Acuerdo de Encargo del Tratamiento (DPA)

1. Partes y ámbito

Responsable del tratamiento («Responsable»): el titular de la Cuenta Profesional, identificado por los datos de la cuenta; en los equipos, el Titular del equipo, tal como se define en los Términos. Encargado del tratamiento («nosotros»): Vasco José Cardoso Correia, empresario individual (autónomo), NIF 262045630, Rua de Campezinhos, 27, Lomba, 4600-663 Amarante, Portugal, que explota MyFitnessClient ([email protected]).

Este DPA se aplica a los datos personales que el Responsable registra o recibe sobre sus clientes y otras personas en el seguimiento («Datos del Responsable»), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

No están incluidos, porque respecto de ellos somos responsables del tratamiento y se rigen por la Política de Privacidad: las cuentas y la facturación; la seguridad y el análisis de uso de la plataforma; el marketplace (perfiles públicos, solicitudes hasta que se aceptan y contactos de visitantes hasta que se entregan al Responsable); y los datos que un cliente registra en su propia cuenta mientras no esté vinculado a un profesional. Tampoco son subencargados nuestros los servicios que el Responsable vincula directamente, al amparo de un contrato propio, como su cuenta de Stripe, su cuenta de Google Calendar o las plataformas de vídeo cuyos contenidos incrusta.

2. Objeto, duración, naturaleza y finalidad

Tratamos los Datos del Responsable mientras exista su cuenta y hasta el final de los plazos de la sección 9, únicamente para prestarle el Servicio descrito en los Términos: alojar, presentar, calcular, transmitir y notificar, hacer copias de seguridad y suprimir esos datos, según sus instrucciones. No los utilizamos para fines propios, en particular publicidad, elaboración de perfiles, venta o entrenamiento de modelos de inteligencia artificial. La única excepción son las estadísticas agregadas y anónimas sobre el uso del Servicio, que no identifican al Responsable ni a los interesados.

3. Interesados y tipos de datos

Interesados: clientes y alumnos del Responsable, con o sin cuenta propia; personas que responden a sus formularios o compran sus cursos y paquetes; miembros de su equipo; visitantes que le dejan sus contactos en el perfil público; terceros mencionados en notas o mensajes.

Datos: identificación y contactos; NIF y registros de pagos; mediciones, composición corporal, fotografías y vídeos; anamnesis y cuestionarios, que pueden incluir datos de salud; valores calculados a partir de las mediciones (por ejemplo, IMC y composición corporal estimada); planes y registros de entrenamiento, nutrición, suplementación y hábitos; mensajes de texto y audio y archivos; agenda; metadatos de llamadas. Los datos de salud son categorías especiales (artículo 9 del RGPD).

4. Instrucciones

Tratamos los Datos del Responsable únicamente sobre la base de sus instrucciones documentadas: los Términos, este DPA y la forma en que utiliza y configura el Servicio. Las instrucciones adicionales se dan por escrito a [email protected]; las que van más allá del funcionamiento normal del Servicio y de lo previsto en los Términos y en este DPA dependen de nuestro acuerdo y pueden cobrarse. Si el Derecho de la Unión o de un Estado miembro nos obliga a tratar los datos de otra forma, informamos previamente al Responsable, salvo que la ley lo prohíba. Si consideramos que una instrucción infringe la normativa de protección de datos, informamos de inmediato al Responsable; si este la mantiene, podemos suspender el tratamiento en cuestión y, si persiste, resolver el contrato.

El Responsable da desde ahora estas instrucciones permanentes: (a) cuando un cliente con cuenta propia elimina la cuenta, retiramos de los Datos del Responsable los datos de perfil de ese cliente (nombre, email, contactos, fotografía, fecha de nacimiento, género, altura, peso, NIF e historial clínico), los registros del seguimiento permanecen en la cuenta del Responsable, que decide si los borra, y, si el seguimiento estaba en curso o programado, avisamos al Responsable, con el nombre del cliente, de que la cuenta se ha eliminado y el seguimiento ha terminado; (b) las cuentas de clientes sin actividad durante 12 meses pueden eliminarse en los términos de la Política de Privacidad; (c) los archivos alojados pueden eliminarse 90 días después del fin de una suscripción de pago, en los términos de la sección 9 de los Términos; (d) los contactos dejados por visitantes en el perfil público se borran un año después de recibirse.

5. Confidencialidad y acceso

Solo accede a los Datos del Responsable el personal que lo necesita, vinculado por la confidencialidad y por el deber de secreto del artículo 29, apartado 4, de la Ley n.º 58/2019. El acceso se limita a lo necesario para prestar, mantener y proteger el Servicio (en particular, a petición del Responsable o del interesado a través del soporte, para investigar incidentes de seguridad o errores, o para probar actualizaciones) o para cumplir una obligación legal. Cada sesión en la que el personal entra en una cuenta para prestar asistencia queda registrada y está limitada en el tiempo; lo que el personal guarde en esa sesión queda grabado en la cuenta, como cualquier modificación. Ni esas sesiones ni las herramientas de administración muestran archivos privados (fotografías y documentos), salvo una fotografía que estuviera en la pantalla de la aplicación móvil cuando se produjo un error y que aparezca en la captura del informe de error; la aplicación no hace esa captura en pantallas como el progreso, las evaluaciones, la anamnesis y los mensajes.

6. Seguridad

Aplicamos las medidas técnicas y organizativas del Anexo II, que revisamos periódicamente sin reducir el nivel global de protección, teniendo en cuenta el estado de la técnica y el riesgo del tratamiento, incluido el tratamiento de datos de salud.

7. Subencargados del tratamiento

El Responsable autoriza, de forma general, a los subencargados del tratamiento del Anexo III. Avisamos al Responsable por email, con al menos 30 días de antelación, de cualquier incorporación o sustitución, salvo en una sustitución urgente por razones de seguridad o por cese del servicio del proveedor, en la que avisamos en cuanto sea posible. El Responsable puede oponerse por motivos fundados de protección de datos; si no encontramos una solución, puede resolver el contrato sin penalización, con reembolso proporcional del período pagado y exportación de los datos. Imponemos a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA y seguimos siendo plenamente responsables ante el Responsable de su cumplimiento (artículo 28, apartado 4, del RGPD).

8. Asistencia y violaciones de datos

Las solicitudes de interesados que nos lleguen se remiten al Responsable sin dilación indebida; no les respondemos sin autorización, salvo para indicarles a quién deben dirigirse. Ponemos a disposición en el Servicio herramientas para consultar, rectificar y suprimir los datos de cada cliente y, previa solicitud, su exportación o su supresión completa. Ayudamos al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, violaciones, evaluación de impacto y consulta previa).

En caso de violación de datos personales que afecte a los Datos del Responsable, se lo notificamos por email sin dilación indebida y, siempre que sea posible, en un plazo de 48 horas desde que tengamos conocimiento de ella, con la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, el punto de contacto, las consecuencias probables y las medidas adoptadas o propuestas. La información que aún no esté disponible se envía por fases, sin dilación indebida.

9. Fin del tratamiento

Mientras exista la cuenta y después del fin de una suscripción de pago, el Responsable puede solicitar la exportación de los Datos del Responsable en los términos de las secciones 20 y 23 de los Términos. Cuando se elimina la cuenta, suprimimos los Datos del Responsable en un plazo de 30 días, salvo conservación exigida por ley; lo que aún conste en los registros de auditoría y en las copias de seguridad se borra al final de los plazos del Anexo II, y los informes de error hasta 90 días después. Los datos que un cliente introdujo en su propia cuenta se mantienen en esa cuenta; a partir de ese momento, dejan de ser Datos del Responsable y se rigen por la Política de Privacidad. Se exceptúan las fotografías y los archivos que el cliente envió en el seguimiento del Responsable: quedan alojados en la cuenta de este y se borran con ella.

10. Información y auditorías

Ponemos a disposición del Responsable la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitimos auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor elegido por él y sujeto a confidencialidad. Las auditorías se realizan con un preaviso razonable, como máximo una vez al año, salvo indicios de incumplimiento o solicitud de la CNPD (autoridad portuguesa de protección de datos), en primer lugar mediante documentación y cuestionarios, y sin comprometer la seguridad de los demás clientes. Las paga el Responsable, salvo que se confirme un incumplimiento nuestro. Ponemos esta información a disposición de la autoridad de control cuando la solicite.

11. Transferencias internacionales

Solo transferimos Datos del Responsable fuera del Espacio Económico Europeo con las garantías del Capítulo V del RGPD. El Anexo III indica la ubicación de cada subencargado y, cuando el tratamiento se produce fuera del Espacio Económico Europeo, la garantía aplicable. Enviamos una copia de las Cláusulas Contractuales Tipo previa solicitud.

12. Obligaciones del Responsable

Corresponde al Responsable: disponer de una base jurídica para cada tratamiento y, para los datos de salud, de una base del artículo 9, apartado 2, del RGPD (por regla general, el consentimiento explícito del interesado; los profesionales sanitarios sujetos a secreto pueden invocar la letra h), junto con el apartado 3); informar a los interesados (artículos 13 y 14), incluidas las personas que registra sin cuenta propia; obtener la autorización de los representantes legales de los menores; garantizar que los miembros de su equipo actúan bajo su autoridad y con confidencialidad (artículo 29); realizar, cuando se exija, la evaluación de impacto relativa a la protección de datos; y dar instrucciones lícitas.

13. Responsabilidad, prevalencia y modificaciones

Los límites de responsabilidad de los Términos se aplican solo entre las partes y no afectan a los derechos de los interesados (artículo 82 del RGPD). En caso de conflicto en cuanto al tratamiento de los Datos del Responsable, este DPA prevalece sobre los Términos. Las modificaciones de este DPA siguen la sección 25 de los Términos. Este DPA se rige por la ley portuguesa. Las expresiones no definidas tienen el significado que les atribuye el RGPD.

Anexo I: Resumen del tratamiento

Anexo II: Medidas técnicas y organizativas

• Servidores de producción alojados en la Unión Europea (Alemania)
• Cifrado en tránsito (HTTPS/TLS) en las conexiones a través de Internet
• Contraseñas con hash; secretos de dos factores y conexiones a servicios externos cifrados en los servidores
• Autenticación de dos factores disponible para todas las cuentas
• Separación de los datos por cuenta y por equipo, con permisos configurables por el Responsable
• Límites de intentos, protección antibots y supervisión de accesos
• Registros de auditoría de modificaciones (180 días; 365 días para cuenta y pagos) y de accesos de soporte (365 días)
• Sesiones de asistencia dentro de las cuentas, registradas y limitadas en el tiempo; ni ellas ni las herramientas de administración dan acceso a archivos privados, salvo lo que esté visible en la captura de un informe de error de la aplicación móvil
• Copias de seguridad de la base de datos, borradas por rotación, por regla general al cabo de 30 días
• Llamadas sin grabación; retransmisión y llamadas de grupo en servidores propios
• Personal con acceso vinculado por la confidencialidad

Anexo III: Subencargados del tratamiento