Acuerdo de tratamiento de datos (DPA)
Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos y condiciones entre Unirvita ("Encargado del Tratamiento") y el cliente profesional que contrata el servicio ("Responsable del Tratamiento"), típicamente un planificador o agencia que gestiona datos de sus parejas/clientes finales.
Para los usuarios particulares (audience Personal) que únicamente gestionan su propia boda y los datos de sus invitados, la relación se rige por la Política de privacidad y este DPA no aplica.
1. Roles y responsabilidades
- El cliente Business actúa como Responsable de los datos personales de sus parejas/invitados.
- Unirvita actúa como Encargado del tratamiento en lo que respecta al alojamiento, procesamiento y entrega del servicio.
2. Objeto y duración del tratamiento
- Objeto: prestación del servicio Unirvita conforme a los Términos.
- Duración: mientras esté vigente la cuenta del cliente, más los plazos legales de conservación posterior.
- Tipo de datos: identificación de invitados (nombre, email, teléfono), respuestas RSVP, fotos del evento, datos del evento (fecha, lugar).
- Categorías de interesados: parejas/clientes finales del Responsable, invitados a sus eventos.
3. Obligaciones de Unirvita como Encargado
- Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable (que son las funcionalidades del servicio).
- Garantizar la confidencialidad del personal con acceso a los datos.
- Aplicar medidas técnicas y organizativas apropiadas (cifrado en tránsito y reposo, backups, control de acceso por rol).
- No subcontratar a terceros sin autorización previa (lista de subprocesadores en §6).
- Asistir al Responsable en responder a derechos ARSULIPO (Art. 12-22 RGPD).
- Notificar al Responsable cualquier brecha de seguridad sin demora indebida y, en cualquier caso, en un plazo máximo de 72 horas tras tener conocimiento.
- Devolver o eliminar los datos al final del servicio, según elección del Responsable.
- Poner a disposición del Responsable la información necesaria para demostrar cumplimiento y permitir auditorías razonables.
4. Obligaciones del Responsable
- Recabar el consentimiento o disponer de base legal de los interesados antes de subir sus datos a Unirvita.
- Informar a los interesados de la existencia del tratamiento por Unirvita.
- Mantener actualizados los datos en su cuenta.
5. Medidas técnicas y organizativas
- HTTPS/TLS 1.3 en todas las comunicaciones
- Contraseñas con hashing bcrypt y rotación de claves API
- Acceso restringido por rol (RBAC) y autenticación obligatoria
- Backups cifrados con retención de 30 días
- Logging y auditoría de acceso a datos sensibles
- Aislamiento de entornos (dev/staging/prod)
6. Subprocesadores autorizados
| Subprocesador | Finalidad | Ubicación |
|---|---|---|
| Stripe | Procesamiento de pagos | Irlanda / USA (SCC) |
| Resend | Envío de correos transaccionales | USA (SCC) |
| Hetzner Online GmbH | Alojamiento de servidor y BBDD | Alemania |
| Anthropic (futuro) | Sugerencias del agente IA en el editor | USA (SCC) |
Cualquier nuevo subprocesador será comunicado al Responsable con antelación de 30 días para permitirle objetar.
7. Transferencias internacionales
Cuando los datos se transfieran fuera del Espacio Económico Europeo, Unirvita garantiza que existen cláusulas contractuales tipo aprobadas por la Comisión Europea (SCCs) con el destinatario, o que el país de destino dispone de una decisión de adecuación.
8. Devolución y supresión
Al finalizar la prestación, el Responsable puede:
- Exportar los datos de invitados desde su panel (CSV/Excel/PDF) antes de eliminar la cuenta.
- Eliminar su cuenta directamente desde Configuración → Eliminar mi cuenta (o solicitarlo a [email protected]). Ejecutamos un proceso de anonimización: se borran los datos personales y todo el contenido (bodas, invitados, RSVPs, fotos, comentarios, registros de mensajes enviados y ficheros), y se conservan, minimizados, los registros de pago/factura durante el plazo legal de conservación contable/fiscal.
- Para los registros conservados mantenemos un asiento de auditoría sin datos en claro (hash del email + identificador de cliente de Stripe) que solo permite identificar al titular si lo exige una autoridad competente.
Si el Responsable tiene una suscripción activa, deberá cancelarla antes de poder eliminar la cuenta. La eliminación es irreversible; los datos podrán persistir en copias de seguridad hasta su rotación natural.
Verificación de identidad. Si la solicitud de supresión llega por escrito (no desde la cuenta del Responsable), Unirvita verificará que procede de la dirección de email registrada antes de ejecutarla; ante cualquier duda razonable, solicitará que la petición se realice desde la propia cuenta. Cada ejecución queda registrada con fecha y origen como prueba de cumplimiento. Estas peticiones se atienden en el plazo legal de un mes (ampliable de forma justificada).
Respecto a los interesados finales (parejas/invitados): sus solicitudes de derechos se dirigen al Responsable, y Unirvita le asiste para atenderlas conforme a la cláusula 3 de este DPA.
9. Responsabilidad
La responsabilidad de las Partes se rige por lo dispuesto en los Términos. La cuantía indemnizatoria máxima por incumplimientos derivados de este DPA queda limitada conforme a la cláusula 7 de los Términos.
10. Cómo firmar este DPA
Para clientes Business, este DPA se entiende aceptado al crear una cuenta con audience "Planificador". Si necesitas una firma electrónica explícita o una versión adaptada, escríbenos a [email protected] y te enviaremos un PDF firmable.