myteo
ES
Registrar congregaciónRegistro
← Volver al inicio

Contrato de tratamiento de datos personales

Vigente desde el 1 de noviembre de 2026

El contrato consta de la parte A (acuerdos entre las partes), la parte B (cláusulas contractuales tipo entre responsables y encargados del tratamiento conforme a la Decisión de Ejecución (UE) 2021/915 de la Comisión) y los anexos I–IV. Las cláusulas tienen traducción oficial a todas las lenguas de la UE, por lo que las versiones lingüísticas del contrato se crean adoptando el texto oficial y traduciendo la parte A y los anexos.

Parte A – Acuerdos entre las partes

Esta parte complementa las cláusulas contractuales tipo de la parte B (cláusula 2, letra b). Nada de lo que contiene puede interpretarse en contradicción con las cláusulas ni de forma que limite los derechos de los interesados; en caso de contradicción, prevalecen las cláusulas (cláusula 4).

A.1 Partes. El encargado del tratamiento es el proveedor del servicio myteo (anexo I). El cliente es la persona que celebra el contrato para las necesidades de la congregación indicada al celebrarlo. Declara que es responsable del tratamiento de los datos personales o que está autorizada para actuar en nombre del responsable que indique al celebrar el contrato (la entidad religiosa u otra entidad de la que forme parte la congregación, la congregación con personalidad jurídica, o los ancianos de la congregación como corresponsables) y para celebrar este contrato en su nombre. Si no está autorizada para ello, queda obligada por el contrato ella misma. El responsable figura en el anexo I.

A.2 Celebración. El contrato se celebra en forma electrónica (art. 28, apartado 9, del RGPD) mediante confirmación en la aplicación MYJW (al registrar la congregación o en Gestión → Congregación → Protección de datos). El encargado conserva un registro de la celebración (versión y huella del texto del contrato, fecha y hora, persona y su cuenta, congregación, responsable indicado, declaración conforme al art. A.1, dirección IP y navegador) y envía su confirmación con el texto del contrato al correo electrónico de contacto de la congregación.

A.3 Relación con el contrato de servicio. El contrato forma parte del contrato de prestación del servicio myteo (términos y condiciones) y permanece vigente durante toda la vigencia de este y, además, hasta la supresión o devolución de los datos conforme al art. A.9.

A.4 Instrucciones del responsable. Son instrucciones documentadas del responsable (cláusula 7.1): este contrato, la configuración y el uso de las funciones de la aplicación por los usuarios autorizados de la congregación y las instrucciones enviadas desde el correo de contacto de la congregación o por una persona con el rol de administrador de la congregación en la aplicación.

A.5 Contactos y notificaciones. El encargado envía las notificaciones previstas en este contrato al correo de contacto de la congregación y, al mismo tiempo, las muestra a los administradores de la congregación en la aplicación. El cliente es responsable de que el correo de contacto esté actualizado. El responsable envía las notificaciones al contacto del encargado indicado en el anexo I.

A.6 Subencargados. El responsable otorga una autorización general por escrito (cláusula 7.7, letra a, opción 2) para recurrir a los subencargados del anexo IV. El encargado informará de cualquier cambio previsto conforme al art. A.5 con al menos 30 días de antelación. Hasta el final de ese plazo, el responsable puede formular una objeción motivada; si no la formula, se entiende que está de acuerdo con el cambio. Si el encargado no atiende la objeción, el cliente puede rescindir el contrato de servicio con efecto en la fecha en que el cambio surta efecto, y el encargado le devolverá la parte proporcional del precio del periodo prepagado no consumido.

A.7 Violaciones de la seguridad. El encargado informará al responsable de cualquier violación de la seguridad de los datos personales (cláusula 9.2) sin dilación indebida y a más tardar en un plazo de 48 horas desde que tenga conocimiento de ella, con el alcance previsto en la cláusula 9.2 y en el punto 11 del anexo III.

A.8 Información y auditorías. A petición, el encargado facilitará en un plazo de 30 días la información necesaria para demostrar el cumplimiento (cláusula 7.6), en particular una descripción actualizada de las medidas y un cuestionario cumplimentado. Una auditoría in situ o por un auditor independiente es posible a intervalos razonables, por regla general como máximo una vez al año, y siempre que existan indicios de incumplimiento, se haya producido una violación de la seguridad o lo solicite la autoridad de control. Se anuncia con al menos 30 días de antelación (en los demás casos indicados, con un plazo razonablemente más corto); el auditor está sujeto a confidencialidad y los costes de la auditoría corren a cargo del responsable, salvo que la auditoría demuestre un incumplimiento grave de este contrato por parte del encargado. El encargado no cobra ninguna tarifa por colaborar en la auditoría.

A.9 Fin del contrato, devolución y supresión (cláusula 10, letra d). El contrato de servicio termina cuando el responsable solicita la eliminación de la congregación, o 12 meses después del fin de la suscripción si la congregación no la ha renovado para entonces (términos y condiciones, art. 5). La devolución de los datos se garantiza mediante la función de exportación de la aplicación, disponible para los administradores de la congregación durante toda la vigencia del contrato, incluido el periodo en que la congregación está bloqueada tras el fin de la suscripción. El encargado suprimirá todos los datos personales de la congregación de los sistemas operativos a más tardar en 60 días y de las copias de seguridad a más tardar en 90 días desde el fin del contrato. Confirmará la supresión al correo de contacto de la congregación.

A.10 Responsabilidad. El encargado responde ante el cliente de los daños causados por el incumplimiento de este contrato hasta un importe equivalente al precio pagado por el servicio en los últimos 12 meses, pero como mínimo hasta 25 000 CZK. La limitación no se aplica a los daños causados de forma dolosa o por negligencia grave ni a los perjuicios a los derechos naturales de la persona. Ello no afecta a la responsabilidad frente a los interesados (art. 82 del RGPD) ni a las obligaciones derivadas del RGPD.

A.11 Modificaciones del contrato. El encargado actualiza los anexos según la realidad (cláusula 2, letra a); los cambios del anexo IV los notifica conforme al art. A.6. El encargado notificará cualquier modificación de la parte A conforme al art. A.5 con al menos 30 días de antelación a su entrada en vigor. El cliente puede rechazarla y rescindir el contrato de servicio con efecto en la fecha de entrada en vigor de la modificación; el encargado le devolverá la parte proporcional del precio del periodo prepagado no consumido. El cliente confirma en la aplicación cualquier modificación sustancial.

A.12 Ley aplicable. El contrato se rige por el derecho de la República Checa. Los litigios los resuelve el tribunal ordinario del encargado; ello no afecta a las disposiciones imperativas de protección del consumidor ni al art. 79 del RGPD.

Parte B – Cláusulas contractuales tipo

Las cláusulas contractuales tipo entre responsables y encargados del tratamiento que figuran en el anexo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, de 4 de junio de 2021 (DO L 199 de 7.6.2021, p. 18), forman parte de este contrato en su redacción oficial, versión española en EUR-Lex, con estas opciones elegidas: cláusulas 1, 8 y 9 – Reglamento (UE) 2016/679; la cláusula 5 (cláusula de incorporación) no se aplica; cláusula 7.7 – opción 2 (autorización general por escrito), con un plazo de 30 días. Los anexos de las cláusulas son los anexos I–IV que figuran a continuación.

Anexo I – Lista de las partes

Responsable: la entidad que el cliente indique al celebrar el contrato (art. A.1), es decir, según el caso: la entidad religiosa u otra entidad de la que forme parte la congregación; la congregación con personalidad jurídica propia; o los ancianos de la congregación como corresponsables. Congregación: nombre, país e identificador de la congregación en MYJW. En nombre del responsable actúa: el cliente; nombre, correo electrónico y rol en la congregación. Correo de contacto para la protección de datos: el correo configurado en Gestión → Congregación → Protección de datos (por defecto, el correo del cliente). Los datos se conservan en la aplicación y se envían por correo electrónico al celebrar el contrato. Firma y fecha: confirmación electrónica en la aplicación (art. A.2).

Encargado: Tomáš Leitl, empresario, número de identificación 03857867, domicilio profesional Nad Stadionem 355, 267 01 Králův Dvůr, proveedor del servicio myteo. Contacto para la protección de datos: info@myjw.app. Firma y fecha: mediante la publicación de esta versión del contrato y su confirmación por el responsable.

Anexo II – Descripción del tratamiento

Categorías de interesados

Categorías de datos personales

Datos sensibles Los datos revelan las creencias religiosas (pertenencia a una congregación de los testigos de Jehová), es decir, se trata de una categoría especial de datos conforme al art. 9 del RGPD. Restricciones y garantías especiales (cláusula 7.5): los datos más sensibles (informes de predicación, dirección, fecha de nacimiento y de bautismo) los cifra el navegador con la clave de la congregación, que el encargado no conoce; acceso en la aplicación solo según los roles y permisos configurados por el responsable; ninguna transmisión a terceros ni uso para otros fines (analítica solo agregada y sin identificación de personas); servidores y copias de seguridad solo en la República Checa; los datos los trata personalmente el encargado.

Naturaleza del tratamiento Funcionamiento de la aplicación web MYJW: almacenamiento, organización, búsqueda y puesta a disposición de los datos a los usuarios de la congregación según sus permisos, envío de notificaciones por correo electrónico y push, exportación, copias de seguridad, restauración y supresión.

Finalidad del tratamiento Prestación del servicio myteo a la congregación: organización de las actividades de la congregación (reuniones, predicación, territorios, exhibidores, informes de predicación, ausencias) conforme al contrato de prestación del servicio.

Duración del tratamiento Durante la vigencia del contrato de prestación del servicio myteo. Tras su fin, conforme a la parte A, art. A.9 (supresión de los sistemas operativos en un plazo de 60 días, de las copias de seguridad en un plazo de 90 días).

Subencargados: véase el anexo IV.

Anexo III – Medidas técnicas y organizativas

  1. Cifrado. Todo el tráfico se realiza por HTTPS (TLS). Los informes de predicación y los campos sensibles (dirección, fecha de nacimiento y de bautismo) los cifra el navegador con la clave de la congregación (AES-GCM 256); la clave solo se transmite entre usuarios de la congregación (ECDH P-256); el encargado no la conoce y no puede leer el contenido. Contraseñas: el valor de verificación se deriva en el navegador (PBKDF2) y en el servidor solo se guarda su hash bcrypt.
  2. Separación de congregaciones y control de acceso. Cada registro lleva el identificador de la congregación, y el servidor lo verifica en cada solicitud. En la aplicación deciden los roles y permisos configurados por el responsable. Solo el encargado tiene acceso al servidor (claves SSH, sin contraseñas); la aplicación usa un usuario de base de datos con los mínimos permisos necesarios. Las cuentas del alojamiento, de la gestión del código y del servicio de correo están protegidas con verificación en dos pasos.
  3. Ubicación. El servidor y las copias de seguridad están en la República Checa (WEDOS). Las copias de seguridad en poder del encargado, solo en un disco cifrado.
  4. Copias de seguridad y restauración. Copias periódicas de la base de datos, conservadas como máximo 30 días; la restauración desde una copia se prueba periódicamente.
  5. Conservación. Registros operativos de la aplicación, como máximo 12 semanas; registros del servidor web, como máximo 14 días; analítica de uso, solo sin identificación de personas y como máximo 90 días; papelera, 24 horas; ubicación, 10 minutos; registros de correos enviados, como máximo 90 días.
  6. Minimización. Los correos y las notificaciones push solo contienen los datos necesarios para su finalidad; no se envían en ellos los informes de predicación ni los campos cifrados.
  7. El desarrollo y las pruebas se realizan con datos de ejemplo inventados, no con datos de congregaciones.
  8. Vulnerabilidades y actualizaciones. Vigilancia automática de dependencias vulnerables, control de filtraciones de claves secretas en el código, actualizaciones continuas del servidor.
  9. Supervisión. Control automático de la disponibilidad, los certificados, los servicios y la antigüedad de las copias de seguridad cada 15 minutos.
  10. Asistencia al responsable (cláusula 8). El responsable puede, en la aplicación, rectificar datos, eliminar a una persona (anonimizarla de forma permanente), exportar los datos de una persona y de toda la congregación y descargar la lista de subencargados. Las demás solicitudes las atiende el encargado en un plazo de 14 días desde su recepción.
  11. Violaciones de la seguridad (cláusula 9.2). El encargado informa al correo de contacto de la congregación a más tardar en un plazo de 48 horas desde que tenga conocimiento de ella y muestra una notificación a los administradores en la aplicación. La notificación incluye también: el momento en que se produjo y en que se detectó, las funciones afectadas, si se vieron afectados datos cifrados y si pudo revelarse la clave de la congregación, y los pasos recomendados para la congregación (p. ej., cambio de la clave o de las contraseñas).
  12. Confidencialidad. Los datos los trata personalmente el encargado. Los posibles colaboradores están sujetos a confidencialidad y solo tienen acceso en la medida necesaria.
  13. Registros y documentación. El encargado lleva un registro de las actividades de tratamiento (art. 30, apartado 2, del RGPD) y un registro de las violaciones de la seguridad. Facilita a las congregaciones documentación para la evaluación de impacto relativa a la protección de datos (modelo de EIPD).

Anexo IV – Lista de subencargados

SubencargadoDomicilioActividadUbicación de los datos
WEDOS Internet, a.s., n.º de identificación 28115708Hluboká nad Vltavou, República Checaservidor de la aplicación, base de datos, copias de seguridadRepública Checa
[proveedor de correo electrónico: se completará tras su elección]UEenvío de notificaciones por correo electrónicoUE

Otros destinatarios de datos técnicos (no son subencargados):