Versió 2026-10
Contracte d’encàrrec del tractament
Article 28 del Reglament (UE) 2016/679 (RGPD) i Llei orgànica 3/2018 (LOPDGDD).
Parts
Responsable del tractament: l’associació que contracta el servei, amb NIF [NIF] i domicili a [adreça] (d’ara endavant, «l’associació»).
Encarregat del tractament: Treserras Multimèdia SL, amb NIF B66358680 i domicili a Mas el Garet Nou s/n, 08550 Els Hostalets de Balenyà (Barcelona), que presta el servei ValidPass (validpass.app) (d’ara endavant, «l’encarregat»).
1. Objecte
L’encarregat tracta, per compte de l’associació, les dades personals necessàries per prestar el servei ValidPass: la gestió dels socis, de les quotes i dels permisos, l’emissió dels carnets amb codi QR i la comprovació pública dels carnets (la fitxa que s’obre en escanejar-los o amb la verificació manual).
2. Durada
Aquest encàrrec dura mentre l’associació tingui contractat el servei. En acabar, l’encarregat posarà totes les dades a disposició de l’associació en un format estructurat i d’ús comú, i les suprimirà en un termini de 30 dies, excepte les que una llei obligui a conservar.
3. Naturalesa i finalitat del tractament
Allotjament, conservació, consulta, modificació i supressió de les dades per part de la junta; publicació a la fitxa del carnet de les dades necessàries per comprovar-lo; còpies de seguretat; i el registre de les consultes i de l’activitat per a la seguretat del servei.
4. Tipus de dades i persones afectades
- Socis: nom i cognoms, número de soci, DNI o NIE (no es desa complet: només les últimes xifres i una empremta criptogràfica per a la verificació manual), població, antiguitat, matrícules dels vehicles, quotes i permisos, i, si la junta les informa, telèfon, correu i adreça.
- Membres de la junta: nom, correu i registre de la seva activitat al backoffice.
- Persones que comproven un carnet: un registre agregat de les consultes, sense l’adreça IP en clar.
5. Obligacions de l’encarregat
- Tractar les dades només per prestar el servei i seguint les instruccions documentades de l’associació (aquest contracte i l’ús que la junta fa del backoffice).
- Garantir que les persones autoritzades a tractar-les s’han compromès a respectar-ne la confidencialitat.
- Aplicar mesures de seguretat adequades (article 32 del RGPD), com ara: connexions xifrades; accés de la junta amb contrasenya personal i límits d’intents; accés de suport de l’encarregat amb doble factor i registrat a l’activitat de l’associació; el DNI no es desa en clar; i còpies de seguretat.
- No recórrer a cap altre encarregat sense l’autorització de l’associació. L’associació autoritza Cloudflare, Inc. (allotjament i xarxa), amb les bases de dades a la Unió Europea i les garanties del seu contracte d’encàrrec i de les clàusules contractuals tipus. L’encarregat informarà de qualsevol canvi amb 30 dies d’antelació, i l’associació s’hi podrà oposar.
- Ajudar l’associació a atendre els drets dels interessats (accés, rectificació, supressió, oposició, limitació i portabilitat). El backoffice permet exportar totes les dades i esborrar les dades personals d’un soci de baixa.
- Notificar a l’associació, sense dilació indeguda i en un termini màxim de 48 hores, qualsevol violació de la seguretat de les dades de la qual tingui coneixement.
- Ajudar l’associació, si cal, en les avaluacions d’impacte i en les consultes a l’autoritat de control.
- Suprimir o retornar les dades en acabar el servei, com diu el punt 2.
- Posar a disposició de l’associació la informació necessària per demostrar que compleix aquestes obligacions.
- Entrar al backoffice de l’associació només per donar-li suport o per instrucció seva; cada accés queda a la seva activitat.
6. Obligacions de l’associació
- Tenir una base jurídica per tractar les dades dels socis i informar-los del tractament, també que el carnet té una fitxa pública que mostra el nom, el DNI emmascarat, els permisos i les matrícules.
- Mantenir les dades exactes i actualitzades, i donar a l’encarregat les instruccions que calguin.
- Custodiar l’accés al backoffice: cada membre de la junta, amb el seu correu i la seva contrasenya.
7. Acceptació
L’accepta en nom de l’associació qui la dona d’alta, al formulari d’alta (o un administrador de la junta, a Compte → Protecció de dades). Es desa qui, quan, quina versió i el text exacte.