ACUERDO DE ENCARGO DEL TRATAMIENTO DE DATOS

1. Identificación de las partes

De una parte, Jonatan Tejedera Neri, NIF 45787738M, domicilio profesional en Sant Climent de Llobregat, Barcelona, España y correo de privacidad privacidad@entrivo.es, titular de Entrivo (el “Encargado”). De otra parte, la persona física o jurídica que contrata o utiliza Entrivo para el desarrollo de su actividad profesional, identificada mediante los datos facilitados en su cuenta, perfil de facturación o proceso de contratación, en adelante, el «Responsable».

El Responsable decide sobre los datos de sus clientes, personal, colaboradores e invitados. Entrivo es encargado para ese perímetro. Entrivo actúa como responsable independiente para la cuenta del Responsable, contratación, facturación, soporte, seguridad y obligaciones propias. Stripe puede actuar como responsable independiente en pagos, KYC y obligaciones regulatorias conforme a su relación y documentación aplicable.

2. Objeto del encargo

Este acuerdo, conforme al artículo 28 RGPD, regula el tratamiento necesario para prestar la plataforma Entrivo y permitir al Responsable gestionar su actividad profesional. No autoriza usos propios incompatibles de los datos por Entrivo.

3. Duración

El encargo estará vigente durante la relación contractual y el acceso al servicio. Al finalizar se aplicarán las obligaciones de devolución, supresión, bloqueo o conservación de la sección 15.

4. Naturaleza y finalidad

• Gestión de clientes, perfiles, staff y relaciones profesionales.
• Agenda, reservas, sesiones, inscripciones, asistencias y cancelaciones.
• Productos, bonos, compras, solicitudes de pago y suscripciones.
• Invitaciones, comunicaciones, notificaciones, soporte, mantenimiento y seguridad.
• Configuración, versionado y almacenamiento privado de documentos contractuales del Responsable asociados a la relación con sus clientes, así como la facilitación de su aceptación electrónica simple y el registro de evidencias de aceptación.
• Configuración, versionado y presentación de formularios diseñados por el Responsable para sus clientes, junto con la finalidad y la información sobre el tratamiento que el Responsable defina para cada uno, y almacenamiento de las respuestas vinculadas a la versión del formulario y a la evidencia de su cumplimiento.
• Elaboración, asignación y seguimiento de planes de entrenamiento y nutrición del Responsable para sus clientes (complemento «Planes»), incluido el registro por el cliente de controles de peso, medidas corporales, sensaciones, comidas y entrenamientos, y su consulta por el Responsable y el personal que este autorice.

5. Categorías de interesados

Coaches y administradores de entidades cliente; clientes; staff, empleados o colaboradores autorizados; invitados; contactos profesionales incluidos en invitaciones; y usuarios autenticados de la aplicación.

6. Tipos de datos personales

Datos identificativos y de contacto; autenticación, perfiles y roles; fotografías de perfil o cobertura; fecha de nacimiento; agenda, reservas, sesiones, asistencia, bonos, compras y pagos; identificadores y estados de Stripe; invitaciones y comunicaciones; tokens, endpoints, preferencias y registros de entrega de notificaciones; registros técnicos; documentos contractuales del Responsable (PDF versionados e inmutables) y aceptaciones de clientes asociadas (identificadores de usuario, documento y versión, marca temporal, canal, metadatos técnicos disponibles, hash del contenido y, cuando el Responsable lo exija, imagen de firma manuscrita); formularios del Responsable y respuestas de sus clientes (preguntas e información sobre el tratamiento presentadas, respuestas, fecha, evidencia de aceptación o firma asociada y, cuando el Responsable lo requiera, constancia del consentimiento explícito prestado), que pueden incluir categorías especiales de datos conforme a la sección 7. Cuando el Responsable utilice el complemento «Planes»: contenido de los planes de entrenamiento y nutrición asignados a cada cliente, objetivos del plan, registros de entrenamiento (fecha, duración, series, cargas y esfuerzo percibido), controles y check-ins del cliente (peso, medidas corporales, porcentaje de grasa, valoraciones de energía, hambre, sueño y cumplimiento, comentarios y comidas marcadas), respuestas del Responsable a dichos controles, la declaración del Responsable sobre la base jurídica, la constancia del consentimiento o de la información prestada al cliente o a su tutor y, en su caso, los datos bloqueados tras la retirada del consentimiento y la decisión del Responsable sobre ellos. Entrivo no almacena tarjetas ni credenciales bancarias completas: Stripe las trata en el flujo de pago que le corresponda.

7. Categorías especiales de datos

Entrivo permite al Responsable diseñar formularios para sus clientes con las preguntas que él decida, que pueden recabar datos relativos a la salud u otras categorías especiales del artículo 9 del RGPD (por ejemplo, cuestionarios de salud previos a la actividad física). Este tratamiento solo está disponible para los Responsables que hayan aceptado el Addendum de Responsable del Tratamiento en la versión que lo incluye. Para cada formulario, el Responsable define la finalidad y la información sobre el tratamiento que se muestran al cliente antes de responder, indica si el formulario puede recabar categorías especiales de datos y decide si requiere el consentimiento explícito del cliente; Entrivo no determina la base jurídica ni la condición del artículo 9.2 del RGPD aplicables. Además, determinados campos de texto libre o notas operativas podrían contener información relativa a lesiones, patologías, medicación, peso, restricciones físicas u otros datos incluidos en dichas categorías especiales.

El Responsable se compromete a no introducir categorías especiales de datos salvo que disponga de una base jurídica válida para ello y el tratamiento resulte necesario para la prestación de sus servicios profesionales.

En caso de utilizarse o habilitarse este tipo de tratamientos, el Responsable será el encargado de garantizar el cumplimiento de las obligaciones derivadas del artículo 9 del RGPD y Entrivo podrá requerir medidas técnicas, contractuales u organizativas adicionales para permitir dicho tratamiento.

Respecto de las respuestas a formularios, Entrivo aplica, además de las medidas de la sección 10: presentación al cliente, antes de responder, de la finalidad y la información definidas por el Responsable; cuando este lo requiera, solicitud de consentimiento explícito mediante una casilla independiente, no premarcada y separada de la aceptación o firma del formulario, con registro de su constancia; conservación inalterable de lo presentado junto a cada versión del formulario; acceso restringido al Responsable y al personal al que este conceda expresamente el permiso de revisión, limitado a los centros asignados; registro de los accesos del personal; exclusión del contenido de las respuestas en notificaciones, correos electrónicos, avisos y registros técnicos; inmutabilidad de las respuestas enviadas; y herramientas para que el Responsable suprima las respuestas cuando proceda.

Planes de entrenamiento y nutrición. Los controles, check-ins, comidas marcadas y registros de entrenamiento del complemento «Planes» contienen datos relativos a la salud del cliente o que pueden revelarla (peso, medidas corporales, sensaciones, hábitos de alimentación, rendimiento y esfuerzo físico). Este tratamiento solo está disponible para los Responsables que hayan contratado el complemento y aceptado el Addendum de Responsable del Tratamiento en la versión que lo incluye, declarando la finalidad, la base jurídica del artículo 6 del RGPD y la condición del artículo 9.2 del RGPD que consideran aplicable. La determinación de la base jurídica corresponde al Responsable; Entrivo facilita su aplicación. En concreto, respecto de estos datos Entrivo aplica, además de las medidas de la sección 10:

• antes del primer registro de cada cliente con el Responsable, presentación de la información sobre el tratamiento (datos, finalidad declarada, base y condición declaradas, destinatarios, identidad del Responsable, derechos y, si el Responsable la facilita, su política de privacidad);
• cuando el Responsable declare el consentimiento explícito como condición, solicitud de dicho consentimiento mediante una casilla independiente y no premarcada; cuando declare otra condición, constancia de que el cliente fue informado; si el cliente es menor de catorce años, presta el consentimiento o recibe la información su tutor desde su propia cuenta;
• registro de la constancia (versión de la información mostrada, declaración del Responsable vigente, fecha y hora, idioma y si la prestó el cliente, su tutor o el Responsable para clientes sin acceso a la aplicación, con el método y la fecha que este indique), que no puede modificarse; sin constancia vigente, la plataforma no admite nuevos registros; un cambio sustancial de la información o de la declaración del Responsable exige una nueva constancia;
• retirada del consentimiento por el cliente o su tutor en cualquier momento desde la aplicación, o anotada por el Responsable para clientes sin acceso: la plataforma deja de admitir nuevos registros y bloquea los ya registrados, que dejan de mostrarse y de usarse para el plan; el Responsable decide su supresión o su conservación bloqueada, en este caso indicando el motivo, que se muestra al cliente; la solicitud de supresión que el cliente formule al retirar el consentimiento se traslada al Responsable para que la resuelva. La retirada no depende del estado de la suscripción del Responsable;
• plazo de las solicitudes de supresión: la solicitud vence al mes natural de su recepción; la plataforma recuerda al Responsable su vencimiento a los siete días y en los nueve días previos, permite ampliarlo una vez dos meses más dentro del primer mes indicando el motivo, que se muestra al cliente, y registra el vencimiento sin resolución como incidencia de cumplimiento, distinta de una brecha de seguridad; si persiste, Entrivo la revisa y puede, tras una revisión manual y según su gravedad y reiteración, restringir las nuevas operaciones del complemento; el vencimiento no conlleva por sí solo la supresión; la ampliación del plazo solo procede por la complejidad de la solicitud o el número de solicitudes;
• acceso restringido al Responsable y al personal al que este conceda expresamente el permiso de consulta de planes, limitado a los centros asignados, y registro de las consultas del personal (persona, cliente, contexto y momento, sin incluir los valores), visible para el Responsable;
• exclusión de estos datos de notificaciones, correos electrónicos, avisos y registros técnicos;
• conservación limitada: el Responsable declara un plazo de conservación, su justificación y una fecha de revisión; la plataforma suprime los registros al vencer el plazo, contado desde el fin del plan correspondiente, y los datos bloqueados al vencer el plazo o la fecha límite que el Responsable haya fijado al conservarlos;
• registro de evidencias mínimas, separado de los datos operativos y sin datos de salud, con el cliente seudonimizado, que conserva los hitos del tratamiento (información, consentimiento, retirada, solicitudes y su resolución, supresiones) durante su propio plazo, incluso tras la supresión de la cuenta;
• supresión de los planes, registros, datos bloqueados y constancias al suprimirse la cuenta del cliente o la del Responsable, conforme a la sección 15, sin perjuicio del registro de evidencias mínimas.

8. Obligaciones del Encargado

• Tratar datos solo según instrucciones documentadas y guardar confidencialidad.
• Aplicar medidas técnicas y organizativas; no usar datos para fines incompatibles.
• Asistir en derechos, evaluaciones de impacto —incluida la que el Responsable deba realizar conforme al artículo 35 del RGPD cuando trate categorías especiales de datos mediante formularios o mediante el complemento «Planes»; para este complemento, Entrivo facilita una evaluación técnica y de riesgos del módulo y una guía de apoyo, que no sustituyen la valoración que corresponde al Responsable—, consultas y brechas cuando proceda.
• Mantener registros exigibles, facilitar información y auditorías proporcionadas.
• Informar si una instrucción vulnera la normativa y respetar el régimen de subencargados.

9. Obligaciones del Responsable

El Responsable garantiza la base jurídica e información a sus interesados; minimiza y actualiza datos; no introduce datos ilícitos; gestiona autorizaciones; configura permisos y roles; no comparte credenciales; responde a los interesados y comunica instrucciones, solicitudes de derechos e incidentes a Entrivo cuando necesite asistencia. En particular, el Responsable es responsable del contenido de los documentos contractuales que publique, de decidir si exige firma manuscrita y de informar a sus clientes sobre dichas aceptaciones cuando proceda. Igualmente, es responsable del contenido de los formularios que diseñe, de la finalidad y la información sobre el tratamiento que facilite en cada uno, de valorar si necesita el consentimiento explícito de sus clientes y cuál es la base jurídica aplicable, y de las decisiones que adopte a partir de las respuestas. Cuando utilice el complemento «Planes», el Responsable es responsable del contenido de los planes de entrenamiento y nutrición que elabore y asigne, de su adecuación a cada cliente y de contar con la cualificación profesional que la normativa exija para su actividad —en particular, cuando las pautas nutricionales puedan constituir una actividad reservada a profesiones sanitarias—; de no solicitar en los controles ni en los planes más datos de salud de los necesarios para el seguimiento; y de atender las solicitudes de sus clientes sobre estos datos.

Entrivo no es un producto sanitario. Las funcionalidades de formularios y cuestionarios permiten al Responsable recabar información de sus clientes y marcar respuestas para su revisión según reglas que el propio Responsable configura. Del mismo modo, el complemento «Planes» permite al Responsable redactar y asignar planes y a sus clientes registrar su progreso; los cálculos que muestra la plataforma (tendencia de peso, cumplimiento semanal, ritmo hacia un objetivo) son aritméticos sobre los datos registrados. Entrivo no realiza diagnósticos, valoraciones clínicas ni evaluaciones de aptitud física, no emite recomendaciones médicas ni nutricionales, y no adopta decisiones automatizadas sobre la idoneidad de un cliente para la actividad física o para una pauta alimentaria. Entrivo no es un sistema de historia clínica ni está diseñado específicamente para gestionar tratamientos clínicos; las obligaciones propias de la documentación clínica corresponden al Responsable que, como profesional sanitario, las tenga.

10. Medidas técnicas y organizativas

Entrivo aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de implementación, la naturaleza de los datos tratados y los riesgos para los derechos y libertades de las personas físicas.

Entre dichas medidas se incluyen, entre otras:

• mecanismos de autenticación y control de acceso;
• segregación lógica de datos entre organizaciones y usuarios;
• gestión de roles y permisos;
• comunicaciones cifradas mediante HTTPS/TLS;
• uso de proveedores especializados para infraestructura, almacenamiento y procesamiento;
• gestión segura de credenciales y secretos de aplicación;
• procedimientos de desactivación, anonimización y supresión de cuentas;
• registro de determinadas acciones técnicas y administrativas necesarias para la operación del servicio;
• registro de los accesos del personal a categorías especiales de datos (respuestas a formularios y controles del complemento «Planes»), sin incluir su contenido;
• funciones de base de datos que exigen la aceptación del Addendum por el Responsable y la constancia vigente del cliente antes de admitir datos de salud del complemento «Planes», y que bloquean los datos al retirarse el consentimiento.

Determinadas medidas relacionadas con la infraestructura, disponibilidad, cifrado, copias de seguridad, recuperación ante desastres y continuidad del servicio son proporcionadas total o parcialmente por los proveedores tecnológicos utilizados por Entrivo, conforme a sus respectivos compromisos contractuales y medidas de seguridad.

Entrivo revisará periódicamente la adecuación de las medidas implementadas y adoptará las acciones razonablemente necesarias para mantener un nivel de seguridad apropiado conforme al artículo 32 del RGPD.

11. Subencargados

Para la correcta prestación del servicio, Entrivo podrá apoyarse en terceros proveedores que actuarán como subencargados del tratamiento en aquellos casos en que procesen datos personales por cuenta del Responsable.

Actualmente, Entrivo utiliza, entre otros, los siguientes proveedores:

• Supabase: servicios de autenticación, base de datos, almacenamiento y funciones backend.
• Vercel: alojamiento, distribución y servicios asociados a la plataforma web.
• Resend: envío de comunicaciones y correos electrónicos transaccionales.
• Google Firebase: servicios de notificaciones push y componentes asociados.
• Stripe: procesamiento de pagos, suscripciones y servicios financieros asociados.
• Apple y Google: distribución de aplicaciones móviles y servicios asociados a sus plataformas.
• Herramientas de analítica y monitorización, cuando se encuentren habilitadas y previa obtención del consentimiento cuando resulte legalmente exigible.

El Responsable autoriza con carácter general el uso de dichos subencargados y de aquellos que puedan incorporarse en el futuro para la correcta prestación del servicio.

Entrivo informará al Responsable de aquellos cambios materiales relativos a la incorporación o sustitución de subencargados cuando resulte exigible conforme al artículo 28 del RGPD. El Responsable podrá formular objeciones razonadas y las partes tratarán de alcanzar una solución razonable que permita la continuidad del servicio y el cumplimiento de las obligaciones legales aplicables.

12. Transferencias internacionales

Determinados proveedores utilizados por Entrivo para la prestación del servicio podrán realizar transferencias internacionales de datos cuando resulte necesario para la ejecución del servicio contratado. Dichas transferencias únicamente se llevarán a cabo cuando exista una garantía adecuada conforme al Capítulo V del RGPD, incluyendo decisiones de adecuación, adhesión al EU-U.S. Data Privacy Framework, cláusulas contractuales tipo u otros mecanismos legalmente admitidos.

Actualmente, Entrivo utiliza, entre otros, los siguientes proveedores:

• Supabase (infraestructura y base de datos)
• Vercel (hosting y CDN)
• Stripe (pagos y facturación)
• Resend (correo electrónico transaccional)
• Google Firebase (notificaciones push)

Entrivo mantendrá actualizada la información relativa a las entidades proveedoras, países de tratamiento y mecanismos de transferencia aplicables.

13. Ejercicio de derechos

El Responsable responde a acceso, rectificación, supresión, oposición, limitación y portabilidad de sus interesados. Entrivo prestará asistencia técnica razonablemente disponible a petición documentada, respetando la separación entre organizaciones y derechos de terceros. Entrivo atiende como responsable las solicitudes relativas a su propia relación con el Responsable.

14. Brechas de seguridad

Entrivo notificará al Responsable sin dilación indebida una brecha que afecte a datos tratados por su cuenta, con la información disponible sobre naturaleza, categorías, volumen aproximado, consecuencias, medidas y contacto. Colaborará en contención y recuperación. El Responsable valorará la notificación a AEPD dentro de 72 horas. No se fija un plazo contractual de horas.

15. Conservación, devolución y supresión

Entrivo dispone de mecanismos técnicos destinados a la desactivación, anonimización y supresión progresiva de los datos personales tras la finalización de la relación contractual. Podrá aplicarse un periodo de gracia previo a la eliminación definitiva con el fin de permitir la recuperación de la cuenta o de los datos asociados.

Determinada información podrá conservarse anonimizada o bloqueada cuando resulte necesario para la prestación del servicio, la integridad histórica de la plataforma, el cumplimiento de obligaciones legales, fiscales o contables, o la defensa frente a posibles reclamaciones.

La supresión podrá no ser inmediata y estará sujeta a los ciclos de retención y eliminación de los distintos sistemas y proveedores utilizados por Entrivo, incluyendo copias de seguridad, registros técnicos y servicios de terceros.

El Responsable podrá solicitar, cuando sea técnicamente posible, la devolución o exportación de los datos antes de la finalización definitiva del servicio.

Los datos del complemento «Planes» se rigen por el régimen de conservación limitada de la sección 7 y por las instrucciones documentadas del Responsable: los registros se conservan durante el plazo que el Responsable haya declarado, contado desde el fin de cada plan, y la plataforma los suprime al vencer; los datos bloqueados tras la retirada del consentimiento no se usan y se suprimen conforme a la sección 7, cuando el Responsable lo decida o, si los conserva bloqueados, al llegar la fecha límite que haya fijado junto con su motivo. Corresponde al Responsable valorar si alguna obligación legal le exige conservarlos durante más tiempo y reflejarlo en el plazo que declare o en el motivo y la fecha límite de la conservación bloqueada. Si la relación entre el Responsable y el cliente finaliza, los datos dejan de mostrarse y el Responsable puede suprimirlos antes de que venza el plazo. La supresión de la cuenta del cliente o de la del Responsable conlleva la de sus planes, registros, controles, datos bloqueados y constancias de consentimiento, sin perjuicio del registro de evidencias mínimas de la sección 7, que se conserva durante su propio plazo, y de los ciclos de copias de seguridad descritos en esta sección.

16. Auditoría

Entrivo facilitará documentación ordinaria, cuestionarios razonables y documentación disponible de proveedores. Las auditorías adicionales requerirán preaviso razonable, confidencialidad, alcance proporcionado y medidas que no afecten a otros responsables u organizaciones. El Responsable asumirá sus costes si exceden la información ordinaria, salvo incumplimiento imputable a Entrivo.

17. Responsabilidad

Cada parte responderá de lo que le sea imputable conforme al RGPD, normativa española y términos aplicables, sin limitar derechos imperativos de los interesados ni responsabilidades indisponibles legalmente.

18. Vigencia y aceptación electrónica

Este acuerdo forma parte de los Términos y Condiciones. La aceptación electrónica se asociará al ID de usuario, documento y versión, fecha y hora, rol y contexto, junto con metadatos técnicos disponibles. El sistema conserva versiones, hash de contenido y aceptaciones. La aceptación de este acuerdo se aplicará exclusivamente a aquellos usuarios que actúen como Responsables del tratamiento dentro de la plataforma. Una nueva versión material podrá requerir aceptación.

Respecto de los documentos contractuales que el Responsable publique para sus clientes, Entrivo facilita una aceptación electrónica simple y el registro de evidencias (versión inmutable, hash del contenido, marca temporal y metadatos técnicos disponibles, incluyendo firma manuscrita cuando el Responsable la configure como obligatoria). El Responsable sigue siendo responsable del contenido, legalidad e idoneidad de dichos documentos y de la relación contractual con sus clientes.

Entrivo no actúa como prestador cualificado de servicios de confianza ni ofrece firma electrónica avanzada o cualificada en el sentido del Reglamento (UE) n.º 910/2014 (eIDAS). La funcionalidad descrita no convierte a Entrivo en una plataforma de firma electrónica de propósito general.

19. Anexo técnico resumido

• Finalidad y operaciones: prestación SaaS, gestión profesional, seguimiento de planes de entrenamiento y nutrición, alojamiento, consulta, comunicación técnica, restricción, anonimización y supresión.
• Duración e interesados: relación contractual; coaches, clientes, staff, colaboradores, invitados y usuarios autenticados.
• Datos y medidas: los descritos en las secciones 6, 7 y 10.
• Subencargados, conservación y contacto: secciones 11, 15 y privacidad@entrivo.es.