Acuerdo de Encargo de Tratamiento de Datos

Data Processing Agreement (DPA)

Conforme al Art. 28 del Reglamento (UE) 2016/679 (RGPD)

Versión 1.2 - Fecha de entrada en vigor: 10 junio 2026

---

PARTES

ENCARGADO DEL TRATAMIENTO:

En adelante, "miboda.live" o el "Encargado".

RESPONSABLE DEL TRATAMIENTO:

El usuario de la Plataforma miboda.live (partner o pareja/novios) que introduce en la Plataforma datos personales de terceros (invitados u otros contactos).

En adelante, el "Responsable".

---

ACEPTACIÓN

El presente Acuerdo forma parte integrante de los Términos y Condiciones de uso de la Plataforma miboda.live. Al aceptar los Términos y Condiciones y hacer uso de las funcionalidades que implican el tratamiento de datos de terceros, el Responsable acepta las condiciones del presente Acuerdo de Encargo de Tratamiento.

---

1. OBJETO

El presente Acuerdo regula el tratamiento de datos personales que miboda.live realizará en nombre y por cuenta del Responsable, en el contexto de la prestación de los servicios de la Plataforma miboda.live.

miboda.live tratará dichos datos exclusivamente para ejecutar las instrucciones del Responsable y prestar los servicios contratados, sin ningún otro fin propio.

---

2. DATOS PERSONALES OBJETO DEL TRATAMIENTO

2.1 Categorías de interesados

• Invitados a la boda gestionada por el Responsable.
• Otros contactos que el Responsable introduzca en la Plataforma.

2.2 Categorías de datos

2.3 Naturaleza y finalidad del tratamiento

• Naturaleza: almacenamiento, organización, visualización, comunicación interna, exportación de datos.
• Finalidad: gestión operativa del evento nupcial (seating plan, confirmaciones, logística, comunicación con invitados).
• Duración: la establecida en los Términos y Condiciones y la Política de Privacidad de miboda.live. Con carácter general, los datos de invitados se conservarán hasta 30 días después de la fecha del evento o hasta la cancelación de la cuenta del Responsable, lo que ocurra antes.

---

3. OBLIGACIONES DE MIBODA.LIVE (ENCARGADO)

miboda.live se compromete a:

3.1 Tratar los datos únicamente según instrucciones del Responsable

miboda.live no tratará los datos para finalidades distintas a las contratadas. Si miboda.live considerara que una instrucción del Responsable infringe el RGPD u otra normativa aplicable, lo comunicará al Responsable de inmediato.

3.2 Confidencialidad y acceso interno

Las personas autorizadas para tratar los datos estarán sujetas a obligaciones de confidencialidad. miboda.live garantiza que quienes acceden a datos de producción conocen sus obligaciones en materia de protección de datos.

El personal técnico de miboda.live podrá acceder a los datos tratados en nombre del Responsable exclusivamente en los siguientes supuestos: (i) mantenimiento técnico y operativo de la infraestructura; (ii) resolución de incidencias o soporte técnico solicitado por el Responsable; (iii) detección y respuesta ante brechas de seguridad; (iv) cumplimiento de un requerimiento legal o judicial. En ningún caso miboda.live accederá a dichos datos con fines propios, comerciales o ajenos a la prestación del servicio contratado. Todo acceso interno queda registrado en los logs del sistema.

3.3 Medidas de seguridad

miboda.live aplicará las medidas técnicas y organizativas establecidas en el Art. 32 RGPD, incluyendo:

• Cifrado de datos en tránsito (HTTPS/TLS 1.2+) y en reposo.
• Control de acceso mediante Firebase Authentication y Firebase Security Rules sobre Firestore y Storage.
• Anti-abuso: App Check / reCAPTCHA Enterprise.
• Rate-limit por IP y por email.
• Monitorización de errores: Sentry con scrubbing de PII.
• Copia de seguridad diaria automática.
• Acceso restringido a datos de producción con autenticación multifactor.
• Registro de auditoría.

3.4 Subencargados

miboda.live podrá subcontratar servicios a los siguientes subencargados, que han sido previamente aprobados por el Responsable mediante la aceptación de este Acuerdo:

La lista completa y actualizada está disponible en /legal/subprocesadores.

miboda.live notificará al Responsable con antelación razonable cualquier cambio en los subencargados que pueda afectar al nivel de protección de los datos. El Responsable podrá oponerse justificadamente a dichos cambios.

3.5 Asistencia al Responsable en el ejercicio de derechos

Cuando los interesados (invitados) ejerzan sus derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición, miboda.live:

• Redirigirá la solicitud al Responsable si identifica que miboda.live actúa como encargado.
• Facilitará al Responsable la información y herramientas necesarias para atender la solicitud dentro del plazo legal (1 mes).

3.6 Asistencia en obligaciones del Art. 32 al 36 RGPD

miboda.live asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en el cumplimiento de:

• Las obligaciones de seguridad (Art. 32).
• La notificación de brechas de seguridad a la AEPD (Art. 33) y a los interesados (Art. 34).
• La realización de evaluaciones de impacto (Art. 35), si procede.
• Las consultas previas a la autoridad de control (Art. 36).

3.7 Notificación de brechas de seguridad

En caso de detectar una brecha de seguridad que afecte a los datos tratados por cuenta del Responsable, miboda.live lo notificará al Responsable sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas desde que tenga conocimiento de ella, facilitando al menos:

• Descripción de la naturaleza de la violación.
• Categorías y número aproximado de interesados afectados.
• Categorías y volumen aproximado de registros afectados.
• Medidas adoptadas o propuestas para remediar la brecha.

3.8 Supresión o devolución de datos al término del servicio

A la extinción de la relación contractual, miboda.live suprimirá o devolverá al Responsable todos los datos personales tratados en su nombre, según elija el Responsable, y eliminará las copias existentes, salvo que la normativa aplicable exija su conservación.

3.9 Puesta a disposición de información y auditorías

miboda.live facilitará al Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del Art. 28 RGPD y permitirá la realización de auditorías o inspecciones, incluidas las realizadas por el propio Responsable o por un auditor autorizado por este, con preaviso razonable y sin interferir con la actividad ordinaria de miboda.live.

---

4. OBLIGACIONES DEL RESPONSABLE

El Responsable declara y garantiza que:

4.1 Ha recabado los datos de los interesados (invitados) con una base jurídica válida conforme al RGPD.

4.2 Ha informado a los interesados del tratamiento de sus datos, incluyendo la cesión a miboda.live como encargado, conforme a los Arts. 13 y 14 RGPD.

4.3 Ha obtenido el consentimiento explícito de los interesados para el tratamiento de datos de salud (alergias, intolerancias, restricciones alimentarias) conforme al Art. 9.2.a RGPD, cuando dichos datos hayan sido introducidos directamente por el Responsable en nombre del interesado.

4.4 Las instrucciones que dé a miboda.live respecto al tratamiento de datos son conformes al RGPD y demás normativa aplicable.

4.5 Atenderá las solicitudes de ejercicio de derechos de los interesados dentro del plazo legal.

4.6 Notificará a miboda.live cualquier cambio relevante en la naturaleza del tratamiento o en las categorías de datos que afecte al presente Acuerdo.

---

5. DATOS DE SALUD - TRATAMIENTO ESPECIAL

Dado que la Plataforma permite el registro de datos de alergias, intolerancias y restricciones alimentarias (categoría especial Art. 9 RGPD), el Responsable declara específicamente que:

a) Dispone de una base jurídica reforzada para este tratamiento (consentimiento explícito del interesado u otra de las previstas en el Art. 9.2 RGPD).

b) Ha informado a los interesados del tratamiento de sus datos de salud de forma clara y diferenciada.

c) Si los datos de salud han sido introducidos directamente por el propio invitado en la Plataforma, el consentimiento es directo y corresponde al propio interesado. En este caso no existe obligación adicional del Responsable respecto a la obtención del consentimiento, aunque sí en cuanto a la información (Art. 14 RGPD) si los datos del evento fueron iniciados por el Responsable.

---

6. TRANSFERENCIAS INTERNACIONALES

El tratamiento de datos en el marco de este Acuerdo puede implicar transferencias internacionales a países fuera del Espacio Económico Europeo (EEE), en particular a través de los servicios de Google Firebase, Polar.sh y Sentry (EE.UU.). Dichas transferencias se realizan al amparo de:

• La Decisión de Adecuación EU-US Data Privacy Framework (10/07/2023).
• Las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea (Decisión 2021/914).

El Responsable acepta estas transferencias al aceptar el presente Acuerdo.

---

7. DURACIÓN

El presente Acuerdo permanece vigente mientras el Responsable mantenga una cuenta activa en la Plataforma y realice tratamientos de datos de terceros a través de ella. Se extingue automáticamente con la cancelación de la cuenta, sin perjuicio de las obligaciones de supresión de datos y confidencialidad, que subsisten indefinidamente.

---

8. RESPONSABILIDAD

8.1 miboda.live responderá frente al Responsable por los daños causados por tratamientos de datos realizados en incumplimiento de las instrucciones del Responsable y de las obligaciones del presente Acuerdo.

8.2 El Responsable responderá frente a miboda.live y frente a terceros por los daños derivados del incumplimiento de sus propias obligaciones como responsable del tratamiento, incluyendo la falta de base jurídica, la omisión de información a los interesados o el incumplimiento de la normativa de protección de datos.

8.3 Indemnización cruzada. En el caso de que un interesado, la AEPD u otra autoridad dirija una reclamación, requerimiento o sanción contra miboda.live por hechos imputables exclusivamente al Responsable (por ejemplo: ausencia de información al interesado conforme al Art. 14 RGPD, falta de base jurídica para introducir datos, tratamiento de categorías especiales sin consentimiento válido del interesado), el Responsable indemnizará a miboda.live por los costes legales, sanciones administrativas y daños efectivamente acreditados que se deriven.

Esta indemnización aplica tanto a Responsables empresariales (partners profesionales) como a Responsables consumidores (parejas / novios). En el supuesto de Responsables consumidores, la indemnización se limita a:

• Los daños efectivamente probados y proporcionales a la infracción concreta.
• Los costes legales razonables de defensa.
• Las sanciones efectivamente impuestas por la AEPD u órgano competente.

Esta limitación en B2C respeta el Art. 86 del TRLGDCU sobre cláusulas no abusivas con consumidores y no excluye la responsabilidad por dolo o negligencia grave del Responsable.

---

9. LEGISLACIÓN APLICABLE Y RESOLUCIÓN DE CONFLICTOS

El presente Acuerdo se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y europea aplicable. Para la resolución de conflictos derivados de este Acuerdo, las partes se someten a los Juzgados y Tribunales de la ciudad de domicilio de Luis DRM, salvo fuero imperativo aplicable.

---

10. CONTACTO

Para cualquier cuestión relativa a este Acuerdo:

Luis DRM

Email: hola@miboda.live

Teléfono: Pendiente de completar

Dirección: Isla Cristina, España

---

*Este Acuerdo de Encargo de Tratamiento ha sido redactado conforme al Art. 28 del Reglamento (UE) 2016/679 (RGPD) y las directrices del Comité Europeo de Protección de Datos (CEPD/EDPB).*