Acuerdo de tratamiento de datos.

Determinas por qué y cómo se tratan los datos personales de clientes en galerías publicadas — por ejemplo reglas de acceso, permisos de descarga y ajustes de notificación. Holdstill proporciona alojamiento, transcodificación, entrega, secuenciación asistida por IA opcional cuando la activas, registro operativo y acceso de soporte con mínimo privilegio. Cuando Holdstill trata datos personales para su propia administración de cuentas, analítica o seguridad según se describe en la Política de privacidad, actúa como responsable independiente para esos fines limitados. Este DPA solo cubre el tratamiento que realizamos según tus instrucciones documentadas como encargado para los flujos de entrega de galerías.

El tratamiento continúa durante el plazo de tu suscripción y hasta treinta días después para permitir exportación y supresión ordenada, salvo que la ley o un alcance de migración acordado exijan un periodo mayor. El objeto incluye activos digitales que subes, metadatos que asocias, credenciales de acceso que configuras para visitantes y metadatos de comunicaciones necesarios para entregar invitaciones o alertas que disparas. Si suspendes una galería, el tratamiento necesario para aplicar la suspensión continúa hasta que la borres o vuelvas a publicarla.

Las operaciones incluyen almacenamiento y recuperación, generación de representaciones redimensionadas, transferencia cifrada a clientes, aplicación de contraseñas o enlaces firmados cuando los activas, registro de eventos que elijas como descargas, inferencia de IA opcional que produce ordenaciones o borradores que debes validar antes de cualquier impacto de publicación, y asistencia de migración bajo solicitud. Los fines se limitan estrictamente a proporcionar el servicio contratado y cumplir la ley. No reutilizaremos datos personales de tus clientes para publicidad no relacionada o reventa.

Los interesados pueden incluir usuarios de tu estudio, visitantes de galería y destinatarios de correos transaccionales que inicias mediante el producto. Las categorías pueden incluir identificadores (correos, nombres que recopilas), identificadores en línea (direcciones IP en registros de corta retención si activas cierta telemetría), contenido (fotografías) y datos de uso que configures para recoger. No exigimos datos de salud u otras categorías especiales para el núcleo del producto; si subes tales imágenes, garantizas bases jurídicas adecuadas como responsable.

Las instrucciones principales residen en la configuración del producto: visibilidad de galerías, contraseñas, caducidades, marca y reglas de descarga. Las instrucciones adicionales pueden constar en tickets de soporte cuando nos pidas acciones técnicas específicas sobre los datos de tu cuenta. Si consideramos que una instrucción infringe el RGPD u otra ley de la Unión, te lo informaremos con prontitud salvo prohibición por motivos importantes de interés público. Documentamos patrones habituales de instrucciones en nuestro centro de ayuda para acelerar revisiones.

El personal autorizado a tratar datos personales está sujeto a obligaciones de confidencialidad o normas profesionales. El acceso se concede por necesidad y se revisa periódicamente. El acceso remoto a sistemas de producción exige autenticación fuerte y controles de postura del dispositivo proporcionados al riesgo.

Implementamos cifrado en tránsito y en reposo cuando procede, control de acceso basado en roles, separación de entornos, registro y monitorización, gestión de vulnerabilidades y guías de respuesta a incidentes. Probamos los controles en un calendario proporcionado al riesgo y conservamos resúmenes adecuados para cuestionarios de seguridad de proveedores. Los diagramas de arquitectura detallados pueden facilitarse bajo NDA para clientes empresariales que preparan evaluaciones de impacto.

Mantenemos una lista escrita de subencargados con sus funciones y ubicaciones. Te informaremos de adiciones o sustituciones importantes con preaviso razonable para que puedas oponerte por motivos documentados relacionados con la protección de datos. Si no podemos atender una objeción razonable relativa a un nuevo subencargado esencial para continuar el servicio, puedes dar de baja la parte afectada del servicio conforme a los Términos. Las categorías actuales suelen incluir infraestructura en nube UE, entrega de correo transaccional y proveedores opcionales de inferencia de IA vinculados por obligaciones equivalentes.

Cuando las personas nos contactan directamente sobre datos de los que eres responsable, reenviaremos la solicitud salvo obligación legal de actuar nosotros mismos. Prestaremos asistencia técnica razonable para solicitudes de acceso, rectificación, supresión, limitación y portabilidad que transiten por nuestros sistemas, incluidos formatos de exportación cuando estén disponibles. Los plazos de respuesta pueden depender de tus instrucciones oportunas.

Bajo solicitud, proporcionaremos la información necesaria para que lleves a cabo una evaluación de impacto relativa a la protección de datos sobre nuestro tratamiento, reconociendo que la responsabilidad final de la evaluación recae en ti como responsable. Cooperaremos con cuestionarios de buena fe de tus abogados o equipos de seguridad dentro de límites razonables.

Te informaremos sin dilación indebida tras tener conocimiento de una violación de datos personales que afecte a datos que tratamos en tu nombre, describiendo la naturaleza de la violación, las consecuencias probables y las medidas tomadas o propuestas. Coordinaremos contigo las comunicaciones a autoridades de control e interesados cuando los artículos 33 o 34 del RGPD puedan aplicarse a tu relación de tratamiento.

Por defecto, los datos personales tratados bajo este DPA permanecen en la UE. Si el tratamiento en un tercer país fuera necesario, estableceremos garantías adecuadas como Cláusulas Contractuales Tipo complementadas con medidas técnicas adicionales, y documentaremos evaluaciones de impacto de transferencia cuando proceda. No eludiremos compromisos de residencia mediante enrutamiento no declarado.

Al finalizar los servicios, a tu elección, suprimiremos o devolveremos los datos personales que tratamos en tu nombre en un plazo de treinta días salvo que la ley de la UE o de un Estado miembro exija conservar ciertos registros. Los certificados de supresión están disponibles bajo solicitud cuando sea técnicamente factible. Los sistemas de copia de seguridad se purgan según ciclos alineados con los eventos de supresión.

Una vez por año civil, proporcionaremos un resumen escrito de controles de seguridad y pruebas recientes bajo solicitud razonable. Las auditorias in situ para estudios regulados pueden estar disponibles bajo acuerdo de confidencialidad para clientes Signature, sujetas a planificación y límites de alcance. Los informes de auditoría de terceros genéricos pueden compartirse cuando las condiciones de redistribución lo permitan.

Cuando las autoridades de control competentes soliciten información en el ámbito del tratamiento regulado por este DPA, cooperaremos de buena fe sujeto a proceso legal y deberes de confidencialidad aplicables contigo. No ampliaremos voluntariamente el alcance más allá de lo que exige la ley, y te informaremos de solicitudes no exentas dirigidas a datos de tus clientes cuando la ley lo permita para que puedas participar en las respuestas.

Si este DPA se incorpora por referencia en un pedido o acuerdo empresarial, el pedido rige los términos comerciales mientras que este DPA rige los aspectos del artículo 28 del RGPD salvo anulación escrita expresa. Podemos actualizar este DPA para reflejar cambios en la ley o en la arquitectura del producto; las reducciones sustanciales en la protección se notificarán con antelación. El uso continuado tras el aviso implica aceptación salvo que rescindas en el periodo de subsanación descrito en los Términos.