Acuerdo de encargo de tratamiento (DPA)

Versión [VERSION_DPA] · Última actualización: [FECHA_VIGENCIA]

1. Partes

• Responsable del tratamiento («la Banda»): la banda, sociedad musical o entidad que crea un espacio en Solfeamos, representada por la persona titular de la cuenta propietaria.
• Encargado del tratamiento («Solfeamos»): [TITULAR_RAZON_SOCIAL], con NIF [TITULAR_NIF] y domicilio en [TITULAR_DOMICILIO].

Este acuerdo regula el tratamiento de datos personales que Solfeamos realiza por cuenta de la Banda, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Vincula a las partes desde que la Banda lo acepta por el medio que Solfeamos habilite, ya sea aceptación electrónica o firma.

2. Objeto, naturaleza y finalidad

Solfeamos presta a la Banda una plataforma en la nube para gestionar su actividad: socios, archivo musical, ensayos y asistencia, tesorería, material, escuela de música, actuaciones, gobierno y comunicaciones. Para ello aloja, guarda, organiza, consulta, envía y, cuando la Banda lo pide, exporta o suprime los datos que la Banda introduce. Solfeamos no trata esos datos para ninguna finalidad propia.

3. Duración

El acuerdo dura mientras la Banda tenga una cuenta activa en Solfeamos, con cualquier plan, gratuito o de pago, y hasta que se completen las obligaciones del apartado 11.

4. Interesados y tipos de datos

Categorías de interesados

• Socios, músicos y colaboradores de la Banda.
• Alumnos de la escuela de música, incluidos menores, y sus familias o tutores.
• Profesorado y miembros de la junta directiva.
• Donantes, socios protectores y patrocinadores.
• Clientes de las actuaciones y sus personas de contacto.
• Músicos de refuerzo de otras bandas.

Tipos de datos

• Identificativos y de contacto: nombre, apellidos, correo electrónico, teléfono, dirección y fecha de nacimiento.
• DNI o NIE e IBAN, guardados cifrados y visibles solo para los roles con permiso.
• Datos asociativos: número de socio, sección, instrumento, fechas de alta y baja, asistencia y justificaciones.
• Datos económicos: cuotas, recibos, mensualidades, donaciones, pagos y retenciones de refuerzos.
• Datos de la escuela: matrícula, horarios, asistencia, notas, boletines, autorizaciones y tutores.
• Tallas, prendas e instrumentos prestados.
• Consentimientos de tratamiento de datos y de uso de imagen.
• Documentos que la Banda sube a la plataforma.

La plataforma no está diseñada para tratar categorías especiales de datos (art. 9 RGPD). La Banda se compromete a no introducirlas salvo que tenga una base legal que lo permita.

5. Obligaciones de la Banda

• Disponer de una base legal para cada tratamiento e informar a los interesados.
• Obtener y registrar los consentimientos necesarios, incluido el de los tutores de los menores de 14 años (art. 7 LOPDGDD).
• Asignar roles y permisos a las personas de su junta de acuerdo con lo que cada una necesita.
• Responder a las solicitudes de los interesados, con las herramientas de la plataforma y con la ayuda de Solfeamos.
• Dar instrucciones lícitas. El uso de la plataforma y su configuración constituyen las instrucciones documentadas de la Banda.

6. Obligaciones de Solfeamos

• Tratar los datos solo siguiendo las instrucciones documentadas de la Banda, incluso en lo relativo a transferencias internacionales, salvo que una ley le obligue a otra cosa. En ese caso informará antes a la Banda, si la ley lo permite.
• Avisar a la Banda si considera que una instrucción infringe la normativa de protección de datos.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a mantener la confidencialidad.
• Aplicar las medidas de seguridad del Anexo I, conforme al artículo 32 del RGPD.
• Ayudar a la Banda a cumplir sus obligaciones de seguridad, de notificación de brechas, de evaluación de impacto y de consulta previa, según la información de que disponga.
• Mantener un registro de las actividades de tratamiento que realiza por cuenta de la Banda (art. 30.2 RGPD).

7. Acceso del equipo de Solfeamos

El equipo de Solfeamos solo accede a los datos de una Banda cuando es necesario para prestar el servicio o atender una solicitud de soporte. Ese acceso es de solo lectura, se limita a 60 minutos, exige indicar un motivo, no muestra el DNI ni el IBAN y queda registrado en la auditoría de la propia Banda.

8. Subencargados

La Banda autoriza a Solfeamos a recurrir a los subencargados del Anexo II. Solfeamos avisará a la Banda con al menos 30 días de antelación de cualquier incorporación o sustitución, y la Banda podrá oponerse por motivos razonables relacionados con la protección de datos. Si no se llega a un acuerdo, la Banda podrá dar de baja el servicio antes de que el cambio se aplique.

Solfeamos impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este acuerdo, y responderá ante la Banda de su cumplimiento.

9. Derechos de los interesados

La plataforma permite a la Banda atender los derechos de los interesados: consultar y rectificar las fichas, exportar los datos de un socio en un archivo estructurado y anonimizarlo cuando proceda su supresión, conservando solo los importes contables que la ley obliga a mantener. Si un interesado se dirige a Solfeamos, Solfeamos trasladará la solicitud a la Banda sin dilación indebida y no responderá por su cuenta.

10. Violaciones de la seguridad

Solfeamos notificará a la Banda, sin dilación indebida, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento. La notificación incluirá, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Corresponde a la Banda, como responsable, notificar a la Agencia Española de Protección de Datos y a los interesados cuando proceda.

11. Fin del servicio

Antes de dar de baja su cuenta, la Banda puede exportar sus datos con las herramientas de la plataforma o pedir a Solfeamos una copia completa en un formato estructurado. Tras la baja, Solfeamos conserva los datos 30 días para poder recuperarlos y después los suprime. Las copias de seguridad se renuevan en un plazo de 30 días. Solfeamos solo conservará datos bloqueados cuando una ley le obligue, durante el plazo que esa ley establezca.

12. Transferencias internacionales

Los datos de la Banda se alojan en regiones de la Unión Europea. Si algún subencargado tuviera que tratarlos fuera del Espacio Económico Europeo, Solfeamos solo lo permitirá con las garantías del capítulo V del RGPD, como una decisión de adecuación o las cláusulas contractuales tipo de la Comisión Europea.

13. Auditorías

Solfeamos pondrá a disposición de la Banda la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá auditorías razonables, realizadas por la Banda o por un auditor autorizado por ella. Se avisarán con antelación suficiente, se harán en horario laboral y respetarán la confidencialidad de los datos de las demás bandas.

14. Responsabilidad y legislación

Cada parte responde de sus propios incumplimientos conforme al artículo 82 del RGPD. Este acuerdo se rige por la legislación española y prevalece sobre cualquier otra condición del servicio en materia de protección de datos.

Anexo I. Medidas de seguridad

• Aislamiento entre bandas: cada consulta a la base de datos se limita a los datos de la banda activa mediante seguridad a nivel de fila. Una consulta sin banda no devuelve datos.
• Cifrado: TLS 1.2 o superior en tránsito; discos, base de datos y almacenamiento cifrados en reposo; DNI, IBAN y semillas de verificación en dos pasos cifrados con AES-256-GCM.
• Acceso: contraseñas con argon2id, verificación en dos pasos (TOTP) opcional, bloqueo de la cuenta tras 5 intentos fallidos, sesiones con rotación y revocación de tokens, y límites de peticiones.
• Permisos: roles configurables por banda; nadie puede conceder permisos que no tiene.
• Trazabilidad: registro de auditoría de solo escritura, que guarda el autor, la acción, la entidad, la fecha y la IP en forma de hash, sin datos sensibles. Se conserva 2 años.
• Registros técnicos: sin contraseñas, tokens, DNI, IBAN ni correos electrónicos. Se conservan 30 días.
• Archivos: tipos y tamaños permitidos por área, y descarga mediante enlaces temporales de corta duración.
• Continuidad: copias de seguridad cifradas en la Unión Europea, conservadas 30 días, con pruebas de restauración mensuales.
• Desarrollo: revisión automática de dependencias y pruebas automatizadas de aislamiento entre bandas.

Anexo II. Subencargados autorizados

Stripe no figura como subencargado porque no trata datos de los socios de la Banda: solo gestiona el cobro de la suscripción a Solfeamos, del que Solfeamos es responsable.