1. Preámbulo
El presente Acuerdo de Tratamiento de Datos (en adelante, el «ATD» o el «Contrato») define las condiciones en las que Jérémy BODIN, empresario individual con el nombre comercial ARLOAD, editor de Evora y proveedor técnico (en adelante, «Evora» o el «Encargado del tratamiento»), trata, por cuenta de cada organizador (en adelante, el «Organizador» o el «Responsable del tratamiento»), los datos personales de las personas usuarias inscritas en los eventos de dicho Organizador.
Este ATD complementa y forma parte integrante de las Condiciones de uso, las Condiciones de venta y la Política de privacidad. En caso de contradicción sobre el tratamiento de datos personales, prevalece este ATD.
Cada Organizador debe firmar electrónicamente el ATD antes de publicar su primer evento en la plataforma. Mientras no lo haga, el sistema bloquea cualquier intento de publicación.
2. Objeto del contrato
En virtud de este ATD, el Organizador, en calidad de responsable del tratamiento conforme al artículo 4.7 del RGPD, encarga a Evora, en calidad de encargado del tratamiento conforme al artículo 4.8 del RGPD, las siguientes operaciones de tratamiento sobre los datos personales de las personas inscritas:
- Alojamiento y almacenamiento seguro de los datos;
- Puesta a disposición de los datos al Organizador a través del panel;
- Envío de notificaciones push y correos electrónicos a las personas inscritas por cuenta del Organizador;
- Generación de estadísticas agregadas sobre los eventos;
- Gestión técnica de las inscripciones y los pagos;
- Ejercicio de los derechos RGPD de las personas inscritas (acceso, exportación, supresión).
Evora se compromete a tratar estos datos únicamente siguiendo instrucciones documentadas del Organizador (la contratación del Servicio constituye una instrucción permanente para las operaciones estándar) y conforme a las finalidades definidas en la Política de privacidad.
3. Categorías de datos tratados
Las categorías de datos que Evora trata por cuenta del Organizador incluyen:
- Datos de identidad de las personas inscritas: nombre, apellidos, dirección de correo electrónico, foto de perfil y, en su caso, fecha de nacimiento;
- Datos de inscripción: identificador del evento, fecha de inscripción, estado de asistencia e información adicional facilitada por la persona inscrita;
- Datos de pago (en eventos de pago): importe, estado en Stripe e identificador de transacción; el número de tarjeta nunca es accesible para el Organizador;
- Datos de comunicación: mensajes intercambiados mediante la función de preguntas y respuestas y reacciones a los anuncios.
Evora no trata por cuenta del Organizador ninguna categoría especial de datos en el sentido del artículo 9 del RGPD (origen racial, opiniones políticas, religión, salud, vida sexual, biometría, etc.), salvo consentimiento explícito e independiente recabado por el propio Organizador.
4. Categorías de interesados
Los interesados son:
- Las personas inscritas en un evento publicado por el Organizador en la plataforma Evora;
- Las personas visitantes que han interactuado con la página del evento (favoritos, compartir, preguntas) sin inscribirse.
5. Duración del tratamiento
Este ATD surte efecto desde su firma electrónica por parte del Organizador y permanece vigente mientras el Organizador mantenga una cuenta de Evora activa.
Al cancelarse la cuenta de Organizador, Evora se compromete, siguiendo instrucción escrita del Organizador en un plazo de 30 días, a:
- Devolver los datos en un formato estructurado, de uso común y lectura mecánica (exportación ZIP); o
- Suprimir definitivamente los datos o anonimizarlos de forma irreversible.
A falta de instrucciones en 30 días, Evora procederá por defecto a la anonimización. Las obligaciones legales de conservación (10 años para la facturación, etc.) siguen siendo aplicables.
6. Obligaciones de Evora (encargado del tratamiento)
Conforme al artículo 28 del RGPD, Evora se compromete a:
6.1 Tratamiento siguiendo instrucciones documentadas
Tratar los datos únicamente siguiendo instrucciones documentadas del Organizador, incluidas las transferencias fuera de la UE, salvo obligación legal en contrario, en cuyo caso Evora informará previamente al Organizador, salvo que la ley lo prohíba por razones de interés público.
6.2 Confidencialidad
Garantizar que todas las personas autorizadas a tratar los datos (personal, proveedores, subencargados) estén sujetas a una obligación contractual o legal de confidencialidad.
6.3 Seguridad
Aplicar las medidas técnicas y organizativas apropiadas previstas en el artículo 32 del RGPD:
- Cifrado TLS 1.3 en tránsito y AES-256 en reposo;
- Seudonimización siempre que sea técnicamente posible;
- Row Level Security (RLS) de PostgreSQL en el 100 % de las tablas;
- Hash de contraseñas con bcrypt;
- Autenticación en dos pasos disponible;
- Copias de seguridad diarias y recuperación a un punto en el tiempo de 7 días;
- Registros de auditoría de todas las acciones administrativas;
- Pruebas trimestrales de continuidad y restauración;
- Auditoría de seguridad independiente anual.
6.4 Asistencia al Organizador
Ayudar al Organizador a cumplir sus propias obligaciones RGPD (respuesta a solicitudes de derechos, evaluaciones de impacto, notificación de violaciones, consulta previa a la autoridad de control cuando proceda) poniendo a su disposición las herramientas adecuadas en el panel y respondiendo a cualquier solicitud en un plazo máximo de 7 días hábiles.
6.5 Documentación
Mantener actualizado un registro de las actividades de tratamiento realizadas por cuenta del Organizador, disponible previa solicitud.
7. Obligaciones del Organizador (responsable)
El Organizador se compromete a:
- Disponer de una base jurídica válida para cada tratamiento que realice (consentimiento, contrato, interés legítimo, etc.);
- Informar a las personas inscritas de que Evora actúa como encargado del tratamiento y de la existencia de este ATD;
- No solicitar a Evora ningún tratamiento contrario al RGPD o a otra normativa aplicable;
- Responder por sí mismo a las solicitudes de derechos de las personas inscritas, limitándose Evora a prestar la asistencia técnica necesaria;
- Notificar a Evora sin dilación indebida cualquier violación de datos que detecte por su parte.
8. Subencargados
El Organizador autoriza a Evora a recurrir a subencargados para prestar el Servicio. La lista completa y actualizada de subencargados se publica en la página /legal/subprocessors.
Evora se compromete a:
- Notificar al Organizador 30 días antes de cualquier alta o sustitución de un subencargado, por correo electrónico y mediante publicación en la página dedicada;
- Celebrar con cada subencargado un contrato que imponga al menos las mismas obligaciones que este ATD;
- Seguir siendo plenamente responsable ante el Organizador del cumplimiento de las obligaciones por parte de sus subencargados.
En los 30 días siguientes a la notificación de un nuevo subencargado, el Organizador puede oponerse por motivos razonables. A falta de acuerdo amistoso, el Organizador puede cancelar su suscripción sin coste.
9. Notificación de violaciones de datos
En caso de violación de los datos personales tratados por cuenta del Organizador (en el sentido del artículo 4.12 del RGPD), Evora se compromete a:
- Notificar al Organizador en un plazo máximo de 24 horas desde que tenga conocimiento de ella, por correo electrónico a la dirección de contacto de su cuenta;
- Facilitar al Organizador todos los elementos necesarios para notificar a la autoridad de control en 72 horas (artículo 33 del RGPD): naturaleza de la violación, categorías y número de interesados, consecuencias probables y medidas adoptadas;
- Cooperar activamente en cualquier investigación llevada a cabo por el Organizador o por las autoridades.
El plazo de 24 horas que se impone Evora es más corto que las 72 horas que la autoridad de control concede al Organizador, precisamente para que este pueda cumplir sus propias obligaciones.
10. Auditoría
El Organizador puede solicitar, a su costa y con un preaviso escrito de 30 días, una auditoría anual del cumplimiento de este ATD por parte de Evora. La auditoría puede consistir en:
- Un cuestionario escrito (modalidad estándar);
- La comunicación de los informes de auditoría independiente existentes (SOC 2, ISO 27001 cuando estén disponibles);
- Una visita in situ, únicamente en caso de violación grave acreditada y tras un requerimiento formal desatendido.
La auditoría no debe perturbar el funcionamiento normal de Evora y queda sujeta a un compromiso de confidencialidad recíproco. El Organizador se compromete a no acceder a los datos de otros organizadores durante la auditoría.
11. Fin del contrato: destino de los datos
A la expiración o resolución de este ATD (cancelación de la suscripción, supresión de la cuenta de Organizador o incumplimiento del contrato):
- Eventos futuros: se cancelan y se notifica a las personas inscritas (por correo y push) el cese de actividad del Organizador;
- Eventos pasados: se conservan para el historial de las personas inscritas, pero la identidad del Organizador se sustituye por «Cuenta eliminada»;
- Datos de las personas inscritas bajo responsabilidad del Organizador: se devuelven al Organizador mediante exportación (previa solicitud) y se suprimen de Evora en un plazo de 30 días.
Las obligaciones legales de conservación (facturas 10 años, registros de conexión 12 meses, datos contables) siguen siendo aplicables y prevalecen sobre la supresión solicitada.
12. Posible corresponsabilidad
En casos excepcionales, Evora y el Organizador pueden determinar conjuntamente los fines y los medios de un tratamiento concreto (por ejemplo, analíticas consolidadas entre eventos para mejorar el producto de Evora). En tales casos, las partes actuarán como corresponsables del tratamiento en el sentido del artículo 26 del RGPD.
Podrá firmarse un anexo específico para formalizar esta corresponsabilidad, precisando el reparto de obligaciones (información a los interesados, ejercicio de derechos, notificación de violaciones). A falta de anexo, las partes se comprometen a cooperar de buena fe.
13. Firma electrónica
El Organizador firma electrónicamente este ATD mediante el siguiente mecanismo:
- Se muestra el ATD completo (esta página) antes del primer intento de publicar un evento;
- Se marca la casilla «Yo, como Organizador, acepto el presente Acuerdo de Tratamiento de Datos versión v2026.05.01 y declaro haber leído el documento en su totalidad»;
- Se pulsa el botón «Firmar electrónicamente», que registra la fecha y hora exactas (UTC), la dirección IP, el User-Agent del navegador, el identificador de usuario de Supabase y la versión del ATD.
La prueba de la firma se conserva en la base de datos de Evora durante toda la vida de la cuenta y 5 años tras su cierre, conforme a los plazos de prescripción civil.
Toda actualización sustancial de este ATD exigirá una nueva firma electrónica, previa notificación 30 días antes de su entrada en vigor. Si el Organizador no la acepta, puede cancelar su suscripción sin coste antes de esa fecha.
La página de firma interactiva (con el botón «Firmar electrónicamente») está disponible para los organizadores desde su panel o directamente en /organizer/dpa-signature. Esta página /legal/dpa permanece en solo lectura para el público.