Acuerdo de Encargado del Tratamiento

Este Acuerdo de Encargado del Tratamiento forma parte de, y es inseparable de, los términos y condiciones entre tú y nosotros. Cuando difiera de los términos y condiciones, prevalecerá en lo relativo al tratamiento de datos personales.

Este acuerdo se aplica entre T3 Technologies BV, NIF BE 0566.940.947, Egemsesteenweg 41, 8700 Tielt, Bélgica, operador del servicio Coachbox (el «Encargado», «nosotros»), y el cliente que utiliza el servicio Coachbox (el «Responsable», «tú»).

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado establecido en el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, «RGPD»).

Eres el responsable del tratamiento de los datos personales que procesas a través del servicio. Nosotros tratamos esos datos únicamente en tu nombre, como encargado del tratamiento, para prestar el servicio. Garantizas que dispones de una base legal válida para el tratamiento que nos encomiendas.

El objeto, la duración, la naturaleza y la finalidad del tratamiento, las categorías de interesados y los tipos de datos personales se establecen en el Anexo 1. El tratamiento continúa mientras esté vigente el acuerdo entre nosotros, salvo que la ley exija una conservación más prolongada.

Tratamos los datos personales únicamente siguiendo tus instrucciones documentadas, incluidas las relativas a transferencias internacionales, salvo que una obligación legal nos exija otro tratamiento. En ese caso, te informaremos previamente, salvo que la ley lo prohíba. Tu uso del servicio y este acuerdo constituyen tus instrucciones completas. Si, a nuestro juicio, una instrucción infringe el RGPD, te lo comunicaremos.

Toda persona que trate los datos bajo nuestra autoridad está sujeta a un deber de confidencialidad, ya sea por contrato o por ley.

Implementamos las medidas técnicas y organizativas apropiadas a las que se refiere el artículo 32 del RGPD. En el Anexo 3 se recoge un resumen. Tenemos en cuenta que el estado de la técnica y los riesgos evolucionan, y ajustamos las medidas cuando es necesario.

Nos concedes una autorización general para contratar subencargados que presten el servicio. Ante cualquier subencargado nuevo o sustituto, te lo notificaremos con al menos 30 días de antelación a través de la página de subencargados y, cuando sea posible, por correo electrónico. Podrás oponerte por motivos razonables dentro de ese plazo. Si no logramos resolver la objeción juntos, podrás rescindir el servicio afectado.

Imponemos a cada subencargado las mismas obligaciones de protección de datos establecidas en este acuerdo, y seguimos siendo plenamente responsables ante ti del cumplimiento por parte de nuestros subencargados.

Teniendo en cuenta la naturaleza del tratamiento, te asistimos, mediante medidas técnicas y organizativas apropiadas, para:

• responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). El servicio ofrece autoservicio para ello: gestión de cuenta, exportación de datos y eliminación de cuenta;
• cumplir tus obligaciones en materia de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos (EIPD) y consulta previa, teniendo en cuenta la información de la que disponemos.

En cuanto tengamos conocimiento de una violación de la seguridad de los datos personales, te lo notificaremos sin dilación indebida y, en todo caso, en un plazo de 48 horas, con la información que necesites para cumplir tus propias obligaciones de notificación ante la Autoridad de Protección de Datos y los interesados.

Los datos personales se tratan y almacenan dentro de la Unión Europea (Akamai/Linode en Fráncfort y regiones de AWS en Fráncfort e Irlanda). No transferimos datos personales fuera del EEE sin un mecanismo de transferencia válido en el sentido del capítulo V del RGPD (por ejemplo, una decisión de adecuación o cláusulas contractuales tipo) ni sin tus instrucciones.

Al finalizar el servicio, eliminamos o devolvemos los datos personales, según tu elección, y eliminamos las copias existentes, salvo que la ley exija su conservación. Puedes exportar tus datos a través del servicio durante la vigencia del contrato.

Ponemos a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. A petición, facilitamos nuestra documentación sobre las medidas técnicas y organizativas y, cuando estén disponibles, informes de terceros independientes. Esto sustituye a una auditoría in situ.

La responsabilidad derivada de este acuerdo se rige por las disposiciones sobre responsabilidad de los términos y condiciones.

Este acuerdo se rige por la legislación belga. Los litigios están sujetos a la jurisdicción de los tribunales competentes establecidos en los términos y condiciones.

Naturaleza y finalidad: prestación de la plataforma de entrenamiento Coachbox: gestión de cuentas, planificación de entrenamientos, seguimiento del rendimiento, comunicación entre entrenador y atleta, y facturación.

Duración: la vigencia del contrato.

Categorías de interesados: entrenadores, atletas y usuarios invitados por el cliente.

Categorías de datos personales:

• datos de identidad y contacto (nombre, correo electrónico);
• datos de cuenta (credenciales, rol, pertenencia a equipo);
• datos de entrenamiento y rendimiento, incluidos datos fisiológicos (frecuencia cardíaca, potencia, lactato, VO₂ y mediciones similares) que pueden constituir datos de salud;
• datos de uso y de registro;
• datos de facturación (procesados a través de nuestro proveedor de pagos).

Categorías especiales (artículo 9 RGPD): datos de entrenamiento y fisiológicos relacionados con la salud, cuando corresponda.

• Cifrado en tránsito: TLS 1.2 o superior para todo el tráfico, con redirección automática de http a https.
• Cifrado en reposo: los datos de producción se almacenan cifrados.
• Control de acceso: acceso basado en roles; acceso de administrador con autenticación multifactor; acceso según el principio de mínimo privilegio.
• Aislamiento: separación lógica de los datos de cada cliente por equipo.
• Copias de seguridad: copias de seguridad diarias con 21 días de retención.
• Registro: registros de acceso y de aplicación.
• Proceso de desarrollo: cambios gestionados mediante control de versiones, análisis estático de código y un entorno de pruebas previo a producción.
• Eliminación: eliminación de cuenta de autoservicio y eliminación completa a petición.

¿Tienes preguntas sobre este Acuerdo de Encargado del Tratamiento? Contáctanos en contact@coachbox.app.