Esta es una traducción meramente informativa. Solo la versión en alemán es jurídicamente vinculante. Deutsch

Contrato de encargo de tratamiento

conforme al art. 28 RGPD · Versión 2026-10 · Octubre de 2026

Borrador: se revisará jurídicamente antes del lanzamiento.

entre el estudio que utiliza Pioqor (responsable del tratamiento, «estudio») y Bheppo GmbH (Pioqor), Kleine Reichenstraße 5, 20457 Hamburgo, Alemania (encargado del tratamiento, «nosotros»).

Este contrato se celebra mediante confirmación durante el registro o en la aplicación y forma parte del contrato de uso conforme a nuestras condiciones generales. Se guardan la fecha y la versión de la confirmación. Así se cumple el requisito de forma del art. 28.9 RGPD (formato electrónico).

§ 1 Objeto y duración

1. Tratamos datos personales por encargo del estudio para prestar Pioqor como software (alojamiento, almacenamiento, tratamiento técnico, soporte).
2. El contrato se aplica durante la vigencia del contrato de uso, incluido el periodo de prueba, y además mientras tratemos datos del estudio.

§ 2 Naturaleza y finalidad del tratamiento, datos e interesados

1. Naturaleza y finalidad: recogida, almacenamiento, organización, visualización, modificación, transmisión (por ejemplo, envío de correos de acceso) y supresión de datos, exclusivamente para ofrecer al estudio las funciones de Pioqor.
2. Categorías de interesados: clientes del estudio (incluidos potenciales clientes y tutores legales), empleados, artistas y artistas invitados, personas de listas de contactos cargadas por el estudio.
3. Tipos de datos:
   • Datos identificativos y de contacto: nombre, teléfono, correo electrónico, idioma, fecha de nacimiento
   • Datos de citas y servicios: citas, servicios, notas, tarjetas regalo
   • Datos de pago y contabilidad del estudio: importes, anticipos, métodos de pago, liquidaciones con artistas
   • Formularios de consentimiento y registro, incluidos datos de salud (categorías especiales del art. 9 RGPD), si el estudio los solicita
   • Datos de comunicación: consentimientos de contacto y publicidad, estado de campañas
   • Datos de usuario del personal: nombre, correo, rol, horarios, retiradas de material
   • Datos técnicos: marcas de tiempo, registros

§ 3 Instrucciones

1. Tratamos los datos únicamente siguiendo instrucciones documentadas del estudio. Las instrucciones resultan de este contrato, de las condiciones generales y del uso de las funciones de Pioqor. El estudio da otras instrucciones por escrito a kontakt@pioqor.com.
2. Si un tratamiento es obligatorio por ley, lo comunicamos previamente al estudio, salvo que la ley lo prohíba.
3. Si consideramos ilícita una instrucción, lo indicamos sin demora al estudio y podemos suspender su ejecución hasta su confirmación.

§ 4 Confidencialidad

Todas las personas que tienen acceso a los datos por nuestra parte están obligadas a la confidencialidad o sujetas a un deber legal de secreto. Solo accedemos a los datos del estudio en la medida necesaria para el funcionamiento, la resolución de errores o a petición del estudio (soporte).

§ 5 Seguridad del tratamiento

Aplicamos las medidas técnicas y organizativas del art. 32 RGPD descritas en el anexo 1. Podemos desarrollarlas siempre que no se reduzca el nivel de protección.

§ 6 Subencargados

1. El estudio otorga autorización general para recurrir a subencargados. Los subencargados utilizados al celebrar el contrato figuran en el anexo 2 y se consideran autorizados.
2. Informamos al estudio de los cambios previstos con al menos 30 días de antelación, por escrito o en la aplicación. El estudio puede oponerse por un motivo importante de protección de datos. Si no podemos atender la oposición, el estudio puede resolver el contrato en la fecha del cambio.
3. Obligamos contractualmente a los subencargados a cumplir obligaciones de protección de datos equivalentes a este contrato.
4. El tratamiento fuera de la UE / EEE o por proveedores establecidos en terceros países solo se realiza si se cumplen los requisitos de los arts. 44 y ss. RGPD, por ejemplo mediante una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la UE.

§ 7 Apoyo al estudio

1. Apoyamos al estudio con medidas adecuadas para responder a las solicitudes de los interesados (arts. 15 a 22 RGPD). Muchos derechos puede ejercerlos el estudio directamente en Pioqor, por ejemplo ver, rectificar o suprimir datos. Si una solicitud nos llega directamente, la remitimos al estudio.
2. Apoyamos al estudio en sus obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de violaciones de datos, evaluación de impacto, consulta previa).

§ 8 Violaciones de la seguridad de los datos

Informamos al estudio sin demora, a ser posible en un plazo de 24 horas, tras tener conocimiento de una violación de la seguridad de sus datos personales. La notificación contiene, en la medida en que se conozca, la información del art. 33.3 RGPD. Tomamos medidas sin demora para subsanar la violación y mitigar sus consecuencias.

§ 9 Supresión y devolución

1. Tras la finalización del contrato, el estudio puede solicitar en un plazo de 30 días una copia de sus datos en un formato común y legible por máquina.
2. Después suprimimos todos los datos del estudio a más tardar en otros 60 días, salvo obligación legal de conservación. Los datos de las copias de seguridad se sobrescriben en el ciclo normal de copias.
3. A petición, confirmamos la supresión por escrito.

§ 10 Pruebas y auditorías

A petición, facilitamos al estudio la información necesaria para demostrar el cumplimiento de este contrato, en particular la descripción actual de las medidas y las certificaciones de nuestros subencargados. Las auditorías in situ son posibles previo aviso con antelación suficiente, en horario comercial habitual y sin perturbar el funcionamiento; el esfuerzo resultante puede facturarse de forma razonable.

§ 11 Responsabilidad y disposiciones finales

1. La responsabilidad se rige por el art. 82 RGPD. Por lo demás, se aplican las normas de responsabilidad de las condiciones generales.
2. En caso de contradicción entre este contrato y otros acuerdos, este contrato prevalece en materia de protección de datos.
3. Se aplica el derecho alemán. El idioma del contrato es el alemán; las traducciones son meramente informativas.

Anexo 1 – Medidas técnicas y organizativas

Confidencialidad

• Centros de datos de los subencargados con control de acceso y certificaciones (entre otras, ISO 27001 / SOC 2); no operamos servidores propios.
• Acceso a Pioqor solo con cuenta personal; las contraseñas se guardan únicamente como hash.
• Sistema de roles y permisos en la aplicación (admin, mánager, artista, invitado); los artistas solo ven lo que su rol permite.
• Separación estricta entre estudios: cada consulta a la base de datos está limitada al propio estudio mediante reglas de seguridad a nivel de fila (Row Level Security).
• Acceso administrativo a la base de datos, el alojamiento y el servicio de pago solo para la dirección del proveedor, con autenticación en dos pasos.

Integridad

• Transmisión cifrada de todos los datos (TLS / HTTPS).
• Cifrado de los datos almacenados en el proveedor de alojamiento (AES-256).
• Los formularios públicos (por ejemplo, el autorregistro) solo funcionan mediante funciones muy limitadas con límites de uso y sin acceso de lectura a otros datos.
• Los cambios de software se prueban antes de publicarse; los cambios de base de datos se versionan.

Disponibilidad y resiliencia

• Copia de seguridad automática diaria de la base de datos.
• Entrega de la aplicación a través de una red distribuida mundialmente con protección contra ataques de sobrecarga.

Procedimiento de revisión

• Revisión periódica de las medidas y de los subencargados, al menos una vez al año.
• Configuración respetuosa con la privacidad: sin cookies de seguimiento ni publicitarias, sin herramientas de análisis, fuentes y bibliotecas desde nuestro propio servidor.

Anexo 2 – Subencargados

Stripe no es subencargado de los datos de los clientes del estudio: a través de Stripe solo se gestionan el pago y la factura de la suscripción a Pioqor, y Stripe actúa como responsable independiente.