Contrato de encargo del tratamiento

1. Partes y aceptación

• Responsable del tratamiento: el club registrado en Mister Lucrapp, representado por la persona que lo registra como administrador (en adelante, «el club»).
• Encargado del tratamiento: Carai Melilla SL, CIF B52021052, con domicilio en Avda. Cándido Lobera 5, Local 2, 52001 Melilla (España) y correo mister@lucrapp.com (en adelante, «el encargado»).

Este contrato forma parte de los Términos y condiciones. Lo acepta el administrador en nombre del club al registrarlo, y la aceptación queda registrada con su fecha y versión.

2. Objeto, naturaleza y finalidad

El encargado presta al club el servicio Mister Lucrapp: alojamiento, almacenamiento, organización, consulta, modificación, exportación y supresión de datos para la gestión deportiva del club (equipos, personal técnico, jugadores, entrenamientos, partidos y convocatorias, asistencia, estadísticas, calendario, sesiones y seguimiento de lesiones, con los archivos que el club adjunte). El tratamiento se realiza de forma automatizada, a través de la plataforma, y solo con esa finalidad.

3. Datos e interesados

Categorías especiales. La plataforma incluye una sección de lesiones en la ficha del jugador y permite adjuntar archivos. Su uso es voluntario: el club decide si la utiliza y qué información introduce. Los datos de salud, y también la información sobre alergias o lesiones que el club escriba en las notas de la ficha o de la asistencia, son categorías especiales del artículo 9.1 del RGPD, y el club es el responsable de su tratamiento. El club debe contar con una circunstancia que levante la prohibición del artículo 9.1, normalmente el consentimiento explícito del interesado o, si es menor de 14 años, de sus padres o tutores (artículo 9.2.a del RGPD y artículo 7 de la LOPDGDD), y aplicar el principio de minimización. El encargado aplica a estos datos y a sus archivos las medidas de seguridad descritas en el apartado 8 y no los utiliza para ninguna finalidad propia.

4. Duración y conservación

Duración. El encargo comienza cuando se registra el club y dura mientras el club mantenga su cuenta en Mister Lucrapp, tenga una suscripción vigente o un acceso de cortesía. Al terminar se aplica lo previsto en el apartado «Fin del encargo».

La suspensión por impago no pone fin al encargo ni supone la supresión de los datos. Si la suscripción del club queda impagada y se suspende, los datos se conservan intactos, el club sigue pudiendo consultarlos y descargarlos completos, y todas las obligaciones de este contrato siguen vigentes. La suspensión solo impide crear y modificar información.

Supresión por impago. Si el impago persiste una vez transcurridos los plazos y enviados todos los avisos previos que detalla el apartado 15 de los Términos y condiciones (45 días desde el primer cobro fallido), el club instruye desde ahora al encargado para que suprima los datos, después de haber tenido la oportunidad de descargarlos. Si alguno de esos avisos no ha podido entregarse, la supresión no se ejecuta.

Descarga de los datos, siempre disponible. El administrador del club puede obtener en cualquier momento, desde la propia aplicación, una copia completa de los datos del club en un formato estructurado y de uso común. Esa copia no se condiciona al estado de pago —funciona también con la suscripción impagada, suspendida o cancelada— ni a que se haya aceptado la última versión de estas condiciones. El encargado no retiene los datos del club como garantía de cobro. Por seguridad, cada descarga genera enlaces temporales a archivos que pueden contener datos de salud, y se limita a una descarga cada 10 minutos por club.

Límites de espacio y caducidad de los vídeos. El club conoce y acepta, como instrucción documentada de conservación, los límites que se aplican a los vídeos y las fotos que adjunte a los ejercicios de sus sesiones: una cuota de espacio por club (2 GB, o 1 GB en el plan de sesiones) y una antigüedad máxima de 24 meses. Mientras el club esté por debajo de su cuota no se elimina ningún archivo. Al alcanzarla se avisa al administrador y, si pasados 30 días sigue por encima, se eliminan únicamente archivos de más de 24 meses, del más antiguo al más reciente y solo hasta volver a estar por debajo del tope. Se avisa además con tres meses, un mes y una semana de antelación de los archivos que van a cumplir esa antigüedad. Los archivos adjuntos de las lesiones y los informes guardados no cuentan para la cuota y nunca se eliminan por este motivo. El club es responsable de descargar y conservar sus propias copias cuando una norma federativa, un seguro o un parte de accidente le obliguen a guardarlas más tiempo.

5. Obligaciones del encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del club, que son las que se desprenden de este contrato y del uso que el club hace de la plataforma. Si considera que una instrucción infringe la normativa, informará al club de inmediato.
2. No utilizar los datos para fines propios ni comunicarlos a terceros, salvo obligación legal.
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en este contrato.
5. Recurrir a subencargados solo en las condiciones del apartado «Subencargados».
6. Asistir al club para que pueda atender los derechos de los interesados. Si un interesado se dirige al encargado, le dará traslado de la solicitud al club sin dilación indebida y, en todo caso, en un plazo máximo de 5 días hábiles.
7. Ayudar al club a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (artículos 32 a 36 del RGPD), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
8. Llevar el registro de las actividades de tratamiento que efectúa por cuenta de los clubes (artículo 30.2 del RGPD).
9. Poner a disposición del club la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, con aviso previo y sin afectar a la seguridad ni a los datos de otros clubes.
10. No transferir los datos fuera del Espacio Económico Europeo salvo con las garantías del capítulo V del RGPD.
11. Mantener a disposición del club la descarga completa de sus datos en todo momento, sin condicionarla al estado de pago de la suscripción ni a la aceptación de una versión nueva de las condiciones, y no retener los datos del club como garantía de cobro.
12. No suprimir datos del club sin haber avisado antes al administrador con los plazos informados, y detener la supresión si el aviso no ha podido entregarse.
13. No comunicar los datos del club a ningún antiguo entrenador, colaborador u otro club sin una autorización expresa del administrador del club para ese traspaso concreto.

6. Obligaciones del club

1. Contar con base jurídica para cada tratamiento y, en el caso de jugadores menores de 14 años, con el consentimiento de sus padres o tutores (artículo 7 de la LOPDGDD).
2. Informar a jugadores, familias y personal del tratamiento de sus datos (artículos 13 y 14 del RGPD).
3. Registrar solo los datos necesarios para la gestión deportiva (principio de minimización) y mantenerlos exactos y actualizados.
4. No incluir datos de salud u otras categorías especiales salvo que sea imprescindible y exista base jurídica. En particular, si utiliza la sección de lesiones o adjunta informes médicos:
   • Recabar y conservar la prueba del consentimiento explícito del jugador o, si es menor de 14 años, de sus padres o tutores, e informarles con claridad de esta finalidad concreta (artículos 9.2.a y 13 del RGPD y artículo 7 de la LOPDGDD). El consentimiento debe poder retirarse en cualquier momento.
   • Registrar y adjuntar solo lo imprescindible para el seguimiento deportivo de la lesión y la planificación de los entrenamientos, evitando documentos con datos médicos que excedan esa finalidad.
   • Limitar el acceso a las personas del club que realmente lo necesiten, mediante los papeles y los equipos asignados, y borrar la lesión y sus archivos cuando dejen de ser necesarios o se retire el consentimiento.
   • Valorar si, por el volumen de datos de salud de menores que trate, le corresponde realizar una evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD). El encargado le asistirá con la información de que disponga.
5. Gestionar con diligencia los accesos: invitar solo a personas vinculadas al club, asignar el papel adecuado y dar de baja a quien deje de colaborar.
6. Responder del contenido de los archivos que sus usuarios suben a la plataforma y de que se han obtenido lícitamente.
7. Subir vídeos o fotos de los entrenamientos solo si cuenta con el consentimiento de imagen de los jugadores o, si son menores, de sus padres o tutores, y compartir el enlace de una sesión únicamente con quien deba verla.
8. Atender los derechos de los interesados y supervisar el tratamiento.

7. Subencargados

El club autoriza de forma general al encargado a recurrir a los siguientes subencargados, que ofrecen garantías suficientes y están sujetos por contrato a las mismas obligaciones de protección de datos:

El encargado informará de cualquier cambio previsto en esta lista con al menos 15 días de antelación, por correo al administrador del club o en la plataforma. Si el club se opone por motivos razonables relacionados con la protección de datos, podrá resolver el contrato y solicitar sus datos.

La pasarela de pago no es subencargada de este contrato. Los datos de la suscripción y de la facturación del club (plan, importes, datos fiscales y medio de pago) no forman parte de este encargo: de ellos es responsable Carai Melilla SL, y su tratamiento se explica en la Política de privacidad. A la pasarela de pago no se le comunica ningún dato de jugadores, familias ni personal del club.

8. Medidas de seguridad

• Comunicaciones cifradas mediante HTTPS.
• Base de datos alojada en la Unión Europea, con copias de seguridad gestionadas por el proveedor.
• Contraseñas almacenadas con funciones de cifrado irreversible.
• Aislamiento de los datos de cada club mediante políticas de seguridad a nivel de fila en la base de datos: ningún usuario puede leer datos de otro club.
• Control de acceso por papeles dentro de cada club (administrador, supervisor, entrenador y asistente).
• Archivos adjuntos guardados en un almacén privado alojado en la Unión Europea, sin acceso público ni direcciones permanentes: se entregan únicamente a usuarios identificados con permiso sobre el equipo del jugador, mediante enlaces temporales.
• Invitaciones con enlace de un solo uso que caduca a los 7 días.
• Credenciales de los servicios cifradas y acceso técnico a los sistemas limitado a personal autorizado.

9. Brechas de seguridad

Si el encargado tiene conocimiento de una violación de la seguridad que afecte a los datos del club, lo notificará al administrador sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas, con la información disponible: naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, posibles consecuencias y medidas adoptadas o propuestas. Corresponde al club, como responsable, notificarla a la autoridad de control y, en su caso, a los interesados.

10. Fin del encargo

El encargo termina cuando el club solicita la baja y la supresión de sus datos, cuando se suprimen por impago en las condiciones del apartado 4, o cuando cesa la prestación del servicio.

• Baja solicitada por el club. Podrá descargar una copia de sus datos durante los 30 días siguientes. Transcurrido ese plazo, el encargado suprimirá los datos del club, incluidos los archivos adjuntos y las copias, salvo que una norma exija conservarlos; en ese caso los mantendrá bloqueados y solo durante el plazo legal.
• Cancelación de la suscripción sin solicitar la baja. La cancelación no supone por sí misma la supresión: los datos se conservan y el club sigue pudiendo descargarlos hasta que solicite la supresión o se produzca la prevista para el impago.
• Supresión por impago. Se realiza en el plazo y con los avisos del apartado 4, y una vez comprobado que todos ellos se han enviado.
• Copias de seguridad. Se eliminan conforme a su ciclo ordinario de rotación.
• Carai Melilla SL conservará, fuera de este encargo y como responsable, la documentación de facturación que la normativa fiscal y mercantil le obligue a guardar, bloqueada y sin ningún dato de jugadores, familias ni personal del club.

11. Responsabilidad

Cada parte responde del cumplimiento de sus propias obligaciones conforme al artículo 82 del RGPD. Si el encargado destina los datos a otras finalidades, los comunica o los utiliza incumpliendo este contrato, será considerado responsable del tratamiento respecto de ese uso.