Contracte d'encàrrec del tractament

Versió 2026-10-31

Aquest contracte forma part de les condicions del servei de Meetamorph i compleix l'article 28 del Reglament (UE) 2016/679 (RGPD) i l'article 33 de la Llei orgànica 3/2018 (LOPDGDD).

1. Parts

• Responsable del tractament: l'organització que accepta aquest contracte al tauler d'organització, per als esdeveniments que hi crea.
• Encarregat del tractament: Juan José Montiel Pérez, que presta Meetamorph.

2. Objecte

L'encarregat tracta per compte del responsable les dades de les persones que participen en els seus esdeveniments, amb l'única finalitat de prestar les funcions que el responsable activa a cada esdeveniment: perfils i directori, acreditacions amb QR i NFC, peticions d'ajuda i voluntariat, missatgeria entre assistents, correus i avisos, i importació d'entrades.

No formen part d'aquest contracte el compte de cada persona a Meetamorph ni el seu perfil base, que la plataforma tracta com a responsable segons el seu avís de privacitat.

3. Durada

Mentre l'organització tingui esdeveniments a la plataforma. En acabar s'aplica l'apartat 10.

4. Persones i dades

• Persones: assistents, ponents, voluntariat i personal dels esdeveniments, i els membres de l'equip de l'organització.
• Dades: nom i cognoms, correu electrònic, dades de l'entrada (codi de comanda i producte), rol a l'esdeveniment, el que cada persona decideixi afegir al seu perfil (foto, biografia, empresa, càrrec, xarxes socials), peticions d'ajuda i el lloc del recinte des d'on es fan, missatges entre assistents, dispositius per als avisos i registres tècnics d'accés.
• Categories especials: la plataforma no les demana. Una petició d'ajuda pot revelar informació sobre la salut o la discapacitat de qui la fa; l'encarregat la tracta només per atendre-la i l'esborra amb l'esdeveniment.

5. Obligacions de l'encarregat

1. Tractar les dades només segons les instruccions documentades del responsable: aquest contracte i la configuració de cada esdeveniment al tauler d'organització. Si una instrucció li sembla contrària a la normativa, ho comunicarà immediatament.
2. No fer servir les dades per a finalitats pròpies ni comunicar-les a tercers, llevat dels subencarregats de l'apartat 7 o per obligació legal.
3. Garantir que qui accedeix a les dades s'ha compromès a guardar-ne la confidencialitat.
4. Aplicar les mesures de seguretat de l'apartat 6.
5. Ajudar el responsable a atendre els drets d'accés, rectificació, supressió, oposició, limitació i portabilitat. Si una persona s'adreça a l'encarregat, li traslladarà la petició en un màxim de cinc dies hàbils.
6. Notificar al responsable, sense dilació indeguda i en un màxim de 48 hores des que ho sàpiga, qualsevol violació de la seguretat que afecti les seves dades, amb la informació disponible perquè la pugui comunicar a l'autoritat de control en 72 hores.
7. Ajudar el responsable en les avaluacions d'impacte i les consultes prèvies quan escaigui.
8. Posar a disposició del responsable la informació necessària per demostrar el compliment i permetre auditories raonables, avisades amb antelació.
9. Portar el registre d'activitats de tractament que fa com a encarregat.

6. Mesures de seguretat

• Connexions xifrades (HTTPS) a totes les pàgines.
• Accés sense contrasenyes, amb enllaços d'un sol ús que caduquen. Les credencials de les fonts d'entrades es guarden xifrades.
• Separació de les dades de cada esdeveniment en totes les consultes.
• Accés al tauler d'organització per rols (propietat, administració i personal) dins de cada organització.
• Servidors a la Unió Europea, còpies de seguretat i actualitzacions de seguretat periòdiques.
• Esborrament de les dades de l'esdeveniment en acabar el termini de conservació.

7. Subencarregats

El responsable autoritza l'encarregat a recórrer a aquests subencarregats:

• Cap de moment.

L'encarregat avisarà de qualsevol canvi amb almenys 15 dies d'antelació, per correu a l'adreça de contacte de l'organització, perquè el responsable s'hi pugui oposar. Cada subencarregat queda subjecte a les mateixes obligacions que l'encarregat. No es transfereixen dades fora de l'Espai Econòmic Europeu si no és amb les garanties del capítol V del RGPD.

8. Obligacions del responsable

• Tenir una base legal per a cada dada que importa o demana i, quan escaigui, per a les categories especials que puguin aparèixer a les peticions d'ajuda.
• Informar les persones amb l'avís de privacitat de l'esdeveniment.
• Configurar cada esdeveniment (capacitats, idiomes i termini de conservació) segons el que necessita.
• Supervisar el tractament.

9. Conservació

Les dades de cada esdeveniment es conserven fins que s'acaba el termini que el responsable tria a el tauler d'organització, comptat des del final de l'esdeveniment. Després s'esborren sense possibilitat de recuperació. Les còpies de seguretat que encara les continguin se sobreescriuen en un màxim de 30 dies.

10. Fi de l'encàrrec

Quan acabi el servei, l'encarregat esborrarà les dades o les retornarà al responsable, segons el que aquest triï. El tauler d'organització permet exportar els participants en qualsevol moment. Només es conservaran, bloquejades, les dades que exigeixi la llei.

11. Responsabilitat

Cada part respon dels seus propis incompliments segons l'article 82 del RGPD.