Legal

Borrador. Este documento no tiene validez legal hasta que lo revise y apruebe un profesional del derecho. Los textos entre [CORCHETES] deben rellenarse.

Contrato de encargo del tratamiento

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

Partes

Responsable del tratamiento («el Club»): [NOMBRE_DEL_CLUB], con NIF [NIF_CLUB] y domicilio en [DOMICILIO_CLUB], representado por [NOMBRE_REPRESENTANTE_CLUB], en calidad de [CARGO].

Encargado del tratamiento («el Encargado»): [NOMBRE_O_RAZON_SOCIAL], con NIF [NIF] y domicilio en [DOMICILIO], titular de la aplicación voiteo, representado por [NOMBRE_REPRESENTANTE_TITULAR].

Este contrato forma parte de los términos y condiciones del servicio que el Club acepta al contratar. Si hay contradicción en materia de protección de datos, prevalece este contrato.

1. Objeto

El Encargado trata datos personales por cuenta del Club para prestarle el servicio de software de gestión de clubes voiteo: alojamiento, conservación, consulta, organización, modificación, extracción, comunicación a los usuarios autorizados del Club y supresión de los datos que el Club introduzca.

2. Duración

Este contrato dura lo mismo que la suscripción del Club al servicio. Las obligaciones de confidencialidad y de devolución y borrado (cláusula 11) siguen vigentes después.

3. Finalidad

Prestar al Club las funciones de la aplicación: inscripciones, equipos y plantillas, partidos y convocatorias, entrenamientos e instalaciones, comunicación con familias, portal de familias, delegados de campo, estadísticas, fotos y galerías, cobros y asistente de voz, según los módulos contratados.

El Encargado no tratará los datos para ninguna otra finalidad.

4. Tipos de datos

Identificativos: nombre, apellidos, DNI o NIE, fecha de nacimiento, género, imagen (fotos).
Contacto: teléfono, correo electrónico.
Situación familiar: parentesco, patria potestad, tipo de custodia, autorización de recogida, restricción de contacto, documento justificativo.
Económicos: forma de pago, pagador y porcentaje, estado de cobros.
Deportivos: equipo, dorsal, convocatorias, estadísticas, licencias federativas.
Consentimientos: imagen y demás que recoja el Club.
De uso: cuentas de usuario, roles, sesiones, registros de actividad.

Nota para la revisión: si el Club registra datos de salud, añadir «categorías especiales (salud)» y las garantías del art. 9 RGPD.

5. Categorías de interesados

Jugadores, en su mayoría menores de edad.
Padres, madres, tutores legales y familiares.
Entrenadores, coordinadores y demás personal del Club.
Delegados de campo.
Usuarios de la aplicación designados por el Club.
Personas de contacto de patrocinadores.

6. Obligaciones del Encargado

El Encargado se compromete a:

Tratar los datos solo siguiendo las instrucciones documentadas del Club. Este contrato, la configuración que el Club hace en la aplicación y sus peticiones por escrito son esas instrucciones. Si una instrucción infringe la normativa, avisará al Club de inmediato.
No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados (cláusula 9) o por obligación legal.
Garantizar que las personas autorizadas a tratar los datos se han comprometido por escrito a guardar confidencialidad.
Aplicar las medidas de seguridad de la cláusula 8.
Ayudar al Club, en la medida de lo posible, a atender los derechos de los interesados. Si un interesado se dirige al Encargado, trasladará la petición al Club en un plazo de [5] días hábiles y no responderá por su cuenta.
Notificar al Club cualquier violación de seguridad de los datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que la conozca, con la información del art. 33.3 RGPD de que disponga.
Ayudar al Club con las evaluaciones de impacto y las consultas previas a la autoridad de control, si son necesarias.
Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
Poner a disposición del Club la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías (cláusula 12).
Designar un delegado de protección de datos si es obligatorio y comunicar su identidad al Club: [DPD_CONTACTO].

7. Obligaciones del Club

El Club se compromete a:

Tener una base legal para cada tratamiento y haber informado a los interesados (ver plantillas para clubes).
Recoger el consentimiento de los tutores cuando sea necesario, en especial para menores de 14 años y para el uso de la imagen.
Introducir solo los datos necesarios y mantenerlos exactos.
Dar acceso a la aplicación solo a las personas que lo necesiten y con el rol adecuado, y retirarlo cuando dejen el Club.
Custodiar sus contraseñas y avisar al Encargado si sospecha de un acceso indebido.
Supervisar el tratamiento, incluidas las auditorías.

8. Medidas de seguridad

El Encargado aplica, como mínimo, estas medidas (art. 32 RGPD):

Medida	Cómo se aplica
Aislamiento entre clubes	Todos los datos llevan el identificador del club. El servidor fija ese identificador a partir de la sesión, nunca lo acepta del navegador, y una capa única de acceso a datos lo añade a todas las consultas. Las relaciones entre tablas usan claves compuestas con el club, de modo que un registro no puede enlazar con otro club. Hay pruebas automáticas de fuga entre clubes.
Contraseñas	Se guardan con PBKDF2-SHA256, sal aleatoria por usuario y 100.000 iteraciones. Nunca se guardan en claro. Longitud mínima de 10 caracteres. Se limitan los intentos fallidos de inicio de sesión.
Sesiones	El identificador de sesión es aleatorio y va en una cookie `HttpOnly` y `Secure`. En la base de datos solo se guarda su resumen SHA-256, de modo que una copia de la base no permite suplantar sesiones. Caducan a los 30 días o al cerrar sesión.
Control de acceso	Por roles (dirección, coordinación deportiva, tesorería, entrenador principal, ayudante) y por equipos: un entrenador solo modifica lo de sus equipos. Las cuentas desactivadas pierden el acceso al instante.
Panel de la plataforma	Cuentas y sesiones separadas de las de los clubes, con doble factor de autenticación. Muestra solo cifras agregadas, nunca datos personales de los clubes.
Registro de auditoría	Se registran las acciones relevantes (quién, qué, sobre qué registro y cuándo). Cualquier acceso del Encargado a los datos de un Club, a petición de este, exige un motivo y queda registrado de forma visible para el Club.
Cifrado en tránsito	Todo el tráfico va por HTTPS (TLS).
Fotos y documentos	Se guardan en almacenamiento de objetos separado por club y nunca se sirven por URL pública: cada descarga pasa por la aplicación, que comprueba club y sesión. Se valida el tipo real de cada archivo subido.
Portal de familias	Cada tutor ve solo a sus hijos. Las páginas con datos personales no se guardan en cachés intermedias ni las indexan los buscadores. Se respeta la restricción de contacto.
Copias de seguridad	La base de datos (Cloudflare D1) mantiene una recuperación a un momento anterior de hasta [30] días. [DESCRIBIR_COPIAS_ADICIONALES si las hay].
Datos de prueba	La demo y las pruebas usan datos ficticios, nunca datos de clubes reales.
Personal	Acceso limitado a quien lo necesita, con compromiso de confidencialidad.

El Encargado revisará estas medidas periódicamente y podrá mejorarlas. No las reducirá por debajo del nivel aquí descrito sin avisar al Club.

Nota para la revisión: el equipo técnico debe confirmar que el doble factor del panel, el registro de auditoría y el plazo de recuperación de D1 están activos en producción antes de firmar.

9. Subencargados

El Club da una autorización general al Encargado para recurrir a los subencargados de la lista de subencargados.

El Encargado avisará al Club por correo, con al menos [30] días de antelación, de cualquier alta o sustitución de un subencargado.
El Club podrá oponerse por motivos razonables relacionados con la protección de datos. Si no hay acuerdo, podrá resolver el contrato sin penalización y con devolución de la parte proporcional ya pagada.
El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de este contrato y responderá ante el Club de su cumplimiento.

10. Transferencias internacionales

Los datos se alojan y tratan preferentemente en el Espacio Económico Europeo. Cuando un subencargado pueda acceder a ellos desde fuera, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea, según se detalla en la lista de subencargados.

11. Fin del contrato: devolución y borrado

Al terminar el servicio:

El Club podrá exportar todos sus datos desde la aplicación en un formato estructurado y de uso común (CSV o JSON, y las fotos en sus archivos originales) durante [30] días desde la baja.
Pasado ese plazo, el Encargado borrará todos los datos personales del Club de la base de datos y del almacenamiento de archivos en un máximo de [30] días más. Las copias de seguridad se borrarán al caducar su ciclo de retención, en un máximo de [30] días, y mientras tanto no se usarán salvo para restaurar el servicio.
El Encargado entregará al Club, si lo pide, un certificado de borrado.
Solo se conservarán, bloqueados, los datos que una ley obligue a guardar, durante el plazo legal.

Si el Club está suspendido por impago, sus datos no se borran mientras dure la suspensión (ver términos).

12. Auditoría

El Encargado facilitará al Club, previa petición por escrito, la información necesaria para demostrar que cumple este contrato: descripción de medidas, certificaciones de los subencargados y resultado de las revisiones de seguridad.
El Club podrá realizar o encargar una auditoría, con un preaviso de [30] días, en horario laboral, sin afectar al servicio de otros clubes ni a la seguridad de la plataforma, y con un compromiso de confidencialidad del auditor. Salvo indicios de incumplimiento, una vez al año como máximo.
El coste de la auditoría corre a cargo del Club, salvo que revele un incumplimiento grave del Encargado.

13. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o el RGPD, según el artículo 82 RGPD. Si el Encargado trata los datos para fines propios o en contra de las instrucciones, será considerado responsable de ese tratamiento.

14. Ley aplicable

Este contrato se rige por la ley española. Las partes se someten a los juzgados y tribunales de [CIUDAD_DOMICILIO_TITULAR].

Firma

Por el Club	Por el Encargado
[NOMBRE_REPRESENTANTE_CLUB]	[NOMBRE_REPRESENTANTE_TITULAR]
Fecha:	Fecha:

Si el contrato se acepta en línea al contratar el servicio, sustituir este bloque por la constancia electrónica de la aceptación (fecha, usuario y versión del documento).