Contrato de encargo del tratamiento

Este contrato de encargo del tratamiento («el contrato») forma parte de los Términos y condiciones de SmashBook. Lo celebran el club que acepta esos términos («el club»), como responsable del tratamiento, y [PLACEHOLDER: nombre y apellidos del titular] (NIF [PLACEHOLDER: NIF], [PLACEHOLDER: domicilio completo]), titular de SmashBook («SmashBook»), como encargado del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Regula los datos personales de los clientes, socios, alumnos y demás interesados del club que SmashBook trata por cuenta del club al prestar el servicio. No incluye los datos de las personas que usan el panel ni los de facturación del club, que SmashBook trata como responsable según la Política de privacidad.

El contrato dura lo mismo que la suscripción del club a SmashBook. Al terminar se aplica el apartado «Fin del encargo: devolución y supresión».

SmashBook trata los datos solo para prestar el servicio contratado:

• alojar y gestionar las fichas de clientes, socios y alumnos;
• gestionar reservas, clases, cuotas y pagos (estos, a través de la cuenta Stripe del club);
• enviar y recibir los mensajes de WhatsApp del club y los emails transaccionales;
• responder a los clientes con el asistente de inteligencia artificial, según la configuración del club;
• transcripción automática de notas de voz de los clientes, para que el asistente pueda entenderlas (el audio no se conserva; solo el texto, como un mensaje más);
• dar soporte técnico y mantener la seguridad, las copias de seguridad y los registros necesarios para el funcionamiento.

Operaciones: recogida, registro, conservación, consulta, modificación, comunicación a los subencargados indicados, exportación y supresión.

Interesados: clientes, socios, alumnos y jugadores del club, y personas que escriben a su WhatsApp.

Datos: identificativos y de contacto (nombre, teléfono, email); reservas, clases y cuotas; pagos (importe y estado; los datos de la tarjeta los trata Stripe); preferencias (deporte, nivel, intereses); permisos de comunicación (fecha, canal y versión del texto), y contenido de las conversaciones de WhatsApp.

El servicio no está pensado para categorías especiales de datos (art. 9 RGPD): el club no debe introducirlas en notas, conversaciones ni en la base de conocimiento del asistente. Si el club trata datos de menores, le corresponde obtener el consentimiento de sus padres o tutores cuando sea necesario.

Como encargado, SmashBook se compromete a:

• tratar los datos solo siguiendo las instrucciones documentadas del club: los términos, este contrato y la configuración que el club hace en el panel, salvo que el Derecho de la Unión o de los Estados miembros le obligue a tratarlos; en tal caso, informará al club de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones de interés público. Si una instrucción le parece contraria a la normativa de protección de datos, se lo comunicará inmediatamente al club;
• no usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal;
• garantizar que las personas autorizadas a tratarlos se han comprometido a respetar la confidencialidad;
• aplicar las medidas del apartado «Seguridad» (art. 32 RGPD);
• ayudar al club a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD), según la naturaleza del tratamiento y la información de que disponga;
• poner a disposición del club la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías (apartado «Información y auditorías»);
• llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

Como responsable, el club se compromete a:

• tener una base jurídica para cada tratamiento e informar a sus clientes (con la página de privacidad del club que genera SmashBook o con su política propia);
• contar con el permiso de sus clientes para los mensajes de WhatsApp que lo requieran;
• dar instrucciones lícitas y mantener actualizados en el panel sus datos como responsable;
• gestionar los accesos de su personal al panel.

El club autoriza a SmashBook a recurrir a estos subencargados:

• Supabase, Inc.: base de datos, autenticación y almacenamiento. Servidores en la Unión Europea (Fráncfort, Alemania).
• Vercel Inc.: alojamiento de la web, el panel y las funciones del servidor, red y AI Gateway. Infraestructura global.
• OpenAI OpCo, LLC y Google LLC, a través de Vercel AI Gateway (subencargados de Vercel Inc.): modelos de IA y transcripción de audio. Pueden tratar los datos en Estados Unidos.
• Anthropic, PBC, a través de Vercel AI Gateway (subencargado de Vercel Inc.): modelos de lenguaje del asistente. Puede tratar los datos en Estados Unidos. El servicio solo permite al Gateway enrutar a estos tres proveedores de IA (no a otros, como Amazon Bedrock, Google Vertex AI o Microsoft Azure).
• Plus Five Five, Inc. (Resend): emails transaccionales (avisos al club y, si el club lo activa, a sus clientes). Estados Unidos.
• Meta Platforms Ireland Ltd.: WhatsApp Business Platform, para enviar y recibir los mensajes de WhatsApp del club. Unión Europea y Estados Unidos.
• Stripe Payments Europe, Limited: pagos de los clientes a través de la cuenta Stripe del club. Para los datos de pago, Stripe actúa además como responsable independiente. Unión Europea y Estados Unidos.

SmashBook impone a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responde ante el club de que las cumpla.

SmashBook avisará al club por email de cualquier alta o sustitución de subencargados con al menos 15 días de antelación. El club puede oponerse por motivos razonables de protección de datos y, si no se encuentra una solución, terminar el contrato sin penalización antes de que el cambio se aplique.

La base de datos principal está en la Unión Europea. Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo, sobre todo en Estados Unidos. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en todo caso, en las cláusulas contractuales tipo de la Comisión Europea, con las medidas adicionales que correspondan.

SmashBook aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• comunicaciones cifradas (HTTPS/TLS) y cifrado en reposo de la base de datos por el proveedor de alojamiento;
• separación de los datos de cada club con políticas de seguridad a nivel de fila en la base de datos;
• acceso al panel con usuario y contraseña y permisos por rol (propietario, administrador, personal);
• credenciales de terceros (como los tokens de WhatsApp) guardadas cifradas;
• copias de seguridad del proveedor de base de datos;
• registro de actividad de los cambios relevantes;
• acceso del personal de SmashBook limitado a lo necesario para soporte y mantenimiento.

SmashBook notificará al club por email, sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por cuenta del club, con la información disponible en ese momento (naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas tomadas o propuestas), y la completará a medida que disponga de más información, para que el club pueda notificarla a la autoridad de control en el plazo de 72 horas del artículo 33 RGPD cuando proceda.

Notificar a la autoridad de control y, en su caso, a los interesados corresponde al club como responsable.

El panel permite al club exportar y borrar los datos de un cliente, y los clientes pueden pedirlo por WhatsApp. Si un interesado se dirige directamente a SmashBook, SmashBook trasladará la solicitud al club sin dilación y no la atenderá por su cuenta salvo instrucción del club.

Antes de terminar, el club puede exportar sus datos desde el panel. Al terminar el contrato, SmashBook suprimirá los datos personales tratados por cuenta del club en un máximo de 90 días, salvo que una ley obligue a conservarlos (en ese caso los mantendrá bloqueados solo durante ese plazo). Las copias de seguridad del proveedor de base de datos se sobrescriben en su ciclo de rotación, como máximo 7 días después, y hasta entonces solo se usan para restaurar el servicio.

A petición del club, SmashBook confirmará por escrito la supresión.

SmashBook facilitará al club, a petición razonable por escrito a info@smashbookapp.com, la información necesaria para demostrar el cumplimiento de este contrato. Las auditorías o inspecciones se acordarán con antelación razonable, serán a costa del club y no podrán afectar a la seguridad ni a la confidencialidad de otros clubs. SmashBook podrá ofrecer primero la documentación o las certificaciones de sus proveedores; si no bastan, el club, o un auditor que designe sujeto a confidencialidad, podrá realizar la auditoría.

La responsabilidad, los cambios y la ley aplicable se rigen por los Términos y condiciones. En materia de protección de datos, si hay contradicción, prevalece este contrato.