Contrato de encargado del tratamiento

1. Objeto

El encargado trata por cuenta del responsable los datos personales necesarios para prestar el servicio Galopa: guardar, consultar, organizar y enviar la información que el responsable y sus usuarios introducen en la aplicación.

2. Duración

Dura lo mismo que la suscripción, incluida la prueba gratis, y las obligaciones de la cláusula 10 siguen vigentes después.

3. Naturaleza y finalidad

Alojamiento, registro, consulta, modificación, conservación, envío de comunicaciones y supresión de datos, con la única finalidad de que el responsable gestione su centro ecuestre: clientes y alumnos, clases y asistencia, bonos y cobros, caballos, pupilaje, actividades, personal y tareas, avisos y área del cliente.

4. Tipos de datos y de interesados

• Interesados: clientes y alumnos (también menores de edad), sus padres, madres o tutores, contactos de emergencia, propietarios de caballos en pupilaje, participantes en actividades y personal del responsable.
• Datos identificativos y de contacto: nombre, apellidos, DNI/NIE, fecha de nacimiento, dirección, teléfono y email.
• Datos de seguro, nivel de monta, asistencia a clases, inscripciones y resultados en actividades.
• Datos económicos: cuotas, bonos, cargos, pagos y recibos; últimos dígitos de la cuenta en domiciliaciones (los datos completos de tarjetas y cuentas los trata Stripe).
• Firmas y documentos de consentimiento, autorizaciones de tutores y avisos de alergias. Las alergias y notas de salud son datos de categoría especial: el responsable debe recoger solo los imprescindibles para la seguridad del alumno.
• Datos del personal: puesto, horario, tareas y, si el responsable lo introduce, DNI y teléfono.

5. Obligaciones del responsable

• Introducir solo datos lícitos y necesarios, informar a los interesados y contar con la base legal y los consentimientos que correspondan (en especial, de los tutores de menores).
• Dar al encargado instrucciones documentadas; se consideran tales el uso normal de la aplicación y sus ajustes.
• Supervisar el tratamiento y atender los derechos de sus interesados.

6. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones del responsable y para la finalidad de este contrato. Si una instrucción le parece contraria a la ley, lo avisará de inmediato.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados de la cláusula 8 o por obligación legal.
• Garantizar que quienes acceden a los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 7.
• Ayudar al responsable a atender los derechos de los interesados, a hacer evaluaciones de impacto y a cumplir sus obligaciones de seguridad.
• Llevar el registro de actividades de tratamiento que hace por cuenta de responsables.
• Poner a disposición del responsable la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, avisadas con antelación.

7. Medidas de seguridad

• Conexiones cifradas (HTTPS) y contraseñas guardadas cifradas.
• Separación estricta de los datos de cada hípica en la base de datos (seguridad a nivel de fila) y permisos según el puesto de cada usuario.
• Archivos (fotos, consentimientos firmados) en almacenamiento privado, con enlaces temporales.
• Datos alojados en la Unión Europea, con copias de seguridad.
• Revisiones de seguridad periódicas y registro de los cambios relevantes.

8. Subencargados

El responsable autoriza al encargado a recurrir a los siguientes subencargados, con los que tiene contratos que imponen las mismas obligaciones de protección de datos:

El encargado avisará al responsable de cualquier cambio en esta lista con al menos 15 días de antelación. Si el responsable se opone por motivos razonables y no hay alternativa, podrá darse de baja sin coste.

9. Violaciones de seguridad

El encargado avisará al responsable sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, de cualquier violación de la seguridad de los datos, con la información disponible para que el responsable pueda notificarla a la autoridad y, si procede, a los interesados.

10. Fin del contrato

Al terminar la suscripción, el encargado pondrá a disposición del responsable, durante 30 días, una copia de sus datos en un formato habitual. Después, suprimirá los datos y las copias, salvo los que deba conservar bloqueados por obligación legal, durante el plazo de esa obligación.

11. Responsabilidad, ley y jurisdicción

Si el encargado trata los datos para otra finalidad, los comunica o los usa incumpliendo este contrato, será considerado responsable del tratamiento en lo que respecta a ese uso.

Este contrato se rige por la ley española. Las partes se someten a los juzgados y tribunales de Valencia.