Contrato de subcontratação do tratamento de dados entre a CONTRIMA e o(a) fotógrafo(a)
Versão 2 · 26/07/2026
Contrato de subcontratação de tratamento de dados entre a CONTRIMA e o fotógrafo
Entre
o subcontratante
Contrima GmbH, representada pelo seu administrador, o Sr. Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(doravante «CONTRIMA»)
e
o responsável pelo tratamento
{photographer_name}
{photographer_address}
{photographer_email}
(doravante «Tu»)
Preâmbulo
A CONTRIMA presta-te serviços relativos ao fornecimento de uma infraestrutura para a transmissão de fotografias às pessoas retratadas, bem como para a gestão de contratos de licença de imagens (doravante designado por «Contrato Principal»). Parte da execução do Contrato Principal consiste no tratamento de dados pessoais das pessoas retratadas, que o(a) remete à CONTRIMA. Para cumprir os requisitos do RGPD relativos a tais situações, o(a) responsável, na aceção da legislação em matéria de proteção de dados, celebra com a CONTRIMA o seguinte contrato de subcontratação do tratamento de dados.
1. Objeto/Âmbito da prestação de serviços
1.1 A colaboração entre as partes, nos termos do Contrato Principal, implica que a CONTRIMA tenha acesso aos dados pessoais (doravante designados «Dados de Subcontratação») e que os trate exclusivamente em seu nome e de acordo com as suas instruções, na aceção do artigo 4.º, n.º 8, e do artigo 28.º do RGPD.
1.2 O tratamento pode abranger os seguintes dados de subcontratação:
| Pessoas em causa (categorias) | Tipo de dados |
|---|---|
| Pessoas retratadas |
|
| Titulares da autoridade parental das pessoas retratadas |
|
| Pessoas de contacto das autoridades (por exemplo, autoridades fiscais) |
|
1.3 A natureza e o âmbito do tratamento dos dados do pedido dependem das finalidades do contrato principal e limitam-se a estas. A duração do tratamento corresponde à vigência do contrato principal.
1.4 É proibido à CONTRIMA efetuar um tratamento dos dados do contrato que se desvie ou exceda as disposições do Anexo 1, bem como do ponto 1.2. O mesmo se aplica à utilização de dados anonimizados.
1.5 O tratamento dos dados do contrato realiza-se exclusivamente no território da República Federal da Alemanha, num Estado-Membro da União Europeia ou noutro Estado signatário do Acordo sobre o Espaço Económico Europeu. Qualquer transferência para um país terceiro requer o consentimento prévio por escrito do cliente e só pode ocorrer se estiverem preenchidos os requisitos específicos dos artigos 44.º a 49.º do RGPD.
1.6 As disposições do presente contrato aplicam-se a todas as atividades relacionadas com o contrato principal e nas quais a CONTRIMA e os seus colaboradores, ou pessoas por ela mandatadas, tenham contacto com dados pessoais que provenham de ti ou que tenham sido recolhidos para ti.
2. O teu poder de instrução
2.1 A CONTRIMA trata os dados do contrato apenas no âmbito da prestação de serviços e exclusivamente em seu nome e de acordo com as suas instruções, na aceção do artigo 28.º do RGPD (subcontratação), o que se aplica, em particular, à transferência de dados pessoais para um país terceiro. Tens o direito exclusivo de dar instruções sobre a natureza, o âmbito e o método das atividades de tratamento (doravante também designado por «direito de dar instruções»). Caso a CONTRIMA seja obrigada a efetuar tratamentos adicionais ao abrigo da legislação da União Europeia ou dos Estados-Membros a que está sujeita, a CONTRIMA informá-lo-á sobre esses requisitos legais antes do tratamento.
2.2 As instruções à CONTRIMA devem, em princípio, ser dadas por si por escrito (endereço de e-mail: info@contrima.com).
2.3 Caso a CONTRIMA considere que uma das suas instruções viola as disposições em matéria de proteção de dados, a CONTRIMA deve informá-lo imediatamente. A CONTRIMA tem o direito de suspender a execução da instrução em questão até que esta seja confirmada ou alterada pelo cliente.
3. Medidas de proteção da CONTRIMA
3.1 A CONTRIMA é obrigada a respeitar as disposições legais em matéria de proteção de dados e a não transmitir a terceiros as informações obtidas de si, nem a permitir o acesso de terceiros às mesmas. Os dados devem ser protegidos contra o acesso por pessoas não autorizadas, tendo em conta o estado da técnica.
3.2 Além disso, a CONTRIMA obrigará por escrito todas as pessoas a quem a CONTRIMA confiar o tratamento e a execução do presente contrato (doravante denominadas «colaboradores») a respeitar a confidencialidade (Obrigação de confidencialidade, art. 28.º, n.º 3, alínea b) do RGPD) e assegurará o cumprimento desta obrigação com o devido cuidado. A CONTRIMA fornecer-lhe-á provas disso, mediante pedido.
3.3 A CONTRIMA organizará a sua estrutura interna de forma a satisfazer os requisitos específicos da proteção de dados. A CONTRIMA compromete-se a adotar todas as medidas técnicas e organizacionais adequadas para a proteção adequada dos dados do contrato, nos termos do artigo 32.º do RGPD, em especial as medidas enumeradas no Anexo 1 do presente contrato, e a mantê-las em vigor durante todo o período de tratamento dos dados do contrato.
3.4 A CONTRIMA reserva-se o direito de alterar as medidas técnicas e organizacionais adotadas, garantindo, no entanto, que o nível de proteção acordado contratualmente não seja inferior ao previsto. A CONTRIMA deve informá-lo imediatamente por escrito caso haja motivos para supor que as medidas previstas no Anexo 1 já não sejam suficientes e coordenará consigo a adoção de medidas técnicas e organizacionais adicionais.
3.5 A seu pedido, a CONTRIMA comprovará o cumprimento das medidas técnicas e organizacionais definidas no Anexo 1 através de provas adequadas.
4. Obrigações de informação e apoio
4.1 Em caso de perturbações, suspeita de violações da proteção de dados ou de incumprimento das obrigações contratuais da CONTRIMA, suspeita de incidentes relevantes para a segurança ou outras irregularidades no tratamento dos dados do contrato, quer pela CONTRIMA no âmbito do contrato, quer por pessoas ao seu serviço ou por terceiros, a CONTRIMA informá-lo-á imediatamente, o mais tardar no prazo de 24 horas, por escrito ou por via eletrónica. O mesmo se aplica a auditorias realizadas à CONTRIMA pela autoridade de controlo de proteção de dados. As notificações nos termos do § 4, n.º 1, frase 1, devem conter, em cada caso, pelo menos as informações referidas no artigo 33.º, n.º 3, do RGPD.
4.2 No caso previsto no § 4.1, a CONTRIMA prestará apoio, na medida do razoável, no cumprimento das suas medidas de esclarecimento, correção e informação a este respeito. A CONTRIMA tomará, em particular, sem demora, as medidas necessárias para proteger os dados e minimizar possíveis consequências prejudiciais para os titulares dos dados, informando-o sobre as mesmas.
4.3 A CONTRIMA compromete-se a disponibilizar-lhe, mediante pedido oral ou escrito, num prazo razoável, todas as informações e comprovativos necessários para a realização de uma verificação nos termos do § 7.1 do presente contrato. Além disso, a CONTRIMA disponibilizar-lhe-á, a seu pedido, um conceito abrangente e atualizado de proteção de dados e segurança para o tratamento por conta de terceiros, bem como informações sobre as pessoas com direito de acesso.
5. Outras obrigações da CONTRIMA
5.1 A CONTRIMA está obrigada a manter um registo de todas as categorias de atividades de tratamento realizadas por sua conta, nos termos do artigo 30.º, n.º 2, do RGPD. O registo deve ser-lhe disponibilizado mediante pedido.
5.2 Caso os dados do contrato na CONTRIMA fiquem em risco devido a penhora ou apreensão, a um processo de insolvência ou de conciliação, ou a outros eventos ou medidas de terceiros, a CONTRIMA deve informá-lo imediatamente, desde que tal não seja proibido por ordem judicial ou administrativa. Neste contexto, a CONTRIMA informará imediatamente todas as entidades competentes de que a autoridade decisória sobre os dados cabe exclusivamente ao cliente, na qualidade de «responsável pelo tratamento» na aceção do RGPD.
6. Relações com subcontratantes
6.1 Os serviços acordados contratualmente serão prestados com o recurso aos subcontratantes mencionados no Anexo 2. A CONTRIMA está autorizada, no âmbito das suas obrigações contratuais, a estabelecer relações de subcontratação com subcontratantes («relação de subcontratação»). Antes de estabelecer novas relações de subcontratação, a CONTRIMA informará o utilizador por escrito ou por via eletrónica, nos termos do artigo 28.º, n.º 2, do RGPD, com um prazo de quatro semanas. O utilizador pode opor-se à alteração no prazo de duas semanas após a receção da comunicação acima referida.
6.2 Não se considera existente uma relação de subcontratação, na aceção das presentes disposições, quando a CONTRIMA contratar terceiros para a prestação de serviços que sejam considerados meros serviços acessórios. Isso inclui, por exemplo, serviços postais ou de telecomunicações sem ligação concreta aos serviços que a CONTRIMA presta para si, bem como outras medidas destinadas a garantir a confidencialidade, a disponibilidade, a integridade e a resiliência do hardware e do software dos equipamentos de tratamento de dados.
7. Direitos de controlo
7.1 Tem o direito de verificar regularmente o cumprimento das disposições do presente contrato, em especial a implementação e o cumprimento das medidas técnicas e organizacionais previstas no § 3.3 do presente acordo. Para o efeito, pode, por exemplo, solicitar informações, pedir que lhe sejam apresentadas certificações ou auditorias internas, ou verificar pessoalmente, ou através de um terceiro competente, as medidas técnicas e organizacionais da CONTRIMA durante o horário normal de expediente, desde que este terceiro não se encontre numa relação de concorrência com a CONTRIMA.
7.2 Realizarás as verificações apenas na medida do necessário e terás devidamente em conta os processos operacionais da CONTRIMA. As partes acordarão atempadamente a data e a forma da verificação.
7.3 Deverás documentar o resultado da verificação e comunicá-lo à CONTRIMA. Em caso de erros ou irregularidades que detetes, nomeadamente durante a verificação dos resultados dos trabalhos, deverás informar a CONTRIMA imediatamente.
8. Direitos dos titulares de dados
8.1 A CONTRIMA apoiará o(a) titular, na medida do possível, com medidas técnicas e organizacionais adequadas no cumprimento das suas obrigações nos termos dos artigos 12.º a 22.º e 32.º a 36.º do RGPD. A CONTRIMA fornecer-lhe-á imediatamente, o mais tardar no prazo de 7 dias úteis, as informações solicitadas sobre os dados do contrato, caso não disponha você próprio das informações em questão.
8.2 Caso o titular dos dados exerça os seus direitos nos termos dos artigos 16.º a 18.º do RGPD, a CONTRIMA é obrigada, mediante as tuas instruções, a retificar, apagar ou restringir os dados do contrato imediatamente, o mais tardar no prazo de 7 dias úteis. A CONTRIMA fornecer-te-á, mediante pedido, prova por escrito da eliminação, retificação ou limitação dos dados.
8.3 Caso um titular de dados exerça diretamente junto da CONTRIMA os seus direitos, tais como o direito de acesso, retificação ou apagamento dos seus dados, a CONTRIMA encaminhará imediatamente esse pedido para si e aguardará as suas instruções. Sem instruções específicas, a CONTRIMA não entrará em contacto com o titular de dados.
9. Duração e rescisão
9.1 A vigência do presente contrato corresponde à vigência do contrato principal. Em caso de dúvida, a rescisão do contrato principal é considerada também como rescisão do presente contrato e a rescisão do presente contrato é considerada como rescisão do contrato principal.
9.2 Tens o direito de rescindir extraordinariamente o presente contrato a qualquer momento por motivo grave. Considera-se motivo grave o incumprimento por parte da CONTRIMA das suas obrigações decorrentes do presente contrato, a violação das disposições do RGPD de forma dolosa ou por negligência grave, ou a impossibilidade ou recusa em cumprir uma instrução. No caso de infrações simples — ou seja, que não sejam dolosas nem resultantes de negligência grave —, deve primeiro conceder à CONTRIMA um prazo razoável, dentro do qual a CONTRIMA possa sanar a infração. Após o termo infrutífero desse prazo, tem então o direito à rescisão extraordinária.
10. Eliminação e devolução após o termo do contrato
10.1 Após a cessação do contrato principal ou a qualquer momento, mediante pedido, a CONTRIMA devolver-te-á todos os dados que lhe tenham sido cedidos ou, se assim o desejares, desde que não exista um prazo legal de conservação, procederá à sua eliminação completa e irrevogável. Isto aplica-se igualmente às cópias dos dados do pedido na posse da CONTRIMA, tais como cópias de segurança, mas não à documentação que sirva para comprovar o tratamento dos dados do pedido em conformidade com o contrato e de forma adequada. Essa documentação deve ser conservada pela CONTRIMA durante os prazos legais de conservação.
10.2 Tens o direito de verificar, de forma adequada, a devolução ou eliminação completa e em conformidade com o contrato dos dados na CONTRIMA.
10.3 A CONTRIMA é obrigada a tratar de forma confidencial os dados de que tenha tomado conhecimento no âmbito do contrato principal, mesmo após o termo deste.
11. Responsabilidade
11.1 A responsabilidade das partes rege-se pelo artigo 82.º do RGPD. Fica inalterada a responsabilidade da CONTRIMA perante si por violação de obrigações decorrentes do presente contrato ou do contrato principal.
11.2 As partes isentam-se mutuamente de responsabilidade se uma das partes comprovar que não é, de forma alguma, responsável pela circunstância que causou o dano a um titular de dados. O § 11, n.º 2, 1.ª frase, aplica-se mutatis mutandis no caso de uma coima imposta a uma das partes, sendo que a isenção de responsabilidade se aplica na medida em que a outra parte tenha uma quota-parte de responsabilidade pela infração sancionada pela coima.
12. Disposições finais
12.1 As alterações e aditamentos ao presente acordo devem ser efetuados por escrito, nos termos do artigo 28.º, n.º 9, do RGPD. O mesmo se aplica à renúncia a este requisito de forma.
12.2 Em caso de dúvida, as disposições do presente contrato prevalecem sobre as disposições do contrato principal. Caso determinadas disposições do presente acordo se revelem, no todo ou em parte, nulas ou inexequíveis, ou se tornem nulas ou inexequíveis na sequência de alterações legislativas ocorridas após a celebração do contrato, tal não afetará a validade das restantes disposições. A disposição inválida ou inexequível será substituída por uma disposição válida e exequível que se aproxime, tanto quanto possível, do sentido e da finalidade da disposição nula.
12.3 O presente contrato está sujeito à legislação da República Federal da Alemanha. A CONTRIMA disponibiliza as presentes condições em várias versões linguísticas para facilitar a compreensão. Em caso de discrepâncias, prevalece a versão em inglês do presente contrato de tratamento de dados por conta de terceiros.
Anexo 1: Medidas técnicas e organizacionais
1. Medidas de segurança técnicas e organizacionais
A CONTRIMA é obrigada a implementar medidas técnicas e organizacionais adequadas, de modo a que o tratamento dos dados por conta de terceiros seja efetuado em conformidade com os requisitos legais e a que a proteção dos direitos da pessoa em causa seja garantida de forma adequada.
2. Organização interna
A CONTRIMA organizará a sua estrutura interna de forma a satisfazer os requisitos específicos da proteção de dados. Para o efeito, devem ser tomadas, em particular, medidas adequadas ao tipo de dados ou categorias de dados a proteger.
3. Concretização das medidas específicas
Mais especificamente, são definidas as seguintes medidas, que visam a aplicação das disposições do artigo 32.º do RGPD:
| N.º | Medida | Aplicação da medida |
|---|---|---|
| 1 | Controlo de acesso | O tratamento de dados produtivo ocorre exclusivamente na nuvem da AWS; as instalações físicas de tratamento de dados são protegidas pela AWS (ver AVV e certificações da AWS). A gestão é efetuada a partir de um posto de trabalho com acesso restrito, situado em salas fecháveis, não acessíveis ao público e protegidas por uma firewall. Não há acesso do público nem salas de servidores próprias. |
| 2 | Controlo de acesso | O acesso ao sistema só é possível através de início de sessão pessoal com nome de utilizador e palavra-passe. Os acessos de administração e à AWS estão protegidos por palavras-passe fortes e autenticação de dois fatores. Os terminais estão protegidos por início de sessão no sistema operativo, firewall e encriptação do disco rígido. |
| 3 | Controlo de acesso | Conceito de funções e autorizações na aplicação com verificação centralizada de autorizações, verificação do lado do servidor em todos os terminais que alteram dados, proteção contra CSRF, bem como acessos à base de dados exclusivamente parametrizados. Ao nível da infraestrutura, número mínimo de administradores (operação com uma única pessoa) e atribuição de direitos de acordo com o princípio do privilégio mínimo. |
| 4 | Controlo de separação | Separação lógica, compatível com múltiplos clientes, de todos os dados por fotógrafo através de uma atribuição única de propriedade; ambiente produtivo separado. Uma separação lógica é suficiente. |
| 5 | Pseudonimização / Minimização de dados | Acesso de pessoas externas através de tokens aleatórios e não adivinháveis (ligação permanente). Apenas são recolhidos os dados necessários para a finalidade em questão (essencialmente o endereço de e-mail); as notas de identificação são deliberadamente breves e neutras. |
| 6 | Controlo da transmissão | Transmissão exclusivamente através de ligações encriptadas (TLS/HTTPS). Armazenamento dos dados de imagens e contratuais num armazenamento de objetos encriptado (encriptação do lado do servidor S3). Transmissão a subcontratantes apenas na medida do necessário, com base no Acordo de Tratamento de Dados (AVV) ou nas Cláusulas Contratuais Padrão da UE. |
| 7 | Controlo de introdução de dados | Registo de operações relevantes para efeitos de comprovação ao nível da aplicação, nomeadamente aceitações de acordos e consentimentos com carimbo temporal, endereço IP, informações do dispositivo e hash da versão, bem como eventos de pagamento. Devido ao funcionamento por uma única pessoa, cada introdução, alteração e eliminação é atribuível a uma única pessoa responsável. |
| 8 | Disponibilidade e resiliência | Base de dados redundante em várias zonas ou regiões da AWS dentro da UE ou do EEE; instantâneos automatizados da base de dados como cópia de segurança; Cópias de segurança do código e do servidor, bem como uma imagem de servidor (AMI) mantida em reserva para uma recuperação rápida; sistema de cópia de segurança local adicional; plano de emergência e de reinício documentado. |
| 9 | Gestão da proteção de dados | O responsável é o diretor executivo da CONTRIMA GmbH. Não foi nomeado qualquer responsável pela proteção de dados, uma vez que não existe qualquer obrigação legal de nomeação. Cumprimento das obrigações de informação nos termos do artigo 13.º do RGPD no processo de ativação, processo existente para o tratamento de pedidos dos titulares de dados, bem como registo mantido das atividades de tratamento nos termos do artigo 30.º do RGPD. |
| 10 | Gestão da resposta a incidentes | Firewall com atualizações regulares; processo documentado para a deteção e notificação de violações de proteção de dados nos termos dos artigos 33.º e 34.º do RGPD, incluindo a informação imediata do cliente. |
| 11 | Predefinições favoráveis à proteção de dados | Privacidade por predefinição: não recolha de dados para além do necessário, pré-visualizações de imagens apenas com marca d'água e disponibilização dos originais apenas após a concessão de autorização, bem como exercício simples do direito de revogação através da interface. |
| 12 | Controlo dos contratos (subcontratantes) | Seleção cuidadosa; celebração de acordos de tratamento de dados ou cláusulas contratuais-tipo da UE (Módulo 3) com todos os subcontratantes, com garantias adequadas no caso de países terceiros; informação do cliente antes da contratação ou substituição; garantia da eliminação dos dados após o término do contrato. Atualmente utilizados: Stripe (processamento de pagamentos), Amazon Web Services (alojamento/armazenamento), DeepL (tradução de textos publicitários). |
Anexo 2: Subcontratantes designados
Subcontratantes incluídos nos termos do ponto 6.1 do acordo, cuja utilização o utilizador aceita:
| Subcontratante (nome, endereço ou sede) |
Objeto do serviço no âmbito do tratamento de dados por conta de terceiros |
|---|---|
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock , Dublin, D02 H210, Irlanda («Stripe») |
Processamento de pagamentos; em caso de venda, dados de pagamento, de identidade e de transação do comprador (ver também o ponto 6. de Política de Privacidade) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburgo («AWS») |
Alojamento web e de bases de dados; armazenamento e tratamento dos dados de imagens (originais, variantes, arquivo, exportações), incluindo metadados EXIF. Serviços de e-mail (ver também o ponto 6 de Política de Privacidade) |
| DeepL SE , Maarweg 165 , 50825 Colónia («DeepL») |
Se for o caso, tradução da nota de reconhecimento e, se for o caso, do nome da coleção para a língua do link permanente. (ver também o ponto 6 de Política de Privacidade) |
Versão 2 · 26/07/2026
Data Processing Agreement between CONTRIMA and the Photographer
Between
the data processor
Contrima GmbH, represented by its managing director Mr Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(hereinafter ‘CONTRIMA’)
and
the Data Controller
{photographer_name}
{photographer_address}
{photographer_email}
(hereinafter “you”)
Preamble
CONTRIMA provides services to you for the provision of an infrastructure for the transmission of photographs to the persons depicted therein, as well as for the management of image licence agreements (hereinafter: “Main Contract”). Part of the performance of the Main Contract involves the processing of personal data relating to the persons depicted, which you transmit to CONTRIMA. In order to comply with the requirements of the GDPR in such circumstances, you, as the data controller within the meaning of data protection law, enter into the following data processing agreement with CONTRIMA.
1. Subject matter/scope of the engagement
1.1 The cooperation between the parties in accordance with the Main Contract entails that CONTRIMA will have access to personal data provided by you (hereinafter ‘Processed Data’) and that it processes this data exclusively on your behalf and in accordance with your instructions within the meaning of Article 4(8) and Article 28 of the GDPR.
1.2 The following data subject categories may be affected by the processing:
| Data subjects (categories) | Type of data |
|---|---|
| Persons depicted |
|
| Legal guardians of the persons depicted |
|
| Contact persons at public authorities (e.g. tax authorities) |
|
1.3 The nature and scope of the processing of order data are determined by the purposes of the main contract and are limited to these. The duration of the processing corresponds to the term of the main contract.
1.4 CONTRIMA is prohibited from processing contract data in any manner that deviates from or goes beyond the provisions set out in Annex 1 and clause 1.2. This also applies to the use of anonymised data.
1.5 The processing of order data shall take place exclusively within the territory of the Federal Republic of Germany, in a Member State of the European Union or in another State party to the Agreement on the European Economic Area. Any transfer to a third country requires the prior written consent of the client and may only take place if the specific conditions set out in Articles 44 to 49 of the GDPR are met.
1.6 The provisions of this contract apply to all activities related to the main contract in which CONTRIMA and its employees or persons commissioned by CONTRIMA come into contact with personal data originating from you or collected on your behalf.
2. Your authority to issue instructions
2.1 CONTRIMA shall process the contract data only within the scope of the contract and exclusively on your behalf and in accordance with your instructions within the meaning of Article 28 of the GDPR (processing on behalf of a controller); this applies in particular to the transfer of personal data to a third country. You have the sole right to issue instructions regarding the nature, scope and method of the processing activities (hereinafter also referred to as the ‘right to issue instructions’). If CONTRIMA is obliged to carry out further processing under the law of the European Union or the Member States to which it is subject, CONTRIMA shall inform you of these legal requirements prior to processing.
2.2 Instructions to CONTRIMA must, as a general rule, be given by you in writing (email address: info@contrima.com).
2.3 If CONTRIMA considers that one of your instructions contravenes data protection regulations, CONTRIMA must inform you of this without delay. CONTRIMA is entitled to suspend the implementation of the instruction in question until it is confirmed or amended by the client.
3. CONTRIMA’s protective measures
3.1 CONTRIMA is obliged to comply with the statutory provisions on data protection and not to disclose the information obtained from you to third parties or to prevent them from accessing it. Data must be secured against unauthorised access, taking into account the state of the art.
3.2 Furthermore, CONTRIMA shall require all persons entrusted by CONTRIMA with the processing and performance of this contract (hereinafter referred to as ‘employees’) to undertake in writing to maintain confidentiality (Obligation of confidentiality, Article 28(3)(b) of the GDPR) and shall ensure compliance with this obligation with due care. CONTRIMA shall provide you with evidence of this upon request.
3.3 CONTRIMA shall organise its internal operations in such a way as to meet the specific requirements of data protection. CONTRIMA undertakes to implement all appropriate technical and organisational measures to ensure the adequate protection of the commissioned data in accordance with Article 32 of the GDPR, in particular the measures set out in Annex 1 to this contract, and to maintain these for the duration of the processing of the commissioned data.
3.4 CONTRIMA reserves the right to amend the technical and organisational measures put in place, whilst ensuring that the level of protection agreed in the contract is not compromised. CONTRIMA must inform you in writing without delay if there is reason to believe that the measures set out in Annex 1 are no longer sufficient, and will consult with you regarding further technical and organisational measures.
3.5 At your request, CONTRIMA shall demonstrate compliance with the technical and organisational measures set out in Annex 1 by providing appropriate evidence.
4. Obligations to provide information and support
4.1 In the event of disruptions, suspected data breaches or breaches of CONTRIMA’s contractual obligations, suspected security incidents or other irregularities in the processing of the contract data, whether by persons employed by CONTRIMA in the context of the contract or by third parties, CONTRIMA shall inform you without delay, but at the latest within 24 hours, in writing or by electronic means. The same applies to inspections of CONTRIMA by the data protection supervisory authority. Notifications pursuant to Section 4(1), first sentence, shall in each case contain at least the information specified in Article 33(3) of the GDPR.
4.2 In the event referred to in Section 4.1, CONTRIMA shall assist you, to the extent reasonably practicable, in fulfilling its relevant obligations to provide information, take remedial action and keep you informed. In particular, CONTRIMA shall immediately implement the necessary measures to secure the data and to mitigate any potential adverse consequences for the data subjects, and shall inform you accordingly.
4.3 CONTRIMA undertakes to provide you, upon your verbal or written request and within a reasonable period, with all information and evidence necessary to carry out an audit in accordance with § 7.1 of this contract. Furthermore, at your request, CONTRIMA will provide you with a comprehensive and up-to-date data protection and security policy for the processing of personal data, as well as a list of authorised access holders.
5. Other obligations of CONTRIMA
5.1 CONTRIMA is obliged to maintain a record of all categories of processing activities carried out on your behalf in accordance with Article 30(2) of the GDPR. This record must be made available to you upon request.
5.2 Should the data processed on your behalf at CONTRIMA be at risk due to attachment or seizure, insolvency or composition proceedings, or other events or measures taken by third parties, CONTRIMA must inform you of this without delay, provided this is not prohibited by a court or official order. In this context, CONTRIMA shall immediately inform all relevant authorities that decision-making authority over the data lies exclusively with the client as the ‘controller’ within the meaning of the GDPR.
6. Subcontracting
6.1 The contractually agreed services shall be performed with the involvement of the subcontractors listed in Annex 2. CONTRIMA is authorised, within the scope of its contractual obligations, to enter into subcontracting relationships with subcontractors (‘subcontracting relationship’). Before entering into any further subcontracting relationships, CONTRIMA shall inform you in writing or by electronic means in accordance with Article 28(2) of the GDPR, giving four weeks’ notice. You may object to the change within two weeks of receiving the aforementioned notification.
6.2 A subcontracting relationship within the meaning of these provisions does not exist if CONTRIMA commissions third parties to provide services that are to be regarded as purely ancillary services. These include, for example, postal or telecommunications services with no specific connection to the services CONTRIMA provides for you, as well as other measures to ensure the confidentiality, availability, integrity and resilience of the hardware and software of data processing systems.
7. Rights of inspection
7.1 You are entitled to verify, on a regular basis, compliance with the provisions of this contract, in particular the implementation of and compliance with the technical and organisational measures set out in clause 3.3 of this agreement. To this end, you may, for example, request information, ask to be provided with certifications or internal audit reports, or have CONTRIMA’s technical and organisational measures inspected yourself during normal business hours or by a competent third party, provided that such third party is not in competition with CONTRIMA.
7.2 You shall carry out inspections only to the extent necessary and shall take due account of CONTRIMA’s operational processes. The parties shall agree in good time on the timing and nature of the inspection.
7.3 You shall document the results of the audit and notify CONTRIMA thereof. In the event of errors or irregularities which you identify, in particular when auditing the results of orders, you shall inform CONTRIMA without delay.
8. Rights of data subjects
8.1 CONTRIMA shall, where possible, support you with appropriate technical and organisational measures in fulfilling your obligations under Articles 12 to 22 and Articles 32 to 36 of the GDPR. CONTRIMA shall provide you with the requested information regarding processing data without delay, but no later than within 7 working days, unless you already have the relevant information yourself.
8.2 If a data subject exercises their rights under Articles 16 to 18 of the GDPR, CONTRIMA is obliged, on your instructions, to rectify, erase or restrict the processing of the data without undue delay, and at the latest within 7 working days. CONTRIMA will provide you with written confirmation of the erasure, rectification or restriction of the data upon request.
8.3 If a data subject exercises rights – such as the right to access, rectification or erasure of their data – directly against CONTRIMA, CONTRIMA shall forward this request to you without delay and await your instructions. CONTRIMA shall not contact the data subject without specific instructions to do so.
9. Term and Termination
9.1 The term of this contract corresponds to the term of the main contract. In case of doubt, termination of the main contract shall also be deemed to be termination of this contract, and termination of this contract shall be deemed to be termination of the main contract.
9.2 You are entitled at any time to terminate this contract extraordinarily for good cause. Good cause shall be deemed to exist if CONTRIMA fails to fulfil its obligations under this contract, breaches provisions of the GDPR intentionally or through gross negligence, or is unable or unwilling to carry out an instruction. In the case of minor breaches – i.e. those that are neither intentional nor due to gross negligence – you shall first set CONTRIMA a reasonable period within which CONTRIMA may remedy the breach. Once this period has expired without result, you shall then be entitled to terminate this contract without notice.
10. Deletion and Return upon Termination of the Contract
10.1 Upon termination of the main contract or at any time upon request, CONTRIMA shall return to you all data provided to CONTRIMA or, upon request, delete it completely and irrevocably, provided that no statutory retention period applies. This also applies to copies of the order data held by CONTRIMA, such as data backups, but not to documentation serving as evidence of the proper and compliant processing of the order data. Such documentation must be retained by CONTRIMA for the duration of the statutory retention periods.
10.2 You have the right to verify, in an appropriate manner, that the data has been returned or deleted by CONTRIMA in full and in accordance with the contract.
10.3 CONTRIMA is obliged to treat as confidential any data that has come to its knowledge in connection with the main contract, even after the main contract has ended.
11. Liability
11.1 The liability of the parties is governed by Article 82 of the GDPR. This does not affect CONTRIMA’s liability towards you for any breach of obligations arising from this contract or the main contract.
11.2 Each party shall be exempt from liability if it proves that it is in no way responsible for the circumstance that caused the damage to a data subject. Section 11(2), first sentence, shall apply mutatis mutandis in the event of a fine being imposed on a party, whereby the indemnification shall apply to the extent that the other party bears a share of the responsibility for the infringement sanctioned by the fine.
12. Final Provisions
12.1 Any amendments or additions to this agreement must be made in writing in accordance with Article 28(9) of the GDPR. This also applies to any waiver of this formal requirement.
12.2 In the event of any doubt, the provisions of this Agreement shall take precedence over those of the main contract. Should any individual provisions of this Agreement prove to be wholly or partially invalid or unenforceable, or should they become invalid or unenforceable as a result of legislative changes following the conclusion of the Agreement, this shall not affect the validity of the remaining provisions. The invalid or unenforceable provision shall be replaced by a valid and enforceable provision that comes as close as possible to the meaning and purpose of the invalid provision.
12.3 This contract is governed by the law of the Federal Republic of Germany. CONTRIMA provides these terms and conditions in a variety of language versions for the sake of clarity. In the event of any discrepancies, the English version of this Data Processing Agreement shall prevail.
Appendix 1: Technical and organisational measures
1. Technical and Organisational Security Measures
CONTRIMA is obliged to implement appropriate technical and organisational measures to ensure that the processing of the commissioned data is carried out in accordance with the statutory requirements and that the rights of the data subject are adequately safeguarded.
2. Internal Organisation
CONTRIMA shall structure its internal organisation in such a way as to meet the specific requirements of data protection. In particular, measures must be taken that are appropriate to the nature of the data or categories of data to be protected.
3. Specification of individual measures
Specifically, the following measures are set out to implement the requirements of Article 32 of the GDPR:
| No. | Measure | Implementation of the measure |
|---|---|---|
| 1 | Access control | Productive data processing takes place exclusively in the AWS cloud; the physical data processing facilities there are secured by AWS (see AWS Terms of Service and certifications). Administration is carried out from an access-controlled workstation in lockable, non-publicly accessible rooms behind a firewall. There is no public access and no dedicated server rooms. |
| 2 | Access Control | System access is granted only via personal login with a username and password. Administrative and AWS accesses are protected by strong passwords and two-factor authentication. End devices are secured by operating system login, a firewall and disk encryption. |
| 3 | Access control | Role- and authorisation-based concept within the application, featuring centralised authorisation checks, server-side validation on all endpoints that modify data, protection against CSRF, and exclusively parameterised database access. At the infrastructure level, a minimum number of administrators (single-person operation) and the granting of rights in accordance with the principle of least privilege. |
| 4 | Segregation of duties | Multi-tenant logical separation of all data for each photographer via a unique owner assignment; separate production environment. Logical separation is sufficient. |
| 5 | Pseudonymisation / Data minimisation | Access for external parties via random, non-guessable tokens (permanent link). Only the data necessary for the respective purpose is collected (essentially the email address); identifying notes are deliberately kept brief and neutral. |
| 6 | Control of data disclosure | Transmission takes place exclusively via encrypted connections (TLS/HTTPS). Image and contract data are stored on encrypted object storage (S3 Server-Side Encryption). Data is transferred to subcontractors only to the extent necessary, on the basis of the Data Processing Agreement (DPA) or EU Standard Contractual Clauses. |
| 7 | Input control | Logging of audit-relevant operations at application level, in particular the acceptance of agreements and consents, including timestamps, IP addresses, device information and version hashes, as well as payment events. As the service is operated by a single person, every entry, modification and deletion can be traced back to a single individual. |
| 8 | Availability and Resilience | Database redundancy across multiple AWS zones or regions within the EU or the EEA; automated database snapshots as backups; code and server backups, as well as a pre-configured server image (AMI) for rapid recovery; additional local backup system; documented emergency and recovery plan. |
| 9 | Data Protection Management | The Managing Director of CONTRIMA GmbH is responsible. No data protection officer has been appointed, as there is no legal obligation to do so. Compliance with the information obligations under Article 13 of the GDPR during the activation process; an existing process for handling data subjects’ enquiries; and a register of processing activities maintained in accordance with Article 30 of the GDPR. |
| 10 | Incident Response Management | Firewall updated regularly; documented process for detecting and reporting data breaches in accordance with Articles 33 and 34 of the GDPR, including the immediate notification of the client. |
| 11 | Privacy-friendly default settings | Privacy by default: no data collected beyond what is necessary; image previews only with watermarks; original files provided only after authorisation has been granted; and the right to withdraw consent can be exercised easily via the user interface. |
| 12 | Contract management (sub-processors) | Careful selection; conclusion of data processing agreements or EU Standard Contractual Clauses (Module 3) with all sub-processors, with appropriate safeguards where third countries are involved; notification of the client prior to engaging or replacing sub-processors; ensuring data erasure upon termination of the contract. Currently used: Stripe (payment processing), Amazon Web Services (hosting/storage), DeepL (translation of advert copy). |
Appendix 2: Appointed Sub-processors
Sub-processors included under clause 6.1 of the agreement, to the use of whom you consent:
| Subcontractor (name, address or registered office) |
Scope of services within the framework of data processing |
|---|---|
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock , Dublin, D02 H210, Ireland (“Stripe”) |
Payment processing; in the event of a sale, the purchaser’s payment, identity and transaction data (see also clause 6 of Privacy Policy) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg (“AWS”) |
Web and database hosting ; storage and processing of image data (originals, variants, archive, exports), including EXIF metadata. Email services (see also section 6 of Privacy Policy) |
| DeepL SE , Maarweg 165 , 50825 Cologne (“DeepL”) |
Where applicable, translation of the recognition note and, where applicable, the collection name into the language of the permanent link (see also 6. from Privacy Policy) |