Este Acuerdo de Tratamiento de Datos («DPA») forma parte de los Términos y Condiciones y se aplica cuando tú (el Cliente) tratas datos personales de tus invitados u otras personas en Passly y Passly los trata por tu cuenta. Cumple el artículo 28 del RGPD y del UK GDPR y las obligaciones del encargado previstas en la LFPDPPP. Se acepta junto con los Términos; no necesitas firmar nada más.
1. Papeles de las partes
El Cliente es el responsable de los Datos del Cliente; Passly es su encargado. Si el Cliente actúa a su vez como encargado de un tercero (por ejemplo, una agencia que organiza el evento de su cliente), Passly es su subencargado y el Cliente garantiza que sus instrucciones están autorizadas por ese tercero.
Este DPA no cubre los datos que Passly trata como responsable (cuentas, pagos, seguridad de la plataforma), que se rigen por el Aviso de Privacidad.
2. Detalles del tratamiento (Anexo I)
| Elemento | Descripción |
|---|---|
| Objeto y naturaleza | Alojamiento, almacenamiento, organización, consulta, presentación, transmisión y supresión de datos para que el Cliente cree, publique y gestione invitaciones y eventos. |
| Finalidad | Prestar el servicio descrito en los Términos, siguiendo las instrucciones documentadas del Cliente (su configuración y uso del servicio). |
| Duración | Mientras dure el contrato y hasta la supresión de los datos según la Política de Retención. |
| Interesados | Invitados y sus acompañantes, miembros de la familia, personal del evento, proveedores del evento y asistentes que participan en la galería o la app del evento. |
| Datos | Identificación y contacto (nombre, teléfono, correo), participación (confirmación, acompañantes, mesa, acceso), contenido (fotos, comentarios, mensajes), datos técnicos (huella cifrada de IP, apertura de invitaciones). |
| Datos sensibles | Sólo si el Cliente o el invitado los introducen: restricciones alimentarias y necesidades de accesibilidad (posibles datos de salud), y datos de menores. |
3. Obligaciones de Passly
- Tratar los datos sólo según las instrucciones documentadas del Cliente, también respecto de transferencias, salvo obligación legal (que le comunicaremos si la ley lo permite). Si creemos que una instrucción infringe la ley, se lo diremos.
- Garantizar que las personas autorizadas a tratar los datos están obligadas a la confidencialidad.
- Aplicar las medidas de seguridad del Anexo II (Seguridad), adecuadas al riesgo (art. 32 RGPD).
- Ayudar al Cliente a atender las solicitudes de los interesados: Passly reenvía al Cliente toda solicitud que reciba sobre sus datos y le ofrece herramientas para resolverla (consulta, corrección, borrado, exportación).
- Ayudar al Cliente con la seguridad, la notificación de brechas, las evaluaciones de impacto y las consultas previas, teniendo en cuenta la información disponible.
- Notificar al Cliente sin demora indebida (y en lo posible dentro de 48 horas) cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que pueda cumplir sus obligaciones.
- Al terminar el servicio, suprimir los datos según la Política de Retención, salvo conservación exigida por ley. El Cliente puede descargarlos antes desde Ajustes → Privacidad y datos.
- Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previa solicitud con 30 días de antelación, con confidencialidad, en horario laboral, una vez al año salvo brecha o requerimiento de autoridad, y a costa del Cliente cuando no se detecte incumplimiento.
- No usar los Datos del Cliente para fines propios, no venderlos y no usarlos para entrenar modelos de inteligencia artificial.
4. Subencargados
El Cliente autoriza de forma general a Passly a recurrir a los subencargados listados en Subencargados. Passly les impone por contrato obligaciones de protección de datos equivalentes a las de este DPA y responde de su cumplimiento.
Avisaremos de cualquier nuevo subencargado con al menos 30 días de antelación mediante la página de Subencargados y un aviso en la app. El Cliente puede oponerse por motivos razonables de protección de datos; si no encontramos una alternativa, podrá terminar el servicio afectado y recibir el reembolso de la parte no utilizada.
5. Transferencias internacionales
Los datos se alojan en Estados Unidos. Cuando el Cliente esté sujeto al RGPD o al UK GDPR, las transferencias a Passly y de Passly a sus subencargados se rigen por las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914; módulo 2 responsable-encargado o módulo 3 encargado-encargado, según corresponda) y el addendum del Reino Unido, que se incorporan por referencia. Si hubiera contradicción, prevalecen las cláusulas tipo.
6. Obligaciones del Cliente
El Cliente garantiza que tiene base legal para tratar los datos que introduce, que ha informado a los interesados (Passly pone a su disposición el Aviso para invitados, enlazado en cada invitación) y que cuenta con los consentimientos necesarios para datos sensibles y de menores, según los Términos.
7. Responsabilidad y prevalencia
La responsabilidad de cada parte se rige por los Términos y por la normativa de protección de datos aplicable. En caso de conflicto entre este DPA y los Términos en materia de protección de datos, prevalece este DPA.
Si el Cliente necesita una versión firmada de este DPA, puede solicitarla a [PENDIENTE: Correo de privacidad (p. ej. privacidad@wepassly.com)].
Historial de versiones
- v1.0 · 1 de octubre de 2026 · Cambio material — Primera versión publicada.