Contrato de encargo del tratamiento

Versión 2026-10-31

Este contrato forma parte de las condiciones del servicio de Meetamorph y cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes

• Responsable del tratamiento: la organización que acepta este contrato en el panel de organización, para los eventos que crea en ella.
• Encargado del tratamiento: Juan José Montiel Pérez, que presta Meetamorph.

2. Objeto

El encargado trata por cuenta del responsable los datos de las personas que participan en sus eventos, con el único fin de prestar las funciones que el responsable activa en cada evento: perfiles y directorio, acreditaciones con QR y NFC, peticiones de ayuda y voluntariado, mensajería entre asistentes, correos y avisos, e importación de entradas.

No forman parte de este contrato la cuenta de cada persona en Meetamorph ni su perfil base, que la plataforma trata como responsable según su aviso de privacidad.

3. Duración

Mientras la organización tenga eventos en la plataforma. Al terminar se aplica el apartado 10.

4. Personas y datos

• Personas: asistentes, ponentes, voluntariado y personal de los eventos, y los miembros del equipo de la organización.
• Datos: nombre y apellidos, correo electrónico, datos de la entrada (código de pedido y producto), rol en el evento, lo que cada persona decida añadir a su perfil (foto, biografía, empresa, cargo, redes sociales), peticiones de ayuda y el lugar del recinto desde el que se hacen, mensajes entre asistentes, dispositivos para los avisos y registros técnicos de acceso.
• Categorías especiales: la plataforma no las pide. Una petición de ayuda puede revelar información sobre la salud o la discapacidad de quien la hace; el encargado la trata solo para atenderla y la borra con el evento.

5. Obligaciones del encargado

1. Tratar los datos solo según las instrucciones documentadas del responsable: este contrato y la configuración de cada evento en el panel de organización. Si una instrucción le parece contraria a la normativa, lo comunicará de inmediato.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 7 o por obligación legal.
3. Garantizar que quien accede a los datos se ha comprometido a guardar confidencialidad.
4. Aplicar las medidas de seguridad del apartado 6.
5. Ayudar al responsable a atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una persona se dirige al encargado, le trasladará la petición en un máximo de cinco días hábiles.
6. Notificar al responsable, sin dilación indebida y en un máximo de 48 horas desde que lo sepa, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que pueda comunicarla a la autoridad de control en 72 horas.
7. Ayudar al responsable en las evaluaciones de impacto y las consultas previas cuando proceda.
8. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, avisadas con antelación.
9. Llevar el registro de actividades de tratamiento que efectúa como encargado.

6. Medidas de seguridad

• Conexiones cifradas (HTTPS) en todas las páginas.
• Acceso sin contraseñas, con enlaces de un solo uso que caducan. Las credenciales de las fuentes de entradas se guardan cifradas.
• Separación de los datos de cada evento en todas las consultas.
• Acceso al panel de organización por roles (propiedad, administración y personal) dentro de cada organización.
• Servidores en la Unión Europea, copias de seguridad y actualizaciones de seguridad periódicas.
• Borrado de los datos del evento al terminar el plazo de conservación.

7. Subencargados

El responsable autoriza al encargado a recurrir a estos subencargados:

• Ninguna por ahora.

El encargado avisará de cualquier cambio con al menos 15 días de antelación, por correo a la dirección de contacto de la organización, para que el responsable pueda oponerse. Cada subencargado queda sujeto a las mismas obligaciones que el encargado. No se transfieren datos fuera del Espacio Económico Europeo salvo con las garantías del capítulo V del RGPD.

8. Obligaciones del responsable

• Tener una base legal para cada dato que importa o pide y, cuando proceda, para las categorías especiales que puedan aparecer en las peticiones de ayuda.
• Informar a las personas con el aviso de privacidad del evento.
• Configurar cada evento (capacidades, idiomas y plazo de conservación) según lo que necesita.
• Supervisar el tratamiento.

9. Conservación

Los datos de cada evento se conservan hasta que termina el plazo que el responsable elige en el panel de organización, contado desde el fin del evento. Después se borran sin posibilidad de recuperación. Las copias de seguridad que aún los contengan se sobrescriben en un máximo de 30 días.

10. Fin del encargo

Cuando termine el servicio, el encargado borrará los datos o los devolverá al responsable, según este elija. El panel de organización permite exportar los participantes en cualquier momento. Solo se conservarán, bloqueados, los datos que exija la ley.

11. Responsabilidad

Cada parte responde de sus propios incumplimientos según el artículo 82 del RGPD.