Este Acuerdo de Encargado del Tratamiento («DPA») forma parte integrante de los Términos de Servicio. Regula el tratamiento, por parte de MyFitnessClient, de los datos personales que cada profesional gestiona sobre sus clientes a través de la Plataforma.
1. Partes y Ámbito
Siempre que el profesional («el Responsable del Tratamiento») utiliza la Plataforma para tratar datos personales de sus clientes, el profesional es el responsable del tratamiento y MyFitnessClient («nosotros») actúa como encargado del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
En cuanto a los datos que tratamos como responsables (cuentas, facturación, seguridad y sitio web), se aplica nuestra Política de Privacidad, y no este DPA.
2. Objeto, Duración, Naturaleza y Finalidad
Objeto y duración: el tratamiento de los datos de los clientes del Responsable durante la vigencia de la relación contractual y mientras exista la cuenta, sin perjuicio de los plazos legales de conservación. Naturaleza y finalidad: alojar y procesar esos datos exclusivamente para poner a disposición las funcionalidades de la Plataforma (gestión de clientes, entrenamientos, nutrición, evaluaciones, progreso, comunicación y demás funcionalidades) y según las instrucciones del Responsable.
3. Tipos de Datos y Categorías de Interesados
El tratamiento puede comprender:
- Datos de identificación y contacto de los clientes
- Mediciones y composición corporal, resultados de evaluaciones y fotografías de progreso
- Cuestionarios de salud/anamnesis, que pueden incluir datos relativos a la salud (categorías especiales — artículo 9 del RGPD)
- Registros de entrenamiento, nutrición, hábitos, objetivos y notas de seguimiento
- Mensajes y respuestas a formularios
Categorías de interesados: los clientes y alumnos del Responsable.
4. Instrucciones del Responsable
Tratamos los datos únicamente sobre la base de instrucciones documentadas del Responsable. Los Términos, este DPA y el uso que el Responsable hace de la Plataforma constituyen esas instrucciones. Informaremos al Responsable si consideramos que una instrucción infringe el RGPD u otra legislación de protección de datos aplicable.
5. Confidencialidad
Aseguramos que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad, de naturaleza contractual o legal.
6. Seguridad (Artículo 32)
Aplicamos las medidas técnicas y organizativas adecuadas descritas en la sección de Seguridad de la Política de Privacidad, teniendo en cuenta el estado de la técnica y los riesgos del tratamiento.
7. Subencargados Ulteriores
El Responsable autoriza, de forma general, el recurso a los subencargados ulteriores identificados en la lista de subencargados de la Política de Privacidad, imponiéndoles obligaciones de protección de datos equivalentes a las de este DPA. Siempre que pretendamos añadir o sustituir un subencargado, informaremos al Responsable con una antelación razonable; este puede oponerse, por motivos fundados de protección de datos, en el plazo de 30 días — si la oposición se mantiene sin solución, podrá cesar el uso del Servicio.
8. Asistencia y Violaciones de Datos
En la medida de lo razonable y teniendo en cuenta la naturaleza del tratamiento, asistimos al Responsable a responder a las solicitudes de ejercicio de derechos de los interesados (Capítulo III del RGPD) y a cumplir las obligaciones de los artículos 32 a 36 (seguridad, notificación de violaciones y evaluaciones de impacto).
En caso de violación de datos personales que afecte a los datos del Responsable, se la notificaremos sin dilación indebida después de haber tenido conocimiento de ella, con la información razonablemente disponible para que pueda cumplir sus deberes de los artículos 33 y 34.
9. Supresión o Devolución de los Datos
Cesada la prestación del Servicio, suprimimos o devolvemos los datos, a elección del Responsable, salvo conservación exigida por ley. Se aplican los plazos descritos en la Política de Privacidad y en los Términos — en particular la conservación de archivos durante 90 días tras la finalización de una suscripción de pago y la supresión o anonimización de los datos de la cuenta en el plazo máximo de 30 días desde la solicitud.
10. Auditoría y Demostración de Conformidad
Ponemos a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 y permitimos y contribuimos a las auditorías, incluidas las inspecciones, realizadas por el Responsable o por un auditor mandatado por él. Las auditorías se realizan mediante preaviso razonable, de forma proporcionada y con salvaguarda de la confidencialidad y de la seguridad de los demás clientes, en primera línea a través de documentación y de respuestas a cuestionarios.
11. Transferencias Internacionales
Las transferencias de datos fuera del Espacio Económico Europeo solo se producen con las salvaguardas adecuadas previstas en el Capítulo V del RGPD, conforme a lo descrito en la Política de Privacidad (decisiones de adecuación, incluido el EU-U.S. Data Privacy Framework cuando sea aplicable, y/o Cláusulas Contractuales Tipo).
12. Responsabilidades del Responsable
El Responsable es responsable de disponer de una base legal válida para el tratamiento de los datos de sus clientes — incluido el consentimiento explícito cuando sea exigido, en especial para datos de salud (artículo 9 del RGPD) —, de proporcionar instrucciones lícitas y de garantizar la exactitud y la licitud de los datos que recopila y nos confía.
13. Disposiciones Finales
Este DPA forma parte integrante de los Términos de Servicio; en caso de conflicto en cuanto al tratamiento de datos al amparo del artículo 28 del RGPD, prevalece este DPA. Se rige por la ley portuguesa. Las expresiones no definidas en este DPA tienen el significado que les atribuye el RGPD.
14. Contacto
Para cuestiones relativas a este Acuerdo o al tratamiento de datos:
- Email: [email protected]