Contrato de encargo de tratamiento

Última actualización: 18 de septiembre de 2026

Este contrato forma parte de los términos del servicio y se acepta al crear la cuenta del club; AutoRPE guarda la versión aceptada, la fecha y el usuario que la aceptó. Regula el tratamiento que Santiago Fariñas González, NIF 04630613T («AutoRPE», encargado), realiza por cuenta del club («Responsable») conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Objeto, naturaleza y duración

AutoRPE trata los datos solo para prestar el servicio: recoger los formularios de los jugadores, calcular métricas de carga, registrar sesiones, molestias, lesiones y multas, enviar notificaciones y generar informes. El tratamiento consiste en recogida, registro, conservación, consulta, cálculo, comunicación a los subencargados indicados y supresión. Dura mientras esté vigente la cuenta del club.

2. Datos e interesados

• Interesados: jugadores del club, de 14 años o más, y miembros del staff en su uso del panel.
• Datos identificativos y de contacto: nombre del jugador y email con el que accede.
• Categorías especiales (datos de salud): dolor y estado muscular, molestias y comentarios libres del jugador, lesiones con su motivo y fechas, y datos de fisioterapia si el club activa ese módulo.
• Datos de bienestar y rendimiento: esfuerzo percibido, sueño, energía, ánimo, minutos de entrenamiento y métricas de carga calculadas.
• Datos de disciplina interna: olvidos, retrasos y multas del club.
• Datos técnicos: suscripciones a notificaciones push y registros de acceso.

3. Obligaciones del Responsable

• Contar con una base jurídica válida para el tratamiento e informar a los jugadores. La app muestra un aviso de privacidad y recoge el consentimiento explícito de cada jugador antes de su primer envío, y el jugador puede retirarlo desde la app.
• No dar de alta a jugadores menores de 14 años. El jugador declara tener 14 años o más al aceptar el aviso.
• Dar acceso al panel solo a personal autorizado y sujeto a confidencialidad.
• Valorar si necesita una evaluación de impacto (art. 35 RGPD). AutoRPE le facilitará la información que necesite para hacerla.

4. Obligaciones de AutoRPE

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, también en cuanto a transferencias internacionales, salvo obligación legal, que se comunicará antes al Responsable si la ley lo permite.
• Informar de inmediato al Responsable si una instrucción, en su opinión, infringe la normativa de protección de datos.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD): cifrado en tránsito, aislamiento de los datos de cada club, control de acceso por roles, acceso de jugadores con código de un solo uso, copias de seguridad diarias cifradas y seudonimización de los datos que se envían a la inteligencia artificial.
• Ayudar al Responsable a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD).
• Notificar al Responsable cualquier brecha de seguridad sin dilación indebida y, en todo caso, antes de 48 horas, con la información necesaria para que pueda notificarla a la autoridad si procede.
• Llevar el registro de actividades de tratamiento que realiza como encargado (art. 30.2 RGPD).

5. Subencargados

El Responsable autoriza a AutoRPE a recurrir a los siguientes subencargados. AutoRPE les impone por contrato obligaciones equivalentes a las de este documento y responde ante el Responsable de su cumplimiento:

• Hetzner Online GmbH (Alemania): servidores y copias de seguridad, en la Unión Europea.
• Google Ireland Limited (Google Workspace): envío de los emails de acceso. Recibe solo la dirección de email, nunca datos de salud.
• Google (API de Gemini, plan de pago): redacción de los informes en PDF cuando el staff los solicita. Recibe los datos del periodo seudonimizados («Jugador 1», «Jugador 2»…), sin nombres ni emails; los nombres se vuelven a poner en los servidores de AutoRPE. No usa los datos para entrenar sus modelos. Puede tratarlos fuera del EEE con las garantías del Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Además, el titular guarda una copia cifrada adicional de las copias de seguridad en equipos propios en España.

AutoRPE avisará con 30 días de antelación antes de añadir o sustituir subencargados, para que el Responsable pueda oponerse. Si se opone, puede terminar el contrato sin penalización.

6. Fin del contrato

El Responsable puede suprimir en cualquier momento jugadores, equipos o el club entero desde Ajustes, o pedir a AutoRPE que lo haga. Al terminar el servicio, puede pedir que se le devuelvan sus datos exportados y que AutoRPE los suprima; AutoRPE lo hará en un máximo de 30 días desde la petición. Las copias de seguridad se renuevan de forma automática y los datos suprimidos desaparecen de ellas en un máximo de 6 meses; mientras tanto, permanecen cifradas y no se usan.

7. Auditoría

AutoRPE pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este contrato, y permitirá y contribuirá a las auditorías e inspecciones que realice el Responsable u otro auditor autorizado por él, con un preaviso razonable y sin afectar a la seguridad de otros clientes.