Aquest contracte regula el tractament de dades personals que Adrià Colomer Serra, NIF 33956328W, amb domicili a C/Mallol, 35 2n 2a (l'«encarregat») fa per compte de cada club client de Pranarp Club (el «responsable») en prestar-li el servei, d'acord amb l'article 28 del RGPD i l'article 33 de la LOPDGDD. Forma part de les Condicions del servei i el responsable l'accepta en donar-se d'alta. La seva versió vigent és la 2026-10.
1. Objecte, durada i finalitat
L'encarregat tracta les dades personals que el responsable introdueix o genera a l'aplicació amb l'única finalitat de prestar-li el servei contractat: allotjament, gestió de jugadors i socis, reserves de pistes i espais, tarifes, membresies, comunicacions, informes i la resta de funcions que el responsable decideixi fer servir. El tractament dura el mateix que el contracte de servei i, després, el temps necessari per retornar o eliminar les dades segons l'apartat 9.
2. Tipus de dades i persones afectades
- Persones afectades: jugadors, socis i potencials clients del responsable; titulars i assistents de les reserves; els seus tutors legals; treballadors i col·laboradors del responsable.
- Dades: identificatives i de contacte (nom, correu electrònic, telèfon); dades de reserves, assistència, membresies i nivell de joc; dades de llicència i notes internes; dades econòmiques i de facturació; comunicacions, i qualsevol altra que el responsable decideixi registrar.
- Categories especials: l'aplicació no està pensada per registrar dades de salut ni altres categories especials. Si el responsable les anota (per exemple, en notes lliures), ho fa sota la seva responsabilitat i ha de disposar d'una base legal adequada. L'encarregat els aplica les mateixes mesures de seguretat que a la resta de dades.
3. Obligacions de l'encarregat
L'encarregat es compromet a:
- tractar les dades només seguint les instruccions documentades del responsable, que són aquest contracte i la configuració i l'ús que el responsable fa de l'aplicació, també pel que fa a transferències internacionals; si considera que una instrucció infringeix la normativa, li ho comunicarà immediatament;
- no fer servir les dades per a finalitats pròpies ni comunicar-les a tercers, tret dels subencarregats autoritzats o per obligació legal;
- garantir que les persones autoritzades a tractar les dades s'han compromès a respectar-ne la confidencialitat;
- aplicar les mesures de seguretat de l'apartat 5;
- ajudar el responsable a atendre les sol·licituds d'exercici de drets de les persones afectades, sobretot mitjançant les funcions de l'aplicació (consulta, rectificació, exportació i anonimització de fitxes), i traslladar-li sense demora qualsevol sol·licitud que rebi directament;
- ajudar el responsable a complir les seves obligacions de seguretat, de notificació de violacions de seguretat i, si escau, d'avaluació d'impacte i consulta prèvia, tenint en compte la naturalesa del tractament i la informació de què disposi;
- posar a disposició del responsable la informació necessària per demostrar el compliment d'aquest contracte i permetre auditories raonables, avisades amb almenys 30 dies d'antelació, a càrrec del responsable i sense comprometre la seguretat ni la confidencialitat d'altres clients.
4. Obligacions del responsable
El responsable garanteix que les dades que introdueix a l'aplicació s'han obtingut lícitament, que disposa d'una base legal per tractar-les (inclòs l'enviament de comunicacions als seus jugadors), que ha informat les persones afectades (per exemple, amb la pàgina de privacitat del club que l'aplicació publica) i que només registra les dades necessàries. També és responsable de gestionar els accessos del seu equip i els permisos que els concedeix.
5. Mesures de seguretat
- Xifratge de les comunicacions (HTTPS/TLS) i contrasenyes emmagatzemades amb funcions de hash segures.
- Aïllament lògic de les dades de cada club i control d'accessos per rols i permisos.
- Allotjament en centres de dades d'IONOS a la Unió Europea, amb mesures físiques de seguretat.
- Còpies de seguretat periòdiques i procediments de restauració.
- Registre de l'activitat rellevant i monitorització d'errors.
- Actualitzacions de seguretat del programari i de les seves dependències.
- Accés del personal de l'encarregat a les dades del responsable limitat al que sigui necessari per prestar suport o resoldre incidències.
6. Violacions de seguretat
L'encarregat notificarà al responsable, sense dilació indeguda i en un termini màxim de 48 hores des que en tingui coneixement, qualsevol violació de la seguretat que afecti les seves dades. Inclourà la informació disponible: naturalesa de la violació, categories i nombre aproximat de persones i registres afectats, conseqüències probables i mesures adoptades o proposades. La notificació a l'autoritat de control i a les persones afectades correspon al responsable, amb l'ajuda de l'encarregat.
7. Subencarregats
El responsable autoritza de manera general l'encarregat a recórrer als subencarregats de la llista següent. L'encarregat els imposa per contracte les mateixes obligacions de protecció de dades que assumeix en aquest contracte i respon del seu compliment. Els marcats com a «opcional» només tracten dades si s'activa la funció corresponent.
L'encarregat avisarà el responsable de qualsevol alta o substitució de subencarregats amb almenys 15 dies d'antelació, per correu electrònic o a l'aplicació. El responsable s'hi pot oposar per motius raonables relacionats amb la protecció de dades; si no s'arriba a una solució, podrà cancel·lar el servei sense penalització.
| Subencarregat | Servei | Ubicació | Garantia |
|---|---|---|---|
| IONOS SE | Allotjament de l'aplicació, base de dades, fitxers i còpies de seguretat; enviament de correu electrònic | UE (Alemanya / Espanya) | Tractament a la UE |
| Cloudflare, Inc. (Turnstile) | Protecció antispam dels formularis (Turnstile) | EUA / UE | Marc de Privadesa de Dades UE-EUA i clàusules contractuals tipus |
| Google Ireland Ltd. / Google LLC | Analítica agregada del web i l'aplicació, només amb consentiment opcional | UE (Irlanda) / EUA | Marc de Privadesa de Dades UE-EUA i clàusules contractuals tipus |
| Functional Software, Inc. (Sentry) | Monitoratge d'errors de l'aplicació (Sentry); no s'envien dades de reserves | EUA / UE | Marc de Privadesa de Dades UE-EUA i clàusules contractuals tipus |
| Servicios push de navegadores (Google, Mozilla, Apple, Microsoft) | Notificacions push del navegador (només si l'usuari les activa); passen pel servei push del seu navegador (Google, Mozilla, Apple, Microsoft) opcional | Segons el navegador de l'usuari | Clàusules contractuals tipus |
8. Transferències internacionals
Les dades s'allotgen a la Unió Europea. Quan un subencarregat les tracta fora de l'Espai Econòmic Europeu, la transferència s'empara en una decisió d'adequació (inclòs el Marc de privadesa de dades UE-EUA per a les entitats adherides) o en les clàusules contractuals tipus de la Comissió Europea, amb les mesures complementàries necessàries.
9. Devolució i eliminació de les dades
En acabar el servei, el responsable pot exportar les seves dades durant 30 dies o demanar a l'encarregat que els les lliuri en un format estructurat i d'ús comú. Passats 90 dies des del final del contracte, l'encarregat elimina les dades dels seus sistemes actius, i les còpies de seguretat se sobreescriuen en el seu cicle habitual. L'encarregat pot conservar bloquejades les dades estrictament necessàries mentre se'n puguin derivar responsabilitats de l'execució del servei.
10. Responsabilitat i vigència
Cada part respon dels incompliments que li siguin imputables d'acord amb l'article 82 del RGPD. Si l'encarregat tracta les dades per a finalitats pròpies o incompleix aquest contracte, serà considerat responsable d'aquest tractament. Aquest contracte és vigent mentre ho sigui el contracte de servei i, després, mentre l'encarregat conservi dades del responsable. Per a qualsevol consulta, escriu a info@pranarpclub.com.