Acuerdo de encargo del tratamiento

1. Partes y ámbito

Este Acuerdo de encargo del tratamiento (el «Acuerdo de encargo») se celebra entre tú, como entrenador («tú» o el «responsable»), y [Razón social], con NIF [NIF] y domicilio social en [Domicilio social] («Nivo», «nosotros» o el «encargado»).

Forma parte de los Términos del servicio para entrenadores (los «Términos») y se aplica siempre que tratamos datos personales por tu cuenta en relación con Nivo (los «datos personales de clientes»), conforme al artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 («RGPD») y a la Ley Orgánica 3/2018 (LOPDGDD).

No se aplica a los datos que Nivo trata como responsable independiente, descritos en la Política de privacidad, como los datos de la cuenta y de acceso de tus clientes a Nivo, los registros de seguridad, la analítica de la app y los registros de aceptación de nuestros términos.

2. Detalles del tratamiento

3. Tus instrucciones

Tratamos los datos personales de clientes únicamente siguiendo tus instrucciones documentadas. Los Términos, este Acuerdo de encargo y el uso y la configuración que haces de las funciones de Nivo constituyen tus instrucciones completas. Solo trataremos los datos personales de clientes de otro modo si lo exige el Derecho de la Unión o de un Estado miembro, en cuyo caso te informaremos antes, salvo que dicho Derecho lo prohíba. Te informaremos de inmediato si consideramos que una instrucción infringe la normativa de protección de datos.

4. Tus obligaciones como responsable

• Contar con una base jurídica válida para todos los datos personales de clientes que introduzcas en Nivo o que pidas a tus clientes que faciliten.
• Informar a tus clientes sobre el tratamiento, conforme a los artículos 13 y 14 del RGPD, incluido el hecho de que usas Nivo. Nuestra Política de privacidad puede ayudarte, pero no sustituye tu propio deber de información.
• Datos de salud: Nivo pide a tus clientes su consentimiento explícito en la app para clientes cuando se unen. Antes de que un cliente haya dado ese consentimiento, por ejemplo cuando introduces información al crear su perfil, eres responsable de contar con una base jurídica válida, como un consentimiento que hayas obtenido directamente. Debes respetar que un cliente no dé su consentimiento o lo retire.
• Introducir solo datos adecuados, pertinentes y limitados a lo necesario para el entrenamiento.
• Atender las solicitudes de ejercicio de derechos de tus clientes, con nuestra ayuda según la cláusula 7.

5. Confidencialidad

Garantizamos que las personas que autorizamos a tratar datos personales de clientes están sujetas a un deber de confidencialidad y que solo acceden a ellos cuando es necesario para prestar, mantener o proteger Nivo.

6. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas para proteger los datos personales de clientes, conforme al artículo 32 del RGPD, incluidas las del Anexo. Las revisamos periódicamente y podemos actualizarlas siempre que no se reduzca el nivel general de protección.

7. Asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos, te ayudaremos a:

• Atender las solicitudes de ejercicio de derechos de tus clientes. Si recibimos una solicitud directamente, te la trasladaremos sin dilación indebida y no responderemos nosotros, salvo para confirmar que te la hemos trasladado, a menos que nos lo pidas.
• Cumplir tus obligaciones en materia de seguridad, notificación de brechas, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control (artículos 32 a 36 del RGPD).

8. Brechas de seguridad

Te notificaremos sin dilación indebida, y cuando sea posible en un plazo de 48 horas desde que tengamos conocimiento de ella, cualquier violación de la seguridad que afecte a datos personales de clientes. Te facilitaremos la información que necesites para cumplir tus propias obligaciones de notificación y adoptaremos medidas razonables para contenerla y limitar sus efectos.

9. Supresión

• Cuando cierres tu cuenta o terminen los Términos, suprimiremos los datos personales de clientes en un plazo de 30 días, salvo que el Derecho de la Unión o de un Estado miembro nos obligue a conservarlos.
• Antes de cerrar tu cuenta, puedes pedirnos una copia de los datos de tus clientes en un formato de uso común.
• Cuando eliminas a un cliente en la app, sus datos de entrenamiento se suprimen en el mismo plazo.
• Los datos incluidos en copias de seguridad se suprimen a medida que estas se sobrescriben.

10. Subencargados

Nos das una autorización general para recurrir a subencargados. Nuestros subencargados actuales son:

• Imponemos a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo de encargo y seguimos siendo responsables ante ti de su cumplimiento.
• Te informaremos de cualquier subencargado nuevo o sustituto con al menos 30 días de antelación, por correo electrónico o en la app.
• Puedes oponerte por motivos razonables de protección de datos dentro de ese plazo. Si no podemos resolver tu objeción, puedes cerrar tu cuenta sin penalización antes de que el cambio entre en vigor.

11. Transferencias internacionales

Cuando un subencargado trate datos personales de clientes fuera del Espacio Económico Europeo, garantizamos una salvaguarda adecuada conforme al capítulo V del RGPD, como una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas) o las cláusulas contractuales tipo.

12. Información y auditorías

Pondremos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo de encargo, incluida la documentación de seguridad y las certificaciones de nuestros subencargados. Si no fuera suficiente, puedes solicitar una auditoría una vez al año, a tu cargo y con al menos 30 días de preaviso. Deberá realizarla en horario laboral un auditor independiente sujeto a confidencialidad, de forma que no comprometa los datos de otros usuarios ni nuestra seguridad.

13. Responsabilidad y prevalencia

La responsabilidad de cada parte en virtud de este Acuerdo de encargo está sujeta a las limitaciones de los Términos, salvo cuando la ley no las permita. Si este Acuerdo de encargo contradice los Términos, prevalece este Acuerdo de encargo en lo relativo a la protección de datos personales.

Anexo: medidas de seguridad

• Cifrado de los datos en tránsito (TLS) y en reposo (por nuestro proveedor de alojamiento).
• Autenticación de todos los usuarios.
• Reglas de acceso, cubiertas por pruebas automatizadas, que limitan a cada entrenador a sus propios datos y clientes, y a cada cliente a sus propios datos.
• Base de datos principal y funciones de servidor alojadas en regiones de la UE.
• Acceso administrativo limitado al personal autorizado que lo necesita, con credenciales y secretos guardados en un gestor de secretos.
• Supervisión de errores y del estado del servicio, y un procedimiento de respuesta ante incidentes de seguridad.
• Revisión periódica de las dependencias de software y de las reglas de acceso.