Contrato de Encargado de Tratamiento (DPA)

Aviso: los datos identificativos del Encargado están pendientes de completar. Este documento no debe considerarse definitivo hasta que se publiquen.

Este Contrato de Encargado de Tratamiento (el «DPA») forma parte de los Términos y Condiciones y regula el tratamiento de datos personales que PhalanX realiza por cuenta del entrenador al prestar el Servicio. Se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes y roles

Responsable del tratamiento: el entrenador, persona física o jurídica titular de la cuenta profesional (en adelante, el «Responsable»), que determina los fines y medios del tratamiento de los datos de sus atletas y de sus solicitantes. Sus datos identificativos son los que constan en su cuenta de la plataforma.

Encargado del tratamiento: [pendiente] (en adelante, PhalanX o el «Encargado»), con NIF [pendiente] y domicilio en [pendiente], que trata dichos datos únicamente por cuenta y según las instrucciones del Responsable. Contacto en materia de protección de datos: legal@trainphalanx.com.

Respecto a los datos de la propia cuenta del entrenador (registro, facturación), PhalanX actúa como responsable independiente, conforme a la Política de privacidad. Este DPA se refiere exclusivamente a los datos de los atletas y a los de las personas que solicitan plaza al Responsable a través de su formulario público de solicitudes (los «solicitantes»), mientras no lleguen a ser atletas.

2. Objeto y duración

El objeto es el tratamiento de datos personales de los atletas y de los solicitantes descrito en el Anexo I, necesario para prestar el Servicio. El tratamiento durará mientras esté vigente la relación contractual entre las partes y hasta la supresión o devolución de los datos conforme a la cláusula 13.

3. Instrucciones del Responsable

PhalanX tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que el Derecho de la Unión o de un Estado miembro lo obligue a otra cosa, en cuyo caso informará al Responsable antes del tratamiento, salvo prohibición legal. PhalanX informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

Constituyen instrucciones documentadas del Responsable, además de las que imparta expresamente, el uso del Servicio y de sus funciones de configuración, así como las condiciones de prestación descritas en este Contrato y en sus Anexos, incluidos los plazos de conservación que en ellos se especifican y, en particular, la supresión automática de los adjuntos de la mensajería a los 30 días desde su envío y de las solicitudes de alta resueltas a los 90 días desde que el Responsable las acepta, rechaza o archiva. El Responsable declara conocer y aprobar expresamente dichas condiciones al aceptar electrónicamente este Contrato, y reconoce que forman parte de la definición del Servicio contratado. El Servicio se presta en condiciones estandarizadas y esos plazos no son configurables por el Responsable; si necesita plazos de conservación distintos, deberá acordarlo previamente y por escrito con PhalanX.

El Responsable podrá cursar instrucciones adicionales por escrito, incluido correo electrónico, a legal@trainphalanx.com. Si una instrucción excede el alcance del Servicio, PhalanX lo comunicará y las partes acordarán su viabilidad y condiciones.

4. Obligaciones del Responsable

El Responsable se obliga a:

• Disponer de una base jurídica válida para el tratamiento de los datos de sus atletas y, tratándose de datos de salud, del consentimiento explícito del atleta conforme al artículo 9.2.a del RGPD, recabado antes de introducir esos datos en el Servicio.
• Facilitar a sus atletas y solicitantes la información exigida por los artículos 13 y 14 del RGPD.
• Impartir instrucciones lícitas y conformes con la normativa de protección de datos.
• Atender las solicitudes de ejercicio de derechos de sus atletas y solicitantes, y gestionar la revocación del consentimiento cuando se produzca.
• Garantizar la exactitud y la licitud de los datos que introduce y de su origen.
• Utilizar el Servicio conforme a este Contrato y a los Términos y Condiciones.

El Servicio ofrece al Responsable herramientas para recabar y registrar el consentimiento de sus atletas, pero la obtención y validez de ese consentimiento corresponde al Responsable.

Del mismo modo, cuando el Responsable abre su formulario público de solicitudes, el Servicio muestra al solicitante la información básica sobre protección de datos identificando al Responsable y recoge su consentimiento, que queda registrado con su fecha y la versión del texto aceptado. El Responsable decide si abre o cierra ese formulario y responde de la licitud del tratamiento de las solicitudes que recibe.

5. Limitación de uso de los datos

PhalanX no tratará los datos de los atletas para fines propios. En particular, no los cederá ni venderá a terceros, no los utilizará con fines publicitarios o de marketing propios, y no los empleará para entrenar modelos de inteligencia artificial ajenos a la prestación del Servicio al Responsable.

Queda a salvo el uso de datos agregados y anonimizados, que no permitan identificar a ningún atleta ni al Responsable, para medir el uso del Servicio y mejorarlo.

6. Confidencialidad

PhalanX garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que el acceso se limita al personal que lo necesita para prestar el Servicio. Esta obligación subsistirá incluso tras la finalización de su relación con PhalanX.

7. Seguridad del tratamiento

PhalanX aplicará las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD para garantizar un nivel de seguridad adecuado al riesgo. Las medidas concretas se describen en el Anexo II y podrán actualizarse siempre que no se reduzca el nivel de seguridad.

8. Subencargados

El Responsable autoriza con carácter general a PhalanX a recurrir a los subencargados listados en el Anexo III para prestar el Servicio. PhalanX impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento por parte de aquéllos.

PhalanX informará al Responsable de cualquier cambio previsto de subencargados (alta o sustitución) con antelación razonable y antes de que el nuevo subencargado empiece a tratar datos, dándole la oportunidad de oponerse por motivos razonables de protección de datos. Si el Responsable se opone y la objeción no puede resolverse, podrá resolver el Contrato respecto de las funcionalidades afectadas por ese subencargado. Cuando el subencargado sostenga funciones esenciales del Servicio, la resolución podrá alcanzar a la totalidad del Contrato, por no ser esas funciones separables.

9. Asistencia con los derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento, PhalanX asistirá al Responsable, en la medida de lo posible y mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). El Servicio incluye funciones que permiten al Responsable —y en muchos casos directamente al atleta— exportar y eliminar datos. Si PhalanX recibe una solicitud de un atleta o de un solicitante directamente, la remitirá al Responsable sin dilación indebida.

10. Asistencia con seguridad, brechas y evaluaciones de impacto

PhalanX asistirá al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible, incluyendo la seguridad, la notificación de violaciones y, en su caso, las evaluaciones de impacto y la consulta previa.

11. Notificación de violaciones de seguridad

PhalanX notificará al Responsable, sin dilación indebida tras tener conocimiento de ella y en todo caso a la mayor brevedad posible, cualquier violación de la seguridad de los datos personales que afecte a los datos tratados por cuenta del Responsable. La notificación incluirá, en la medida en que se disponga de ello:

• La naturaleza de la violación y, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados.
• Un punto de contacto para obtener más información.
• Las consecuencias probables de la violación.
• Las medidas adoptadas o propuestas para poner remedio y, en su caso, mitigar sus efectos.

PhalanX colaborará con el Responsable para que éste pueda cumplir sus obligaciones de notificación a la autoridad de control (artículo 33) y de comunicación a los interesados (artículo 34), y documentará la violación y las medidas adoptadas.

12. Registro de actividades de tratamiento

PhalanX mantiene un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD, y lo pondrá a disposición de la autoridad de control que lo solicite, así como del Responsable cuando lo requiera para acreditar su propio cumplimiento.

13. Supresión o devolución de los datos

A elección del Responsable, PhalanX suprimirá o devolverá todos los datos personales tras el fin de la prestación del Servicio, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. El Servicio ofrece funciones de exportación y eliminación que el Responsable puede usar en cualquier momento.

Finalizada la prestación, el Responsable dispondrá de un plazo de 30 días para exportar o recuperar los datos a través de las funciones del Servicio o solicitando asistencia. Transcurrido ese plazo, PhalanX procederá a la supresión segura de los datos, incluidos los alojados en los subencargados, dentro de un plazo razonable.

Esta obligación se refiere a los datos que obren en poder de PhalanX en el momento de ejercitarse la elección. No alcanza, por tanto, a los datos que ya hubieran sido suprimidos en cumplimiento de los plazos de conservación pactados en este Contrato y sus Anexos —en particular, los adjuntos de la mensajería caducados a los 30 días y las solicitudes de alta resueltas suprimidas a los 90 días, conforme a la cláusula 3—, que no podrán devolverse por no encontrarse ya disponibles. Tanto el Responsable como los interesados disponen de funciones de descarga en el propio Servicio para conservar, antes de su caducidad, el contenido que consideren.

La supresión se entiende sin perjuicio de las copias de seguridad, que no se eliminan de forma individual sino que se sobrescriben conforme a sus ciclos de rotación habituales. Mientras subsistan, esas copias permanecen sujetas a las obligaciones de confidencialidad y seguridad de este Contrato y no se utilizan para ningún otro fin.

14. Auditorías e información

PhalanX pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por el Responsable o un auditor autorizado por éste.

Las auditorías se realizarán con un preaviso mínimo de 30 días, en horario laboral, con una frecuencia máxima de una vez al año —salvo que medie una violación de seguridad que afecte a los datos del Responsable o un requerimiento de la autoridad de control—, sin interrumpir indebidamente la actividad y sin acceso a datos de otros clientes.

PhalanX podrá satisfacer esta obligación aportando certificaciones, informes de auditoría o documentación de sus proveedores y de sus propias medidas, cuando resulten suficientes para acreditar el cumplimiento.

15. Transferencias internacionales

El alojamiento y almacenamiento principal de los datos se realiza en infraestructura ubicada en la Unión Europea.

No obstante, algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. En tal caso, PhalanX garantizará que la transferencia se ampare en un mecanismo válido conforme al Capítulo V del RGPD: una decisión de adecuación de la Comisión Europea (artículo 45), incluido cuando proceda el marco EU-US Data Privacy Framework, o las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (artículo 46.2.c), complementadas cuando sea necesario con medidas adicionales. PhalanX facilitará al Responsable, previa solicitud, información sobre el mecanismo aplicado a cada subencargado.

16. Forma de aceptación y modificaciones

Este Contrato se perfecciona mediante aceptación electrónica por el Responsable durante el alta en PhalanX. Como prueba de la aceptación, PhalanX conserva un registro que incluye la fecha y hora, la versión del documento aceptada, la dirección IP desde la que se aceptó y el identificador de la cuenta del Responsable.

Las modificaciones de este Contrato se comunicarán al Responsable con antelación razonable y podrán requerir una nueva aceptación.

17. Responsabilidad, ley aplicable y jurisdicción

La responsabilidad de las partes se rige por el artículo 82 del RGPD, por los Términos y Condiciones y por la normativa aplicable. Este DPA se rige por el RGPD, por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y por la legislación española. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales competentes en España.

Anexo I — Descripción del tratamiento

Categorías de interesados: los atletas (clientes) del Responsable, y los solicitantes: personas que piden plaza al Responsable a través de su formulario público y que todavía no son atletas.

Tipos de datos personales:

• Datos identificativos y de contacto (nombre, email).
• Datos de entrenamiento y seguimiento (rutinas, registros, check-ins, notas).
• Datos físicos y de salud (peso, antropometría, fotos de progreso), que pueden constituir categorías especiales del artículo 9 del RGPD y se tratan con el consentimiento explícito del atleta.
• Respuestas del cuestionario inicial: lo que el atleta contesta a las preguntas que redacta su entrenador al darse de alta (objetivos, experiencia, disponibilidad, material y, si el entrenador las incluye, lesiones, dolencias o medicación). Cuando reflejan su estado físico o de salud constituyen categorías especiales del artículo 9 del RGPD y se tratan con el consentimiento explícito que el atleta acepta al enviarlo, del que se conserva la fecha y la versión del texto aceptado. Se conservan mientras el atleta lo sea del Responsable.
• Adjuntos del chat: imágenes y audios intercambiados entre el atleta y el entrenador por la mensajería del Servicio y, cuando esa funcionalidad se active, vídeos. Se conservan durante 30 días desde su envío y se suprimen después de forma automática. Cuando reflejan el estado físico o de salud del atleta, pueden constituir categorías especiales del artículo 9 del RGPD y se tratan con su consentimiento explícito.
• Comunicaciones entre el atleta y su entrenador a través de la mensajería del Servicio, y comunicaciones transaccionales enviadas al atleta (avisos de mensajes nuevos, recordatorios).
• Datos de los solicitantes: nombre y email y, si los facilitan, teléfono, objetivo, experiencia entrenando, disponibilidad, cómo conocieron al Responsable y un mensaje libre; la fecha y la versión del consentimiento aceptado; un identificador irreversible (hash) de la dirección IP, que sirve solo para limitar los envíos abusivos, y el agente de usuario del navegador. El formulario pide expresamente no incluir datos de salud. Se conservan mientras la solicitud está abierta y se suprimen automáticamente a los 90 días desde que el Responsable la acepta, la rechaza o la archiva.

Naturaleza y finalidad: alojamiento, almacenamiento y procesamiento de los datos para prestar las funciones de programación, seguimiento, dieta, mensajería, calendario y gestión de solicitudes de alta del Servicio.

Operaciones de tratamiento: recogida, registro, estructuración, conservación, consulta, modificación, comunicación por transmisión al propio interesado y a su entrenador, y supresión.

Duración: la indicada en la cláusula 2, salvo los adjuntos del chat, que se suprimen automáticamente a los 30 días desde su envío, y las solicitudes de alta resueltas, que se suprimen automáticamente a los 90 días desde su resolución.

Anexo II — Medidas técnicas y organizativas

• Control de acceso a nivel de fila (RLS) que aísla los datos de cada entrenador y atleta, con segregación lógica entre cuentas.
• Cifrado de las comunicaciones en tránsito (TLS/HTTPS) y cifrado de los datos en reposo por parte del proveedor de infraestructura.
• Autenticación de usuarios y gestión de sesiones.
• Gestión de consentimientos versionados para los datos de salud, con registro de concesión y retirada.
• Funciones de exportación y eliminación de datos, incluida la limpieza del almacenamiento de archivos.
• Almacenamiento de los adjuntos del chat en un repositorio privado, accesible únicamente para las dos partes de la conversación mediante URLs firmadas de corta duración, y supresión automática a los 30 días.
• Formulario público de solicitudes protegido frente a envíos automatizados (campo trampa, límites de envío por origen y por entrenador y, cuando se active, verificación de Cloudflare Turnstile), sin almacenar la dirección IP en claro, y supresión automática de las solicitudes resueltas a los 90 días.
• Procedimiento de gestión de incidentes y de notificación de violaciones de seguridad.
• Alojamiento principal en infraestructura ubicada en la Unión Europea (ver Anexo III).
• Control de acceso del personal según el principio de mínimo privilegio y necesidad de conocer, sujeto a compromiso de confidencialidad.
• Revisión periódica de la adecuación de estas medidas.

Anexo III — Subencargados autorizados

• Supabase — base de datos, autenticación y almacenamiento de archivos. Tratamiento en la Unión Europea.
• Vercel — alojamiento y ejecución de la aplicación web.
• Resend — envío de correo transaccional (avisos de mensajes nuevos y notificaciones del Servicio).
• Stripe — procesamiento de pagos de la suscripción del entrenador (no trata datos de atletas salvo los estrictamente necesarios para el pago del entrenador).
• Cloudflare Stream — alojamiento y reproducción de los vídeos enviados por el chat. Subencargado previsto: la funcionalidad de vídeo todavía no está activa y no se le comunica ningún dato hasta que lo esté.
• Cloudflare Turnstile — verificación de que quien envía el formulario público de solicitudes es una persona. Subencargado previsto: la verificación todavía no está activa y no se le comunica ningún dato hasta que lo esté.

Los subencargados establecidos fuera del Espacio Económico Europeo tratan los datos al amparo de los mecanismos indicados en la cláusula 15. PhalanX facilitará, previa solicitud, la ubicación de tratamiento y el mecanismo de transferencia aplicable a cada uno.

La lista vigente de subencargados es la publicada en esta página. Para cualquier cuestión sobre este DPA, escríbenos a legal@trainphalanx.com.