Acuerdo de Encargo de Tratamiento (DPA)

REUNIDOS

EL RESPONSABLE DEL TRATAMIENTO:La persona física o jurídica (habitualmente orgánica de caza, asociación o empresa organizadora de monterías) que contrata los servicios de la Plataforma SaaS (en adelante, la "Empresa Organizadora"), cuyos datos identificativos, de contacto, fiscales y de representación constan registrados en su cuenta de usuario y panel de control del software Next.js/PocketBase.

EL ENCARGADO DEL TRATAMIENTO:tuLance Technologies S.L. (en constitución), con domicilio social en Calle del Monte, Madrid, España, dirección de correo electrónico de contacto: legal@tulance.es (en adelante, el "Proveedor" o "tuLance").

Ambas partes, reconociéndose la capacidad legal necesaria, acuerdan suscribir el presente DPA con arreglo a las siguientes:

PRIMERA. Objeto del Encargo del Tratamiento

El Proveedor prestará a la Empresa Organizadora los servicios de acceso y uso a la plataforma tecnológica SaaS tuLance (en adelante, la "Plataforma"), que permite la gestión automatizada, encriptación, validación, asignación de participaciones y resolución inmutable de sorteos promocionales gratuitos de puestos de montería (en adelante, el "Servicio").

Para la correcta ejecución técnica y operativa de dicho Servicio, tuLance accederá, almacenará, procesará y custodiará de manera automatizada determinados datos de carácter personal de los cuales la Empresa Organizadora es la única Responsable del Tratamiento.

SEGUNDA. Naturaleza, Ámbito y Finalidades del Tratamiento

El tratamiento de datos de carácter personal se limitará estrictamente a las finalidades necesarias para proveer y auditar el Servicio tecnológico SaaS de tuLance:

• Registro y Distribución de Participaciones (Fidelización B2C): Almacenar el número de teléfono y, opcionalmente, el nombre y apellidos de los participantes (cazadores) cargados por la Empresa Organizadora en la whitelist de autorizados, o bien introducidos directamente por el propio participante en los portales públicos de sorteos asociados.
• Garantía de Aleatoriedad e Inmutabilidad (Soporte Técnico): Ejecutar la lógica de sorteos a través de la red descentralizada de certificación drand (League of Entropy) y registrar hashes criptográficos SHA256 inalterables.
• Cumplimiento de Deberes Fiscales y Tributarios (Modelo 190): Posibilitar que la Empresa Organizadora capture, encripte bajo el estándar AES-256-GCM y procese de forma segura el Número de Identificación Fiscal (NIF/NIE) y la dirección de domicilio del participante que resulte Ganador de un premio en especie cuyo valor de mercado sea superior a los trescientos euros (300 €), para la correcta confección y presentación telemática del Modelo 190 de retenciones del IRPF.
• Seguridad y Autenticación: Remitir códigos temporales de un solo uso (OTP) por SMS/Magic Link para verificar y validar de forma unívoca el acceso de cazadores y monterías a sus correspondientes paneles privados, previniendo el fraude y la suplantación de identidad.

TERCERA. Categorías de Interesados y Tipologías de Datos

Los datos personales que se tratarán bajo este DPA pertenecen a las siguientes categorías:

• Usuarios Representantes de la Empresa Organizadora (B2B): Datos de registro, credenciales, cargo de representación y datos de facturación (nombre, apellidos, email, teléfono, dirección postal, NIF/CIF).
• Participantes / Cazadores (B2C) - No Ganadores: Número de teléfono móvil de contacto y, si fuesen facilitados, nombre y apellidos.
• Participantes / Cazadores (B2C) - Ganadores de Premios de Montería (especie > 300 €): Número de teléfono, nombre, apellidos, Número de Identificación Fiscal (NIF/NIE), dirección de domicilio postal completa a efectos fiscales, y datos de adjudicación del premio.

CUARTA. Duración del Tratamiento y Doctrina del Bloqueo de Datos

El tratamiento de los datos personales asociados a un sorteo promocional se mantendrá en caliente exclusivamente durante la vigencia de la promoción específica de la montería.

Una vez resuelto el sorteo y adjudicado formalmente el puesto de caza, el software aplicará de manera automatizada las siguientes reglas de retención y bloqueo, sin que quepa intervención manual discrecional de los agentes del Proveedor o del Responsable:

• Datos de Participantes No Ganadores: Serán eliminados físicamente, borrados y purgados de todos los servidores y sistemas de tuLance de forma inmediata e irreversible.
• Datos de Participantes Ganadores (Retención Fiscal): De conformidad con el deber de colaboración tributaria y la normativa reguladora del Impuesto sobre la Renta de las Personas Físicas (IRPF), los datos fiscales e identificativos del ganador (NIF/NIE, domicilio y valor del premio) permanecerán bloqueados de manera inalterable durante un plazo de cuatro (4) años (periodo de prescripción general de las obligaciones fiscales en España). Durante este periodo, los datos estarán completamente encriptados en reposo mediante tecnología de clave simétrica AES-256-GCM y su desencriptación se restringirá exclusivamente a la descarga del Modelo 190 por parte de la montería o a la entrega documental ante inspecciones oficiales de la Agencia Tributaria (AEAT). Transcurridos los 4 años de bloqueo, se destruirán de forma definitiva y automatizada del servidor de PocketBase.

QUINTA. Obligaciones Generales de tuLance (Encargado del Tratamiento)

El Proveedor se obliga formalmente en virtud de este contrato y de las exigencias del RGPD a:

• Tratamiento bajo Instrucciones: Tratar los datos personales únicamente siguiendo las instrucciones documentadas de la Empresa Organizadora, contenidas en este contrato y en los T&C de la Plataforma, salvo requerimiento legal de la Unión Europea o del Estado español, en cuyo caso informará previamente a la montería (salvo prohibición por razones de interés público).
• Confidencialidad: Garantizar que todo el personal técnico, de soporte y de administración con autorización para acceder a los datos de la Plataforma se comprometa de forma expresa y por escrito a mantener la más estricta confidencialidad sobre la información.
• Medidas de Seguridad: Implementar y mantener activas las medidas de seguridad técnicas, organizativas y lógicas de nivel alto detalladas en la Cláusula Novena de este DPA, para garantizar un nivel de seguridad adecuado al riesgo del tratamiento cinegético y fiscal.
• Asistencia en Derechos ARCO+: Colaborar con la Empresa Organizadora en la gestión y resolución de las solicitudes de los derechos de Acceso, Rectificación, Supresión, Oposición, Limitación y Portabilidad que presenten los cazadores. Si tuLance recibe directamente una solicitud, la trasladará por vía electrónica al Responsable en un plazo máximo de 48 horas hábiles para su debida resolución conjunta.
• Notificación de Brechas de Seguridad: Notificar a la Empresa Organizadora, a la mayor brevedad y en un plazo máximo de 24 horas hábiles desde que tenga constancia del suceso, cualquier violación o quiebra de seguridad de los datos personales alojados en sus sistemas, facilitando toda la información disponible para que el Responsable pueda cumplir, en su caso, con su deber de notificación ante la AEPD en el plazo máximo de 72 horas.
• Apoyo en Evaluaciones de Impacto (EIPD): Apoyar a la Empresa Organizadora en la realización de Evaluaciones de Impacto y consultas previas con la AEPD cuando la naturaleza o volumen de los sorteos así lo exijan.
• Auditoría y Control: Poner a disposición de la Empresa Organizadora toda la información técnica necesaria para demostrar el cumplimiento de las obligaciones del Artículo 28 del RGPD. tuLance permitirá y facilitará la realización de auditorías de control técnico y de seguridad de la Plataforma, las cuales se ejecutarán de forma electrónica, coordinada y bajo costes soportados por el solicitante, sin alterar la operatividad general del SaaS.

SEXTA. Subencargados del Tratamiento (Subcontratación)

La Empresa Organizadora otorga mediante este acto una autorización general al Proveedor para subcontratar con terceras entidades la prestación de aquellos servicios de soporte técnico, de telecomunicaciones e infraestructura lógica que sean indispensables para la correcta operativa de tuLance.

Los subencargados autorizados con acceso a la infraestructura son:

• Proveedor de Infraestructura en la Nube (Hosting / Base de Datos): Servidores seguros de base de datos PocketBase e infraestructura Next.js ubicados físicamente dentro del Espacio Económico Europeo (UE).
• Proveedor de Envío de SMS / Telecomunicaciones: Servicio de telecomunicaciones telemáticas telemóviles para el envío automatizado de las contraseñas temporales y enlaces seguros (Magic Link) para el acceso sin contraseña de monterías y cazadores.
• Pasarela de Pago (Stripe): Proveedor utilizado de forma exclusiva para procesar el cargo y la facturación de las cuotas de suscripción SaaS cobradas a las Empresas Organizadoras B2B.

tuLance se compromete a formalizar con cada subencargado un contrato vinculante que traslade de forma íntegra las mismas obligaciones de protección de datos, confidencialidad y bloqueo que las estipuladas en este DPA. Cualquier cambio en la relación de subencargados será comunicado con antelación en el panel de control del B2B.

SÉPTIMA. Obligaciones de la Empresa Organizadora (Responsable del Tratamiento)

La Empresa Organizadora, como única titular y garante del tratamiento de datos de los cazadores ante las autoridades competentes, se obliga a:

• Legitimación de los Datos: Garantizar que los números de teléfono e información identificativa de los monteros cargados en las listas de whitelists o whitelists previas han sido obtenidos de forma totalmente lícita, contando con la base legal de legitimación requerida por el RGPD (el consentimiento expreso del participante o la ejecución de la relación contractual preexistente al haber adquirido un puesto de montería a su precio de mercado ordinario).
• Garantía de Gratuidad: Abstenerse bajo cualquier circunstancia de cobrar de manera directa o indirecta tasas, sobreprecios o de vender papeletas asociadas a los sorteos regulados por la Plataforma, asumiendo que el Proveedor se reserva el derecho de cancelar de manera inmediata cualquier cuenta que viole este principio ético y legal, poniendo los logs a disposición de la DGOJ.
• Bases Legales Propias: Publicar y poner a disposición de los participantes unas bases legales transparentes en Next.js (utilizando la plantilla oficial automatizada en legal_bases_text) donde se identifique como el único Responsable del Tratamiento de los datos de carácter personal y garante de la entrega física del premio.
• Tributación e Impuestos: Realizar de forma puntual la liquidación de la Tasa de Juego autonómica del 10% sobre el valor de mercado del puesto de montería sorteado, y practicar la retención del 19% del IRPF mediante la presentación del resumen informativo del Modelo 190 (Clave K, Subclave 02) ante la AEAT para todos los premios que superen el umbral legal de los 300 €.

OCTAVA. Procedimiento Automático de Ejercicio de Derechos del Cazador

• No Ganador (Supresión Instantánea): Cuando un cazador que no haya resultado ganador en ningún sorteo ejerza su derecho a la supresión de datos, ya sea a través del correo de compliance o del botón habilitado en Next.js, el backend de tuLance ejecutará de manera automatizada y al vuelo una purga total de PocketBase, anonimizando su identificador con un UUID genérico y eliminando su teléfono de cualquier whitelist de sorteos futuros.
• Ganador (Denegación de Purga por Bloqueo Fiscal): Si el cazador solicitante tiene asociada una participación en estado prize_accepted = true cuyo premio es de valor superior a 300 €, el software Next.js bloqueará técnicamente la supresión total para salvaguardar el Modelo 190 del Responsable. Su cuenta pública se inhabilitará para accesos futuros, pero sus registros de NIF y domicilio permanecerán custodiados y bloqueados de forma segura conforme a la Cláusula Cuarta.
• Logs de Control de Capa 2: Cada transacción y ejercicio de derechos generará de forma paralela e inmutable un registro de auditoría (logs de Capa 2) que estará disponible en el panel del B2B para probar de forma transparente ante la AEPD si la acción ejecutada sobre el montero consistió en una "SUPRESIÓN INMEDIATA" o en un "BLOQUEO DE DATOS (Retención Fiscal 4 años)".

NOVENA. Estándares Técnicos y Medidas de Seguridad Aplicables

El Proveedor declara formalmente que mantiene implantadas en sus servidores cloud de la Unión Europea las siguientes medidas de seguridad destinadas a garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los datos de tuLance:

• Cifrado Criptográfico AES-256-GCM: Toda la información identificativa de alta sensibilidad, incluyendo el Número de Identificación Fiscal (NIF/NIE), los domicilios postales y el número de teléfono móvil de los cazadores ganadores, se almacena encriptada en la base de datos de PocketBase mediante un algoritmo simétrico de grado militar AES-256-GCM, impidiendo su lectura en caso de acceso no autorizado al servidor físico.
• Acceso Seguro OTP y sin Contraseñas (Magic Link): Sustitución de los tradicionales campos de contraseña por accesos dinámicos OTP basados en SMS con códigos temporales generados al vuelo por el backend. Esto neutraliza de raíz los riesgos de ataques de fuerza bruta y fugas de credenciales.
• Aislamiento y Segregación: Uso de bases de datos compartimentadas y seguras para evitar la mezcla accidental de whitelists o bases de datos de diferentes orgánicas de caza.
• Copias de Seguridad (Backups) en la UE: Programación de copias de seguridad incrementales cifradas cada 24 horas, custodiadas de manera permanente en centros de datos ubicados dentro del Espacio Económico Europeo (UE).

DÉCIMA. Ley Aplicable y Jurisdicción

El presente DPA se regirá e interpretará con arreglo a la normativa de protección de datos de la Unión Europea (RGPD) y a la legislación española vigente (LOPDGDD).

Cualquier controversia, disputa o reclamación que pudiera suscitarse en relación con la interpretación, ejecución o resolución de este contrato de encargo, se someterá formalmente a la jurisdicción exclusiva de los Juzgados y Tribunales de la ciudad de Madrid (España), con renuncia expresa de las partes a cualquier otro fuero local o autonómico que pudiera corresponderles por ley.