Legal

Acuerdo de encargo del tratamiento (AVV) conforme al Art. 28 DSGVO

Status: 21 de octubre de 2026 · Todos los documentos legales

Traducción a título informativo. Únicamente la versión alemana es jurídicamente vinculante.

Traducción a título informativo. Únicamente la versión alemana es jurídicamente vinculante.

---

Cuándo se aplica este acuerdo

Este acuerdo se aplica exclusivamente a eventos comerciales — contratados por una empresa, una autoridad pública, una asociación u otra organización en el ejercicio de su actividad. Pasa a formar parte del contrato de forma automática con la celebración de este y no es necesario firmarlo por separado; facilitamos un ejemplar firmado, previa solicitud, en privacy@snapories.com.

No se aplica a eventos privados (boda, cumpleaños, celebración familiar). En esos casos, la persona que realiza la reserva queda, por regla general, excluida del ámbito de aplicación de la DSGVO (excepción doméstica, Art. 2 Abs. 2 lit. c DSGVO) y nosotros somos responsables por derecho propio — en esta constelación no existe un encargo del tratamiento.

Partes

---

§ 1 Objeto, duración y vinculación a las instrucciones

1.1 El objeto es el tratamiento de datos personales que llevamos a cabo por encargo de la Organizadora al prestar los servicios descritos en las Condiciones Generales. La naturaleza, la finalidad, el alcance, las categorías de datos y las personas afectadas se desprenden del Anexo 1.

1.2 El acuerdo tiene vigencia durante la duración del contrato principal, como máximo hasta la supresión de todos los datos tratados por encargo conforme al § 9.

1.3 Tratamos los datos exclusivamente siguiendo instrucciones documentadas de la Organizadora. Las instrucciones se cursan por escrito a privacy@snapories.com; las opciones de configuración previstas en el producto (periodo del evento, región de datos, visibilidad, enlace de acceso para invitados, bloqueo de imágenes e invitados, idiomas, solicitudes de supresión) se consideran instrucciones.

1.4 Si consideramos que una instrucción es ilícita, lo comunicaremos sin dilación. Podemos suspender su ejecución hasta su confirmación o modificación (Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 Los tratamientos para fines propios — ejecución del contrato y facturación, seguridad operativa e informática, prevención de abusos, indicadores agregados sin referencia a personas, cumplimiento de obligaciones legales — no son objeto de este acuerdo. En esa medida somos responsables por derecho propio; se aplica la Política de Privacidad.

---

§ 2 Lugar del tratamiento

2.1 Los datos de un evento se tratan en la región de datos elegida para ese evento en el momento de la reserva: Unión Europea (Fráncfort del Meno) o Estados Unidos (Norte de Virginia). No se realiza ninguna duplicación entre las regiones. El almacenamiento, el tratamiento y la supresión tienen lugar exclusivamente en esa región; para la entrega de las imágenes, estas se almacenan temporalmente también, mientras el evento está en curso, en ubicaciones de borde (edge) fuera de la región elegida (Anexo 3, sección 1.1).

2.2 Como excepción, la generación en la fotobox con IA tiene lugar en el proveedor de IA utilizado, también fuera del EEE (Anexo 3). La Organizadora toma nota de ello; si desactiva la fotobox para su evento, esta transmisión no se produce.

2.3 Las transferencias a terceros países se realizan exclusivamente sobre la base de una decisión de adecuación o de las cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) junto con una evaluación de impacto de la transferencia.

2.4 No obstante lo dispuesto en el § 2.1, los datos de comunicación conforme al Anexo 1 —las direcciones de correo electrónico de las personas usuarias del panel y sus códigos de acceso— se tratan, en cada evento, en la Unión Europea (Fráncfort del Meno), con independencia de la región de datos del evento. Una misma cuenta administra eventos en ambas regiones; por ello, este conjunto de datos no pertenece a ningún evento concreto y no puede seguir a ninguno: se mantiene una sola vez y se lee desde ambas regiones (Anexo 3, apartado 1.2). En él no interviene ninguna imagen. Lo mismo rige para los datos que tratamos como responsables independientes conforme al § 1.5.

---

§ 3 Confidencialidad

3.1 Para el tratamiento empleamos únicamente a personas que están obligadas a la confidencialidad o que están sujetas a un deber legal adecuado de secreto (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Las personas empleadas conocen las disposiciones pertinentes en materia de protección de datos y reciben instrucción periódica.

---

§ 4 Medidas técnicas y organizativas

4.1 Adoptamos las medidas descritas en el Anexo 2 conforme al Art. 32 DSGVO y las mantenemos durante la vigencia del contrato.

4.2 Las medidas pueden desarrollarse ulteriormente siempre que no se reduzca el nivel de protección. Documentamos las modificaciones sustanciales y las comunicamos cuando se soliciten.

---

§ 5 Subencargados del tratamiento

5.1 La Organizadora otorga una autorización general por escrito para el empleo de subencargados del tratamiento (Art. 28 Abs. 2 Satz 2 DSGVO). Los subencargados del tratamiento empleados a la fecha del presente acuerdo se enumeran nominalmente en el Anexo 3.

5.2 Si tenemos la intención de recurrir a otro subencargado del tratamiento o de sustituir a uno existente, informaremos a la Organizadora con una antelación mínima de 30 días en forma de texto. Dentro de ese plazo, la Organizadora podrá oponerse por un motivo importante relacionado con la protección de datos. Si se opone, podremos adaptar la prestación afectada o resolver el contrato mediante denuncia ordinaria con efecto a partir del cambio previsto y reembolsar la remuneración proporcional.

5.3 Imponemos a los subencargados del tratamiento obligaciones de protección de datos que se corresponden esencialmente con las aquí acordadas, y respondemos de su conducta como de la propia.

---

§ 6 Asistencia a la Organizadora

6.1 Derechos de los interesados. Si las personas interesadas se dirigen directamente a nosotros, trasladamos la solicitud sin demora a la Organizadora y no la respondemos nosotros mismos, en la medida en que afecte al objeto del encargo. Asistimos a la Organizadora, mediante medidas técnicas y organizativas adecuadas, en el cumplimiento de los derechos derivados de los Art. 12–22 DSGVO, en particular en materia de acceso, rectificación, supresión, limitación y entrega de las imágenes de un evento.

6.2 Obligaciones derivadas de los Art. 32–36 DSGVO. Asistimos a la Organizadora a la hora de garantizar la seguridad del tratamiento, en las notificaciones de violaciones de la seguridad de los datos personales y en la evaluación de impacto relativa a la protección de datos, teniendo en cuenta en cada caso la naturaleza del tratamiento y la información de que disponemos.

6.3 Esfuerzo. La asistencia es gratuita en la medida de lo habitual y razonable. Por la asistencia que exceda de lo legalmente debido y ocasione un esfuerzo considerable podremos exigir una remuneración adecuada; lo advertiremos con antelación.

---

§ 7 Notificación de violaciones de la protección de datos personales

7.1 Informamos a la Organizadora sin dilación en cuanto tengamos conocimiento de una violación de la protección de datos personales en el ámbito del encargo, por regla general dentro de 24 horas.

7.2 La notificación contiene, en la medida en que esté disponible: una descripción de la naturaleza de la violación, las categorías y el número aproximado de personas afectadas y de registros de datos, las consecuencias probables, las medidas adoptadas y propuestas, así como un punto de contacto.

7.3 La notificación a la autoridad de control (Art. 33 DSGVO) y la comunicación a las personas afectadas (Art. 34 DSGVO) incumben a la Organizadora; nosotros la asistimos en ello.

---

§ 8 Pruebas y controles

8.1 A petición, ponemos a disposición de la Organizadora toda la información necesaria para acreditar el cumplimiento de las obligaciones derivadas del Art. 28 DSGVO, principalmente mediante documentación, el Anexo 2 y, en la medida en que existan, los certificados e informes de auditoría de nuestros subencargados del tratamiento.

8.2 Si estas pruebas no resultan suficientes en un caso concreto, posibilitamos verificaciones, incluidas inspecciones. Estas deben anunciarse con una antelación razonable (al menos 14 días), no deben perturbar de forma inadecuada el funcionamiento y tienen lugar como máximo una vez al año, salvo que exista un motivo concreto. Los terceros que realicen la verificación no podrán ser competidores y deberán quedar obligados a la confidencialidad.

---

§ 9 Supresión y devolución

9.1 Tras la finalización del tratamiento, suprimimos los datos tratados por encargo o los devolvemos, a elección de la Organizadora. La Organizadora puede descargar en cualquier momento las imágenes de un evento a través del panel de control.

9.2 Salvo instrucción en contrario, la supresión se efectúa al vencimiento del plazo de conservación acordado en las Condiciones Generales. A petición, suprimimos anticipadamente.

9.3 Quedan excluidos de la supresión los datos sujetos a una obligación legal de conservación; estos se bloquean para su uso posterior.

9.4 La supresión se confirma en forma de texto a petición.

---

§ 10 Responsabilidad

La responsabilidad se rige por el Art. 82 DSGVO y por las disposiciones del contrato principal; las limitaciones de responsabilidad del contrato principal no se aplican a las reclamaciones de las personas afectadas conforme al Art. 82 DSGVO.

---

§ 11 Relación con el contrato principal

En caso de contradicciones entre el presente acuerdo y el contrato principal, el presente acuerdo prevalece en lo relativo al tratamiento de datos personales.

---

§ 12 Disposiciones finales

12.1 Las modificaciones requieren forma textual. 12.2 Se aplica el Derecho alemán. 12.3 Si alguna disposición resultara ineficaz, la eficacia de las restantes permanecerá inalterada. 12.4 Versión lingüística determinante.

Únicamente la versión alemana de este acuerdo es vinculante. Las versiones en otros idiomas se facilitan exclusivamente con fines informativos. En caso de discrepancias, prevalece la versión alemana.

---

Anexo 1 — Objeto del tratamiento

Naturaleza y finalidad. Recogida, almacenamiento, estructuración, visualización, puesta a disposición y supresión de imágenes y datos asociados con el fin de operar una galería de eventos cerrada, incluido un fotomatón con IA, por encargo y siguiendo las instrucciones de la Organizadora. El fotomatón no dispone de cámara propia: un invitado lo aplica sobre una imagen tomada por él mismo que ya se encuentra en la galería. Si la Organizadora ha contratado imágenes con IA, adicionalmente cada imagen cargada se comprueba automáticamente para determinar si la función puede ofrecerse sobre ella (Anexo 3, Google).

Interesados

• invitados que se unen al evento
• personas que aparecen en imágenes aportadas o generadas
• empleados de la Organizadora que utilizan el panel de control

Categorías de datos

Categorías especiales. No se generan datos biométricos dirigidos a la identificación unívoca de una persona física; en ningún momento se crean plantillas faciales (templates), vectores faciales ni se realiza un cotejo facial.

No obstante, el análisis que precede a una generación con IA y la comprobación automática de cada imagen cargada producen una breve descripción de las personas representadas en primer plano que incluye su aparente tono de piel y su aparente origen étnico — datos en el sentido del Art. 9 DSGVO. Sirven exclusivamente para preservar la apariencia de las personas representadas en la imagen generada; no se escriben en la base de datos de la Encargada del tratamiento (en una generación se transportan cifrados en el token de sesión que mantiene la aplicación del invitado; en la comprobación automática se descartan en cuanto se deriva de ellos la respuesta sí/no) y no se utilizan para clasificar, elaborar perfiles, evaluar o reconocer a nadie.

Además, las imágenes pueden, por su propia naturaleza, revelar información sensible; la Organizadora evalúa bajo su propia responsabilidad si su evento requiere precauciones especiales a este respecto.

---

Anexo 2 — Medidas técnicas y organizativas (Art. 32 DSGVO)

Confidencialidad

• Acceso físico: exclusivamente centros de datos de proveedores certificados (ISO 27001, SOC 2); no operamos hardware propio.
• Acceso al sistema: acceso a los sistemas de producción únicamente para personas designadas, mediante cuentas personalizadas con autenticación de dos factores; acceso a la consola interna a través de una lista de direcciones expresamente registrada.
• Acceso a los datos: tokens vinculados a rol y ámbito (evento, anfitrión, socio, recomendación, personal); los archivos de imagen solo mediante enlaces de recuperación firmados y de corta duración.
• Separación: separación de las regiones de datos para los datos de eventos (bases de datos propias, áreas de almacenamiento propias, sin duplicación entre regiones); los registros de cuenta y de negocio se conservan una sola vez, en la UE, y se leen desde ambas regiones en lugar de copiarse a ninguna de ellas (§ 2.4); separación de las seis interfaces en dominios propios sin almacenamiento de navegador compartido; separación de datos de prueba y de producción.
• Seudonimización: identidad sin cuenta mediante identificadores emitidos por el servidor; las direcciones IP de los contadores de abuso se truncan y se someten a hash, nunca se almacenan en texto claro.

Integridad

• Transmisión: TLS para todas las conexiones; sin integración de fuentes tipográficas, herramientas de análisis o de publicidad de terceros en la aplicación para invitados ni en el panel de control del organizador, en los que se tratan datos del encargo; los datos de pago fluyen directamente hacia el proveedor de servicios de pago.
• Entrada: comprobación del lado del servidor de todas las entradas frente a un esquema contractual central y tipado; registro de las operaciones administrativas; contadores de cupos y de costes con operaciones atómicas para evitar la doble contabilización.

Disponibilidad y resiliencia

• servicios gestionados de almacenamiento y de bases de datos con redundancia múltiple y cifrado en reposo; escalado automático de la capa de aplicación; límites de coste estrictos para las llamadas a la IA; protección contra el uso abusivo frente a llamadas masivas automatizadas.

Procedimientos de verificación

• ejecuciones de prueba automatizadas antes de cada publicación (pruebas funcionales de extremo a extremo, verificación de la descripción de la infraestructura, cotejo automático de cada entrada de almacenamiento del navegador frente a un registro central);
• recepción documentada de instrucciones a través de una dirección designada;
• control del encargo conforme al § 5 de este acuerdo.

---

Anexo 3 — Subencargados del tratamiento

Se aplica la Lista de subencargados del tratamiento vigente en cada momento, que forma parte de este acuerdo. Las modificaciones se comunican conforme al § 5.2.