Contracte d'encarregat del tractament

Les parts

• El club, responsable del tractament. Cada club que fa servir Padel Backstage, sigui una empresa, una entitat o un professional autònom. Accepta aquest contracte en nom seu la persona titular del club a la plataforma. En aquest contracte en diem «el club».
• Padel Backstage, encarregat del tractament. En aquest contracte en diem «nosaltres». Les nostres dades són:
  • Titular: [PENDENT: nom i cognoms o raó social]
  • NIF: [PENDENT: NIF]
  • Adreça: [PENDENT: adreça postal]
  • Correu electrònic: hola@padelbackstage.com

Objecte i durada

Per donar el servei al club, tractem per compte seu les dades personals dels jugadors, de les persones interessades en els seus tornejos i de les que responen les seves enquestes, que el club recull i gestiona a Padel Backstage. Aquest contracte fixa com ho fem.

No hi entren les dades de què som responsables nosaltres: els comptes de l'equip del club i les dades del club com a client. Aquestes les expliquem a la política de privacitat.

Durada. El contracte s'aplica des que el club accepta les condicions del servei, també durant la prova gratuïta, i dura mentre el club faci servir Padel Backstage. Quan el club deixa el servei, les obligacions d'aquest contracte continuen fins que hàgim esborrat les dades, tal com expliquem a l'apartat «Què passa quan s'acaba el servei».

Naturalesa i finalitat del tractament

Finalitat. Fem servir les dades només perquè el club pugui organitzar els seus tornejos i americanes amb Padel Backstage:

• rebre i gestionar les inscripcions de parelles i equips, i la disponibilitat horària de cadascú;
• fer els grups, les classificacions, els quadres finals i els horaris de pistes;
• apuntar els resultats dels partits i publicar-los a la web pública del torneig;
• portar el control de qui ha pagat la inscripció: només es marca qui ha pagat, perquè Padel Backstage no cobra les inscripcions ni guarda targetes;
• portar l'agenda de contactes del club i la llista «Avisa'm» de persones interessades en futurs tornejos;
• fer enquestes de satisfacció, veure estadístiques i mostrar el torneig a la pantalla de la TV del club.

Naturalesa. Les dades les introdueix l'equip del club al panell, o les mateixes persones als formularis públics del club (inscripcions, «Avisa'm» i enquestes). Nosaltres les guardem, les organitzem, les mostrem a l'equip del club i a la web pública del torneig, en permetem l'exportació i les esborrem quan el club ho decideix o quan s'acaba el servei.

Què és públic. Cada torneig té una web pública que pot veure qualsevol persona. Hi surten els noms dels jugadors i de les parelles, els grups, els horaris i els resultats. El comentari d'una enquesta només es pot publicar si qui l'ha escrit ho ha permès.

Quines dades i de quines persones

• Jugadors que s'inscriuen als tornejos o americanes del club, o que el club té a la seva agenda: nom i cognoms, correu, telèfon, nivell, any de naixement, població, disponibilitat, observacions, inscripcions, estat del pagament, resultats i si han acceptat rebre informació del club.
• Persones interessades que s'apunten a la llista «Avisa'm» del club: el nom, el correu o el telèfon (o tots dos), què els interessa i la data en què hi van donar el consentiment.
• Persones que responen les enquestes del club: la valoració (d'1 a 5), el comentari, si permeten que es publiqui i, si el posen, el seu nom.

La plataforma no està pensada per tractar categories especials de dades (art. 9 del RGPD), com les de salut.

Obligacions del club

Com a responsable, el club decideix per a què fa servir les dades i ha de vetllar perquè el tractament compleixi la llei (art. 24 del RGPD). En concret, el club s'encarrega de:

• Tenir una base legal per a cada dada que recull i cada ús que en fa (art. 6 del RGPD).
• Informar les persones de qui és el responsable, per a què fa servir les dades, que els seus noms sortiran a la web pública del torneig i com poden exercir els seus drets (art. 13 i 14 del RGPD). La nostra política de privacitat té un apartat per a jugadors que explica com funciona Padel Backstage, però no substitueix la informació que ha de donar el club.
• Obtenir els consentiments quan calguin, com el de rebre informació del club o el d'apuntar-se a «Avisa'm», i respectar-los quan algú els retira.
• Menors de 14 anys. Si el club organitza tornejos amb menors de 14 anys, ha d'obtenir el consentiment dels seus pares o tutors (art. 7 de la Llei orgànica 3/2018, de protecció de dades personals i garantia dels drets digitals, LOPDGDD), tenint en compte que el nom del menor sortirà a la web pública del torneig.
• Donar-nos instruccions lícites: el que el club ens demana, o fa amb la plataforma, ha de complir la normativa de protecció de dades.
• Introduir-hi només les dades necessàries i no posar-hi dades de categories especials (art. 9 del RGPD), com informació sobre la salut o les lesions dels jugadors, tampoc als camps de text lliure com les observacions.
• Atendre els drets de les persones, amb l'ajuda que expliquem a l'apartat sobre els drets.
• Decidir qui del seu equip hi té accés i amb quin rol, i treure l'accés a qui ja no en necessiti.

Només seguim les instruccions del club

Només tractem les dades seguint les instruccions documentades del club (art. 28.3.a del RGPD). Les instruccions són l'ús que el club fa de la plataforma i de la seva configuració: les dades que hi introdueix, els tornejos i els formularis que hi crea, i el que hi publica, exporta o esborra. En acceptar aquest contracte, el club també ens dona instrucció de fer servir els subencarregats i de fer les transferències que expliquem més avall.

El club també ens pot donar instruccions per escrit a hola@padelbackstage.com. Si una instrucció escrita demana alguna cosa que el servei no fa, ho direm al club i en parlarem; si no la podem seguir, el club pot deixar el servei.

Si creiem que una instrucció infringeix el RGPD o una altra norma de protecció de dades de la Unió Europea o d'Espanya, ho direm al club de seguida.

Només podríem tractar les dades d'una altra manera si ens hi obligués una llei de la Unió Europea o d'Espanya. En aquest cas, ho diríem abans al club, llevat que la mateixa llei ho prohibeixi per raons importants d'interès públic.

Confidencialitat

Dins de Padel Backstage, només els dos socis tenen accés a les dades, i només quan cal per donar el servei, resoldre una incidència o complir una obligació legal. Tots dos ens comprometem a guardar-les en secret, també quan s'acabi el contracte (art. 28.3.b del RGPD i art. 5 de la LOPDGDD). Si en el futur algú més hi ha de tenir accés, abans s'haurà de comprometre per escrit a la mateixa confidencialitat.

Mesures de seguretat

Apliquem mesures tècniques i organitzatives adequades al risc (art. 32 del RGPD):

• Totes les connexions van xifrades (HTTPS/TLS), i la web obliga els navegadors a fer-les servir sempre (HSTS).
• No guardem les contrasenyes de l'equip del club, només una empremta (hash) que no permet saber quina és.
• La base de dades només és accessible des del nostre servidor: totes les taules tenen activada la seguretat per files (RLS) i no s'hi pot accedir directament des del navegador.
• Cada club només veu les seves dades: a cada consulta comprovem que la persona és membre del club.
• Dins del club, els permisos depenen del rol de cada persona de l'equip.
• Quan tinguem el pla de producció del proveïdor de la base de dades, hi haurà una còpia de seguretat diària, que es guarda 7 dies.
• Dins de Padel Backstage, només hi tenen accés els dos socis.

Revisarem aquestes mesures quan canviï el servei o el risc, per mantenir-les al dia.

Subencarregats

Per donar el servei fem servir altres proveïdors que, per fer la seva feina, tracten o poden tractar aquestes dades: són subencarregats del tractament. Amb aquest contracte, el club ens dona una autorització general per escrit per fer-los servir (art. 28.2 del RGPD). Avui són aquests:

Google no és un subencarregat: si algú de l'equip del club entra amb el seu compte de Google, Google actua com a responsable independent d'aquest compte.

Només fem servir subencarregats que ofereixen garanties suficients i que, per contracte, tenen unes obligacions de protecció de dades que donen, en substància, la mateixa protecció que aquest contracte. Si un subencarregat no les compleix, en responem nosaltres davant del club (art. 28.4 del RGPD).

Canvis. Si volem afegir o canviar un subencarregat, n'avisarem la persona titular del club per correu electrònic amb almenys 15 dies d'antelació i actualitzarem aquesta llista. Dins d'aquest termini, el club s'hi pot oposar escrivint a hola@padelbackstage.com i explicant-ne el motiu. Si no arribem a un acord, el club pot deixar el servei, sense cap penalització, abans que el canvi s'apliqui, després d'exportar les seves dades si vol.

Ajuda amb els drets de les persones

Els jugadors i les altres persones exerceixen els seus drets (accés, rectificació, supressió, oposició, limitació i portabilitat) davant del club, que és qui decideix com respondre. Tenint en compte com és el tractament, nosaltres l'ajudem així (art. 28.3.e del RGPD):

• Si la petició ens arriba a nosaltres, la reenviem al club en un termini màxim de 5 dies hàbils i no la responem pel nostre compte, llevat que el club ens ho demani. A la persona només li direm que hem fet arribar la petició al club.
• Eines del panell. El club pot respondre moltes peticions des del panell: per exemple, corregir les dades d'una inscripció, treure contactes de l'agenda o exportar en CSV els contactes, els interessats i les estadístiques. Quan es treu de l'agenda un jugador que ja té inscripcions o resultats, aquestes dades es mantenen als tornejos on ha jugat.
• Si amb les eines no n'hi ha prou (per exemple, per esborrar del tot les dades d'una persona), el club ens pot escriure a hola@padelbackstage.com i l'ajudarem a complir la petició.

Ajuda amb la seguretat i les avaluacions d'impacte

Tenint en compte com és el tractament i la informació que tenim, ajudarem el club a complir les obligacions dels articles 32 a 36 del RGPD (art. 28.3.f):

• la seguretat del tractament (art. 32);
• la notificació de violacions de la seguretat de les dades a l'autoritat de control i la comunicació a les persones afectades (art. 33 i 34);
• l'avaluació d'impacte, si el club n'ha de fer una (art. 35), i la consulta prèvia a l'autoritat, si cal (art. 36).

Per fer-ho, li donarem la informació que tinguem sobre la plataforma, els proveïdors i les mesures de seguretat.

Si hi ha una violació de la seguretat de les dades

Si tenim coneixement d'una violació de la seguretat que afecti les dades que tractem per compte del club (per exemple, un accés no autoritzat, una pèrdua o una filtració), també si ens n'avisa un subencarregat, avisarem el club sense dilació indeguda i, en tot cas, en un termini màxim de 48 hores des que en tinguem coneixement (art. 33.2 del RGPD). L'avís l'enviarem per correu electrònic a la persona titular del club i inclourà, amb la informació que tinguem (art. 33.3 del RGPD):

• què ha passat, quines categories de dades i de persones s'han vist afectades i, aproximadament, quantes persones i quants registres;
• on pot demanar més informació: hola@padelbackstage.com;
• les conseqüències probables;
• les mesures que hem pres o que proposem per resoldre-ho i reduir-ne els possibles efectes.

Si d'entrada no tenim tota la informació, la donarem a mesura que la tinguem. El club decideix si cal notificar-ho a l'Agència Espanyola de Protecció de Dades (el RGPD li dona 72 hores des que en té coneixement, art. 33.1) i a les persones afectades, i nosaltres l'ajudem a fer-ho. No ho notificarem nosaltres pel nostre compte, llevat que el club ens ho demani o que la llei ens hi obligui.

Què passa quan s'acaba el servei

• Exportar les dades. Abans de deixar el servei, el club pot exportar des del panell, en CSV, els contactes, els interessats i les estadístiques, i portar-les, si vol, a un altre proveïdor. Si necessita alguna altra dada, ens pot escriure abans de la baixa i l'ajudarem a obtenir-la.
• Esborrar-les. Un cop acabat el servei, esborrem les dades en un termini màxim de 30 dies, llevat que una llei de la Unió Europea o d'Espanya ens obligui a conservar-les. Si el club ho demana, li confirmarem per escrit que les hem esborrat.
• Còpies de seguretat. Quan hi hagi còpies de seguretat, el que esborrem hi pot quedar, com a molt, 7 dies més, i després desapareix sol.

Informació i auditories

Posarem a disposició del club tota la informació necessària per demostrar que complim aquest contracte i l'article 28 del RGPD (art. 28.3.h): per exemple, la descripció de les mesures de seguretat, la llista de subencarregats i les garanties de cadascun.

El club, o un auditor que designi, també pot fer auditories i inspeccions, i nosaltres hi col·laborarem. Les ha de demanar per escrit amb una antelació raonable, i s'han de fer sense interrompre el servei ni donar accés a dades d'altres clubs. L'auditor s'ha de comprometre per escrit a guardar la confidencialitat. Pel que fa als subencarregats, donarem al club la informació que ells mateixos ens facilitin sobre com compleixen.

Transferències fora de l'Espai Econòmic Europeu

Les dades es guarden a la Unió Europea: la base de dades de Supabase és a Irlanda, les funcions de Vercel s'executen a Dublín i el correu de Zoho és al seu centre de dades de la UE. Només hi pot haver transferències fora de l'Espai Econòmic Europeu (EEE) si hi ha una decisió d'adequació de la Comissió Europea (art. 45 del RGPD) o garanties adequades, com les clàusules contractuals tipus (art. 46). Avui hi pot haver transferències en aquests casos:

• Supabase: hi pot accedir des de fora de l'EEE per donar-nos el servei, amb clàusules contractuals tipus aprovades per la Comissió Europea (art. 46.2.c del RGPD).
• Vercel: lliura les pàgines a través d'una xarxa de distribució mundial. Està adherida al Marc de Privacitat de Dades UE-EUA, que té una decisió d'adequació (art. 45 del RGPD), i a més hi ha clàusules contractuals tipus.
• Correus d'autenticació: [PENDENT: Resend (EUA, DPF) o Brevo (França)].

Si en el futur n'hi hagués d'altres, seria només amb aquestes garanties i ho avisaríem com un canvi de subencarregat.

Registre d'activitats de tractament

Ens comprometem a portar un registre de les activitats de tractament que fem per compte dels clubs (art. 30.2 del RGPD), amb el nom i el contacte de Padel Backstage i de cada club, les categories de tractament, les transferències fora de l'EEE i les seves garanties, i una descripció general de les mesures de seguretat. Si l'Agència Espanyola de Protecció de Dades ens el demana, l'hi donarem.

No fem servir les dades per a res més

Les dades dels jugadors i dels interessats les tractem només per compte del club. No les fem servir per a finalitats pròpies: no les venem ni les cedim, no les fem servir per a publicitat, no contactem les persones pel nostre compte, no en fem perfils i no les comuniquem a altres clubs. Si mai les féssim servir per a una altra cosa, en passaríem a ser responsables i en respondríem com a tals (art. 28.10 del RGPD).

Canvis i contacte

Si canviem aquest contracte, ho anunciarem al club amb la mateixa antelació i de la mateixa manera que els canvis de les condicions del servei, i el panell li demanarà que el torni a acceptar. Els canvis de subencarregats segueixen el procediment de l'apartat «Subencarregats».

Pel que fa a les dades personals, si aquest contracte i les condicions del servei diuen coses diferents, preval aquest contracte. En tot el que aquest contracte no reguli, s'apliquen les condicions del servei, també pel que fa a la llei aplicable i als jutjats.

Per a qualsevol dubte sobre aquest contracte, el club ens pot escriure a hola@padelbackstage.com.