Contrato de Encargo del Tratamiento

1. Partes

Responsable del tratamiento («el Entrenador»): la persona que se registra en FuerteCoach como entrenador, identificada con los datos de su cuenta.

Encargado del tratamiento («FuerteCoach»): Joan Goma Timon, NIF 49347661B, Carrer de Covadonga 308, 4º 2ª, 08202 Sabadell (Barcelona), contacto joan@fuertecoach.com.

2. Objeto

FuerteCoach trata datos personales por cuenta del Entrenador únicamente para prestarle el servicio de la plataforma (gestión de clientes, entrenamientos, nutrición, seguimiento y mensajería), conforme a los Términos y Condiciones.

3. Descripción del tratamiento

• Naturaleza: alojamiento, almacenamiento, consulta, visualización, copia de seguridad y supresión.
• Interesados: clientes del Entrenador.
• Tipos de datos: identificación y contacto; peso, medidas corporales, fotografías de seguimiento, notas y registros de entrenamiento, planes de nutrición y mensajes.
• Categorías especiales: datos de salud (art. 9 RGPD).
• Duración: la de la relación contractual, más el plazo de supresión de la cláusula 10.

4. Obligaciones del Entrenador (responsable)

• Disponer de una base jurídica válida para tratar los datos de sus clientes y, para los de salud, obtener su consentimiento explícito (art. 9.2.a RGPD). La plataforma recoge ese consentimiento del cliente en su primera sesión.
• Informar a sus clientes conforme a los arts. 13 y 14 RGPD.
• Introducir solo datos adecuados y necesarios para su servicio.
• No dar de alta como clientes a menores de 14 años. La plataforma no admite cuentas de menores de esa edad y las bloquea según la fecha de nacimiento declarada.
• Atender las solicitudes de derechos de sus clientes, con la ayuda prevista en la cláusula 8.

5. Obligaciones de FuerteCoach (encargado)

1. Tratar los datos solo siguiendo las instrucciones documentadas del Entrenador (los Términos, este contrato y el uso de la plataforma). Si una instrucción infringe la normativa, se lo comunicará.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
3. Garantizar que las personas con acceso están sujetas a confidencialidad.
4. Aplicar las medidas de seguridad del art. 32 RGPD: cifrado en tránsito, contraseñas con hash, 2FA (obligatoria para administradores y opcional para entrenadores), control de acceso por roles con aislamiento entre entrenadores, copias de seguridad cifradas, registro de los accesos a los datos de los clientes (12 meses) y monitorización de incidentes.
5. No usar los datos de los clientes del Entrenador para publicidad ni para medición de campañas. La etiqueta de Google Ads solo opera en las páginas públicas y de registro, con consentimiento, y no recibe datos de clientes.
6. Mantener un registro de las actividades de tratamiento que realiza como encargado.

6. Subencargados

El Entrenador da autorización general para los siguientes subencargados:

• OVHcloud — alojamiento del servidor, la aplicación y la base de datos (centro de datos en Canadá, con decisión de adecuación de la Comisión Europea).
• Hostalia — envío de los correos de la plataforma (España).

La lista vigente es pública en /subencargados. FuerteCoach informará de cualquier alta o sustitución con al menos 15 días de antelación, por correo o aviso en la plataforma. El Entrenador podrá oponerse y, si no hay alternativa razonable, resolver el contrato y exportar sus datos. FuerteCoach impone a cada subencargado las mismas obligaciones de protección de datos que este contrato y responde ante el Entrenador por su incumplimiento.

7. Transferencias internacionales

No se transfieren datos fuera del Espacio Económico Europeo salvo a países con decisión de adecuación o con las garantías del art. 46 RGPD (como las cláusulas contractuales tipo). Hoy: Canadá, con decisión de adecuación.

8. Asistencia al Entrenador

FuerteCoach ayudará al Entrenador, con medios técnicos y organizativos razonables, a atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición de sus clientes, y a cumplir los arts. 32 a 36 RGPD. Si un interesado se dirige a FuerteCoach, se lo trasladará al Entrenador en un máximo de 5 días hábiles.

9. Violaciones de seguridad

FuerteCoach notificará al Entrenador, sin dilación indebida y como máximo en 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a datos de sus clientes, con la información disponible: naturaleza, datos y afectados aproximados, consecuencias probables y medidas adoptadas. La notificación a la AEPD (72 horas) y a los afectados corresponde al Entrenador como responsable.

10. Fin del servicio

Al terminar la relación, FuerteCoach pondrá a disposición del Entrenador la exportación de sus datos y eliminará los datos de sus clientes en un máximo de 30 días, salvo que la ley obligue a conservarlos, en cuyo caso los bloqueará. Las copias de seguridad están cifradas y se rotan a los 35 días, por lo que los datos suprimidos pueden permanecer en ellas hasta ese plazo, sin que se utilicen para ningún otro fin.

11. Auditoría

FuerteCoach pondrá a disposición del Entrenador la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, previo aviso y sin perjudicar la seguridad de otros usuarios.

12. Responsabilidad y ley aplicable

Cada parte responde conforme al art. 82 RGPD y a los Términos y Condiciones. Este contrato se rige por la legislación española y se somete a los Juzgados y Tribunales competentes conforme a la normativa vigente.

13. Aceptación

Se acepta en línea al registrarse como entrenador. FuerteCoach conserva la fecha, la dirección IP y la versión aceptada.