Versión 2026-10-17
Este contrato forma parte de las condiciones de contratación y se acepta al darse de alta, también para la prueba gratuita. Cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).
El encargado trata los datos personales de los clientes y del personal del responsable para prestarle el servicio Tattoo Base: guardar y mostrar fichas de clientes, tatuajes, citas, fotos, pagos, comisiones y consentimientos firmados; generar los PDF; enviarlos por email cuando el responsable lo pide; exportarlos, y hacer copias de seguridad. El detalle está en el anexo I.
Lo que dure la prueba gratuita o la suscripción, más el plazo de devolución y borrado del apartado 11.
El encargado trata los datos solo siguiendo las instrucciones documentadas del responsable. Son instrucciones este contrato, la configuración que el responsable hace en la app y lo que hace con ella (crear, editar, enviar, exportar o borrar), y las que dé por escrito a hola@tattoobase.app. Si una instrucción infringe la normativa, el encargado se lo dirá al responsable de inmediato.
El encargado no usa los datos de los clientes del responsable para fines propios ni los comunica a terceros, salvo a los subencargados del anexo III o por obligación legal.
Las personas que el encargado autoriza para tratar los datos se comprometen por escrito a mantener la confidencialidad, también después de dejar de trabajar para él.
El encargado aplica las medidas del anexo II, adecuadas al riesgo (artículo 32 RGPD), teniendo en cuenta que se tratan datos de salud y de menores. El responsable decide qué usuarios tiene, sus roles y sus contraseñas, y custodia los dispositivos del estudio donde firman sus clientes.
El responsable da autorización general para que el encargado use los subencargados del anexo III. El encargado avisará por email de cualquier alta o cambio con al menos 30 días de antelación. El responsable puede oponerse por motivos razonables de protección de datos; si no hay acuerdo, puede cancelar sin penalización. El encargado impone a cada subencargado las mismas obligaciones de este contrato y responde de ellos.
Solo se transfieren datos fuera del Espacio Económico Europeo con las garantías del capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo).
Si un cliente del estudio se dirige al encargado para ejercer sus derechos, este se lo trasladará al responsable en un máximo de 5 días hábiles y no le responderá por su cuenta.
La app permite al responsable atender esos derechos: ver y corregir la ficha, descargar cada documento y foto, exportar todos los datos (Ajustes → Exportar datos) y borrar clientes. Si necesita algo que la app no permite, el encargado le ayudará a petición por email.
El encargado notificará al responsable cualquier violación de seguridad de sus datos sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, con la información del artículo 33.3 RGPD de que disponga. La notificación a la Agencia Española de Protección de Datos y a los afectados corresponde al responsable, salvo que lo encargue por escrito.
El encargado ayuda al responsable con la evaluación de impacto y la consulta previa (artículos 35 y 36 RGPD), dándole la descripción del servicio, de las medidas de seguridad y de los subencargados.
Al terminar el servicio, el responsable decide si sus datos se le devuelven o se destruyen (artículo 33.3 LOPDGDD). Para que pueda decidirlo:
El encargado solo conserva, bloqueados, los datos que una ley le obligue a guardar. El responsable es quien debe conservar los consentimientos y el registro de clientes el tiempo que le exija su normativa autonómica; si cancela, debe descargarlos antes del borrado.
El encargado pone a disposición del responsable la información necesaria para demostrar que cumple este contrato y permite auditorías, con aviso previo de 30 días, en horario laboral, a cargo del responsable y con compromiso de confidencialidad.
El encargado lleva el registro de actividades de tratamiento del artículo 30.2 RGPD.
Para resolver incidencias o cuando el responsable lo pide, el personal autorizado del encargado puede entrar en la cuenta del estudio. Cada acceso queda registrado con la persona, la fecha y la hora de inicio y fin, y el responsable puede pedir ese registro.
Cada parte responde según el artículo 82 RGPD, con los límites de las condiciones de contratación en lo que la ley permita.
| Naturaleza | Alojamiento, registro, consulta, modificación, generación de PDF, envío por email a petición, exportación, copia de seguridad y borrado |
|---|---|
| Finalidad | Que el estudio gestione su actividad: clientes, tatuajes, citas, cobros, comisiones y consentimientos |
| Interesados | Clientes del estudio, incluidos menores; sus padres o tutores legales; personal del estudio |
| Identificativos y de contacto | Nombre, DNI/NIE, dirección, código postal, ciudad, provincia, teléfono, email, fecha de nacimiento, género |
| Del tutor | Nombre, DNI/NIE, teléfono, email y relación con el menor |
| Del servicio | Descripción y zona del tatuaje, profesional, sesiones, citas, precios, pagos, notas, casillas aceptadas en los consentimientos |
| Imágenes | Fotos del boceto y del tatuaje terminado |
| Firma | Trazo de firma manuscrita en pantalla del cliente, del tutor, del menor y del profesional; fecha, IP y navegador del dispositivo; huellas SHA-256 del documento |
| Categorías especiales | Datos de salud que el cliente declara (alergias, enfermedades, medicación) y los que el estudio anote |
| Personal del estudio | Nombre, email, rol, comisiones y liquidaciones |
| Servicio | Proveedor | Dónde | Garantías |
|---|---|---|---|
| Servidor donde se aloja la aplicación, la base de datos y los archivos | netcup GmbH | Alemania (Unión Europea) | Contrato de encargo del tratamiento (art. 28 RGPD) |
| Copias de seguridad fuera del servidor principal | [pendiente de completar] | [pendiente de completar] | Contrato de encargo del tratamiento (art. 28 RGPD) |
| Envío de emails (avisos de la cuenta y copias de los consentimientos a los clientes) | Piwity 2020, S.L.U. (servidor en OVHcloud) | Francia (Unión Europea) | Contrato de encargo del tratamiento (art. 28 RGPD) |
El proveedor de pagos (Stripe Payments Europe, Ltd. (Irlanda)) solo recibe datos del estudio que paga la suscripción, no de sus clientes.