Contrato de encargo de tratamiento de datos

Plataforma Aptusport · Artículo 28 RGPD y Ley Orgánica 3/2018 (LOPDGDD)

Versión junio 2026. Modelo para clubs contratantes del servicio SaaS.

1. Partes

Responsable del tratamiento (el Club):

 

Razón social / denominación

 

CIF/NIF

 

Domicilio

 

Persona de contacto / representante

Encargado del tratamiento:

GESTEDIA SLU
CIF B67719682
Domicilio: Calle Virgen de Lluc, 17, 28043 Madrid
Email: info@aptusport.es

2. Objeto y duración

El Encargado presta al Responsable el servicio cloud Aptusport (gestión de socios, actividad deportiva, comunicaciones, facturación y funciones asociadas). El Encargado tratará datos personales por cuenta del Responsable mientras dure la relación contractual y el uso de la plataforma, más el tiempo necesario para obligaciones legales o devolución/supresión (cláusula 12).

3. Naturaleza y finalidad del tratamiento

• Almacenamiento, consulta, estructuración y mantenimiento de datos de socios y actividad del club.
• Gestión de accesos, cuotas, asistencia, exámenes, documentación y comunicaciones autorizadas por el club.
• Funciones opcionales contratadas (p. ej. conciliación bancaria asistida, IA, pagos online).
• Soporte técnico y mantenimiento de la plataforma.

4. Tipos de datos e interesados

Categorías de interesados: alumnos/socios, representantes legales/tutores, personal del club, usuarios administradores.

Tipos de datos: identificativos y de contacto; datos deportivos y de salud/físico solo si el club los introduce; datos económicos (cuotas, pagos, extractos si el club los sube); imágenes/documentos que el club cargue; datos de uso de la app (logs técnicos).

Categorías especiales: el club es responsable de no introducir datos innecesarios. Si trata categorías especiales (p. ej. salud), debe tener base legal propia y documentarla.

5. Obligaciones del Encargado (GESTEDIA SLU)

1. Tratar datos solo según instrucciones documentadas del Responsable (uso de la plataforma, configuración del club y este contrato).
2. Garantizar confidencialidad del personal autorizado.
3. Implementar medidas técnicas y organizativas adecuadas (ver Seguridad).
4. No comunicar datos a terceros salvo subencargados autorizados o obligación legal.
5. Auxiliar al Responsable en el ejercicio de derechos de los interesados, en la medida posible técnicamente.
6. Suprimir o devolver datos al finalizar el servicio, salvo conservación legal.
7. Poner a disposición información necesaria para demostrar el cumplimiento y permitir auditorías razonables previo aviso.

6. Obligaciones del Responsable (Club)

1. Disponer de base legal para el tratamiento y informar a los interesados (privacidad del club, inscripción, etc.).
2. Configurar roles y accesos de su staff de forma restrictiva.
3. No usar la plataforma para finalidades ilícitas ni datos excesivos.
4. Notificar al Encargado instrucciones y restricciones relevantes por escrito.

7. Subencargados

El Responsable autoriza el uso de subencargados necesarios para el servicio. Lista indicativa actual:

• Supabase Inc. (hosting BD, auth, storage) — UE/EE.UU. según región del proyecto.
• Cloudflare Inc. (CDN y hosting web).
• Proveedores de correo transaccional (MXRoute u equivalente).
• Stripe Inc. (pagos), si el club activa cobros con tarjeta.
• xAI (funciones IA), si el plan incluye IA y el club la utiliza.
• Google Firebase (notificaciones push), si están activas.

El Encargado informará de cambios relevantes de subencargados; el Responsable puede oponerse por motivos fundados de protección de datos.

8. Transferencias internacionales

Si algún subencargado trata datos fuera del EEE, se aplicarán garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea u otras mecanismos válidos).

9. Violaciones de seguridad

El Encargado notificará al Responsable, sin dilación indebida, las violaciones de seguridad de datos personales de las que tenga conocimiento, aportando información disponible para cumplir las obligaciones de notificación.

10. Confidencialidad

Las partes y su personal mantendrán confidencialidad sobre datos y documentación accedida con ocasión del servicio.

11. Responsabilidad

Cada parte responderá de los daños que cause por incumplimiento de la normativa de protección de datos en el ámbito de sus responsabilidades (Responsable: decisiones de tratamiento; Encargado: ejecución y medidas técnicas).

12. Fin del servicio y devolución de datos

A la terminación del contrato, el Responsable podrá exportar sus datos durante un plazo razonable. Transcurrido el plazo acordado, el Encargado suprimirá los datos del entorno del club, salvo bloqueo legal. Detalle operativo puede concretarse en condiciones de servicio o email de offboarding.

13. Aceptación

Este encargo se entiende aceptado por el Responsable cuando: (a) firma este documento; o (b) activa la cuenta de club / contrata el servicio Aptusport tras haber tenido acceso a este texto; o (c) continúa usando el servicio tras notificación de actualización con preaviso razonable.

14. Legislación

Legislación española. Jurisdicción: tribunales de Madrid, salvo norma imperativa en contra.