Contrato de encargado del tratamiento

Este contrato regula el tratamiento de datos personales que clubsi realiza por cuenta de cada club o entidad que usa la plataforma, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD).

• Responsable del tratamiento: el club o entidad que crea su espacio en clubsi, representado por la persona que lo da de alta y acepta este contrato.
• Encargado del tratamiento: Miquel Castro Navarro, NIF 48043497Q, con domicilio en Carrer la Coma, 75, 08560 Manlleu (Barcelona), titular de clubsi (ver Aviso legal). Contacto: admin@clubsi.es.

El contrato se acepta al crear el club y completa los Términos de uso. Está vigente mientras el club use clubsi y, después, hasta que sus datos se hayan suprimido o devuelto.

clubsi trata los datos únicamente para prestar al club el servicio de gestión: fichas y altas de socios, cuotas y recibos, domiciliaciones SEPA, actividades e inscripciones, licencias federativas, comunicaciones (emails, avisos push y chat), tienda, préstamo de material, documentos y carnet de socio.

Las operaciones son las propias de ese servicio: recogida a través de los formularios del club, registro, conservación, consulta, modificación, comunicación al propio club y a los subencargados indicados abajo, y supresión.

clubsi no usa estos datos para fines propios, no los vende ni los cede a terceros y solo los trata siguiendo las instrucciones documentadas del club, que son la configuración y el uso que el club hace de la plataforma. Si una instrucción del club infringiera la normativa de protección de datos, clubsi se lo comunicará.

• Personas: socios, miembros de la junta, personas que se inscriben en las actividades del club (con o sin cuenta) y menores a cargo de un socio, junto con sus padres, madres o tutores legales.
• Identificación y contacto: nombre, email, teléfono, dirección, fecha de nacimiento, foto, DNI/NIE y contacto de emergencia.
• Datos económicos: cuotas, recibos y pagos, y el IBAN y el mandato SEPA de quien domicilia. Los datos de tarjeta los trata Stripe: clubsi no los almacena.
• Datos de la actividad del club: licencias federativas, inscripciones, asistencia, préstamos de material, mensajes del chat y respuestas a los formularios del club.
• Datos de salud (por ejemplo, alergias o lesiones): solo si el club decide pedirlos en sus formularios. En ese caso, el club debe contar con una base legal adecuada y pedir únicamente lo necesario.

• Confidencialidad: solo acceden a los datos las personas autorizadas por clubsi que lo necesitan para prestar el servicio o dar soporte, con un deber de confidencialidad que se mantiene al terminar el contrato.
• Seguridad (art. 32 RGPD): DNI/NIE e IBAN cifrados en la base de datos, contraseñas guardadas con hash irreversible, comunicaciones cifradas (HTTPS), control de acceso por roles dentro de cada club, documentos y licencias accesibles solo para quien tiene permiso, y copias de seguridad.
• Derechos de los interesados: la plataforma permite al club consultar, corregir, exportar y eliminar los datos de sus socios. clubsi le ayuda a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad, y si una le llega directamente, se la traslada al club sin demora.
• Violaciones de seguridad: clubsi notificará al club, sin dilación indebida, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que el club pueda valorarla y, si procede, comunicarla a la Agencia Española de Protección de Datos y a las personas afectadas.
• Colaboración: clubsi ayuda al club, en la medida de lo posible, con las evaluaciones de impacto y las consultas previas que necesite hacer.
• Fin del servicio: cuando el club deje de usar clubsi podrá exportar sus datos. Después, clubsi los suprimirá, o los devolverá si el club lo pide, en el plazo indicado en los Términos de uso, salvo lo que deba conservarse por obligación legal, que quedará bloqueado.
• Auditorías: clubsi pondrá a disposición del club la información necesaria para demostrar que cumple este contrato y colaborará en las auditorías o inspecciones que haga el club o un auditor autorizado por él, con un preaviso razonable.

• Informar a sus socios del tratamiento de sus datos y contar con una base legal para cada dato que pide, en especial los de menores y los de salud.
• Pedir solo los datos necesarios, decidir qué miembros de su junta tienen acceso y retirárselo a quien deje el cargo.
• Custodiar las contraseñas de las cuentas de su junta.

El club autoriza a clubsi a recurrir a estos proveedores (subencargados) para prestar el servicio:

• OVH (OVH Hispano, S.L.U. / OVH SAS) — alojamiento de la aplicación, la base de datos y los archivos, en centros de datos de la Unión Europea.
• Stripe Payments Europe, Ltd. — pagos online de cuotas, actividades y tienda, y la suscripción del club. Para cobrar, el club tiene además su propia cuenta de Stripe, con sus propias condiciones.
• Resend — envío de los emails (avisos, recibos y comunicaciones del club). Estados Unidos.
• Expo (650 Industries, Inc.) — envío de las notificaciones push de la app móvil. Estados Unidos.
• Apple y Google — entrega de las notificaciones push en los móviles iOS (Apple Push Notification service) y Android (Firebase Cloud Messaging). En la web, el servicio push del navegador (Google, Apple, Mozilla o Microsoft).
• OpenStreetMap — los mapas (teselas de OpenStreetMap) y la búsqueda de direcciones (Nominatim, de la OpenStreetMap Foundation) se cargan directamente desde el navegador de quien los usa: reciben su dirección IP y el texto que busca, no datos de los socios.

El chat en tiempo real usa un servidor Mercure propio, alojado en el mismo servidor de OVH: no es un tercero.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo (Resend y Expo, en Estados Unidos), la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea u otros mecanismos previstos en el RGPD.

clubsi exige a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y avisará con antelación en esta página de cualquier cambio en la lista, para que el club pueda oponerse; si se opone, puede darse de baja del servicio.

Este contrato se rige por el RGPD y la legislación española. Para todo lo demás se aplican los Términos de uso y la Política de privacidad.