Encargo de tratamiento de datos

Qué es este documento

Es el contrato que exige el artículo 28 del Reglamento General de Protección de Datos cuando alguien trata datos personales por cuenta de otro. No es una declaración de intenciones ni un anexo decorativo: obliga a las dos partes desde el momento en que el gimnasio lo acepta.

• El gimnasio es el responsable de los datos de sus atletas: decide a quién da de alta, qué guarda de cada persona, para qué y durante cuánto tiempo, y es quien pide el consentimiento cuando hace falta.
• Nosotros somos el encargado: guardamos esos datos, se los enseñamos a quien el gimnasio autoriza y no hacemos nada más con ellos.

De los datos de la cuenta con la que cada persona entra —correo, nombre, contraseña, sesiones, avisos— respondemos nosotros como responsables, y eso no lo regula este documento sino la política de privacidad. El reparto entre los dos papeles está explicado allí, en la sección «Dos papeles distintos».

Este encargo se lee junto a las condiciones de uso, de las que forma parte. Si algo de aquí choca con ellas, manda este documento en lo que toca a datos personales.

Quién es cada parte

Responsable del tratamiento: el gimnasio. El que se da de alta en Brod, con el nombre, el correo y los datos fiscales que su propietario haya puesto en el alta y en la ficha de facturación de su panel. Actúa por él la persona que creó el gimnasio o quien esa persona designe.

Encargado del tratamiento:

• Germán Ezequiel Laso Andino, libero professionista, que opera bajo el nombre comercial ProfBlu.
• Partita IVA: 04702090988.
• Codice fiscale: LSNGMN88S04Z600M.
• Actividad profesional no inscrita en el Registro delle Imprese (sin número REA).
• Domicilio de contacto: Via della Sega 1, 38080 Verdesina, Porte di Rendena (TN), Italia.
• Correo para este contrato: legal@profblu.com. Para cualquier asunto de datos, privacidad@profblu.com.

No hay delegado de protección de datos designado: la ley no lo exige para una actividad de este tamaño.

Dónde y cuándo se acepta

Este encargo se acepta al crear el gimnasio, en my.brod.profblu.com/alta, en el paso «Tu gimnasio», marcando la casilla que dice que se aceptan las condiciones, la política de privacidad y este encargo. Sin marcarla no se crea el gimnasio.

De esa aceptación guardamos tres cosas, y sólo tres: la fecha y la hora, la versión de este documento —que es su fecha de revisión, la que aparece arriba— y quién lo aceptó, es decir la cuenta que creó el gimnasio. Ese registro se puede consultar después desde el propio panel del gimnasio; es la prueba de que el contrato existe y de qué texto se aceptó.

Cuando cambiemos este documento lo avisaremos con antelación, y la nueva versión se acepta del mismo modo. La anterior no se borra: el registro guarda qué versión estaba vigente en cada momento.

Objeto, naturaleza y duración

• Objeto: prestar Brod al gimnasio —planificar entrenamiento, entregarlo a sus atletas y registrar lo que hacen— y, para poder prestarlo, tratar los datos personales que el gimnasio introduce en la aplicación y en su panel.
• Naturaleza y finalidad: sólo las operaciones que hacen falta para que la herramienta funcione. Recoger lo que el gimnasio y sus atletas escriben, conservarlo, organizarlo, mostrarlo a quien el gimnasio autoriza, modificarlo cuando ellos lo modifican, copiarlo a las copias de seguridad, extraerlo cuando piden una exportación y borrarlo cuando nos piden un borrado. Ninguna más.
• Duración: mientras el gimnasio tenga cuenta en Brod. Empieza el día en que se acepta y termina cuando el gimnasio se da de baja, cuando dejamos de prestar el servicio o cuando cualquiera de las dos partes lo termina según lo que dice más abajo.

Qué datos, y de quién

Categorías de personas afectadas:

• Los atletas que el gimnasio da de alta.
• Las personas del equipo del gimnasio —entrenador, recepción, quien administra— en cuanto aparecen ligadas a esos datos: quien firma un plan, quien escribe una nota, quien marca una cuota como pagada.

Categorías de datos, tal como los recoge la aplicación:

• Identificativos: nombre y apellidos, correo electrónico y teléfono, si el gimnasio los introduce.
• Fecha de nacimiento y sexo.
• Datos sobre el cuerpo: altura, peso corporal y el historial de pesadas, con las notas que el entrenador escriba.
• Marcas por ejercicio —el máximo de cada uno— con su fecha y sus notas.
• Los planes de entrenamiento y sus indicaciones de técnica, la hora a la que el atleta dice que va a entrenar, cada sesión (estado, descansos, notas) y el registro serie a serie: repeticiones, peso, tiempo, la nota escrita y el instante en que se terminó.
• Las cuotas que el gimnasio lleva en la pantalla «Cuotas»: a nombre de quién va el cobro, su correo, el importe, la fecha de vencimiento, si está pendiente, pagada, perdonada o vencida, y cuándo se pagó.

Los datos sobre el cuerpo son categoría especial del artículo 9 del RGPD. El gimnasio los trata con el consentimiento explícito del atleta, que recaba él, y nosotros no los usamos para nada distinto de enseñárselos a esa persona y a su entrenador. No hay diagnóstico, ni consejo médico, ni cálculo de salud.

No tratamos por cuenta del gimnasio datos de pago con tarjeta de sus atletas: la pantalla «Cuotas» es un cuaderno de cobros, apunta si se pagó, y el dinero no pasa por Brod.

Sólo hacemos lo que el gimnasio nos manda

Tratamos esos datos únicamente siguiendo las instrucciones documentadas del gimnasio. Sus instrucciones son este contrato, las condiciones de uso, y cada cosa que sus personas hacen en el panel y en la aplicación: dar de alta a un atleta, editar su ficha, publicar una semana, darlo de baja, exportar sus datos o pedirnos un borrado.

Por tanto:

• No usamos los datos del gimnasio para nada propio. Ni analítica, ni publicidad, ni perfilado, ni estadísticas de negocio, ni entrenar modelos, ni cederlos o venderlos a nadie. En el código no hay nada que lo haga.
• No los transferimos fuera del Espacio Económico Europeo salvo en lo que dice la lista de sub-encargados de más abajo, que hoy se reduce al relevo de notificaciones push.
• Si una ley de la Unión o de un Estado miembro nos obliga a tratar de otro modo, se lo diremos al gimnasio antes de hacerlo, salvo que esa misma ley lo prohíba.
• Si una instrucción del gimnasio nos parece contraria al RGPD, se lo diremos. No somos su asesor jurídico, pero tampoco vamos a ejecutar en silencio algo que creemos ilegal.

Confidencialidad

Quien tiene acceso a estos datos está obligado a confidencialidad, y esa obligación sigue viva después de que termine el encargo. Hoy el acceso técnico a la base de datos lo tiene una sola persona, el titular. Si mañana hay más —una persona contratada, un proveedor que opere el servidor— firmará confidencialidad antes de tener acceso, y accederá sólo a lo que su trabajo exija.

Dentro del gimnasio, quién ve qué lo decide el propio gimnasio con los papeles que reparte entre su gente. Nosotros hacemos cumplir ese reparto; no elegimos por él.

Medidas de seguridad

Las que hay de verdad, no una lista de catálogo:

• Todo el tráfico va cifrado con TLS, tanto el de la aplicación como el del panel.
• Las contraseñas se guardan como hash bcrypt. No podemos leerlas ni recuperarlas, sólo comprobar si la que se escribe coincide.
• El acceso a los datos depende del papel de cada persona dentro de su gimnasio, y los gimnasios están aislados entre sí: pedir con la sesión de uno un dato del otro no devuelve el dato.
• Las credenciales de sesión del teléfono viven en el almacén seguro del propio teléfono.
• Copias de seguridad diarias, cifradas, guardadas en el almacenamiento de objetos de Hetzner en Núremberg y conservadas 35 días. Pasado ese plazo, la copia desaparece con la rotación.
• El servidor registra cada petición y cada error, para operar el servicio y poder investigar un incidente.

Y lo que no hacemos, para que nadie lo dé por supuesto: no ciframos campo a campo dentro de la base de datos —el cifrado protege el transporte y las copias—, y no hay hoy una certificación externa de seguridad.

Sub-encargados

El gimnasio nos autoriza de forma general a servirnos de otras empresas para prestar el servicio. Esta es la lista completa a día de hoy; no hay ninguna más:

• Hetzner Online GmbH — alojamiento del servidor y de las copias de seguridad cifradas, en Núremberg (Alemania). Dentro del EEE.
• IONOS SE — entrega del correo saliente (invitaciones, avisos de cuenta), desde su región española. Dentro del EEE.
• Expo, Inc. — relevo de las notificaciones push: recibe el identificador del dispositivo y el texto del aviso para entregárselo a Apple o a Google. Está en Estados Unidos, y es la única pieza de la operación diaria fuera del EEE: va con las garantías del capítulo V del RGPD (cláusulas contractuales tipo).
• Apple Inc. y Google LLC — como tiendas que distribuyen la aplicación y, Apple, como proveedor de Sign in with Apple cuando alguien entra por ahí. No acceden a la base de datos del gimnasio.

Con cada uno de ellos se mantienen las mismas obligaciones de protección de datos que este contrato impone, y respondemos ante el gimnasio de lo que hagan igual que si lo hubiéramos hecho nosotros.

Si vamos a cambiar la lista —añadir un sub-encargado o sustituir uno— lo avisaremos al propietario del gimnasio por correo y dentro del panel con al menos treinta días de antelación. Dentro de ese plazo puede oponerse por escrito, explicando el motivo. Si se opone y no hay otra manera razonable de prestar el servicio, cualquiera de las dos partes puede terminar este encargo: el gimnasio exporta sus datos y se da de baja, sin coste ni penalización por esa baja.

Ayuda con los derechos de las personas

Los derechos del atleta —acceso, rectificación, supresión, portabilidad, oposición, limitación y retirada del consentimiento— se ejercen ante el gimnasio, que es el responsable. Nuestro trabajo es que pueda atenderlos:

• El gimnasio consulta y corrige la ficha de un atleta desde su propio panel, y puede darlo de baja. Darlo de baja lo desactiva, no borra su ficha: los datos siguen guardados. El borrado definitivo de los datos de una persona se nos pide a privacidad@profblu.com y lo hacemos nosotros.
• Puede exportar los datos de su gimnasio desde el panel, en un formato legible por máquina, para entregárselos a quien se los pida.
• El propio atleta, desde la aplicación, puede descargar sus datos y borrar su cuenta; eso afecta a su cuenta ProfBlu, y lo explica la política de privacidad.

Si una petición de un atleta nos llega a nosotros, no la contestamos por cuenta del gimnasio: se la trasladamos sin dilación indebida y le ayudamos con lo que haga falta. Sólo contestamos directamente la parte que toca a los datos de la cuenta, de los que respondemos como responsables.

También ayudamos al gimnasio, con la información que tenemos, si necesita hacer una evaluación de impacto o consultar a la autoridad de control (artículos 32 a 36 del RGPD).

Si hay una brecha de seguridad

Si detectamos una violación de seguridad que afecte a los datos del gimnasio, se lo diremos sin dilación indebida en cuanto la conozcamos, al correo del propietario. Le contaremos lo que sepamos: qué ha pasado, a qué datos y a cuánta gente afecta —hasta donde podamos saberlo—, qué consecuencias prevemos y qué estamos haciendo.

Las 72 horas para notificar a la autoridad de control corren para el gimnasio, que es el responsable; nuestra obligación es avisarle a tiempo y darle lo que necesite para cumplir ese plazo y, si procede, para avisar a sus atletas. De las brechas que afecten a los datos de cuenta, de los que respondemos nosotros, notificamos nosotros.

Información y comprobación

El gimnasio puede pedirnos por escrito la información necesaria para comprobar que cumplimos este contrato, y se la damos en el plazo de un mes. Puede además pedir una auditoría; se acuerda con antelación razonable, no más de una vez al año salvo que haya habido un incidente, se hace sin poner en riesgo los datos de otros gimnasios y corre por cuenta de quien la pide.

Qué pasa cuando esto termina

Aquí es fácil escribir lo que uno querría que pasara. Esto es lo que pasa de verdad:

1. El gimnasio se lleva sus datos él mismo, exportándolos desde su panel. Puede hacerlo mientras dure el encargo, y conviene hacerlo antes de darse de baja.
2. Al dar de baja el gimnasio se cierra el acceso y se apaga el módulo: la organización queda marcada como dada de baja y sus plazas a cero, y nadie puede entrar. Los datos no se borran solos: los atletas, los planes y las sesiones siguen guardados e inactivos, igual que la ficha de facturación y sus facturas. El borrado no es automático, y no vamos a decir que lo es.
3. El borrado definitivo es a petición del gimnasio. Se pide a privacidad@profblu.com desde el correo del propietario y se hace, salvo lo que la ley obliga a conservar: las facturas y los apuntes contables de lo que el gimnasio nos haya pagado, durante el plazo que impone la ley fiscal —en Italia, diez años—, y el registro de que este encargo y las condiciones fueron aceptados, con su fecha y su versión, que es la prueba de que el contrato existió. Eso se conserva sin usarlo para nada más.
4. Las copias de seguridad cifradas no se editan una a una: rotan, y la copia del gimnasio desaparece con ellas a los 35 días.

Lo que le toca al gimnasio

Como responsable, el gimnasio se compromete a:

• Tener una base jurídica para cada dato que introduce, y el consentimiento explícito del atleta para los datos sobre su cuerpo —peso, altura, sexo, fecha de nacimiento, marcas—, que debe poder demostrar.
• Informar a sus atletas de qué guarda de ellos, para qué y con quién, y enseñarles esta información y la política de privacidad.
• Introducir sólo los datos que necesita, y mantenerlos exactos y al día.
• Responder de los menores: Brod exige catorce años, y si el gimnasio da de alta a un menor responde de contar con la autorización de quien ejerce la patria potestad o la tutela.
• Dar sus instrucciones por los cauces del producto y de este contrato, y que sean lícitas.
• Cuidar los accesos de su equipo: dar el papel que corresponde a cada persona, retirárselo cuando deja de trabajar allí y no compartir contraseñas. Lo que haga quien entra con una credencial del gimnasio es del gimnasio.

Responsabilidad

Cada parte responde de lo suyo: el gimnasio de lo que decide tratar y de las instrucciones que da, y nosotros de cumplir este contrato y de lo que hagan nuestros sub-encargados. Ninguna de las dos responde de lo que la otra haga por su cuenta.

Cambios en este encargo

Si cambiamos este documento, cambiamos su fecha de revisión y lo avisamos con antelación suficiente, dentro del panel o por correo, para poder leerlo o darse de baja. La versión aceptada y la fecha quedan registradas, como se dice arriba.

Ley aplicable

Se aplica la legislación italiana, que es la del domicilio del titular, y el RGPD por encima de ella. Para las controversias entre el gimnasio y nosotros son competentes los tribunales del domicilio del titular; si el gimnasio es un consumidor —no lo será normalmente, pero puede serlo un entrenador que trabaja por su cuenta—, conserva el fuero de su domicilio y la protección de las normas imperativas de su país.