Contrato de encargo del tratamiento

Versión pública del contrato que acepta cada organizador al crear su primer evento en TatamiSuite.

1. Partes

• Responsable del tratamiento: la entidad organizadora identificada en el momento de la aceptación (razón social, NIF, domicilio y correo), representada por la persona que la acepta, que declara tener facultades para obligarla.
• Encargado del tratamiento: Wittyon Solucions S.L., NIF [pendiente: CIF], [pendiente: DOMICILIO], privacidad@tatamisuite.es.

La aceptación se registra electrónicamente con fecha, hora, dirección IP, usuario y versión de este texto, y forma parte del contrato de uso de TatamiSuite.

2. Objeto

El encargado tratará, por cuenta del responsable, los datos personales necesarios para gestionar sus eventos en TatamiSuite: inscripciones, datos de padres, madres o tutores, clubes participantes, categorías, cuadros, marcadores y resultados, cobros y devoluciones a través del terminal de pago del responsable, y comunicaciones con participantes y clubes.

3. Duración

Mientras el responsable tenga eventos en TatamiSuite y, después, durante el plazo de conservación del apartado 11.

4. Naturaleza y finalidad

Recogida, registro, organización, conservación, consulta, comunicación a los participantes y al público en los términos que decida el responsable, y anonimización, por medios automatizados, con la única finalidad de prestar el servicio.

5. Datos y personas afectadas

• Personas: deportistas (incluidos menores de edad), sus padres, madres o tutores, representantes y entrenadores de clubes, jueces y personal de mesa, y pagadores.
• Datos: identificativos (nombre, apellidos, DNI), fecha de nacimiento, sexo, grado, peso declarado, club, contacto (teléfono y correo), datos del tutor, datos de la competición (categorías, puntuaciones y resultados), datos económicos de la inscripción (importe, estado y referencia, nunca los datos completos de la tarjeta), los documentos adjuntos que pida el responsable y las imágenes que suba el responsable.
• El servicio no está pensado para categorías especiales de datos (por ejemplo, de salud). Si el responsable las pide en campos propios, asume su licitud y debe comunicarlo al encargado.

6. Obligaciones del encargado

El encargado se obliga a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y la configuración que el responsable hace de sus eventos en TatamiSuite. Si una instrucción le parece contraria a la normativa, lo avisará de inmediato.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados y cuando lo exija la ley.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del apartado 9.
5. Asistir al responsable, mediante las funciones de TatamiSuite o a petición suya, para atender los derechos de los interesados. Si un interesado se dirige al encargado, este trasladará la solicitud al responsable en un plazo máximo de 5 días hábiles.
6. Notificar al responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible para que el responsable pueda notificarla a la autoridad de control y, en su caso, a los interesados.
7. Ayudar al responsable en las evaluaciones de impacto y en las consultas previas, cuando procedan.
8. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
9. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de 30 días y a cargo del responsable.
10. Al terminar el servicio, según decida el responsable, devolverle los datos en un formato estructurado o suprimirlos o anonimizarlos, salvo lo que deba conservarse por obligación legal.

7. Subencargados

El responsable autoriza de forma general al encargado a recurrir a los subencargados que se indican a continuación, que tratan los datos solo para prestar el servicio y con las mismas obligaciones de este contrato:

• [pendiente: proveedor] — Alojamiento del servidor y copias de seguridad cifradas (Unión Europea)
• WhatsApp Ireland Ltd. (grupo Meta) — Entrega de los mensajes de WhatsApp (UE; posibles transferencias a EE. UU. amparadas en el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo)
• [pendiente: proveedor] — Envío de correo electrónico (servidor mail.neotech-x.es) (Unión Europea)

El encargado informará al responsable, con al menos 15 días de antelación, de cualquier incorporación o sustitución de subencargados, publicándolo en esta página y avisando por correo; el responsable podrá oponerse de forma motivada y, si no hay acuerdo, resolver el contrato.

La pasarela de pago (Redsys) y la entidad financiera del terminal de pago las contrata directamente el responsable: no son subencargados de Wittyon Solucions S.L..

8. Obligaciones del responsable

El responsable se obliga a:

1. Contar con una base legal para el tratamiento y facilitar datos veraces de su entidad, que se mostrarán como responsable en la información a los interesados.
2. Revisar la información que TatamiSuite muestra en sus formularios y completarla con la que le sea propia (por ejemplo, su delegado de protección de datos).
3. Cuando inscriba a menores de 14 años de forma manual o por importación, disponer del consentimiento de su padre, madre o tutor legal, conservarlo para poder acreditarlo y completar los consentimientos que queden pendientes.
4. Fijar, si lo desea, un plazo de conservación distinto del predeterminado (24 meses después del evento).
5. Designar un delegado de protección de datos cuando la ley se lo exija (por ejemplo, las federaciones deportivas que traten datos de menores, art. 34.1.l de la Ley Orgánica 3/2018).
6. No introducir en campos propios categorías especiales de datos sin base legal suficiente.
7. Supervisar el tratamiento y atender los derechos de los interesados.

9. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS), de las contraseñas y de las claves del terminal de pago.
• Control de acceso por usuario, evento y papel; sesiones firmadas con caducidad; límite de intentos de acceso.
• Registro de accesos y de aceptaciones.
• Copias de seguridad diarias cifradas.
• Separación de los datos por evento y organizador.
• Anonimización automática al vencer el plazo de conservación.
• Actualización periódica del software y revisiones de seguridad.

10. Transferencias internacionales

Los datos se alojan en la Unión Europea. Las transferencias que puedan producirse por el envío de mensajes de WhatsApp están amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.

11. Conservación y fin del encargo

Los datos de cada inscripción se anonimizan cuando transcurre el plazo configurado en el evento (24 meses después de su fecha, por defecto). Los datos económicos se conservan, desvinculados de los de contacto, durante los plazos legales. Si el responsable deja de usar TatamiSuite, puede pedir la devolución de sus datos antes de su anonimización.

12. Responsabilidad

Cada parte responde de sus incumplimientos conforme al artículo 82 RGPD. Si el encargado usa los datos para fines propios o incumple las instrucciones del responsable, será considerado responsable del tratamiento respecto de ese uso.

13. Ley aplicable

Este contrato se rige por el RGPD y la legislación española. Salvo norma imperativa en contrario, las partes se someten a los juzgados del domicilio del encargado.