Contrato de Encargo de Tratamiento de Datos (DPA · Art. 28 RGPD)

1.Objeto y duración del encargo

El presente contrato tiene por objeto regular el tratamiento de datos personales realizado por VERDEJO PEREZ AIE por cuenta del Cliente (profesional autónomo, preparador físico, club, gimnasio o federación) a través de la plataforma TrainingView. La duración coincide con la vigencia de la suscripción del Cliente en la plataforma.

• Naturaleza del tratamiento: Alojamiento, cálculo algorítmico, representación visual de telemetría y comunicación bidireccional entre preparadores y atletas.
• Categorías de interesados: Deportistas, socios, federados y personal técnico dependiente del Cliente.
• Categorías de datos: Datos identificativos, contacto, telemetría deportiva (.FIT/.GPX, vatios, cadencia, ritmo, velocidad, GPS) y datos de salud fisiológica (frecuencia cardíaca, HRV, lactato, historial lesivo y escalas de esfuerzo RPE).

2.Identificación de las partes y roles RGPD

A los efectos de la normativa europea de protección de datos:

• El Cliente (Entrenador autónomo o Empresa titular de la cuenta organizativa) actúa como Responsable del Tratamiento de los datos de sus pupilos, socios o atletas tutelados.
• TrainingView (VERDEJO PEREZ AIE) actúa exclusivamente como Encargado del Tratamiento (Art. 28 RGPD).
• El deportista individual actúa como Interesado (Data Subject) titular inalienable de sus derechos ARSOPOL.

3.Tratamiento conforme a instrucciones documentadas

TrainingView se compromete a tratar los datos personales únicamente siguiendo las instrucciones documentadas del Cliente transmitidas a través de la configuración y operativa ordinaria del software, salvo que el Derecho de la Unión Europea o de los Estados miembros disponga lo contrario.

• TrainingView no aplicará ni utilizará los datos con un fin distinto al de la prestación del servicio SaaS contratado.
• TrainingView jamás cederá, venderá ni comercializará los datos de los atletas para fines publicitarios, de prospección comercial ni reentrenamiento general de modelos de IA externos.
• Si TrainingView considera que una instrucción infringe el RGPD, informará inmediatamente al Responsable.

4.Deber de confidencialidad y cualificación del personal

TrainingView garantiza que todo su personal técnico, desarrolladores y administradores autorizados para procesar datos personales están sujetos a una obligación formal de confidencialidad contractual y han recibido formación adecuada en seguridad y privacidad.

5.Medidas de seguridad técnicas y organizativas (Art. 32 RGPD)

TrainingView aplica las medidas técnicas y organizativas necesarias para garantizar un nivel de seguridad adecuado al riesgo de tratar datos de salud deportiva (Art. 9 RGPD):

• Cifrado de datos en tránsito mediante protocolos TLS 1.3 y cifrado en reposo (AES-256) en las bases de datos y copias de seguridad.
• Aislamiento lógico y partición estricta multi-tenant impidiendo el acceso no autorizado entre cuentas de empresas, entrenadores o deportistas (ADR 001).
• Autenticación reforzada (2FA/MFA), contraseñas hash con algoritmos robustos y tokens scoped de API de corta duración.
• Copias de seguridad automáticas diarias georredundantes en centros de datos ubicados estrictamente dentro del Espacio Económico Europeo (Frankfurt / París).
• Trazabilidad e inmutabilidad de logs de acceso a registros fisiológicos retenidos conforme a la política corporativa de auditoría.

6.Sub-encargados del tratamiento autorizados

El Cliente otorga una autorización general a TrainingView para recurrir a sub-encargados necesarios para la infraestructura del servicio SaaS, garantizando que estos asumen obligaciones equivalentes:

• Infraestructura Cloud y Hosting: Servidores seguros ubicados en la Unión Europea (Hetzner Online GmbH / AWS Europe).
• Pasarela de Pagos y Liquidaciones: Stripe Payments Europe, Ltd. (cumplimiento PCI-DSS Nivel 1).
• Métricas y Analítica Agregada: Plausible Analytics (100% anónimo, sin cookies, alojado en la UE).
• TrainingView notificará al Cliente cualquier cambio previsto en la incorporación de nuevos sub-encargados con al menos 15 días de antelación.

7.Ejercicio de derechos de los deportistas (ARSOPOL)

TrainingView asistirá al Responsable, a través de medidas técnicas integradas en la plataforma, para que pueda responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición ejercitadas por los deportistas. Si un deportista contacta directamente con TrainingView, la solicitud será trasladada al Responsable en un plazo máximo de 48 horas laborables.

8.Notificación y gestión de violaciones de seguridad

En caso de producirse un incidente o brecha de seguridad que afecte a datos personales tratados bajo este encargo, TrainingView lo notificará al Responsable sin dilación indebida y, a más tardar, dentro de las 72 horas siguientes a tener constancia del suceso, facilitando la información exigida por el Art. 33.3 del RGPD para que el Responsable pueda notificarlo a la AEPD si procede. Canal de emergencias: security@trainingview.es.

9.Supresión y devolución de datos tras la baja

A elección del Cliente al cancelar la cuenta o resolver el contrato de servicio, TrainingView suprimirá o devolverá todos los datos personales de sus atletas, facilitando su exportación en formatos estándar e interoperables (.FIT, .GPX, JSON, CSV), destruyendo las copias existentes salvo que la legislación tributaria o mercantil española exija su conservación bloqueada.

10.Auditorías, certificaciones y colaboración

TrainingView pondrá a disposición del Responsable la información razonable necesaria para demostrar el cumplimiento de las obligaciones del Art. 28 del RGPD y facilitará auditorías técnicas o inspecciones documentales conducidas por el Responsable o por un auditor independiente autorizado.