Contrato de encargo del tratamiento
Este contrato se forma entre tú (el club, entrenador o entidad que usa TactiCourt, «el Responsable») y TactiCourt, NIF/CIF [COMPLETAR: NIF/CIF], con domicilio en [COMPLETAR: domicilio] («el Encargado»), y se acepta al abrir la cuenta. Rige mientras uses el Servicio.
1. Objeto, naturaleza y finalidad
El Encargado tratará datos personales por cuenta del Responsable únicamente para prestarle el Servicio descrito en las Condiciones: alojar, almacenar, sincronizar, copiar, mostrar y procesar la información que el Responsable introduzca, y atender su soporte. El tratamiento consiste en la recogida, registro, organización, conservación, consulta, comunicación y supresión de esos datos.
2. Duración
La del Servicio. Al terminar, se aplica el apartado 9.
3. Tipos de datos y personas afectadas
- Personas: jugadoras (incluidas menores de edad), miembros del cuerpo técnico, rivales y sus jugadoras (datos de scouting) y personas de contacto.
- Datos: identificativos y de contacto (nombre, apellidos, apodo, dorsal, DNI/pasaporte, fecha de nacimiento, teléfono, correo, dirección), deportivos (posición, estadísticas, asistencias, informes, vídeos), físicos (altura, peso, talla) e imagen; y, si el Responsable los registra, datos de salud (lesiones, alergias, medicación, suplementos, cuestionarios de esfuerzo y molestias), que son categoría especial (art. 9 RGPD).
4. Obligaciones del Encargado
- Tratar los datos solo según las instrucciones documentadas del Responsable (el uso normal del Servicio lo es) y no usarlos para fines propios. Si cree que una instrucción infringe la normativa, se lo dirá.
- Garantizar que las personas autorizadas se han comprometido a confidencialidad.
- Aplicar las medidas de seguridad del art. 32 RGPD (ver apartado 7).
- Asistir al Responsable, con medidas técnicas y organizativas razonables, para atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si recibe una solicitud directa, se la trasladará sin demora.
- Ayudarle en sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas, en lo que corresponda a su papel.
- Notificar al Responsable, sin dilación indebida y en cuanto tenga constancia, cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que cumpla sus plazos.
- Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso, sin comprometer la seguridad de otros clientes.
- Llevar un registro de las actividades de tratamiento que hace por cuenta del Responsable (art. 30.2).
5. Obligaciones del Responsable
El Responsable garantiza que tiene base legal para tratar los datos, que ha informado a las personas afectadas, que cuenta con el consentimiento explícito para los datos de salud y con la autorización de padres, madres o tutores de las personas menores de 14 años, y que decide qué personas acceden a sus datos y con qué permisos.
6. Subencargados
El Responsable concede una autorización general para contratar subencargados, que se relacionan en la Política de privacidad (hoy: Supabase, Netlify, GitHub, Cloudflare, Resend, Sentry, Google y, cuando se active el cobro, Lemon Squeezy). El Encargado les impondrá las mismas obligaciones de protección de datos y avisará de cualquier cambio con antelación suficiente para que el Responsable pueda oponerse; si se opone y no hay alternativa, podrá darse de baja.
7. Medidas de seguridad
- Alojamiento de los datos en la Unión Europea y comunicaciones cifradas.
- Control de acceso por equipo, rol y módulo, aplicado en el servidor; una sola sesión por cuenta; contraseñas almacenadas solo como huella cifrada.
- Copias de seguridad automáticas y papelera, con restauración por módulo.
- Registro de acceso y avisos de pérdida de datos; separación de datos entre clientes; control del código y de las dependencias.
8. Transferencias internacionales
Los datos de los equipos se alojan en la Unión Europea. Si un subencargado los trata desde fuera, será bajo una decisión de adecuación o las cláusulas contractuales tipo, con las garantías que procedan.
9. Fin del Servicio: devolución y supresión
Al terminar, el Responsable podrá recuperar sus datos durante un plazo razonable y después el Encargado los suprimirá (incluidas las copias, según su ciclo de retención: 7 o 30 días, según el plan), salvo que la ley exija conservarlos.
10. Responsabilidad y ley aplicable
Cada parte responde según el RGPD. Este contrato se rige por la ley española.