Contrato de Encargo del Tratamiento de Datos

Cláusula 1. Partes del contrato

1.1. El Encargado del Tratamiento

1.2. El Responsable del Tratamiento

El centro de yoga, pilates, bienestar o actividad física (en adelante, "el Centro") que ha contratado los servicios de GesYoga, identificado en el formulario de registro de la plataforma con los siguientes datos:

Cláusula 2. Objeto y duración

2.1. Objeto

GesYoga tratará datos personales por cuenta del Centro exclusivamente para la prestación del servicio de software de gestión para centros de yoga y bienestar, que incluye las siguientes funcionalidades:

• Gestión de alumnos y contactos (ficha personal, historial).
• Gestión de clases, horarios, reservas y asistencias.
• Gestión de tarifas, bonos y cobros.
• Domiciliación bancaria mediante SEPA: almacenamiento cifrado de IBAN y generación de ficheros de remesas.
• Registro de datos de salud de los alumnos (pseudonimizados).
• Comunicaciones internas entre el Centro y sus alumnos a través de la plataforma.
• Generación de informes y estadísticas del Centro.
• Cualquier otra funcionalidad que GesYoga incorpore en el futuro y que el Centro decida utilizar.

2.2. Duración

Este DPA estará vigente mientras el Centro mantenga activo su contrato de servicio con GesYoga. La finalización del contrato de servicio implica automáticamente la terminación del presente DPA, sin perjuicio de lo establecido en la Cláusula 12 (Fin del contrato).

Cláusula 3. Datos personales objeto del tratamiento

3.1. Categorías de interesados

• Alumnos y exalumnos del Centro.
• Contactos y potenciales alumnos del Centro.
• Profesores y personal del Centro.

3.2. Categorías de datos personales

3.3. Finalidades del tratamiento

GesYoga tratará los datos exclusivamente para las finalidades derivadas de la prestación del servicio contratado por el Centro. Queda expresamente prohibido el tratamiento de los datos del Centro para fines propios de GesYoga, salvo anonimización irreversible para análisis estadístico agregado de uso de la plataforma.

Cláusula 4. Obligaciones de GesYoga como Encargado del Tratamiento

En cumplimiento del artículo 28.3 del RGPD, GesYoga se compromete a:

4.1. Tratar los datos conforme a las instrucciones del Responsable

GesYoga tratará los datos personales únicamente según las instrucciones documentadas del Centro. Si GesYoga considera que alguna instrucción infringe el RGPD u otra normativa de protección de datos, lo comunicará inmediatamente al Centro.

4.2. Confidencialidad

GesYoga garantizará que todas las personas autorizadas para tratar los datos personales del Centro se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad, y solo accederán a los datos en la medida necesaria para el cumplimiento de sus funciones.

4.3. No ceder datos a terceros

GesYoga no comunicará los datos del Centro ni de sus alumnos a terceros, salvo en los siguientes supuestos:

• Instrucción expresa y documentada del Centro.
• Subencargados necesarios para la prestación del servicio (ver Cláusula 6), previamente informados al Centro.
• Obligación legal (requerimiento de autoridad competente).

4.4. Asistir al Responsable en el ejercicio de derechos

GesYoga asistirá al Centro, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de su obligación de responder a solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición, limitación). El Centro es el único responsable de atender dichas solicitudes ante sus alumnos.

4.5. Asistir al Responsable en el cumplimiento de obligaciones de seguridad

GesYoga prestará asistencia al Centro para garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD (seguridad del tratamiento, notificación de brechas, evaluación de impacto, consulta previa).

4.6. Suprimir o devolver los datos al finalizar el contrato

A elección del Centro, GesYoga suprimirá o devolverá todos los datos personales al finalizar el contrato, y destruirá las copias existentes, salvo que deba conservarlos por obligación legal (ver Cláusula 12).

4.7. Poner a disposición la información necesaria

GesYoga pondrá a disposición del Centro toda la información necesaria para demostrar el cumplimiento de sus obligaciones como Encargado, y permitirá y facilitará la realización de auditorías (ver Cláusula 11).

Cláusula 5. Obligaciones del Centro como Responsable del Tratamiento

El Centro, como Responsable del Tratamiento, se compromete a:

• Contar con una base jurídica válida (art. 6 RGPD) para cada una de las finalidades por las que trata los datos de sus alumnos a través de GesYoga.
• Recabar el consentimiento explícito (art. 9.2.a RGPD) de sus alumnos antes de registrar cualquier dato de salud en la plataforma.
• Recabar el consentimiento o la autorización correspondiente del alumno antes de registrar su IBAN para domiciliación bancaria, informándole del tratamiento.
• Informar a sus alumnos sobre el tratamiento de sus datos mediante una política de privacidad propia que incluya a GesYoga como encargado del tratamiento.
• Mantener un Registro de Actividades de Tratamiento (art. 30 RGPD) que incluya el tratamiento realizado a través de GesYoga.
• Notificar a GesYoga cualquier instrucción de tratamiento que desee que GesYoga ejecute.
• No facilitar a GesYoga datos personales para cuyo tratamiento no disponga de base jurídica legítima.
• Comunicar a GesYoga cualquier solicitud de ejercicio de derechos recibida por un interesado en relación con datos tratados a través de la plataforma.
• Asegurarse de que el personal del Centro que accede a la plataforma lo hace con las credenciales correspondientes y dentro de los límites de su rol.

Cláusula 6. Subencargados del tratamiento

6.1. Autorización general

El Centro otorga a GesYoga una autorización general para contratar subencargados del tratamiento necesarios para la prestación del servicio, comprometiéndose GesYoga a informar al Centro con antelación suficiente de cualquier nuevo subencargado o sustitución, de modo que el Centro pueda oponerse a dicho cambio.

6.2. Subencargados actuales

6.3. Obligaciones de GesYoga con los subencargados

GesYoga impondrá a todos sus subencargados, mediante contrato, las mismas obligaciones de protección de datos que las establecidas en el presente DPA, siendo GesYoga plenamente responsable ante el Centro del cumplimiento de dichas obligaciones por parte de los subencargados.

Cláusula 7. Medidas de seguridad técnicas y organizativas

En cumplimiento del artículo 32 del RGPD, GesYoga aplica las siguientes medidas de seguridad, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento:

GesYoga revisará y actualizará periódicamente estas medidas para mantener un nivel de seguridad adecuado al riesgo.

Cláusula 8. Notificación de brechas de seguridad

8.1. Notificación al Responsable

GesYoga notificará al Centro, sin dilación indebida y en un plazo máximo de 72 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos que pueda afectar a los datos personales tratados por cuenta del Centro, conforme al artículo 33 del RGPD.

La notificación se realizará al correo electrónico con el que el Centro está registrado en la plataforma e incluirá, al menos:

• Descripción de la naturaleza de la brecha, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados.
• Datos de contacto del responsable de seguridad de GesYoga.
• Descripción de las consecuencias probables de la brecha.
• Descripción de las medidas adoptadas o propuestas para remediar la brecha y mitigar sus efectos.

8.2. Obligación del Responsable

El Centro, como Responsable del Tratamiento, es el obligado a notificar la brecha a la AEPD (art. 33 RGPD) y, en su caso, a los interesados afectados (art. 34 RGPD), cuando sea necesario. GesYoga prestará toda la asistencia necesaria para ello.

Cláusula 9. Derechos de los interesados

El Centro es el único responsable de atender ante sus alumnos las solicitudes de ejercicio de los derechos del artículo 15 al 22 del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas).

Cuando GesYoga reciba directamente una solicitud de este tipo de un alumno de algún Centro, se lo comunicará de inmediato al Centro para que sea este quien la gestione. GesYoga no atenderá directamente solicitudes de interesados relativas a datos de los que el Centro es Responsable.

GesYoga facilitará al Centro, mediante las funcionalidades de la plataforma o a petición expresa, la exportación, modificación o eliminación de los datos necesarios para dar respuesta a dichas solicitudes en los plazos legalmente establecidos.

Cláusula 10. Transferencias internacionales de datos

GesYoga no realizará transferencias internacionales de los datos del Centro fuera del Espacio Económico Europeo (EEE) sin informar previamente al Centro y sin que existan garantías adecuadas conforme al Capítulo V del RGPD.

Para los subencargados ubicados en terceros países (ver Cláusula 6.2), GesYoga garantiza que las transferencias se amparan en alguna de las siguientes bases:

• Decisión de adecuación de la Comisión Europea (como el EU-US Data Privacy Framework).
• Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Decisión 2021/914).
• Evaluación de impacto de la transferencia (TIA) cuando sea necesario.

Cláusula 11. Auditoría y transparencia

GesYoga permitirá y facilitará la realización de auditorías o inspecciones de las actividades de tratamiento realizadas por cuenta del Centro, ya sea directamente por el Centro o por un auditor autorizado por él.

Con carácter previo a cualquier auditoría, el Centro deberá comunicarlo a GesYoga con un preaviso mínimo de 15 días hábiles, acordando el alcance, la metodología y la fecha de la misma, de modo que no interfiera en las operaciones normales del servicio ni en la privacidad de otros clientes de GesYoga.

GesYoga podrá proporcionar certificaciones de seguridad, informes de auditoría o documentación equivalente como alternativa a una auditoría in situ, siempre que esta información sea suficiente para acreditar el cumplimiento.

Cláusula 12. Fin del contrato y destino de los datos

12.1. Obligación de devolver o destruir los datos

En el plazo de 30 días naturales desde la finalización del contrato de servicio, GesYoga, a elección del Centro:

• Devolverá los datos al Centro en formato exportable estándar (CSV, JSON o similar), o
• Destruirá los datos de forma segura e irreversible, incluidas las copias de seguridad que los contengan.

GesYoga comunicará al Centro la acción ejecutada mediante confirmación escrita.

12.2. Conservación por obligación legal

No obstante lo anterior, GesYoga podrá conservar, en formato bloqueado, los datos estrictamente necesarios para cumplir con obligaciones legales propias (datos de facturación durante 6 años conforme al art. 30 del Código de Comercio; datos fiscales durante 4 años conforme al art. 66 de la LGT).

12.3. Periodo de exportación por parte del Centro

Se recomienda al Centro exportar sus datos antes de la cancelación del servicio. Durante el período de preaviso y hasta 30 días después de la baja, la plataforma mantendrá acceso de solo lectura para permitir la exportación.

Cláusula 13. Responsabilidad e indemnización

Cada parte será responsable frente a los interesados y frente a las autoridades de control por los daños y perjuicios causados por el incumplimiento de las obligaciones que le correspondan según el RGPD y el presente DPA.

GesYoga únicamente será responsable de los daños causados por el tratamiento de datos cuando haya incumplido las obligaciones del RGPD específicamente aplicables a los encargados del tratamiento, o cuando haya actuado al margen de las instrucciones lícitas del Centro o en contra de ellas.

El Centro será responsable de los daños causados por el tratamiento cuando haya incumplido sus obligaciones como Responsable, cuando haya dado instrucciones ilícitas a GesYoga, o cuando no haya recabado correctamente las bases jurídicas y consentimientos necesarios.

Si GesYoga pagara una indemnización íntegra por un daño que fuera atribuible en parte al Centro, tendrá derecho a reclamar al Centro la parte proporcional correspondiente.

Cláusula 14. Ley aplicable y jurisdicción

El presente DPA se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y europea de protección de datos personales.

Para cualquier controversia derivada de la interpretación, cumplimiento o resolución del presente contrato que no pueda resolverse amistosamente, las partes se someten a los juzgados y tribunales de Elche (Alicante), con renuncia expresa a cualquier otro fuero que pudiera corresponderles.

Cláusula 15. Aceptación

El presente Contrato de Encargo del Tratamiento forma parte integrante de las Condiciones de Uso de GesYoga. Al contratar el servicio de GesYoga, el Centro declara haber leído, comprendido y aceptado íntegramente el contenido del presente DPA, que entrará en vigor en la fecha de contratación del servicio.

Para obtener una copia de este documento con firma digital de ambas partes, o si desea negociar cláusulas específicas adaptadas a su Centro, contacte con nosotros en info@gesyoga.com.