Esta es una traducción. Si difiere del texto en inglés, prevalece el texto en inglés. Las secciones para usuarios en los Estados Unidos están solo en inglés.
Estas condiciones describen cómo screenme.science trata datos personales por cuenta de una organización que gestiona un programa de cribado. Complementan nuestra Política de privacidad y se aplican cuando un participante participa a través de un empleador, colegio, escuela infantil, universidad, curso u otro programa. Junto con las Condiciones de coordinación, constituyen el contrato de encargo del tratamiento conforme al artículo 28 del RGPD.
1. Nuestro papel
Cuando un participante participa a través de un programa, la organización que gestiona dicho programa es la responsable del tratamiento de los datos personales y decide qué cribado se realiza y con qué finalidad. screenme.science actúa como su encargado del tratamiento y trata los datos únicamente siguiendo sus instrucciones documentadas —los ajustes que el responsable elige en la aplicación y estas condiciones—, salvo que la ley exija otra cosa, en cuyo caso informamos previamente al responsable, salvo que la ley lo prohíba. Informamos al responsable si consideramos que una instrucción infringe la normativa de protección de datos.
Cuando una persona utiliza screenme.science por su cuenta, sin pertenecer a un programa, screenme.science es el responsable del tratamiento y se aplica íntegramente nuestra Política de privacidad en lugar de estas condiciones.
Los cribados que un visitante paga a través de un enlace para visitantes no se tratan por cuenta del responsable: para ellos, el responsable del tratamiento somos nosotros, tal como se describe en nuestra Política de privacidad.
2. Qué tratamos y por qué
Categorías de datos: datos de la cuenta (nombre, correo electrónico); la grabación del cribado; imágenes fijas extraídas de ella, incluidos el rostro del participante y el dispositivo de test; la fotografía de referencia que registró el participante; el resultado y el desenlace del test; y datos técnicos y de registro.
Categorías de interesados: los participantes inscritos en el programa del responsable y los coordinadores que lo administran.
Finalidades: verificar que el cribado lo realizó el participante invitado, emitir un registro con sello de tiempo y poner el estado del programa a disposición de sus coordinadores.
Categorías especiales de datos: la comparación facial trata datos biométricos dirigidos a identificar de manera unívoca a una persona, y los resultados de los cribados son datos relativos a la salud.
Duración: mientras esté vigente el contrato con el responsable, y los plazos de conservación indicados en la sección 7 de nuestra Política de privacidad.
Para la verificación de identidad antes del primer cribado de un participante: su resultado, el nombre leído del documento de identidad, la hora de la verificación y la referencia del servicio de verificación.
3. El consentimiento es responsabilidad del responsable del tratamiento
El responsable es responsable de establecer una base jurídica para el tratamiento que ordena, incluida la obtención del consentimiento explícito del participante a la comprobación facial conforme al artículo 9(2)(a) del RGPD, y de informar a los participantes al respecto.
Cuando el participante sea un menor, el responsable es responsable de obtener el consentimiento de la persona que ejerce la patria potestad y de las disposiciones que exigen la presencia de un adulto durante el cribado.
En la aplicación pedimos a cada participante su consentimiento al reconocimiento facial, por separado de nuestras Condiciones de miembros y antes de registrar una foto facial, y registramos qué versión del texto del consentimiento se mostró y cuándo. El participante puede retirarlo en su perfil en cualquier momento. Ese registro sirve de apoyo a la obligación del responsable, pero no la sustituye.
4. Subencargados del tratamiento
El responsable nos autoriza a recurrir a los siguientes subencargados del tratamiento:
Contabo GmbH — aloja nuestros servidores y nuestra base de datos — ubicación de los servidores: Francia (UE).
Cloudflare R2 (Cloudflare, Inc.) — almacena grabaciones, imágenes fijas, fotos faciales, justificantes y copias de seguridad — ubicación del almacenamiento: Europa (región de Europa del Este); el proveedor tiene su sede en EE. UU.
Amazon Web Services (Amazon Rekognition) — compara el rostro de un cribado con la foto de referencia y comprueba que las imágenes que se muestran a otras personas no contienen ningún rostro — Fráncfort, Alemania (UE).
TwelveLabs (Twelve Labs, Inc.) — analiza el vídeo del cribado para comprobar que se han realizado los pasos del test — EE. UU.
OpenRouter, Inc. — transmite imágenes fijas de un cribado, y texto, a modelos de IA de Google (Gemini) y OpenAI (GPT) para comprobar el casete del test y el código impreso en él, y para generar las instrucciones habladas — EE. UU.
Anthropic, PBC (Claude) — evalúa las descripciones textuales de un cribado generadas a partir del análisis del vídeo y clasifica los mensajes de comentarios — EE. UU.
Didit Identity Spain, S.L. (Barcelona, España; didit.me): verificación de identidad antes del primer cribado de una persona; comprueba un documento de identidad y un selfi, incluida una prueba de vida y una comparación del selfi con la foto del documento. El tratamiento se realiza en la UE y, en su caso, en otros países, con las garantías adecuadas. Didit conserva las imágenes del documento de identidad y del selfi según sus propias normas de conservación; nosotros solo guardamos el estado de la verificación, el nombre, la hora de la verificación y la referencia de Didit. El retrato del documento se usa una sola vez para compararlo con la foto de referencia y no lo conservamos.
Stripe — pagos, verificación de tarjetas de pago y pago de comisiones a los coordinadores (Stripe Connect); no recibe datos de cribado — Irlanda (UE) y EE. UU.
SendGrid (Twilio Inc.) — envía los códigos de inicio de sesión y los correos electrónicos de notificación — EE. UU.
Google — inicio de sesión con «Continuar con Google», si lo utilizas — EE. UU. Cookies de Google Ads solo si las aceptas (sección 13).
Porkbun LLC — nuestro dominio y el reenvío de los correos electrónicos que envíes a una dirección @screenme.science — EE. UU.
Telegram — alertas técnicas al titular, que contienen identificadores internos pero ningún nombre, imagen ni resultado — fuera del EEE.
El servicio push de tu navegador (Google, Mozilla o Apple) — entrega las notificaciones push, solo si las activas — fuera del EEE.
Imponemos a cada subencargado obligaciones de protección de datos que no ofrecen menos protección que estas condiciones, y seguimos siendo responsables ante el responsable del tratamiento del cumplimiento de dichas obligaciones por su parte. Informaremos al responsable antes de añadir o sustituir un subencargado, y el responsable podrá oponerse por motivos razonables de protección de datos.
Cuando un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se realiza al amparo de las cláusulas contractuales tipo de la Comisión Europea o de otro mecanismo de transferencia reconocido por el RGPD.
5. Confidencialidad
Todas las personas a las que autorizamos a tratar los datos personales del responsable —el titular y cualquier revisor que trabaje para nosotros— están sujetas a un deber de confidencialidad, por contrato o por ley, y tratan los datos únicamente siguiendo las instrucciones del responsable. Esta obligación subsiste una vez finalizado su trabajo para nosotros.
6. Medidas técnicas y organizativas
Protegemos los datos personales con las siguientes medidas, que mantenemos actualizadas:
Cifrado en tránsito: todas las conexiones con screenme.science y su API se cifran con TLS. Las conexiones no cifradas se redirigen y se indica a los navegadores que utilicen únicamente conexiones cifradas (HSTS).
Cifrado en reposo: las grabaciones, imágenes fijas, fotos faciales y copias de seguridad se almacenan en nuestro proveedor de almacenamiento, que las cifra en reposo.
Sin enlaces públicos a archivos multimedia: las grabaciones y las imágenes nunca son accesibles públicamente. La aplicación y nuestros revisores solo las abren mediante enlaces firmados que caducan como máximo al cabo de una hora, y en el caso de las imágenes fijas, al cabo de cinco minutos.
Acceso limitado y registrado: solo un número reducido de revisores, que inician sesión con una cuenta de Google autorizada, pueden abrir los archivos multimedia de los cribados, y únicamente en el caso de cribados que requieran la revisión de una persona. Cada visualización de una imagen facial queda registrada con el revisor y la hora, y las solicitudes de grabaciones se anotan en el registro de accesos de nuestro servidor. Los coordinadores no pueden abrir el vídeo de un cribado ni ninguna imagen del rostro de un miembro.
Acceso restringido a la base de datos: la aplicación utiliza una cuenta de base de datos que solo puede leer y escribir registros. No puede modificar la estructura de la base de datos ni gestionar otras cuentas.
Copias de seguridad: cada noche se hace una copia de seguridad de la base de datos y se comprueba cada copia. Las copias se conservan en el servidor, legibles únicamente por el titular, y en nuestro proveedor de almacenamiento, cifradas en reposo.
Inicio de sesión: no hay contraseñas que robar: inicias sesión con un código de un solo uso enviado a tu correo electrónico, o con Google. Una sesión iniciada caduca al cabo de 12 horas. Las solicitudes tienen un límite de frecuencia y el sitio envía cabeceras de seguridad estrictas.
Eliminación: los archivos multimedia de los cribados se eliminan automáticamente según el calendario de la sección 7.
7. Asistencia al responsable del tratamiento
Teniendo en cuenta la naturaleza del tratamiento, ayudamos al responsable, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los participantes que ejerzan sus derechos conforme al capítulo III del RGPD, por ejemplo facilitando una exportación de los datos de un participante, rectificándolos o suprimiéndolos siguiendo las instrucciones del responsable. Si un participante se pone en contacto directamente con nosotros en relación con datos que tratamos por cuenta del responsable, remitimos la solicitud al responsable sin dilación indebida y no la respondemos nosotros, salvo que el responsable nos lo indique.
Asimismo, ayudamos al responsable, con la información de que disponemos, a cumplir sus obligaciones en materia de seguridad, violaciones de la seguridad de los datos personales, evaluaciones de impacto relativas a la protección de datos y consulta previa (artículos 32 a 36 del RGPD).
8. Violaciones de la seguridad de los datos personales
Notificamos al responsable cualquier violación de la seguridad de los datos personales que afecte a sus datos sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tengamos conocimiento de ella, mediante un correo electrónico a la cuenta de coordinador. La notificación describe, en la medida en que se conozca en ese momento, la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Facilitamos más información a medida que se disponga de ella y adoptamos las medidas necesarias para contener la violación y limitar sus consecuencias.
9. Información y auditorías
Previa solicitud, ponemos a disposición del responsable la información que necesite para demostrar el cumplimiento del artículo 28 del RGPD, incluida una descripción actualizada de nuestras medidas técnicas y organizativas y la lista de subencargados. El responsable puede solicitar esta documentación una vez al año y, además, tras una violación de la seguridad de los datos personales o cuando lo exija una autoridad de control.
Cuando dicha documentación no sea suficiente, permitimos y contribuimos a la realización de una auditoría, incluida una inspección, por parte del responsable o de un auditor designado por él que esté sujeto a un deber de confidencialidad, con un preaviso razonable y sin perturbar de forma desproporcionada el servicio.
10. Supresión y devolución al finalizar
A la terminación del contrato con el responsable, suprimimos los datos personales que conservamos por su cuenta, o se los devolvemos, a elección del responsable, salvo que la ley nos obligue a conservarlos.
Los plazos de conservación durante la vigencia del contrato se establecen en la sección 7 de nuestra Política de privacidad. A un participante que retira su consentimiento a la comprobación facial se le elimina la fotografía de referencia sin que se cierre su cuenta.
11. Contrato firmado
Previa solicitud, está disponible un contrato de encargo del tratamiento firmado conforme al artículo 28 del RGPD. Ponte en contacto con nosotros a través de los datos que figuran a continuación.
Titular
screenme.science · Correo electrónico: [email protected]
Contacto
Para solicitar un contrato de encargo del tratamiento o la documentación descrita en la sección 9, o para consultas sobre estas condiciones, ponte en contacto con nosotros en [email protected].
Última actualización: 10 de octubre de 2026