AI-00323-2022

1/16  Expediente N.º: EXP202206577 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: En fecha 26 de mayo de 2022, se presentó reclamación con número de registro de entrada REGAGE22e00020731504 y REGAGE22e00021269853, ante la Agencia Española de Protección de Datos, contra PRIMAVERA SOUND, S.L. con NIF B61978987 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el Festival de música Primavera Sound, a celebrar del 2 al 12 de junio de 2022, estableció para el registro de asistentes, un sistema de registro a través de una aplicación “AccessTicket”, que obligaba a aportar el Documento Nacional de Identidad o Pasaporte, a pesar de que cuando se vendieron dichas localidades el proceso de ingreso que se auguraba era el normal y típico para los festivales de música y existente en ediciones anteriores. Considera que dicha aplicación y el proceso de ingreso vulnera la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, en cuanto a que las empresas no deben excederse en la recogida de aquellos datos personales que no sean los estrictamente necesarios para la actividad que realizan. Asimismo, indica que se intentaba coartar a los asistentes a hacer uso de la aplicación a través del ofrecimiento de regalos por lo que solicita que se dicte orden cautelar de suspensión de la citada aplicación en las siguientes tiendas: ***URL.1 ***URL.2 ***URL.3 ***URL.4 Y se aperciba a Primavera Sound, S.L. y a su delegado de Protección de Datos, UNIVER IURIS S.L. (***URL.5) para que cesen dichas prácticas. Junto a la reclamación aporta copia del correo electrónico recibido previamente a la celebración del festival, donde se indican los pasos para autenticarse en la aplicación AccessTicket y captura de pantalla de Twitter en la que se afirma que se accede al concierto con la aplicación móvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 14 de junio de 2022, como consta en el certificado que obra en el expediente. En fecha 12 de julio de 2022, se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que, en síntesis, manifiesta: -que el uso de la aplicación “AccessTicket” ha sido necesaria para, por una parte, verificar la identidad de los asistentes y, en particular, los asistentes menores de 18 años, a los efectos de impedir el acceso a la venta y consumo de bebidas alcohólicas por parte de éstos en el recinto y, por otra parte, restringir las posibilidades de que una misma entrada pueda ser utilizada por más de una persona, evitando la venta fraudulenta de entradas. - que, en todo momento, en el caso de no querer hacer uso de la aplicación AccessTicket, los asistentes tenían la posibilidad de acreditar su identidad de forma física. - que únicamente se ha hecho uso de aquellos datos personales que han sido imprescindibles, en atención al principio de minimización, regulado en el artículo 5 1.

1. c)del Reglamento (UE) 2016/ 679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, pues tal y como se indica en la política de privacidad de AccessTicket, Primavera Sound únicamente tiene acceso al nombre, apellido, fecha de nacimiento e imagen del portador de una entrada al festival, habiendo sido contractualmente trasladada esta obligación al correspondiente proveedor. Se aporta como Anexo 1, la política de privacidad de la aplicación AccessTicket. -que tal y como se indica en las distintas comunicaciones que se han facilitado al reclamante y, en particular, en los “FAQs” en los que se hace mención a la política de privacidad, así como en la política de privacidad que se incluye en la página web de Primavera Sound relativa a la aplicación “AccessTicket” se señala que, en el caso de que cualquier sujeto quiera ejercer alguno de los derechos que en materia de protección de datos le asisten, puede hacerlo enviando un correo electrónico a la dirección ***EMAIL.1. En tal caso, Primavera Sound procederá a atender el derecho que, en su caso, ejercite el interesado sin la menor dilación. - que en ningún caso el acceso al Festival Primavera Sound edición 2022 estaba supeditado a la descarga y uso de la aplicación AccessTicket. Es más, tal y como se indica en la propia documentación aportada por el reclamante, se establecía expresamente que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 “En el caso de que no desees validar la documentación a través de esta app NO se completará el proceso de registro y el asistente deberá hacerlo presencialmente en la zona de incidencias del Festival.” Asimismo, tal y como se indica en las FAQs, se plantea la siguiente cuestión: "¿Es necesario subir mi documento de identidad?” a lo que Primavera Sound responde: "Lo pedimos para evitar el proceso manual de comprobación de los documentos oficiales de identidad en el acceso al festival y evitar colas. AccessTicket realiza una verificación digital de identidad". Se aporta como Anexo 2, los FAQs, los cuales estaban disponibles tanto en lengua española como en inglés. -que la validación de la entrada para acceder al Festival podía realizarse tanto a través de la aplicación AccessTicket, como de forma física, a través de la validación manual de la entrada. Niega que en ningún momento se haya vulnerado la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales ni el RGPD derivado del uso de la aplicación AccessTicket, indicando que los datos recabados han sido tratados de forma lícita, real y transparente, limitando la finalidad y garantizando su integridad y confidencialidad. Y por último expone que en ningún caso se ha obligado o coaccionado en modo alguno a los asistentes a hacer uso de la aplicación AccessTicket a través del ofrecimiento de regalos. Primavera Sound entiende que el uso de AccessTicket no ha generado ninguna incidencia, al contrario, ha facilitado que el acceso por parte de los asistentes al festival Primavera Sound sea más cómodo y rápido, evitando colas y aglomeraciones como ha sucedido en anteriores ocasiones. TERCERO: En fecha 10 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 PRIMAVERA SOUND, S.L. con NIF B61978987 con domicilio en C/ ROC BORONAT 142, 3ª - 08018 BARCELONA (BARCELONA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN -.1.Revisada la documentación proporcionada por la parte reclamante y examinada la respuesta al traslado de PRIMAVERA, se percibe que: -. El reclamante adjunta el email que recibe: "Tu entrada a Primavera Sound 2022", con el siguiente texto: “Hola, Queda menos de un mes para Primavera Sound Barcelona - Sant Adrià 2022. Ya está aquí. ¿Estás preparado? ¿Sí? ¿Seguro? Te recordamos que sin la aplicación AccessTicket no será posible acceder al recinto del festival. Así que te recomendamos que no dejes este trámite para el último momento. Evita colas el día de tu llegada al festival descargándote la app hoy mismo. Es un proceso muy sencillo que solo te tomará un par de minutos. Debes leer atentamente los pasos que ahora te indicamos para registrar tu entrada. Acceder al festival SOLO es posible con la aplicación AccessTicket instalada en tu dispositivo y tu entrada debidamente activada en la app antes de llegar al festival. Para proceder con el registro de tu entrada deberás abrir este email con tu dispositivo móvil. Si quieres ceder tu entrada a otra persona, solo tienes que enviarle este email para que haga todo el proceso de registro. Si has recibido más de un email, significa que eres poseedor de más de una entrada. Por favor, envía estos emails a tus acompañantes para agilizar el proceso de registro en AccessTicket.” “Para verificar los datos, necesitamos una foto del documento oficial de identidad del asistente (DNI, pasaporte o cualquier otro documento análogo válido en tu país de origen). El registro del documento oficial de identidad permite comprobar la identidad y la edad de los asistentes antes del evento. AccessTicket solo captura los siguientes datos: nombre y apellidos, fecha de nacimiento y foto del documento oficial de identidad. La foto de la documentación registrada se fijará como imagen del perfil del asistente en AccessTicket y nos permitirá verificar visualmente, en los accesos del festival, que la foto del perfil en la aplicación y el asistente son la misma persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Todos los datos capturados de tu documento oficial de identidad se eliminarán dos semanas después del evento. En el caso de que no desees validar la documentación a través de esta app NO se completará el proceso de registro y el asistente deberá hacerlo presencialmente en la zona de incidencias del Festival.” (Nota: el subrayado ha sido incorporado por la Agencia) Por otro lado, a lo largo de su escrito como respuesta al traslado, PRIMAVERA indica que: 1.- En el caso de no querer hacer uso de la aplicación "AccessTicket" los asistentes tienen la posibilidad de acreditar su identidad de forma física. 2.- En ningún caso el acceso al festival está supeditado a la descarga y uso de la aplicación "AccessTicket". 3.- Las FAQ de la APP informan: *. Pág 11: "Recuerda que sólo podrás entrar al recinto con la aplicación instalada en tu dispositivo y tu entrada activada antes de llegar.". *. Pág 16: "Acceder al evento SOLO es posible con la aplicación AccessTicket instalada en tu dispositivo y con tu entrada debidamente activada antes de llegar al festival. ". *. Pág 16: "La verificación de la identidad digital es opcional, durante el proceso podrás optar a que el proceso se lleve a cabo a través de una persona. Una vez se verifique la identidad, el asistente podrá acceder al recinto y eliminaremos todos los datos contenidos en la aplicación dos semanas después del festival". 4.- La finalidad recogida en el apartado 3.
2. a)de la Política de privacidad de la App se ampara en la base de licitud del art. 6.1.
3. b)del RGPD: el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. 5.- Informan de que existe un encargado del tratamiento SUM AND SUBSTANCE LTD (en adelante SUM) que extrae los datos objeto de tratamiento y que borra automáticamente aquellos otros que no trata. “El resto de la información personal que pueda estar incluida en el documento de identificación subido y el escaneo del propio documento de identificación serán borrados automáticamente y no serán accesibles ni tratados por Primavera Sound” 6.- La categoría de datos personales que se tratan viene explicada en el apartado 7 de la Política de privacidad de la App PRIMAVERA “recoge tu dirección de correo electrónico (que facilitas al utilizar la APP) tu nombre y apellidos, fecha de nacimiento e imagen. Dichos datos se obtienen directamente del documento de identificación que subes a la APP”. 7.-Respecto a las medidas de seguridad que aplican al tratamiento se refieren a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 -. uso de bases de datos con acceso limitado bajo firewall con claves de alta seguridad y con permisos selectivos -. estándar de alta seguridad -. PRIMAVERA ha sido auditada -. servidores de alta seguridad con acceso encriptado -. uso de datos biométricos o claves de alta complejidad para acceder a los datos -.2.Según manifiesta la parte reclamante, al adquirir la entrada no se informó sobre la necesidad de descargar una app y aportar DNI. Con fecha 21 de octubre de 2022 se navega en la web ***URL.6 con el objeto de comprobar si se había avisado previamente de la obligatoriedad o no del uso de la aplicación "AccessTicket" en el momento de compra de las entradas, pero la información sobre el festival Primavera Sound Barcelona 2022 ya no se encuentra disponible. Se diligencia el resultado de la consulta realizada en las páginas web ***URL.7(Política de privacidad y Términos y condiciones de la aplicación “AccessTicket”) y ***URL.8 (Términos y condiciones generales de venta de entradas y acceso aplicables al festival Primavera Sound Barcelona 2023 y Primavera Sound Madrid 2023). En el anexo relativo a la información proporcionada en la web sobre la Política de privacidad de la aplicación “ACCESSTICKET” se detallan: 1). la identidad y los datos de contacto del responsable; 2) los datos de contacto del delegado de protección de datos; 3) las finalidades del tratamiento de los datos personales; 4) las bases legales del tratamiento; 5) tiempo de conservación de los datos personales; 6) con quién pueden ser compartidos los datos personales; 7) categorías de los datos personales; 8) derechos de protección de datos. Respecto a los términos y condiciones generales de venta de entradas y acceso a los festivales 2023, se indica que para acceder al recinto se deberá mostrar la entrada a través del medio que indique la organización. La organización podrá sustituir el anterior método de acceso por otro medio “que podría ser, por ejemplo, mediante el uso de una aplicación de un dispositivo smartphone”. También se indica que “será indispensable llevar consigo en todo momento un documento oficial de identidad”. Con fecha 26 de octubre de 2022 se navega en el archivo de webs: ***URL.9. Se diligencia el resultado de la consulta realizada en la página web ***URL.10, (Términos y condiciones generales de entradas. Primavera Sound Festival Barcelona 2022), archivada en ***URL.9 con fecha 02 de marzo de 2021, a las 12:04. En la información proporcionada en esta web para el acceso al festival Primavera Sound Festival Barcelona 2022 se especifica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 -. “Para entrar al recinto deberás mostrar tu entrada que será escaneada para su verificación. Será indispensable llevar consigo en todo momento un documento oficial de identidad […]” -. “En todo momento tanto los padres o tutores legales como el menor deberán llevar su DNI o pasaporte por si fuese requerido por parte del personal de la organización para acreditar su identidad […]” Se concluye que no se facilita información previa sobre el uso de una aplicación móvil para el acceso al recinto, pero sí se avisa de la necesidad de portar un documento de identificación durante la estancia en el festival. -.3.Con fecha 25 de octubre de 2022, se realiza un requerimiento de información a PRIMAVERA. PRIMAVERA solicita ampliación de plazo y responde a este requerimiento de información con fecha 17 de noviembre de 2022 proporcionando la siguiente documentación: -Escrito de contestación. -Explicación y capturas de pantalla de la aplicación. -Data Processing Agreement – Contrato de encargo del tratamiento entre PRIMAVERA y SUM AND SUBSTANCE LTD (en adelante SUM). -Operativa de acceso sin APP -Registro de Actividades de Tratamiento (en adelante, RAT) (formato Excel) -Resumen de resultados de Evaluación de Impacto y Análisis del Riesgo. -Anexo III: Política de privacidad de la aplicación de Primavera Sound "AccessTicket". -Términos y condiciones generales de venta de entradas y acceso aplicables al festival Primavera Sound Barcelona 2022. -Captura de pantalla de los datos de la parte reclamante que mantienen en sus sistemas -Evaluación de impacto, con el análisis de las amenazas y riesgos inherentes (formato Excel) Explicación y capturas de pantalla de la aplicación , esto es, explica y aporta capturas de pantalla de la aplicación desde su descarga en las stores, en el momento de validar un ticket, de registrarse e incluir los datos personales del asistente y en el momento de subir las fotografías de la documentación para verificar la identidad. Analizadas las capturas de pantalla, se evidencia que el registro en la app se realiza con un email y que se solicita foto del documento identificativo para añadir los datos personales y validar el registro de los usuarios, mediante un proceso de KYC (Know Your Costumer). Antes de subir la documentación, el usuario debe aceptar “Acepto estar informado de mis derechos y haber leído la Política de Privacidad sobre la subida de documentación y la tramitación de mis datos personales”. También se observan ciertos textos de pruebas en algunas de las capturas de pantalla, por los que se consultará en un requerimiento posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 Respecto al acceso al evento sin la app, PRIMAVERA facilita el anexo, en el que se destaca que el asistente al festival puede presentarse en la zona de incidencias del evento con el email de compra que incluye la información necesaria para ubicar manualmente la entrada en la BBDD. Ahí, el agente de soporte: -. Verifica manualmente la identidad del asistente y rellena los datos relevantes en el sistema (nombre + edad + código del ticket + ticket type). - Captura una imagen del asistente y la sube al perfil de usuario en la BBDD de AccessTicket. - Imprime una pulsera con el QR del ticket, el nombre del asistente y el tipo de entrada. - El QR impreso en la pulsera se lee normalmente en los dispositivos de verificación de accesos mostrando al validador la foto del asistente. - Basándose en la identificación a través de la foto y confirmada la validez del ticket, el agente puede permitir el acceso al recinto. Revisado el anexo en inglés, Data Processing Agreement (Contrato de encargo del tratamiento entre ambas entidades), se percibe que el documento corresponde al anexo 3 de un contrato con fecha de comienzo 1 de abril de 2022 entre las entidades PRIMAVERA, que actúa como responsable en el contrato de encargo, y SUM AND SUBSTANCE LTD, que actúa como encargado, y que en dicho contrato de encargo se tienen en cuenta los aspectos especificados en el artículo 28.3 del RGPD. La información proporcionada en la Política de privacidad de la aplicación “ACCESSTICKET” contenida en el Anexo III del documento coincide con lo expuesto en Anexo 1. Analizado el RAT se verifica en la entrada Nº 10 el tratamiento Asistencia a los festivales, cuya finalidad es la Gestión de la celebración de los festivales en relación con la asistencia de los clientes, basado jurídicamente en la Ejecución de relación contractual e interés legítimo, y descrito como “Gestión de la entrada a los festivales de aquellos clientes que se hubiesen descargado la applicación AccessTicket. Prevención de fraudes impidiendo utilizar varias veces el código QR de una misma entrada.” Los tipos de datos que se tratan son: Datos identificativos y de contacto (nombre y apellidos y DNI o documento identificativo, fotografía, correo electrónico, número de teléfono, fecha de nacimiento) e información relativa a la entrada adquirida. Respecto a datos sensibles que se puedan tratar, se identifica “En caso de emplear la aplicación AccessTicket o de ser necesaria la realización de una fotografía en la entrada al festival.” Respecto a la Evaluación de Impacto y Análisis del Riesgo, PRIMAVERA indica la siguiente información y manifestaciones: 1-. Descripción del tratamiento. (…). 2.- Análisis de la necesidad y proporcionalidad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 (
4. a)Introducción: imagen facial como dato personal (…). (
5. b)Principio de minimización de los datos y principio de proporcionalidad .. (
6. i)Juicio de idoneidad. (…). .. (
7. ii)Juicio de necesidad. (…). .. (iii) Juicio de proporcionalidad en sentido estricto. (…). (
8. c)Base jurídica (…). 3.- Análisis de los riesgos relevantes (…). 4.- Medidas previstas para contrarrestar los riesgos (…). 5.- Conclusión PRIMAVERA concluye que la valoración tras el análisis de los riesgos es favorable, por lo que la actividad de tratamiento puede llevarse a cabo, siempre que las medidas de control que han sido incluidas en el resumen y en la evaluación de impacto sean plenamente implementadas por PRIMAVERA. Respecto a la captura de pantalla de los datos de la parte reclamante que mantienen en sus sistemas, PRIMAVERA proporciona un listado en el que se muestra la dirección de correo electrónico de la parte reclamante junto con información de las entradas, pero sin otro dato personal asociado. -.4.Con fecha 26 de enero de 2023, se realiza un segundo requerimiento de ampliación de información a PRIMAVERA para aclarar las dudas surgidas con su respuesta al primer requerimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 PRIMAVERA responde a este requerimiento de información con fecha 10 de febrero de 2022 proporcionando la siguiente documentación: -. Escrito de respuesta al requerimiento, al que acompaña el adjunto que contiene los siguientes documentos: -. Capturas de pantalla de la aplicación en el momento de incluir los datos personales del asistente. -. Confirmación de que la captura de pantalla proporcionada en Step 5 corresponde a la aplicación real instalada y no a una aplicación de pruebas. -. Política de privacidad proporcionada a los usuarios de AccessTicket. -. Capturas de pantalla que acreditan que la información proporcionada corresponde a la aplicación real instalada -. Contrato con el proveedor SUM AND SUBSTANCE LTD. Respecto a las cuestiones planteadas por la Agencia sobre la app, PRIMAVERA refiere acompañar al escrito “como Anexo nº 1 un vídeo ilustrativo en el que no sólo es posible reflejar de forma visual cada una de las explicaciones aportadas, sino que permite obtener una visión global sobre AccessTicket y su funcionamiento […] Sin perjuicio de que cada una de las cuestiones planteadas serán abordadas de forma individual y detallada en los párrafos siguientes”. El citado vídeo no ha sido adjuntado a la respuesta al segundo requerimiento de información, pero todas las dudas han sido aclaradas individualmente y evidenciadas a través de las imágenes facilitadas. 1.- La parte reclamada indica que los datos personales solicitados en la aplicación al pulsar "Add personal information" son el número de teléfono y el código postal, y su introducción es opcional. Justifica la solicitud del número de teléfono exponiendo que permite tener un método de contacto a través del cual poder solucionar ágilmente las incidencias que se producen en el proceso de creación y validación de la entrada. Respecto al código postal, PRIMAVERA refiere que se solicita con fines estadísticos. 2.- Con relación a la confirmación de que las capturas de pantalla proporcionadas en la respuesta al primer requerimiento corresponden a la aplicación real instalada y no a una aplicación de pruebas, PRIMAVERA lo justifica aclarando que “en el momento de recibir el primer requerimiento de esta Agencia, la Aplicación ya no estaba activa, por lo que para poder cumplir con las solicitudes de información en su momento trasladadas había resultado necesario activarla de nuevo y realizar las pruebas pertinentes” Se observa que, previamente al registro en la app, el usuario debe aceptar la subida de su documentación identificativa y consentir expresamente el tratamiento de sus datos personales en los términos establecidos en la política de privacidad. El enlace en la app dirige al mismo texto que el obtenido por el inspector en webarchive. 3.- Respecto al motivo por el que en la app se solicita una fotografía del reverso del DNI, PRIMAVERA lo justifica “en que resultaba imprescindible realizar un matcheo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 entre la información contenida en el anverso del documento y la indicada en el reverso del mismo para confirmar la validez del documento. En muchas ocasiones, la calidad de las fotografías aportadas y/o escaneadas no era buena, lo que dificultaba y/o impedía la verificación de la identidad de los usuarios. En estos supuestos, la revisión conjunta del anverso y del reverso del documento nacional de identidad permitía garantizar que el documento era efectivamente válido y estaba en vigor.” 4.- Consultada sobre el proceso seguido para recabar el consentimiento de los portadores de una entrada al festival al tratamiento de su imagen facial en caso de elegir la verificación manual de su entrada, la parte reclamada indica que la información a los asistentes sobre el tratamiento de su fotografía es proporcionada verbalmente (“en particular, la relativa a la necesidad de verificar su identidad, así como de permitirles evitar repetir el mismo proceso manual durante los ulteriores días del festival”). 5.- PRIMAVERA aporta el Contrato (completo) mantenido con el proveedor SUM para el tratamiento de los datos personales de los asistentes al festival. En el apartado Especificación se detallan todos los servicios que SUM puede proporcionar a PRIMAVERA, incluyendo KYC (Know Your Customer // Conoce a tu cliente). En el Anexo 2 (Price List // Lista de precios) se marcan los servicios realmente adquiridos: -. Identity Document Verification // Verificación del documento de identidad - Automated data extraction (Basic five fields) // Extracción automatizada de datos (Campos básicos) - Web SDK and Mobile SDK (SDK - Software Development Kit // Kit de desarrollo de software) En lo relativo a Confidencialidad y Protección de Datos, se especifica que (traducción) “SUM garantizará el nivel de protección de los datos personales que él reciba al nivel requerido por la ley aplicable a esos datos personales, incluyendo RGPD. El régimen de Protección de Datos personales está establecido en el anexo 3 del contrato”. Dicho Anexo coincide con el documento Data Processing Agreement (Contrato de encargo del tratamiento), previamente analizado. 6.- Para finalizar, la parte reclamada confirma que no posee ningún otro dato personal de la parte reclamante diferente de la dirección de correo electrónico. “El resto de los datos personales tratados por Primavera Sound en relación con el Reclamante y en el marco de su asistencia al festival fueron debidamente eliminados una vez transcurridas dos