Contrato de encargo del tratamiento de datos personales

El presente contrato regula el tratamiento de datos personales que la Federación Española de Sociedades Mágicas (FESMA) realiza por cuenta de la sociedad que lo acepta, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Este contrato vale por sí mismo: lo exige el artículo 28 del RGPD y obliga a las dos partes desde que se acepta, con independencia de cualquier norma interna de la federación.

Además recoge el contenido mínimo que fija el artículo 22 del Reglamento de Protección de Datos de FESMA (R6) —las nueve obligaciones del artículo 28.3 del RGPD, que son las de la cláusula 5—. Ese reglamento está pendiente de votación por la Asamblea General; cuando se apruebe, este contrato ya lo cumple.

1. Qué regula este contrato, y qué no

FESMA interviene en dos papeles distintos sobre conjuntos de datos distintos, y de la diferencia depende quién responde de qué:

• FESMA como responsable —lo que este contrato no regula—: el registro de asociados, el censo de personas federadas del que depende la cuota, la gestión económica de la federación, los congresos, concursos, avales y sanciones, y los órganos de gobierno. De todo eso decide FESMA, y se rige por su política de privacidad.
• FESMA como encargada —lo que sí regula—: los datos que la sociedad gestiona de puertas adentro con las herramientas de la plataforma: sus cuotas internas, sus cobros, los campos propios que decida recoger de sus socios, sus eventos, sus comunicaciones y —si lo activa— el correo que recibe en su buzón @fesma.es. Ahí FESMA solo pone la herramienta: quien decide es la sociedad.

2. Objeto, duración, naturaleza y finalidad

Objeto: el alojamiento y tratamiento de los datos personales de las personas asociadas a la sociedad, necesarios para que esta gestione su funcionamiento interno mediante la plataforma de FESMA.

Duración: mientras la sociedad permanezca federada y utilice la plataforma. Termina con la baja de la sociedad o con la desactivación de las herramientas correspondientes.

Naturaleza y finalidad: almacenamiento, consulta, modificación, extracción y supresión de los datos, con la única finalidad de prestar el servicio descrito. FESMA no los utiliza para fines propios ni los comunica a terceros salvo lo previsto en la cláusula 5.

3. Datos tratados y personas afectadas

Categorías de interesados: personas asociadas a la sociedad y, en su caso, personas con cargo o con acceso al panel de gestión.

Categorías de datos: identificativos (nombre y apellidos, nombre artístico), de contacto (correo electrónico, teléfono), de pertenencia (cargo, fecha de alta, situación de pago) y los campos adicionales que la propia sociedad decida recoger.

La sociedad se compromete a no introducir categorías especiales de datos (artículo 9 del RGPD: salud, ideología, afiliación sindical, religión, orientación sexual, datos genéticos o biométricos) en los campos de la plataforma, que no está diseñada para tratarlas.

Cuando una persona asociada sea menor de catorce años, la sociedad recabará y conservará el consentimiento de quien ostente su patria potestad o tutela, conforme al artículo 7 de la LOPDGDD.

4. El buzón de correo de la sociedad

Si la sociedad activa su dirección @fesma.es, FESMA aloja en su servidor los mensajes que terceros escriben a esa dirección. Esos mensajes contienen datos de personas que no son necesariamente asociadas —quien escribe, y quien aparezca mencionado en el texto— y de los que responde la sociedad. FESMA los trata por su cuenta, en los términos de este contrato.

En concreto, y para que no quepa duda de qué se hace con ese correo:

• Se guarda en el servidor de FESMA, ubicado en la Unión Europea, mientras el buzón exista.
• Se filtra contra correo no deseado antes de entregarlo.
• No se lee. La plataforma no conserva la contraseña del buzón y por tanto no puede abrir su bandeja de entrada. Para leer el correo hay que entrar con esa contraseña, que solo tiene la sociedad. Esto no es una promesa de conducta: es una consecuencia de cómo está construido.
• Se reenvía únicamente si la sociedad lo configura, y a una sola dirección que ella elige. El correo marcado como no deseado no se reenvía nunca, porque hacerlo comprometería la reputación del dominio de la federación y, con ella, la entrega del correo de todas las demás sociedades.

Quién puede acceder: quien tenga el permiso de correo en el panel de esa sociedad. El acceso va ligado al cargo y no a la persona, de modo que un relevo en la junta lo transfiere sin intervención de FESMA. La contraseña puede sustituirse en cualquier momento sin conocer la anterior.

La dirección la forma el nombre de la sociedad y no se elige. Se fija el día del alta y no cambia aunque la sociedad se renombre, para que la correspondencia ya dirigida a ella siga llegando.

Al causar baja la sociedad, el buzón deja de recibir correspondencia nueva y su dirección no se reasigna a ninguna otra: reutilizarla haría que correo dirigido a la primera acabara en manos de la segunda. La sociedad puede pedir en cualquier momento que se le devuelva su contenido o que se suprima.

5. Obligaciones de FESMA como encargada

Conforme al artículo 28.3 del RGPD, FESMA se obliga a:

• Tratar los datos únicamente siguiendo instrucciones documentadas de la sociedad. El uso normal de la plataforma constituye esa instrucción; para cualquier otro tratamiento hará falta indicación expresa.
• Garantizar que quien acceda a los datos esté sujeto a deber de confidencialidad, que subsiste tras el cese en el cargo.
• Aplicar las medidas de seguridad del artículo 32: cifrado del tráfico, control de acceso individualizado, registro de la actividad relevante, copias de seguridad verificadas y separación efectiva de los datos de cada sociedad.
• Asistir a la sociedad para que pueda atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y para cumplir los artículos 32 a 36 del RGPD.
• Notificar sin dilación indebida cualquier violación de seguridad que afecte a estos datos, con la información necesaria para que la sociedad cumpla, en su caso, con los artículos 33 y 34.
• A la terminación, devolver o suprimir los datos según elija la sociedad, salvo los que deban conservarse por obligación legal, que quedarán bloqueados.
• Poner a disposición de la sociedad la información necesaria para demostrar el cumplimiento de estas obligaciones.

6. Subencargados

La sociedad autoriza de forma general a FESMA a recurrir a los proveedores necesarios para la prestación del servicio, con las mismas obligaciones que este contrato impone. FESMA mantendrá actualizada la relación de proveedores e informará de cualquier alta o baja con antelación suficiente para que la sociedad pueda oponerse.

7. Obligaciones de la sociedad como responsable

• Contar con una base jurídica para tratar los datos que introduce, e informar de ella a sus personas asociadas.
• Introducir solo los datos necesarios para lo que va a hacer con ellos (artículo 5.1.c: minimización).
• Mantenerlos exactos y actualizados, y suprimir los que ya no hagan falta.
• Atender los derechos de sus personas asociadas, con la asistencia de FESMA.
• Custodiar las credenciales de acceso al panel y revocar el acceso de quien cese en el cargo.

8. Ubicación de los datos

Los datos se alojan en servidores situados en el Espacio Económico Europeo. No se realizan transferencias internacionales; si alguna llegara a ser necesaria, se informará a la sociedad antes de efectuarla.

9. Aceptación

Este contrato se acepta por medios electrónicos desde el panel de gestión, por quien ostente la presidencia de la sociedad y en nombre de esta. De cada aceptación queda constancia de la versión concreta aceptada, su fecha y la dirección desde la que se realizó, y el texto de esa versión se conserva íntegro e inalterado.

Cuando el contenido cambie de forma sustancial se publicará una versión nueva, se explicará qué ha cambiado y se solicitará una nueva aceptación. Las aceptaciones anteriores se conservan.