento de ciertas funciones anexas. Localización: Francia (OVH, sociedad francesa). Datos personales: muy pocos datos en realidad – OVH trata esencialmente datos técnicos (consultas DNS de los visitantes).

Anatole se asegura de que todos sus subcontratistas posteriores disponen de mecanismos de transferencia validados para los países terceros (BCR, Cláusulas Contractuales Tipo, decisión de adecuación) y de que sus DPA estándares respetan las exigencias del artículo 28 del RGPD. Anatole se compromete a que cada subcontratista posterior ofrezca garantías suficientes en cuanto a la implementación de medidas técnicas y organizativas apropiadas, de manera que el tratamiento responda a las exigencias del RGPD y garantice la protección de los derechos de las personas interesadas. Anatole celebra con cada uno de estos subcontratistas un contrato escrito que impone obligaciones de protección de datos equivalentes a las del presente Acuerdo, en particular en términos de confidencialidad, seguridad y notificación de las violaciones.

Anatole sigue siendo plenamente responsable frente al Usuario de la ejecución por sus subcontratistas posteriores de sus obligaciones de protección de datos. Anatole supervisará estos subcontratistas y seguirá siendo el interlocutor único del Usuario.

Información y derecho de oposición: Anatole mantendrá informado al Usuario de cualquier cambio previsto relativo a la adición o sustitución de subcontratistas posteriores importantes que impliquen un tratamiento de datos personales del Usuario. Esta información se proporcionará mediante una notificación (por ejemplo, en la interfaz de administrador del Usuario o por email) al menos 15 días antes del cambio. El Usuario dispone de la facultad de emitir objeciones razonables y legítimas contra estos cambios en este plazo de 15 días. Una objeción deberá estar motivada de buena fe, por ejemplo si el Usuario estima que un nuevo subcontratista presenta garantías insuficientes de conformidad.

En caso de objeción no resuelta relativa a un nuevo subcontratista, Anatole podrá, a su elección, bien renunciar a contratar a este subcontratista, bien proponer una solución alternativa al Usuario. Si no se encuentra ninguna solución aceptable, el Usuario podrá rescindir el contrato sin penalización debido a esta objeción. Esta rescisión será considerada como legítima y no culpable del lado de Anatole.

5. Destino de los datos al finalizar el contrato

Al término de la relación contractual, es decir en caso de rescisión o expiración de las Condiciones de Uso, el Usuario dispone de la facultad de recuperar el conjunto de los datos personales tratados por su cuenta mediante Anatole. Anatole proporciona, a petición del Usuario, los datos en un formato estándar legible (por ejemplo, exportación CSV de las listas de invitados y respuestas).

El Usuario deberá ejercer esta opción de restitución antes de la fecha de fin del contrato o como muy tarde en los 15 días siguientes. Más allá, Anatole procederá a la eliminación completa de los datos personales del Usuario que aún estén en su posesión, según el calendario siguiente:

• Eliminación activa inmediata: Inmediatamente después del fin del contrato, Anatole hará inaccesibles los datos del Usuario en la plataforma (cuenta desactivada). Los datos podrán conservarse temporalmente en las copias de seguridad de los sistemas.
• Borrado definitivo: En ausencia de instrucción contraria del Usuario, Anatole borrará todos los datos personales del Usuario en un plazo máximo de 90 días después de la fecha de la boda o la rescisión del contrato, según cuál se produzca primero. Esto incluye la eliminación de las bases de datos activas y el sobrescrito o cifrado de las copias de seguridad que aún contengan estos datos. A petición escrita del Usuario, Anatole podrá atestiguar por escrito la destrucción efectiva de los datos una vez realizada.

Si el Usuario desea una restitución de datos antes de la eliminación, Anatole podrá asistirle (este servicio puede facturarse si genera un coste importante). En todo caso, Anatole no conservará ningún dato personal del Usuario más allá del periodo mencionado, salvo obligación legal de conservación más larga. Por ejemplo, Anatole podrá conservar registros de conexión o transacciones que contengan accesoriamente datos personales si la ley lo impone, pero en este caso estos datos permanecerán protegidos y archivados separadamente.

Las obligaciones de Anatole en materia de confidencialidad y seguridad continúan aplicándose mientras Anatole conserve los datos.

En caso de rescisión de urgencia (suspensión inmediata por incumplimiento grave), el Usuario dispone de un plazo de 7 días para recuperar sus datos mediante exportación automatizada desde su interfaz. Pasado este plazo, se aplica el procedimiento normal de eliminación (plazo de 90 días máximo según las modalidades definidas anteriormente).

6. Contacto y delegado de protección de datos

Para cualquier cuestión o instrucción relativa a la protección de datos personales en el marco del presente Acuerdo, el Usuario puede contactar con el referente de protección de datos de Anatole. Este referente no dispone del estatuto de DPD en el sentido del artículo 37 RGPD. Los datos de contacto se indican en la Política de Privacidad y/o en el sitio Anatole (ej. una dirección email dedicada tal como privacy@anatole.wedding).

Anatole se compromete a tratar cualquier petición del Usuario relativa al presente Acuerdo en los mejores plazos.

7. Disposiciones finales

7.1. Jerarquía de los documentos

El presente Acuerdo forma parte de las Condiciones de Uso. En caso de contradicción entre una disposición de las Condiciones de Uso y una disposición del presente Acuerdo relativa al tratamiento de los datos personales, el Acuerdo prevalecerá. En caso de conflicto entre documentos contractuales y obligaciones legales imperativas, estas últimas prevalecen automáticamente. Las demás estipulaciones de las Condiciones de Uso permanecen plenamente aplicables para todo lo que no se trata en el Acuerdo.

7.2. Duración

Las obligaciones de Anatole en calidad de Encargado del Tratamiento en virtud del presente Acuerdo se aplican durante toda la duración de la prestación de Servicios que implique un tratamiento de datos personales por cuenta del Usuario, y hasta la eliminación de los datos. Las obligaciones que por naturaleza perduran (confidencialidad, asistencia, etc.) sobrevivirán tanto como sea necesario después del fin del contrato.

7.3. Ley aplicable y jurisdicción

El presente Acuerdo se somete a la misma ley que las Condiciones de Uso (ver artículo 9 de las Condiciones de Uso). Cualquier litigio relativo a su ejecución o interpretación se resolverá según las modalidades de resolución de litigios previstas en las Condiciones de Uso. No obstante, en caso de litigio específico sobre la protección de datos, las Partes cooperarán de buena fe para encontrar una solución conforme a la normativa y, si es necesario, consultarán a la autoridad de control competente (ej. la CNIL) para asesoramiento.

7.4. Integralidad y modificación

Este Acuerdo constituye el acuerdo íntegro de las Partes en cuanto a la protección de datos para los Servicios Anatole. Puede complementarse o modificarse por un escrito firmado por ambas Partes (incluido por consentimiento electrónico explícito). Anatole se reserva el derecho de proponer actualizaciones de este Acuerdo en caso de evolución de la normativa o de los Servicios, siguiendo las mismas modalidades que la modificación de las Condiciones de Uso. El Usuario será informado de cualquier modificación sustancial y podrá rechazarla rescindiendo el Servicio antes de su entrada en vigor si le es perjudicial.

En caso de declaración de nulidad de una cláusula por un tribunal, las partes se comprometen a negociar de buena fe su sustitución por una cláusula equivalente y lícita.

Al firmar o aceptar electrónicamente las Condiciones de Uso, el Usuario y Anatole reconocen haber leído y comprendido el presente Acuerdo y se comprometen a respetar todas sus disposiciones.

KAWLET EURL Capital social: 1.000 € 15 Square Rameau 59000 Lille, Francia RCS Lille: 993 159 250 SIRET: 99315925000014 Email: privacy@anatole.wedding