Contrato de encargo del tratamiento

Última actualización: 15 de octubre de 2026 · Versión 2026-10-v10

Versión · Fecha

Partes

• Responsable: la pareja que compra la web (en adelante, «vosotros»), con los datos que dais al comprar.
• Encargado: Álvaro Andrades Sardiña («Sí, Vamos»), NIF 80097568E, Carretera A-IV, 555, Centro Comercial Carrefour, local 13, 41701 Dos Hermanas (Sevilla), hola@sivamosboda.com.

Este contrato se acepta electrónicamente al pulsar el botón de pagar la web y dura lo mismo que el servicio.

1. Qué nos encargáis

Que guardemos y tratemos los datos de vuestros invitados solo para prestar el servicio de la web de vuestra boda: recoger sus respuestas, mostrároslas en «Mi boda», preparar los Excel, guardar y mostrar su álbum, y borrarlo todo en los plazos fijados.

2. Vuestras instrucciones

Seguimos solo lo que decidís con las opciones de Sí, Vamos (qué preguntas activáis, quién ve el álbum, a qué proveedores dais acceso, qué borráis) y lo que dice este contrato. Si una instrucción vuestra nos parece contraria a la ley, os avisaremos y no la seguiremos. Si una ley nos obliga a tratar o entregar datos (por ejemplo, a un juez), os avisaremos antes, salvo que la ley lo prohíba.

Al contratar aceptáis estas instrucciones fijas, que forman parte del servicio:

• las alergias solo se guardan si el invitado marca su casilla de permiso, y nunca podéis darlo por él;
• los plazos de borrado de la cláusula 7;
• quitamos la ubicación (GPS) de fotos y vídeos;
• los datos se guardan en servidores de la Unión Europea.

3. Lo que nos comprometemos a hacer

1. No usar los datos para nada nuestro: ni publicidad, ni estadísticas sobre vuestros invitados, ni venderlos o cederlos.
2. Confidencialidad: solo accede Álvaro Andrades Sardiña y, si un día hay más personas, con obligación de confidencialidad por escrito. Solo entramos a los datos de una boda cuando hace falta para resolver un problema que nos pedís o para cumplir la ley.
3. Seguridad: aplicamos las medidas del anexo 2.
4. Ayudaros con los derechos de vuestros invitados. Además, como los invitados nos pueden escribir directamente, nosotros mismos atendemos las peticiones de acceso, corrección, borrado, oposición, limitación y portabilidad sobre lo que guardamos, y os avisamos.
5. Avisaros de una brecha de seguridad que afecte a vuestros datos sin demora y en menos de 48 horas desde que la conozcamos, con lo que sepamos. Nos encargamos de comunicarla a la Agencia Española de Protección de Datos y, si hace falta, a los invitados afectados, en vuestro nombre (ver el protocolo).
6. Ayudaros con la evaluación de impacto y las consultas a la autoridad, si las necesitáis.
7. Guardar la prueba de los permisos de alergias (fecha, hora y texto aceptado).
8. Llevar el registro de lo que tratamos por cuenta de nuestros clientes (RGPD art. 30.2).
9. Daros la información necesaria para comprobar que cumplimos y permitir revisiones razonables, avisadas con 30 días, como mucho una al año salvo brecha, a vuestro cargo. Normalmente bastará con mandaros este contrato, el registro y la lista de medidas.

4. Subencargados

Nos autorizáis a usar los proveedores del anexo 1. Si añadimos o cambiamos alguno, os avisaremos por correo con al menos 30 días de antelación; si no estáis de acuerdo por motivos de protección de datos, podéis terminar el contrato con la devolución de la parte proporcional no usada. Cada subencargado firma con nosotros obligaciones como las de este contrato, y respondemos de lo que hagan.

5. Transferencias fuera de la UE

Los datos de vuestra boda se guardan en la UE. Algunos proveedores son empresas de EE. UU. o tienen subencargados allí; en ese caso las transferencias están cubiertas por el Marco de Privacidad de Datos UE-EE. UU. y por las cláusulas tipo de la Comisión Europea (anexo 1).

6. Vuestras obligaciones

• Decidir para qué usáis los datos y no pedir a los invitados más de lo necesario para la boda.
• Usar el Excel y los enlaces para proveedores solo para la boda, darlos solo a quien lo necesite y borrar las copias que descarguéis cuando ya no hagan falta.
• No subir datos ni fotos de personas sin derecho a hacerlo.
• Contar a vuestros invitados que usáis Sí, Vamos (la web ya muestra la información de privacidad).
• Avisarnos si un invitado os pide algo sobre sus datos que no podáis resolver desde «Mi boda».

7. Borrado al terminar

Antes de cada borrado podéis descargar las respuestas (Excel) y el álbum desde «Mi boda»: esa es la devolución de los datos; después los borramos. Antes de los borrados del álbum os avisamos para que podáis descargarlo. Al borrar no nos quedamos con ninguna copia.

8. Responsabilidad

Cada parte responde de lo que le toca según el RGPD (art. 82). Si incumplimos este contrato o usamos los datos para algo distinto, respondemos como si fuéramos responsables de ese tratamiento.

Anexo 1. Subencargados

Las letras de la web las servimos desde nuestro propio servidor: ninguna otra empresa recibe por ellas la dirección de conexión de quien abre la web.

Stripe no trata datos de vuestros invitados: solo los del pago de la pareja (ver la política de privacidad).

Anexo 2. Medidas de seguridad

1. Separación: cada boda tiene sus datos separados; el servidor comprueba en cada petición que solo la pareja de esa boda ve sus datos (regla 7 de la constitución).
2. Acceso sin contraseñas: se entra con enlaces de un solo uso que caducan; solo se guarda la huella (SHA-256) del enlace, nunca el enlace. Sesión con cookie segura (HttpOnly).
3. Enlace personal del invitado con un secreto de 256 bits que no viaja al servidor al abrir la página; solo se guarda su huella.
4. Cifrado de todas las conexiones (HTTPS) y de los datos guardados por el proveedor.
5. Validación en el servidor de todo lo que llega; límites de envíos por minuto y por boda; la IP no se guarda en claro.
6. Fotos privadas: el almacén no es público; las fotos se sirven solo a través de la web comprobando el permiso; se quita la ubicación (GPS).
7. Borrado automático cada noche según la cláusula 7.
8. Entornos separados: las pruebas nunca usan datos reales (regla 12 de la constitución); la base de datos de producción es distinta de la de pruebas.
9. Secretos (claves de Stripe, Brevo, sesiones) guardados como secretos del proveedor, nunca en el código.
10. Acceso de administración a Cloudflare, Stripe y Brevo con verificación en dos pasos.
11. Registro de incidentes y protocolo de brechas.
12. Revisión de seguridad del código antes de cada cambio importante.