Contrato de Encargado de Tratamiento (DPA)

Este Contrato de Encargado de Tratamiento (el «DPA») forma parte de los Términos y Condiciones y regula el tratamiento de datos personales que PhalanX realiza por cuenta del entrenador al prestar el Servicio. Se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes y roles

Responsable del tratamiento: el entrenador titular de la cuenta (en adelante, el «Responsable»), que determina los fines y medios del tratamiento de los datos de sus atletas.

Encargado del tratamiento: TODO_RAZON_SOCIAL (en adelante, PhalanX o el «Encargado»), que trata dichos datos únicamente por cuenta y según las instrucciones del Responsable. (⚠️ Borrador — completa con la identidad real del titular.)

Respecto a los datos de la propia cuenta del entrenador (registro, facturación), PhalanX actúa como responsable independiente, conforme a la Política de privacidad. Este DPA se refiere exclusivamente a los datos de los atletas.

2. Objeto y duración

El objeto es el tratamiento de datos personales de los atletas descrito en el Anexo I, necesario para prestar el Servicio. El tratamiento durará mientras esté vigente la relación contractual entre las partes y hasta la supresión o devolución de los datos conforme a la cláusula 10.

3. Instrucciones del Responsable

PhalanX tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que el Derecho de la Unión o de un Estado miembro lo obligue a otra cosa, en cuyo caso informará al Responsable antes del tratamiento, salvo prohibición legal. El uso del Servicio y sus funciones de configuración constituyen instrucciones del Responsable. PhalanX informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

4. Confidencialidad

PhalanX garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que el acceso se limita al personal que lo necesita para prestar el Servicio.

5. Seguridad del tratamiento

PhalanX aplicará las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD para garantizar un nivel de seguridad adecuado al riesgo. Las medidas concretas se describen en el Anexo II y podrán actualizarse siempre que no se reduzca el nivel de seguridad.

6. Subencargados

El Responsable autoriza con carácter general a PhalanX a recurrir a los subencargados listados en el Anexo III para prestar el Servicio. PhalanX impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento por parte de aquéllos.

PhalanX informará al Responsable de cualquier cambio previsto de subencargados (alta o sustitución) con antelación razonable, dándole la oportunidad de oponerse por motivos razonables de protección de datos. Si el Responsable se opone y la objeción no puede resolverse, podrá resolver el contrato y dejar de usar el Servicio.

7. Asistencia con los derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento, PhalanX asistirá al Responsable, en la medida de lo posible y mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). El Servicio incluye funciones que permiten al Responsable —y en muchos casos directamente al atleta— exportar y eliminar datos. Si PhalanX recibe una solicitud de un atleta directamente, la remitirá al Responsable sin dilación indebida.

8. Asistencia con seguridad, brechas y evaluaciones de impacto

PhalanX asistirá al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible, incluyendo la seguridad, la notificación de violaciones y, en su caso, las evaluaciones de impacto y la consulta previa.

9. Notificación de violaciones de seguridad

PhalanX notificará al Responsable, sin dilación indebida tras tener conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los datos tratados por cuenta del Responsable, aportando la información razonablemente disponible para que el Responsable pueda cumplir sus obligaciones de notificación ante la autoridad de control y, en su caso, ante los interesados.

10. Supresión o devolución de los datos

A elección del Responsable, PhalanX suprimirá o devolverá todos los datos personales tras el fin de la prestación del Servicio, y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. El Servicio ofrece funciones de exportación y eliminación que el Responsable puede usar en cualquier momento.

11. Auditorías e información

PhalanX pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por el Responsable o un auditor autorizado por éste, con preaviso razonable, sin interrumpir indebidamente la actividad y respetando la confidencialidad y la seguridad de los demás clientes.

12. Transferencias internacionales

Si el tratamiento implica transferencias de datos fuera del Espacio Económico Europeo, PhalanX garantizará que se realicen con las garantías adecuadas previstas en el RGPD, como las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

13. Responsabilidad y ley aplicable

La responsabilidad de las partes se rige por los Términos y Condiciones y por la normativa aplicable. Este DPA se rige por la legislación española.

Anexo I — Descripción del tratamiento

Categorías de interesados: los atletas (clientes) del Responsable.

Tipos de datos personales:

• Datos identificativos y de contacto (nombre, email).
• Datos de entrenamiento y seguimiento (rutinas, registros, check-ins, notas).
• Datos físicos y de salud (peso, antropometría, fotos de progreso), que pueden constituir categorías especiales del artículo 9 del RGPD y se tratan con el consentimiento explícito del atleta.

Naturaleza y finalidad: alojamiento, almacenamiento y procesamiento de los datos para prestar las funciones de programación, seguimiento, dieta, mensajería y calendario del Servicio.

Duración: la indicada en la cláusula 2.

Anexo II — Medidas técnicas y organizativas

• Control de acceso a nivel de fila (RLS) que aísla los datos de cada entrenador y atleta.
• Cifrado de las comunicaciones en tránsito (TLS/HTTPS).
• Autenticación de usuarios y gestión de sesiones.
• Gestión de consentimientos versionados para los datos de salud.
• Funciones de exportación y eliminación de datos, incluida la limpieza del almacenamiento de archivos.
• Alojamiento en proveedores con medidas de seguridad certificadas (ver Anexo III).
• Control de acceso del personal según el principio de necesidad de conocer.

Anexo III — Subencargados autorizados

• Supabase — alojamiento, base de datos y almacenamiento de archivos.
• Stripe — procesamiento de pagos de la suscripción del entrenador (no trata datos de atletas salvo los estrictamente necesarios para el pago del entrenador).

La lista vigente de subencargados es la publicada en esta página. Para cualquier cuestión sobre este DPA, escríbenos a legal@phalanx.app.