Contrato de encargo del tratamiento

Reunidos

De una parte, [razón social de Sporting Ciutat de Palma], con CIF [CIF del club] y domicilio en [domicilio social del club] (en adelante, el Responsable), representado por D./D.ª ______________________________ en calidad de ______________________.

De otra parte, [titular de la plataforma], con NIF [NIF de la plataforma] y domicilio en [domicilio de la plataforma] (en adelante, el Encargado).

Ambas partes se reconocen capacidad para firmar este contrato, que regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Cláusulas

1. Objeto

El Encargado presta al Responsable el servicio de la aplicación de gestión deportiva (plantilla, calendario, convocatorias, alineaciones, entrenamientos, estadísticas, comunicaciones, directo de los partidos y carteles). Para ello trata datos personales por cuenta del Responsable, solo con esa finalidad.

2. Duración

Este contrato dura lo mismo que la prestación del servicio. Al terminar, se aplica la cláusula 9.

3. Naturaleza, finalidad, datos e interesados

• Tratamientos: recogida, registro, conservación, consulta, modificación, comunicación por transmisión a quien el Responsable indique (federación, sistema de gestión del club), difusión de la información pública que el Responsable decida, copia de seguridad y supresión.
• Categorías de interesados: jugadores y jugadoras (incluidos menores de edad), sus padres, madres o tutores, cuerpo técnico y personas usuarias de la app.
• Categorías de datos: identificativos y de contacto, imagen, datos deportivos y de rendimiento, régimen interno, credenciales de acceso y datos técnicos; y datos de salud (lesiones y motivos de ausencia) cuando el Responsable los registre.

4. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, incluidas las que se dan al configurar y usar la app, y no aplicarlos a fines propios.
2. Informar inmediatamente al Responsable si una instrucción infringe, a su juicio, la normativa de protección de datos.
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
4. Aplicar las medidas de seguridad del artículo 32 RGPD adecuadas al riesgo: cifrado de las comunicaciones, control de acceso por papeles comprobado en la base de datos, contraseñas cifradas, almacenamiento privado de las fotos con enlaces temporales, exportación de copias de seguridad y posibilidad de bloquear cuentas.
5. No comunicar los datos a terceros salvo con autorización del Responsable o por obligación legal.
6. Asistir al Responsable para atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), trasladándole sin dilación las que reciba.
7. Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, las violaciones de seguridad de los datos, con la información necesaria para que el Responsable pueda notificarlas a la autoridad de control y, en su caso, a los interesados.
8. Ayudar al Responsable, cuando proceda, en las evaluaciones de impacto y consultas previas a la autoridad de control.
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, con preaviso.
10. Llevar el registro de actividades de tratamiento que realiza por cuenta del Responsable cuando la ley lo exija.

5. Subencargados

El Responsable autoriza de forma general al Encargado a servirse de los siguientes subencargados, a los que el Encargado impone por contrato las mismas obligaciones de protección de datos:

El Encargado avisará al Responsable de cualquier cambio en esta lista con al menos 15 días de antelación; el Responsable podrá oponerse por motivos justificados.

6. Transferencias internacionales

Las transferencias a terceros países que impliquen los subencargados se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias que procedan.

7. Obligaciones del Responsable

1. Disponer de una base jurídica para el tratamiento y, cuando haga falta, del consentimiento de los interesados o de sus representantes legales (en particular, para los menores de 14 años, los datos de salud y la imagen pública).
2. Informar a los interesados del tratamiento (la app incluye una política de privacidad que el Responsable revisa y asume).
3. Dar acceso a la app solo a quien corresponda y retirarlo cuando termine su relación con el club.
4. Supervisar el tratamiento y dar al Encargado instrucciones conformes a la normativa.

8. Confidencialidad

El Encargado mantendrá el secreto sobre los datos incluso después de terminar el contrato.

9. Fin del encargo

Al terminar el servicio, y a elección del Responsable, el Encargado le entregará una copia de los datos en un formato estructurado y de uso común (la app incluye una exportación completa) y, después, los suprimirá, incluidas las copias, salvo que una norma obligue a conservarlos; en ese caso los mantendrá bloqueados el tiempo necesario.

10. Responsabilidad y legislación

Si el Encargado incumple este contrato o trata los datos con otra finalidad, será considerado responsable de ese tratamiento. Este contrato se rige por la legislación española.

Firmas

En ______________________, a ____ de ______________________ de 20____.