Acuerdo de Tratamiento de Datos (DPA)

Responsable del Tratamiento ("Responsable"): el Partner, cuya identidad consta en su cuenta en Festea.

Encargado del Tratamiento ("Encargado"):

Este DPA regula el tratamiento de datos personales de invitados que el Encargado realiza por cuenta del Responsable en el marco de la prestación de los servicios de Festea, conforme a la Ley 29733 y su Reglamento.

• Datos Personales: cualquier información sobre persona natural identificada o identificable (Ley 29733 art. 2.4).
• Tratamiento: cualquier operación o conjunto de operaciones sobre los Datos Personales (recolección, registro, conservación, consulta, comunicación, etc.).
• Titular: el invitado del evento al que se refieren los Datos Personales.
• Subencargado: tercero al que el Encargado subcontrata parte del Tratamiento (lista en Sección 7).
• Incidente de Seguridad: evento que comprometa la confidencialidad, integridad o disponibilidad de los Datos Personales.

Categorías de titulares: invitados (mayores de 14 años) que participan en eventos organizados por el Responsable.

Categorías de datos: identificadores (nombre, correo, alias, UUID anónimo, número de teléfono), contenido generado (fotos, videos, mensajes, reacciones, respuestas a feedback), datos derivados (puntos de gamificación, lead score, ai_summary, ai_confidence), datos técnicos (IP, user-agent, ubicación aproximada).

Finalidades específicas: ejecución del evento, gamificación, moderación IA, estilos IA, CRM, seguimiento WhatsApp post-evento (con opt-in), generación de álbum digital, análisis de feedback.

Duración: mientras dure la relación contractual con el Responsable y por los plazos de retención indicados en la Política de Privacidad.

El Encargado tratará los Datos Personales únicamente conforme a las instrucciones documentadas del Responsable, salvo cuando la ley peruana requiera otra cosa. Las instrucciones documentadas incluyen estos Términos, el DPA, el Acuerdo de Servicio (SLA) y las configuraciones que el Responsable realice en la plataforma (ej. campos personalizados, retención, opciones de moderación).

Si el Encargado considera que una instrucción infringe la ley aplicable, lo notificará al Responsable antes de proceder.

El Encargado garantiza que el personal autorizado a tratar Datos Personales esté sujeto a confidencialidad por contrato o por obligación legal.

El Responsable autoriza expresamente al Encargado a contratar los siguientes Subencargados:

• Cloudflare Inc. (EE.UU.) — almacenamiento R2 y CDN.
• Google LLC (EE.UU.) — OAuth, Cloud Vision, Video Intelligence, Cloud Storage, Gemini.
• MercadoPago (LATAM) — procesamiento de pagos.
• OpenAI (EE.UU.) — estilos IA, análisis feedback, scoring.
• DeepSeek (China) — análisis IA alternativo.
• Twilio Inc. (EE.UU.) — envío de mensajes WhatsApp.

El Encargado notificará al Responsable con al menos 30 días de anticipación cualquier cambio de Subencargado. El Responsable puede objetar el cambio dentro de los 15 días siguientes; si la objeción es razonable y el Encargado no logra acomodarla, el Responsable podrá rescindir el contrato sin penalidad.

El Encargado garantiza que cada Subencargado asume obligaciones equivalentes a las de este DPA.

El Encargado asistirá al Responsable, mediante medidas técnicas y organizativas razonables, en la atención de solicitudes ARCO+ que reciban los titulares.

El Encargado pondrá a disposición del Responsable funcionalidades autoservicio para exportar y eliminar datos del CRM, álbumes y participantes.

El Encargado mantiene:

• Cifrado TLS en tránsito y cifrado en reposo en almacenamiento R2.
• Control de acceso por rol (RBAC) y MFA para personal operativo.
• Tokens JWT con rotación, rate limiting y monitoreo continuo.
• Backups diarios y plan de continuidad.
• Logs centralizados con retención de 12 meses.
• Auditorías periódicas internas.

En caso de Incidente de Seguridad que afecte Datos Personales del Responsable, el Encargado notificará al Responsable sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a la detección, incluyendo:

• Naturaleza del Incidente.
• Categorías y volumen aproximado de Titulares afectados.
• Posibles consecuencias.
• Medidas adoptadas o propuestas.

El Responsable reconoce y autoriza las transferencias a EE.UU. y a otros países donde residen los Subencargados, conforme a la Ley 29733 art. 15.

El Encargado pondrá a disposición del Responsable, previa solicitud razonable y con al menos 30 días de aviso, la información necesaria para demostrar el cumplimiento de este DPA, incluyendo:

• Reportes de auditoría interna.
• Certificaciones de seguridad de los Subencargados.
• Respuesta a cuestionarios de seguridad razonables.

Auditorías en sitio se realizarán solo si hay sospecha fundada de incumplimiento, durante horario laboral, y con costo a cargo del Responsable salvo que la auditoría revele incumplimiento del Encargado.

Al finalizar el contrato, a elección del Responsable, el Encargado devolverá o eliminará todos los Datos Personales tratados, dentro de los plazos máximos indicados en la Política de Privacidad, salvo retenciones legales obligatorias.

Este DPA tiene vigencia mientras esté activa la relación contractual entre el Responsable y el Encargado, y subsisten las obligaciones de confidencialidad y seguridad mientras el Encargado conserve Datos Personales del Responsable.

Este DPA se rige por las leyes de la República del Perú. Cualquier controversia se somete a la jurisdicción de los juzgados especializados de Lima.