Contrato de encargado del tratamiento

Versión 1.0 — borrador de 28 de agosto de 2026

Partes

Responsable del tratamiento: el club, , con NIF y domicilio en , representado por (en adelante, «el Club»).

Encargado del tratamiento: , con NIF y domicilio en , prestador del servicio TactiBoard (en adelante, «el Encargado»).

1. Objeto

El Encargado trata datos personales por cuenta del Club para prestarle el servicio TactiBoard, en los términos de la licencia de club y de las condiciones de la licencia, de las que este contrato forma parte inseparable.

El Club es el responsable del tratamiento: decide qué datos se registran, qué equipos y jugadores se dan de alta, y si los partidos se publican o no.

2. Duración

Este contrato entra en vigor con la contratación de la licencia y se mantiene mientras el Encargado trate datos por cuenta del Club, incluidas las prórrogas de la licencia. Termina con la extinción de la relación y la ejecución de lo previsto en la cláusula 11.

3. Naturaleza, finalidad y tipo de tratamiento

Recogida, registro, estructuración, conservación, consulta, comunicación por transmisión (solo en caso de publicación decidida por el Club) y supresión, con la finalidad de prestar el servicio: registro de partidos y entrenamientos, estadísticas y valoraciones de jugadores, gestión de plantillas y convocatorias, seguimiento de asistencia y notas, publicación de páginas de partido y panel de club.

Categorías de interesados

• Jugadores del Club, habitualmente menores de edad.
• Entrenadores y cuerpo técnico.
• Personal de coordinación con acceso al panel.

Categorías de datos

• Identificativos de jugador: nombre, dorsal, posición y, opcionalmente, fecha de nacimiento.
• Datos deportivos: acciones de partido, minutos jugados, valoraciones, objetivos, asistencia a entrenamientos.
• Notas de seguimiento escritas por el cuerpo técnico, cuyo contenido decide el Club.
• Datos de cuenta de entrenadores y coordinadores: nombre y correo electrónico.

No se tratan categorías especiales de datos del artículo 9 del RGPD. El Club se compromete a no introducir datos de salud, origen étnico ni ningún otro dato de categoría especial en los campos de texto libre.

4. Obligaciones del Club

1. Disponer de base legítima para el tratamiento y, cuando proceda, del consentimiento de los padres o tutores, en particular antes de publicar partidos.
2. Informar a los interesados del tratamiento y de la existencia de este encargo.
3. Realizar, si procede, la evaluación de impacto y las consultas previas.
4. Supervisar el tratamiento y velar por que el Encargado ofrezca garantías suficientes.
5. Gestionar los accesos de su personal al panel, y retirarlos cuando alguien deje el Club.

5. Obligaciones del Encargado

1. Instrucciones documentadas. Tratar los datos únicamente siguiendo instrucciones documentadas del Club, incluidas las transferencias internacionales. Si el Encargado está obligado a tratar datos por el Derecho de la Unión o de un Estado miembro, informará al Club antes del tratamiento, salvo prohibición legal.
2. No usarlos para fines propios. No utilizar los datos para finalidad distinta de la prestación del servicio, ni cederlos a terceros, ni utilizarlos para entrenar modelos, ni para publicidad.
3. Confidencialidad. Garantizar que las personas autorizadas se han comprometido a respetar la confidencialidad, con carácter indefinido.
4. Seguridad. Aplicar las medidas técnicas y organizativas del artículo 32, descritas en el Anexo II.
5. Subencargados. Respetar lo previsto en la cláusula 6.
6. Asistencia al Club en la atención de los derechos de los interesados (cláusula 7), en las evaluaciones de impacto y en las consultas previas, y en la notificación de brechas (cláusula 8).
7. Devolución o supresión al terminar (cláusula 11).
8. Información y auditoría. Poner a disposición del Club la información necesaria para demostrar el cumplimiento (cláusula 10).
9. Registro de actividades. Mantener el registro del artículo 30.2.
10. Advertencia. Informar inmediatamente al Club si considera que una instrucción infringe la normativa de protección de datos.

6. Subencargados

El Club autoriza de forma general al Encargado a recurrir a los subencargados listados en el Anexo I. El Encargado les impondrá por contrato las mismas obligaciones de protección de datos que las de este contrato y responderá frente al Club de su actuación.

Cualquier alta o sustitución de subencargado se comunicará al Club con una antelación mínima de 30 días. El Club podrá oponerse por motivos razonables y, si no se alcanza una solución, resolver la licencia con devolución de la parte proporcional no consumida.

7. Derechos de los interesados

El Encargado asistirá al Club, mediante medidas técnicas y organizativas apropiadas, en la atención de las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición.

Si un interesado se dirige directamente al Encargado, este lo comunicará al Club sin dilación indebida y en un plazo máximo de 5 días hábiles, y no responderá al fondo salvo instrucción del Club.

La retirada de una página de partido publicada y la supresión de los datos de un jugador concreto se atienden sin coste para el Club.

8. Violaciones de la seguridad

El Encargado notificará al Club, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, con la información disponible sobre naturaleza, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas.

La notificación a la autoridad de control y, en su caso, a los interesados, corresponde al Club como responsable.

9. Transferencias internacionales

Los datos se alojan en la Unión Europea. El Encargado no realizará transferencias a terceros países sin instrucción documentada del Club, y de hacerlo aplicará alguna de las garantías del capítulo V del RGPD.

10. Información y auditoría

El Encargado pondrá a disposición del Club, a requerimiento y en un plazo razonable, la información necesaria para demostrar el cumplimiento de este contrato, y permitirá auditorías, incluidas inspecciones, realizadas por el Club o un auditor designado por él, con un preaviso mínimo de 30 días, como máximo una vez al año salvo que exista un incidente de seguridad, y sin interrumpir el servicio. Los costes de la auditoría corren por cuenta del Club, salvo que revele un incumplimiento del Encargado.

11. Devolución y supresión al terminar

A la finalización, y a elección del Club, el Encargado devolverá los datos en formato legible por máquina o los suprimirá, junto con las copias existentes, en un plazo máximo de 30 días desde la petición.

Mientras el Club no manifieste su elección, los datos se conservan para que el Club no los pierda por inacción. Las copias de seguridad se sobrescriben en su ciclo normal de rotación, descrito en el Anexo II.

12. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones bajo el RGPD y este contrato, en los términos del artículo 82 del RGPD.

Anexo I — Subencargados

Anexo II — Medidas de seguridad

• Cifrado en tránsito. Todo el tráfico web y de la aplicación va por HTTPS. El correo transaccional se envía con TLS 1.2 como mínimo, y el envío falla antes que degradarse a texto claro.
• Contraseñas. Nunca se almacenan en claro: solo su resumen criptográfico.
• Control de acceso. Cada club accede únicamente a sus propios datos. Las aplicaciones se autentican con una clave por club, revocable y regenerable por el propio club desde su panel.
• Protección de las páginas publicadas. La modificación de un partido ya publicado exige un testigo de escritura, del que solo se guarda su resumen criptográfico.
• Vinculación de dispositivos. Los códigos para conectar un segundo dispositivo son de un solo uso, caducan y están limitados en frecuencia de intento.
• Limitación de frecuencia en los formularios y extremos públicos, para contener abuso automatizado.
• Registro de accesos privilegiados. Toda descarga completa de la base de datos por administración queda registrada con identidad, dirección IP y fecha.
• Minimización en analítica. La analítica de uso no recibe nombres de jugadores, equipos, clubes ni rivales, ni texto libre: solo contadores y valores de un conjunto cerrado.
• Copias de seguridad. Copia automática diaria de la base de datos, mediante instantánea consistente sin interrupción del servicio, con retención de 14 días, alojada en la Unión Europea. PENDIENTE: réplica fuera del servidor — sin ella la copia no sobrevive a la pérdida del volumen

Firma

Ambas partes aceptan el contenido de este contrato y lo firman por duplicado.

En , a .