Contrato de encargo del tratamiento

Celebrado conforme al art. 28, apartado 3, del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, «RGPD»).

1. Partes

1. Responsable del tratamiento: la organización que utiliza Juryline para gestionar programas, tal como figura en la configuración de su organización en Juryline (el «organizador»).
2. Encargado del tratamiento: Everlong s.r.o., Zámocká 8, 811 01 Bratislava, Eslovaquia, número de identificación de la empresa 55 271 987, inscrita en el Registro Mercantil del Tribunal Municipal de Bratislava III, sección Sro, inscripción n.º 167806/B, correo electrónico hello@juryline.com («nosotros»).
3. La persona que acepta este contrato en nombre del organizador confirma que está autorizada para actuar en su nombre.

2. Objeto y duración

1. Tratamos datos personales por cuenta del organizador cuando este gestiona programas en Juryline: recogida y almacenamiento de candidaturas, revisión de requisitos, evaluación por parte de los miembros del jurado, resultados, mensajes y una final en directo.
2. Finalidad: gestionar la convocatoria y el procedimiento de selección del organizador.
3. Naturaleza del tratamiento: recogida mediante formularios, almacenamiento, visualización por personas autorizadas, asignación a miembros del jurado, cálculo de clasificaciones, envío de correos electrónicos, exportaciones, supresión y los registros de seguridad correspondientes.
4. Interesados: los candidatos y las personas mencionadas en las candidaturas (por ejemplo, miembros del equipo), los miembros del jurado, el personal del organizador y los miembros del público que votan en una final en directo.
5. Categorías de datos: datos de contacto; respuestas a los campos que define el organizador; archivos subidos (de hasta 25 MB cada uno); nombres de los miembros del equipo; estado de la candidatura, notas, revisión de requisitos y decisiones; nombres, direcciones de correo electrónico, afiliaciones, declaraciones de conflicto de intereses, puntuaciones y comentarios de los miembros del jurado; registros de mensajes; en las votaciones del público, hashes con clave de un identificador del dispositivo y, opcionalmente, de una dirección de correo electrónico.
6. Juryline no solicita categorías especiales de datos. Si el organizador las solicita en su formulario, el organizador es responsable de contar con una base jurídica.
7. Este contrato está vigente mientras el organizador utilice Juryline.

3. Instrucciones

1. Tratamos los datos personales únicamente siguiendo instrucciones documentadas del organizador, inclusive con respecto a las transferencias a terceros países, salvo que el Derecho de la UE o de Eslovaquia exija otra cosa.
2. Las instrucciones son este contrato y las acciones del organizador en Juryline, como publicar una convocatoria, configurar los campos y su visibilidad para los miembros del jurado, invitar a miembros del jurado, asignar candidaturas, enviar mensajes, exportar, fijar el plazo de conservación y eliminar datos. Pueden darse instrucciones adicionales por correo electrónico.
3. El organizador nos da instrucciones para:
   • mostrar a los candidatos la convocatoria, la política de privacidad del organizador y el formulario,
   • enviar las confirmaciones, los recordatorios y los correos de resultados que active el organizador,
   • ocultar a los miembros del jurado los campos que el organizador marque como ocultos,
   • eliminar un programa con todas sus candidaturas, archivos y puntuaciones una vez transcurrido el número de meses fijado (por defecto, 24) desde la publicación de los resultados, o desde el cierre de la convocatoria si los resultados nunca se publican, tras avisar a los propietarios con un mes de antelación.
4. Informamos al organizador si consideramos que una instrucción infringe la normativa de protección de datos.

4. Nuestras obligaciones

1. Todas las personas de Everlong con acceso a datos personales están sujetas a un deber de confidencialidad. El acceso se limita a las personas que lo necesitan para operar Juryline y prestar soporte. Nuestro equipo de soporte solo abre una organización en una sesión de soporte registrada, durante 2 horas, en modo de solo lectura y con un motivo que el organizador puede ver en su configuración.
2. Aplicamos las medidas del anexo 1 (art. 32 del RGPD) y las revisamos periódicamente.
3. Solo recurrimos a subencargados del tratamiento conforme a la cláusula 5.
4. Ayudamos al organizador a responder a las solicitudes de los interesados y le trasladamos sin dilación indebida las solicitudes que nos lleguen.
5. Ayudamos al organizador a garantizar el cumplimiento de los arts. 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento.
6. No utilizamos los datos del organizador para nuestros propios fines, no los vendemos y no enviamos candidaturas, puntuaciones ni otros datos de los programas a servicios de IA. Pueden utilizarse totales anónimos (como el número de candidaturas) para operar y mejorar Juryline.
7. Llevamos un registro de las actividades de tratamiento efectuadas por cuenta de los organizadores (art. 30, apartado 2, del RGPD).

5. Subencargados del tratamiento

1. El organizador otorga una autorización general por escrito para recurrir a los subencargados del tratamiento del anexo 2.
2. Comunicamos los cambios previstos con al menos 30 días de antelación, por correo electrónico a los propietarios de la organización. El organizador puede oponerse; si no llegamos a un acuerdo, puede poner fin al contrato antes de que el cambio se aplique.
3. Imponemos a cada subencargado del tratamiento las mismas obligaciones de protección de datos (art. 28, apartado 4, del RGPD).

6. Transferencias fuera de la UE

1. La base de datos y los archivos se almacenan en la UE (Fráncfort, Alemania) y la aplicación se ejecuta en la UE.
2. Cuando un subencargado del tratamiento pueda acceder a los datos desde fuera de la UE, la transferencia se basa en el capítulo V del RGPD, en particular en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.

7. Violaciones de la seguridad de los datos personales

1. Notificamos al organizador cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, 48 horas después de haber tenido conocimiento de ella, por correo electrónico a los propietarios de la organización, con la información del art. 33, apartado 3, del RGPD en la medida en que esté disponible.
2. Ayudamos al organizador a notificar la violación a la autoridad de control y a los interesados. Las notificaciones las decide el organizador.

8. Información y auditorías

1. Previa solicitud, facilitamos la información necesaria para demostrar el cumplimiento del art. 28 del RGPD.
2. El organizador o un auditor sujeto a un deber de confidencialidad puede realizar una auditoría anunciada con al menos 30 días de antelación, como máximo una vez al año y a cargo del organizador, salvo tras una violación de la seguridad de los datos personales o cuando lo exija una autoridad de control.

9. Obligaciones del organizador

1. El organizador es responsable de la licitud del tratamiento, de su política de privacidad dirigida a los candidatos y a los miembros del jurado y del plazo de conservación que fije.
2. El organizador da acceso a su organización solo a las personas que lo necesitan y se lo retira cuando dejan de necesitarlo.
3. El organizador es responsable de los datos que exporta, descarga o envía fuera de Juryline.

10. Fin del contrato

1. El contrato finaliza cuando se elimina la organización del organizador o cuando el servicio termina conforme a las condiciones de uso.
2. Antes de la finalización, el organizador puede exportar sus datos. En un plazo de 30 días tras la finalización, suprimimos los datos personales del organizador, salvo que el Derecho de la UE o de Eslovaquia nos obligue a conservarlos. Las copias de seguridad se sobrescriben dentro de su ciclo habitual.

11. Disposiciones finales

1. El tratamiento conforme a este contrato forma parte del servicio Juryline y no tiene una tarifa independiente.
2. Las partes responden conforme al art. 82 del RGPD y al Derecho eslovaco.
3. El contrato se celebra por vía electrónica (art. 28, apartado 9, del RGPD) cuando el organizador publica un programa y confirma que acepta las condiciones de uso y este contrato. Registramos la versión, el momento y la cuenta que lo confirmó.
4. Si el organizador es un organismo público obligado a publicar sus contratos, publica él mismo este contrato.
5. En materia de protección de datos, este contrato prevalece sobre las condiciones de uso. Los anexos 1 y 2 forman parte de él.

Anexo 1. Medidas técnicas y organizativas

• Ubicación: base de datos, archivos y aplicación en la UE (Fráncfort, Alemania).
• Cifrado: en tránsito, con TLS y HSTS; en reposo, por parte de nuestros proveedores de alojamiento.
• Control de acceso: la seguridad a nivel de fila (row level security) de la base de datos determina lo que cada persona puede leer y modificar. Los organizadores ven sus propios programas; los miembros del jurado ven solo las candidaturas que se les asignan y nunca los campos ocultos; los candidatos ven solo sus propias candidaturas. Estas reglas se prueban automáticamente para cada rol.
• Inicio de sesión: sin contraseñas; códigos de un solo uso y enlaces personales enviados por correo electrónico; las sesiones finalizan tras 30 días sin uso.
• Archivos: almacenamiento privado, descargas mediante enlaces válidos durante 5 minutos tras una comprobación de permisos, tipo de archivo verificado a partir del contenido, tamaño máximo de 25 MB.
• Integridad: las puntuaciones, las decisiones de la revisión de requisitos, las declaraciones de conflicto de intereses y las decisiones sobre los resultados no pueden sobrescribirse; los cambios se añaden como nuevos registros. Las actas se sellan con un hash SHA-256 y un código de verificación.
• Acceso de soporte: solo en sesiones de soporte registradas, de duración limitada y de solo lectura, visibles para el organizador.
• Registro de auditoría: exportaciones, descargas de actas, cambios de rol, sesiones de soporte y eventos de facturación, conservados 24 meses.
• Supresión: automática, diaria, según el plazo de conservación de cada programa.
• Copias de seguridad: copias diarias de la base de datos realizadas por nuestro proveedor de alojamiento, conservadas durante 7 días.
• Protección contra abusos: límites de solicitudes con claves seudónimas conservadas como máximo 2 días.
• IA: los datos de los programas nunca se envían a servicios de IA.

Anexo 2. Subencargados del tratamiento

Versión del 27 de octubre de 2026.