Este contrato regula el tratamiento de datos personales que Adrià Colomer Serra, NIF 33956328W, con domicilio en C/Mallol, 35 2n 2a (el «encargado») realiza por cuenta de cada club cliente de Pranarp Club (el «responsable») al prestarle el servicio, conforme al artículo 28 del RGPD y al artículo 33 de la LOPDGDD. Forma parte de las Condiciones del servicio y el responsable lo acepta al darse de alta. Su versión vigente es la 2026-10.
1. Objeto, duración y finalidad
El encargado trata los datos personales que el responsable introduce o genera en la aplicación con la única finalidad de prestarle el servicio contratado: alojamiento, gestión de jugadores y socios, reservas de pistas y espacios, tarifas, membresías, comunicaciones, informes y el resto de funciones que el responsable decida usar. El tratamiento dura lo mismo que el contrato de servicio y, después, el tiempo necesario para devolver o eliminar los datos según el apartado 9.
2. Tipos de datos y personas afectadas
- Personas afectadas: jugadores, socios y potenciales clientes del responsable; titulares y asistentes de las reservas; sus tutores legales; trabajadores y colaboradores del responsable.
- Datos: identificativos y de contacto (nombre, correo electrónico, teléfono); datos de reservas, asistencia, membresías y nivel de juego; datos de licencia y notas internas; datos económicos y de facturación; comunicaciones, y cualquier otro que el responsable decida registrar.
- Categorías especiales: la aplicación no está pensada para registrar datos de salud u otras categorías especiales. Si el responsable los anota (por ejemplo, en notas libres), lo hace bajo su responsabilidad y debe disponer de una base legal adecuada. El encargado les aplica las mismas medidas de seguridad que al resto de datos.
3. Obligaciones del encargado
El encargado se compromete a:
- tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y la configuración y el uso que el responsable hace de la aplicación, también en lo relativo a transferencias internacionales; si considera que una instrucción infringe la normativa, se lo comunicará inmediatamente;
- no usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal;
- garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad;
- aplicar las medidas de seguridad del apartado 5;
- ayudar al responsable a atender las solicitudes de ejercicio de derechos de las personas afectadas, sobre todo mediante las funciones de la aplicación (consulta, rectificación, exportación y anonimización de fichas), y trasladarle sin demora cualquier solicitud que reciba directamente;
- ayudar al responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad y, en su caso, de evaluación de impacto y consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga;
- poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisadas con al menos 30 días de antelación, a cargo del responsable y sin comprometer la seguridad ni la confidencialidad de otros clientes.
4. Obligaciones del responsable
El responsable garantiza que los datos que introduce en la aplicación se han obtenido lícitamente, que dispone de una base legal para tratarlos (incluido el envío de comunicaciones a sus jugadores), que ha informado a las personas afectadas (por ejemplo, con la página de privacidad del club que la aplicación publica) y que solo registra los datos necesarios. También es responsable de gestionar los accesos de su equipo y los permisos que les concede.
5. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS/TLS) y contraseñas almacenadas con funciones de hash seguras.
- Aislamiento lógico de los datos de cada club y control de accesos por roles y permisos.
- Alojamiento en centros de datos de IONOS en la Unión Europea, con medidas físicas de seguridad.
- Copias de seguridad periódicas y procedimientos de restauración.
- Registro de la actividad relevante y monitorización de errores.
- Actualizaciones de seguridad del software y de sus dependencias.
- Acceso del personal del encargado a los datos del responsable limitado a lo necesario para prestar soporte o resolver incidencias.
6. Violaciones de seguridad
El encargado notificará al responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos. Incluirá la información disponible: naturaleza de la violación, categorías y número aproximado de personas y registros afectados, consecuencias probables y medidas adoptadas o propuestas. La notificación a la autoridad de control y a las personas afectadas corresponde al responsable, con la ayuda del encargado.
7. Subencargados
El responsable autoriza de forma general al encargado a recurrir a los subencargados de la lista siguiente. El encargado les impone por contrato las mismas obligaciones de protección de datos que asume en este contrato y responde de su cumplimiento. Los marcados como «opcional» solo tratan datos si se activa la función correspondiente.
El encargado avisará al responsable de cualquier alta o sustitución de subencargados con al menos 15 días de antelación, por correo electrónico o en la aplicación. El responsable puede oponerse por motivos razonables relacionados con la protección de datos; si no se llega a una solución, podrá cancelar el servicio sin penalización.
| Subencargado | Servicio | Ubicación | Garantía |
|---|---|---|---|
| IONOS SE | Alojamiento de la aplicación, base de datos, archivos y copias de seguridad; envío de correo electrónico | UE (Alemania / España) | Tratamiento en la UE |
| Cloudflare, Inc. (Turnstile) | Protección antispam de los formularios (Turnstile) | EE. UU. / UE | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Google Ireland Ltd. / Google LLC | Analítica agregada de la web y la aplicación, solo con consentimiento opcional | UE (Irlanda) / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Functional Software, Inc. (Sentry) | Monitorización de errores de la aplicación (Sentry); no se envían datos de reservas | EE. UU. / UE | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Servicios push de navegadores (Google, Mozilla, Apple, Microsoft) | Notificaciones push del navegador (solo si el usuario las activa); pasan por el servicio push de su navegador (Google, Mozilla, Apple, Microsoft) opcional | Según el navegador del usuario | Cláusulas contractuales tipo |
8. Transferencias internacionales
Los datos se alojan en la Unión Europea. Cuando un subencargado los trata fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas) o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias necesarias.
9. Devolución y eliminación de los datos
Al terminar el servicio, el responsable puede exportar sus datos durante 30 días o pedir al encargado que se los entregue en un formato estructurado y de uso común. Transcurridos 90 días desde el fin del contrato, el encargado elimina los datos de sus sistemas activos, y las copias de seguridad se sobrescriben en su ciclo habitual. El encargado puede conservar bloqueados los datos estrictamente necesarios mientras puedan derivarse responsabilidades de la ejecución del servicio.
10. Responsabilidad y vigencia
Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD. Si el encargado trata los datos para fines propios o incumple este contrato, será considerado responsable de ese tratamiento. Este contrato está vigente mientras lo esté el contrato de servicio y, después, mientras el encargado conserve datos del responsable. Para cualquier consulta, escribe a info@pranarpclub.com.