ACUERDO DE ENCARGO DEL TRATAMIENTO DE DATOS

1. Identificación de las partes

De una parte, Jonatan Tejedera Neri, NIF 45787738M, domicilio profesional en Sant Climent de Llobregat, Barcelona, España y correo de privacidad privacidad@entrivo.es, titular de Entrivo (el “Encargado”). De otra parte, la persona física o jurídica que contrata o utiliza Entrivo para el desarrollo de su actividad profesional, identificada mediante los datos facilitados en su cuenta, perfil de facturación o proceso de contratación, en adelante, el «Responsable».

El Responsable decide sobre los datos de sus clientes, personal, colaboradores e invitados. Entrivo es encargado para ese perímetro. Entrivo actúa como responsable independiente para la cuenta del Responsable, contratación, facturación, soporte, seguridad y obligaciones propias. Stripe puede actuar como responsable independiente en pagos, KYC y obligaciones regulatorias conforme a su relación y documentación aplicable.

2. Objeto del encargo

Este acuerdo, conforme al artículo 28 RGPD, regula el tratamiento necesario para prestar la plataforma Entrivo y permitir al Responsable gestionar su actividad profesional. No autoriza usos propios incompatibles de los datos por Entrivo.

3. Duración

El encargo estará vigente durante la relación contractual y el acceso al servicio. Al finalizar se aplicarán las obligaciones de devolución, supresión, bloqueo o conservación de la sección 15.

4. Naturaleza y finalidad

• Gestión de clientes, perfiles, staff y relaciones profesionales.
• Agenda, reservas, sesiones, inscripciones, asistencias y cancelaciones.
• Productos, bonos, compras, solicitudes de pago y suscripciones.
• Invitaciones, comunicaciones, notificaciones, soporte, mantenimiento y seguridad.
• Configuración, versionado y almacenamiento privado de documentos contractuales del Responsable asociados a la relación con sus clientes, así como la facilitación de su aceptación electrónica simple y el registro de evidencias de aceptación.

5. Categorías de interesados

Coaches y administradores de entidades cliente; clientes; staff, empleados o colaboradores autorizados; invitados; contactos profesionales incluidos en invitaciones; y usuarios autenticados de la aplicación.

6. Tipos de datos personales

Datos identificativos y de contacto; autenticación, perfiles y roles; fotografías de perfil o cobertura; fecha de nacimiento; agenda, reservas, sesiones, asistencia, bonos, compras y pagos; identificadores y estados de Stripe; invitaciones y comunicaciones; tokens, endpoints, preferencias y registros de entrega de notificaciones; registros técnicos; documentos contractuales del Responsable (PDF versionados e inmutables) y aceptaciones de clientes asociadas (identificadores de usuario, documento y versión, marca temporal, canal, metadatos técnicos disponibles, hash del contenido y, cuando el Responsable lo exija, imagen de firma manuscrita). Entrivo no almacena tarjetas ni credenciales bancarias completas: Stripe las trata en el flujo de pago que le corresponda.

7. Categorías especiales de datos

No se ha identificado en Entrivo ningún tratamiento específicamente diseñado para datos de salud ni campos sanitarios estructurados. No obstante, determinados campos de texto libre o notas operativas podrían contener información relativa a lesiones, patologías, medicación, peso, restricciones físicas u otros datos incluidos en las categorías especiales del artículo 9 del RGPD.

El Responsable se compromete a no introducir categorías especiales de datos salvo que disponga de una base jurídica válida para ello y el tratamiento resulte necesario para la prestación de sus servicios profesionales.

En caso de utilizarse o habilitarse este tipo de tratamientos, el Responsable será el encargado de garantizar el cumplimiento de las obligaciones derivadas del artículo 9 del RGPD y Entrivo podrá requerir medidas técnicas, contractuales u organizativas adicionales para permitir dicho tratamiento.

8. Obligaciones del Encargado

• Tratar datos solo según instrucciones documentadas y guardar confidencialidad.
• Aplicar medidas técnicas y organizativas; no usar datos para fines incompatibles.
• Asistir en derechos, evaluaciones de impacto, consultas y brechas cuando proceda.
• Mantener registros exigibles, facilitar información y auditorías proporcionadas.
• Informar si una instrucción vulnera la normativa y respetar el régimen de subencargados.

9. Obligaciones del Responsable

El Responsable garantiza la base jurídica e información a sus interesados; minimiza y actualiza datos; no introduce datos ilícitos; gestiona autorizaciones; configura permisos y roles; no comparte credenciales; responde a los interesados y comunica instrucciones, solicitudes de derechos e incidentes a Entrivo cuando necesite asistencia. En particular, el Responsable es responsable del contenido de los documentos contractuales que publique, de decidir si exige firma manuscrita y de informar a sus clientes sobre dichas aceptaciones cuando proceda.

10. Medidas técnicas y organizativas

Entrivo aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de implementación, la naturaleza de los datos tratados y los riesgos para los derechos y libertades de las personas físicas.

Entre dichas medidas se incluyen, entre otras:

• mecanismos de autenticación y control de acceso;
• segregación lógica de datos entre organizaciones y usuarios;
• gestión de roles y permisos;
• comunicaciones cifradas mediante HTTPS/TLS;
• uso de proveedores especializados para infraestructura, almacenamiento y procesamiento;
• gestión segura de credenciales y secretos de aplicación;
• procedimientos de desactivación, anonimización y supresión de cuentas;
• registro de determinadas acciones técnicas y administrativas necesarias para la operación del servicio.

Determinadas medidas relacionadas con la infraestructura, disponibilidad, cifrado, copias de seguridad, recuperación ante desastres y continuidad del servicio son proporcionadas total o parcialmente por los proveedores tecnológicos utilizados por Entrivo, conforme a sus respectivos compromisos contractuales y medidas de seguridad.

Entrivo revisará periódicamente la adecuación de las medidas implementadas y adoptará las acciones razonablemente necesarias para mantener un nivel de seguridad apropiado conforme al artículo 32 del RGPD.

11. Subencargados

Para la correcta prestación del servicio, Entrivo podrá apoyarse en terceros proveedores que actuarán como subencargados del tratamiento en aquellos casos en que procesen datos personales por cuenta del Responsable.

Actualmente, Entrivo utiliza, entre otros, los siguientes proveedores:

• Supabase: servicios de autenticación, base de datos, almacenamiento y funciones backend.
• Vercel: alojamiento, distribución y servicios asociados a la plataforma web.
• Resend: envío de comunicaciones y correos electrónicos transaccionales.
• Google Firebase: servicios de notificaciones push y componentes asociados.
• Stripe: procesamiento de pagos, suscripciones y servicios financieros asociados.
• Apple y Google: distribución de aplicaciones móviles y servicios asociados a sus plataformas.
• Herramientas de analítica y monitorización, cuando se encuentren habilitadas y previa obtención del consentimiento cuando resulte legalmente exigible.

El Responsable autoriza con carácter general el uso de dichos subencargados y de aquellos que puedan incorporarse en el futuro para la correcta prestación del servicio.

Entrivo informará al Responsable de aquellos cambios materiales relativos a la incorporación o sustitución de subencargados cuando resulte exigible conforme al artículo 28 del RGPD. El Responsable podrá formular objeciones razonadas y las partes tratarán de alcanzar una solución razonable que permita la continuidad del servicio y el cumplimiento de las obligaciones legales aplicables.

12. Transferencias internacionales

Determinados proveedores utilizados por Entrivo para la prestación del servicio podrán realizar transferencias internacionales de datos cuando resulte necesario para la ejecución del servicio contratado. Dichas transferencias únicamente se llevarán a cabo cuando exista una garantía adecuada conforme al Capítulo V del RGPD, incluyendo decisiones de adecuación, adhesión al EU-U.S. Data Privacy Framework, cláusulas contractuales tipo u otros mecanismos legalmente admitidos.

Actualmente, Entrivo utiliza, entre otros, los siguientes proveedores:

• Supabase (infraestructura y base de datos)
• Vercel (hosting y CDN)
• Stripe (pagos y facturación)
• Resend (correo electrónico transaccional)
• Google Firebase (notificaciones push)

Entrivo mantendrá actualizada la información relativa a las entidades proveedoras, países de tratamiento y mecanismos de transferencia aplicables.

13. Ejercicio de derechos

El Responsable responde a acceso, rectificación, supresión, oposición, limitación y portabilidad de sus interesados. Entrivo prestará asistencia técnica razonablemente disponible a petición documentada, respetando la separación entre organizaciones y derechos de terceros. Entrivo atiende como responsable las solicitudes relativas a su propia relación con el Responsable.

14. Brechas de seguridad

Entrivo notificará al Responsable sin dilación indebida una brecha que afecte a datos tratados por su cuenta, con la información disponible sobre naturaleza, categorías, volumen aproximado, consecuencias, medidas y contacto. Colaborará en contención y recuperación. El Responsable valorará la notificación a AEPD dentro de 72 horas. No se fija un plazo contractual de horas.

15. Conservación, devolución y supresión

Entrivo dispone de mecanismos técnicos destinados a la desactivación, anonimización y supresión progresiva de los datos personales tras la finalización de la relación contractual. Podrá aplicarse un periodo de gracia previo a la eliminación definitiva con el fin de permitir la recuperación de la cuenta o de los datos asociados.

Determinada información podrá conservarse anonimizada o bloqueada cuando resulte necesario para la prestación del servicio, la integridad histórica de la plataforma, el cumplimiento de obligaciones legales, fiscales o contables, o la defensa frente a posibles reclamaciones.

La supresión podrá no ser inmediata y estará sujeta a los ciclos de retención y eliminación de los distintos sistemas y proveedores utilizados por Entrivo, incluyendo copias de seguridad, registros técnicos y servicios de terceros.

El Responsable podrá solicitar, cuando sea técnicamente posible, la devolución o exportación de los datos antes de la finalización definitiva del servicio.

16. Auditoría

Entrivo facilitará documentación ordinaria, cuestionarios razonables y documentación disponible de proveedores. Las auditorías adicionales requerirán preaviso razonable, confidencialidad, alcance proporcionado y medidas que no afecten a otros responsables u organizaciones. El Responsable asumirá sus costes si exceden la información ordinaria, salvo incumplimiento imputable a Entrivo.

17. Responsabilidad

Cada parte responderá de lo que le sea imputable conforme al RGPD, normativa española y términos aplicables, sin limitar derechos imperativos de los interesados ni responsabilidades indisponibles legalmente.

18. Vigencia y aceptación electrónica

Este acuerdo forma parte de los Términos y Condiciones. La aceptación electrónica se asociará al ID de usuario, documento y versión, fecha y hora, rol y contexto, junto con metadatos técnicos disponibles. El sistema conserva versiones, hash de contenido y aceptaciones. La aceptación de este acuerdo se aplicará exclusivamente a aquellos usuarios que actúen como Responsables del tratamiento dentro de la plataforma. Una nueva versión material podrá requerir aceptación.

Respecto de los documentos contractuales que el Responsable publique para sus clientes, Entrivo facilita una aceptación electrónica simple y el registro de evidencias (versión inmutable, hash del contenido, marca temporal y metadatos técnicos disponibles, incluyendo firma manuscrita cuando el Responsable la configure como obligatoria). El Responsable sigue siendo responsable del contenido, legalidad e idoneidad de dichos documentos y de la relación contractual con sus clientes.

Entrivo no actúa como prestador cualificado de servicios de confianza ni ofrece firma electrónica avanzada o cualificada en el sentido del Reglamento (UE) n.º 910/2014 (eIDAS). La funcionalidad descrita no convierte a Entrivo en una plataforma de firma electrónica de propósito general.

19. Anexo técnico resumido

• Finalidad y operaciones: prestación SaaS, gestión profesional, alojamiento, consulta, comunicación técnica, restricción, anonimización y supresión.
• Duración e interesados: relación contractual; coaches, clientes, staff, colaboradores, invitados y usuarios autenticados.
• Datos y medidas: los descritos en las secciones 6 y 10.
• Subencargados, conservación y contacto: secciones 11, 15 y privacidad@entrivo.es.