Contrato de Encargado de Tratamiento

1. Partes

Responsable del tratamiento: el centro de entrenamiento, profesional o entidad que contrata la plataforma y que determina los fines y medios del tratamiento de los datos de sus deportistas/clientes (en adelante, el "Responsable").

Encargado del tratamiento: Miofase, que trata los datos personales por cuenta del Responsable, únicamente para prestarle el servicio de la plataforma (en adelante, el "Encargado").

Un profesional puede ser Responsable de una cartera y persona autorizada de otra. Cuando un profesional colabora con un centro y además ejerce por su cuenta, cada ficha de cliente lleva registrado a cuál de los dos corresponde:

• Cartera del centro: el Responsable es el centro. El profesional accede a esos datos como persona autorizada por él (arts. 29 y 32.4 RGPD), con el alcance que conste en su compromiso de confidencialidad.
• Cartera personal del profesional: el Responsable es el propio profesional, que firma su propio acuerdo con el Encargado. El centro no es responsable de esos datos, no accede a ellos y no aparecen en sus recuentos ni en los paneles de supervisión.

La titularidad se decide al dar de alta cada cliente, se conserva en la propia base de datos y no cambia de forma automática: ni al incorporarse el profesional al equipo, ni al causar baja. Toda modificación es un acto identificado y queda registrada.

2. Objeto

El presente acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable como consecuencia de la prestación del servicio de gestión de entrenamiento, clientes, planificaciones, citas, comunicaciones y seguimiento de pagos a través de la plataforma Miofase.

3. Duración

Este acuerdo tiene vigencia mientras esté en vigor la relación de prestación del servicio. Finalizada esta, regirá lo dispuesto en el apartado 8 (devolución y supresión).

4. Naturaleza, finalidad y alcance del tratamiento

• Naturaleza y finalidad: recogida, registro, organización, conservación, consulta y comunicación de datos necesarios para que el Responsable gestione a sus deportistas en la plataforma.
• Categorías de interesados: deportistas/clientes del Responsable y, en su caso, personal autorizado del propio Responsable (gestores, coordinadores).
• Categorías de datos: identificativos y de contacto (nombre, apellidos, correo, teléfono); datos de perfil deportivo y de entrenamiento; datos económicos derivados del seguimiento de pagos; y datos de categoría especial (datos de salud, art. 9 RGPD) cuando el Responsable los registre para la planificación segura del ejercicio (lesiones, patologías, restricciones).

5. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal.
• No utilizar ni ceder los datos para fines propios ni distintos de la prestación del servicio.
• Garantizar que las personas autorizadas a tratar los datos se comprometen a respetar la confidencialidad, con carácter permanente incluso tras finalizar la relación.
• Aplicar las medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD (apartado 7).
• Asistir al Responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones de seguridad y evaluaciones de impacto (arts. 32 a 36 RGPD).
• Notificar al Responsable, sin dilación indebida, cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información necesaria para que el Responsable cumpla sus obligaciones de notificación.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables.

5 bis. Obligaciones del Responsable

El Responsable:

• Garantiza que tiene, para cada persona cuyos datos introduce en la plataforma, una base jurídica válida —para los datos de salud, una de las excepciones del artículo 9.2 del RGPD, normalmente el consentimiento explícito del interesado o, si es profesional sanitario, la asistencia sanitaria— y que le ha facilitado la información de los artículos 13 y 14 del RGPD.
• Da instrucciones conformes con la normativa y responde de las que da, también de las que resultan de cómo configura y usa la plataforma.
• Introduce solo los datos adecuados, pertinentes y limitados a lo necesario, y los mantiene exactos y actualizados.
• Atiende el ejercicio de los derechos de los interesados, con la asistencia del Encargado.
• Decide quién accede a la plataforma en su nombre y con qué permisos, y responde de su actuación.
• Responde frente a los interesados y frente a la autoridad de control de los tratamientos que decide y de los usos de la plataforma contrarios a la ley o a este acuerdo. Los contratos con sus clientes, los cobros que les hace —en su propia cuenta de Stripe, con la que contrata directamente—, las bajas y las reclamaciones son suyos: Miofase no es parte de ellos.

5 ter. Acceso para soporte e incidencias

El Encargado podrá acceder a los datos del Responsable —en particular, a sus recibos, pagos y registros de cobro— cuando el Responsable lo solicite o cuando sea necesario para comprobar el correcto funcionamiento de la plataforma o resolver una incidencia. Ese acceso es parte de la prestación del servicio y se hace siguiendo las instrucciones del Responsable: se limitará a lo imprescindible para la incidencia, quedará registrado, lo realizarán solo personas sujetas a confidencialidad y no se utilizará para ninguna finalidad propia del Encargado.

6. Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, proveedores de infraestructura necesarios para prestar el servicio, vinculados por obligaciones de protección de datos equivalentes a las de este acuerdo:

El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados, dando al Responsable la posibilidad de oponerse.

7. Medidas de seguridad (art. 32 RGPD)

El Encargado aplica, entre otras, las siguientes medidas técnicas y organizativas:

• Cifrado de las comunicaciones (HTTPS/TLS) y de las credenciales en reposo.
• Aislamiento estricto de los datos entre centros mediante seguridad a nivel de fila (RLS): un Responsable no puede acceder a los datos de otro. Del mismo modo, cada persona atendida que usa la aplicación solo alcanza sus propios datos, nunca los de otras personas.
• Control de acceso por roles, autenticación de sesión verificada en servidor y políticas de contraseña (longitud mínima y rechazo de contraseñas débiles).
• Protección del acceso frente a abuso y ataques automatizados (límites de peticiones y verificación anti-bot en el inicio de sesión).
• Registro de eventos de seguridad y monitorización de incidencias.
• Cifrado de los datos de salud a nivel de campo, con clave derivada por Responsable: una copia robada de la base de datos no resulta legible, y comprometer la clave de un Responsable no alcanza a los demás.
• Registro de accesos a las fichas clínicas —quién abrió cuál y cuándo—, no falsificable desde el navegador (art. 5.2 RGPD).
• Segundo factor de autenticación (TOTP), con códigos de recuperación guardados cifrados. Es obligatorio para todo el personal con acceso a los datos del Responsable (profesionales, coordinadores y operadores de la plataforma): sin activarlo no se alcanza ningún dato. Para las personas atendidas que usan la aplicación, que solo alcanzan sus propios datos, es voluntario y recomendado. En los dos casos, cuando una cuenta lo tiene activado la exigencia se comprueba en la propia base de datos y no solo en la interfaz: una sesión que no ha superado el segundo factor no alcanza los datos aunque se salte la aplicación.
• El consentimiento del interesado solo puede registrarlo él mismo: la base de datos rechaza que un profesional lo marque en nombre de su cliente.
• Los datos clínicos no se almacenan en el disco del navegador.
• Copias de seguridad de la base de datos en el entorno de producción.
• Minimización: a la IA solo se envían datos clínicos sin información identificativa.

8. Devolución o supresión al finalizar

Finalizada la prestación del servicio, el Encargado, a elección del Responsable, devolverá o suprimirá los datos personales tratados por su cuenta, así como las copias existentes, salvo que deba conservarlos por obligación legal. La plataforma facilita además al propio deportista la exportación y la solicitud de supresión de sus datos.

Baja de un profesional del equipo: las fichas de la cartera del centro permanecen bajo la responsabilidad del centro y se reasignan a otro profesional del mismo equipo, decisión que consta con su motivo. Las de la cartera personal del profesional saliente no se transfieren al centro ni se copian: su Responsable no cambia. El centro conserva únicamente la constancia de qué profesional atendió a cada cliente suyo y hasta cuándo —no una segunda copia de las fichas—, por el plazo necesario para atender posibles reclamaciones.

9. Responsabilidad

Cada parte responde del cumplimiento de las obligaciones que le corresponden conforme al RGPD y a este acuerdo. El Responsable garantiza disponer de la base jurídica adecuada para el tratamiento de los datos que registra en la plataforma, incluido, cuando proceda, el consentimiento explícito para los datos de salud.

10. Legislación aplicable

Este acuerdo se rige por el RGPD, por la Ley Orgánica 3/2018 (LOPDGDD) y por la demás normativa española y de la Unión Europea aplicable en materia de protección de datos.