Acuerdo de tratamiento de datos

Partes y ámbito

Este Acuerdo se celebra entre el Responsable del tratamiento (el club, el entrenador o la persona que crea una cuenta en My Team Manager e introduce en ella datos de jugadores, de padres, madres o tutores y del cuerpo técnico) y el Encargado del tratamiento, que presta el servicio:

• Nombre: João Carlos Neves Leonardo
• Número fiscal (NIF): 269514686
• Localidad: Odivelas
• Forma jurídica: Empresario individual (empresário em nome individual)
• Correo electrónico: geral@myteammanager.pt

El Acuerdo forma parte de los Términos y condiciones y se considera celebrado con la creación de la cuenta. Se aplica a todos los datos personales que el Responsable introduce en la aplicación y de los que nosotros somos meros depositarios. No se aplica a los datos de la propia cuenta (correo electrónico, facturación), de los que el responsable somos nosotros: esos se describen en la Política de privacidad.

Objeto, naturaleza y duración del tratamiento

• Objeto: alojar, guardar, mostrar, exportar y suprimir los datos que el Responsable introduce para gestionar sus equipos, y enviar en su nombre las comunicaciones que ordene desde la aplicación (por ejemplo, una convocatoria por correo electrónico a los padres, madres o tutores).
• Naturaleza: tratamiento automatizado, mediante una aplicación web alojada en Portugal. No tratamos los datos manualmente, salvo para el soporte técnico que solicite el Responsable.
• Finalidad: exclusivamente la prestación del servicio descrito en los Términos. Nunca publicidad, perfiles comerciales, entrenamiento de modelos ni cesión a terceros.
• Interesados: jugadores (en su mayoría menores), padres, madres o tutores, entrenadores ayudantes, delegados y otros contactos del equipo.
• Categorías de datos: las enumeradas en la sección «Qué datos se tratan» de la Política de privacidad: identificación, contactos, fotografía, datos deportivos y los documentos que suba el Responsable. Datos de salud solo si el Responsable los sube como documento, y en ese caso con acceso restringido al Entrenador principal.
• Duración: mientras exista la cuenta, y durante el periodo de 90 días tras la cancelación previsto en la sección «Fin del tratamiento».

Instrucciones del responsable

Tratamos los datos únicamente siguiendo instrucciones documentadas del Responsable. Esas instrucciones son: los Términos y condiciones, la Política de privacidad, este Acuerdo y las acciones que el Responsable realiza en la propia aplicación: crear una ficha, subir una fotografía, enviar una convocatoria, exportar, suprimir. Las instrucciones adicionales se dan por escrito, a geral@myteammanager.pt.

Si una instrucción nos parece contraria al RGPD o a otra norma de protección de datos, avisamos al Responsable de inmediato y podemos suspender su ejecución hasta que la confirme o la retire.

Solo tratamos datos al margen de las instrucciones cuando nos obligue el Derecho de la Unión Europea o de un Estado miembro, y en ese caso informamos antes al Responsable, salvo que ese mismo Derecho lo prohíba.

Confidencialidad

Quien trabaja con nosotros y tiene acceso a los datos está sujeto a un deber de confidencialidad, por contrato o por ley, y solo accede a lo estrictamente necesario para operar el servicio o atender una solicitud de soporte del Responsable. El acceso administrativo a la infraestructura está restringido y las acciones sensibles quedan en un registro de auditoría.

Medidas de seguridad

Aplicamos las medidas técnicas y organizativas descritas en la sección «Seguridad» de la Política de privacidad, que se dan aquí por reproducidas. En resumen:

• Aislamiento por cuenta impuesto por la propia base de datos (Row Level Security);
• Cifrado en tránsito (HTTPS/TLS) en todo el tráfico;
• Contraseñas guardadas en hash; sesión mediante una cookie httpOnly;
• Eliminación de metadatos (EXIF, GPS) de las fotografías subidas;
• Permisos por rol; documentos de jugadores visibles solo para el Entrenador principal;
• Copias de seguridad diarias, cifradas antes de salir del servidor, con una rotación de 7 copias diarias, 4 semanales y 6 mensuales;
• Registro de auditoría de las acciones sensibles, conservado 24 meses.

Podemos mejorar estas medidas en cualquier momento; no las reducimos sin avisar al Responsable con 30 días de antelación.

Subencargados del tratamiento

El Responsable nos da una autorización general para recurrir a otros encargados en la prestación del servicio, en las siguientes condiciones:

• La lista vigente está siempre publicada en la sección «Con quién los compartimos» de la Política de privacidad;
• Antes de añadir o sustituir un subencargado, avisamos al Responsable por correo electrónico con 30 días de antelación;
• El Responsable puede oponerse, por escrito, dentro de ese plazo. Si la oposición es fundada y no hay una alternativa razonable, puede resolver el contrato sin penalización y exportar sus datos antes de que el cambio surta efecto;
• Imponemos a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Acuerdo, y seguimos siendo responsables ante el Responsable de su cumplimiento.

Asistencia al responsable

Teniendo en cuenta la naturaleza del tratamiento, ayudamos al Responsable a:

• Responder a los interesados: un padre, madre o tutor que quiera acceder, rectificar o suprimir los datos de su hijo se dirige al Responsable; la aplicación le da las herramientas para hacerlo por sí mismo y, si una solicitud nos llega a nosotros, la remitimos y damos apoyo, como se describe en la sección Datos de menores de la Política de privacidad;
• Cumplir los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto y consulta previa) facilitando la información de que disponemos sobre el tratamiento;
• Demostrar el cumplimiento, en los términos de la sección «Información y auditoría».

Esta asistencia está incluida en el precio del servicio cuando sea razonable. Las solicitudes que exijan un trabajo fuera de lo común pueden presupuestarse antes de ejecutarlas.

Notificación de violaciones de datos

La notificación incluye, en la medida de lo que sepamos en ese momento:

• La naturaleza de la violación y las categorías y el número aproximado de interesados y de registros;
• Las consecuencias probables;
• Las medidas adoptadas o propuestas para ponerle fin y mitigar sus efectos;
• Un punto de contacto para obtener más información.

Si no tenemos toda la información en las primeras 24 horas, enviamos lo que tengamos y lo completamos a medida que sepamos más. No comunicamos la violación a los interesados ni a las autoridades en nombre del Responsable sin su instrucción, salvo obligación legal propia.

Fin del tratamiento: exportación y supresión

Cuando se cancela la cuenta, el Responsable mantiene durante 90 días el acceso de lectura y la posibilidad de exportar todos los datos a un archivo, desde la propia aplicación: equipos, jugadores, cuerpo técnico, entrenamientos, asistencias, partidos, convocatorias, tácticas y ejercicios. Es la devolución de los datos prevista en el artículo 28, apartado 3, letra g).

Transcurrido ese plazo, o antes si el Responsable lo solicita por escrito, suprimimos de forma definitiva los datos y las copias existentes: las fotografías y los documentos se borran del almacenamiento de inmediato, y las copias de seguridad se rotan según la política de 7 días en el servidor; copias remotas cifradas con 7 diarias, 4 semanales y 6 mensuales, por lo que dejan de contener los datos al final de ese ciclo.

Se exceptúan los datos que la ley nos obligue a conservar: los documentos fiscales relativos a la suscripción, durante 10 años. Esos son datos de los que el responsable somos nosotros, no datos de jugadores.

Información y auditoría

Ponemos a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo: la Política de privacidad, la descripción de las medidas de seguridad, la lista de subencargados y, previa solicitud, respuestas por escrito a un cuestionario razonable de seguridad y protección de datos, una vez al año.

El Responsable, o un auditor designado por él y sujeto a confidencialidad, puede realizar una auditoría documental con 30 días de preaviso, en horario laboral y sin perturbar el servicio a los demás clientes ni exponer sus datos. Las inspecciones presenciales de la infraestructura, solo cuando lo exijan la ley o una autoridad de control. Las auditorías más allá de una al año, o que exijan un trabajo fuera de lo común, corren a cargo del Responsable.

Transferencias internacionales

Los datos de los jugadores están alojados en Portugal y no se transfieren fuera de la Unión Europea. Las únicas transferencias fuera del Espacio Económico Europeo se refieren a los datos de la propia cuenta (pagos con Stripe, inicio de sesión opcional con Google), se basan en cláusulas contractuales tipo de la Comisión Europea y se describen en la sección Dónde están los datos de la Política de privacidad. No transferimos datos de jugadores a terceros países sin instrucción escrita del Responsable.

Responsabilidad y prelación

Cada parte responde de los daños que cause por incumplir las obligaciones que el RGPD le atribuye, conforme al artículo 82. La limitación de responsabilidad de los Términos y condiciones se aplica a este Acuerdo en la medida en que la ley lo permita; nunca limita la responsabilidad frente a los interesados.

En caso de contradicción entre este Acuerdo y los Términos, en materia de protección de datos prevalece este Acuerdo. Se rige por la ley portuguesa. Las modificaciones siguen el régimen de los Términos: aviso por correo electrónico con 30 días de antelación.

Contacto

Para instrucciones, solicitudes de interesados, notificaciones o copias firmadas de este Acuerdo: geral@myteammanager.pt, en nombre de João Carlos Neves Leonardo.

La autoridad de control en Portugal es la Comissão Nacional de Proteção de Dados (CNPD), la autoridad portuguesa de protección de datos, www.cnpd.pt.