Contrato de Encargo del Tratamiento

Este Contrato de Encargo del Tratamiento regula el tratamiento de datos personales que Trakker realiza por cuenta del Profesional cuando este utiliza la Plataforma para gestionar Clientes Finales, entrenamientos, dietas, métricas, fotografías, comunicaciones, pagos u otras funcionalidades asociadas a su actividad profesional.

Este contrato forma parte de la relación contractual entre Trakker y el Profesional, y deberá ser aceptado por el Profesional antes de poder gestionar Clientes Finales en Trakker.

1. Partes

De una parte, Trakker Technologies, S.L., con NIF PENDIENTE, domicilio social en C. del Poeta Joan Maragall, 56, Madrid, y correo electrónico de contacto soporte@trakker.fit, en adelante, "Trakker" o "el Encargado del Tratamiento".

De otra parte, el Profesionalque se registra, contrata o utiliza Trakker para gestionar Clientes Finales, en adelante, "el Profesional" o "el Responsable del Tratamiento", cuyos datos identificativos serán los facilitados durante el alta, contratación o uso de la Plataforma.

Trakker y el Profesional podrán denominarse conjuntamente las "Partes".

2. Antecedentes

• Trakker es una plataforma tecnológica que permite a Profesionales gestionar Clientes Finales, entrenamientos, planificaciones, dietas, registros alimentarios, métricas, fotografías de progreso, comunicaciones, pagos y otras funcionalidades relacionadas con su actividad profesional.
• El Profesional utiliza Trakker para prestar servicios a sus Clientes Finales.
• En el marco de dicha relación, el Profesional puede decidir las finalidades y medios esenciales del tratamiento de los datos personales de sus Clientes Finales.
• Trakker puede tratar datos personales por cuenta del Profesional para prestar la Plataforma, actuando como encargado del tratamiento.
• Las Partes desean regular este acceso y tratamiento conforme al Reglamento General de Protección de Datos, la Ley Orgánica 3/2018 y demás normativa aplicable.

3. Definiciones

A efectos de este contrato:

• Datos personales: toda información sobre una persona física identificada o identificable.
• Categorías especiales de datos: datos que revelen información especialmente sensible, incluyendo datos relativos a la salud, datos biométricos cuando se utilicen para identificar de manera unívoca a una persona, y otros datos protegidos por la normativa aplicable.
• Responsable del Tratamiento: el Profesional, cuando determine las finalidades y medios del tratamiento de los datos personales de sus Clientes Finales.
• Encargado del Tratamiento: Trakker, cuando trate datos personales por cuenta del Profesional.
• Cliente Final: persona física cuyos datos son tratados en Trakker para recibir servicios del Profesional.
• Subencargado: proveedor o tercero contratado por Trakker que pueda tratar datos personales por cuenta de Trakker para prestar la Plataforma.
• Plataforma: aplicación web, aplicación móvil, sitio web, infraestructura tecnológica, servicios y funcionalidades de Trakker.

4. Objeto del encargo

El objeto de este contrato es regular el tratamiento de datos personales que Trakker realiza por cuenta del Profesional para prestar los servicios tecnológicos de la Plataforma. El tratamiento se realiza para permitir al Profesional:

• Crear y gestionar Clientes Finales.
• Crear y gestionar planes de entrenamiento.
• Registrar entrenamientos realizados.
• Gestionar dietas, pautas nutricionales o registros alimentarios.
• Registrar comidas, hábitos, sensaciones y evolución.
• Registrar métricas corporales, físicas, fisiológicas o de rendimiento.
• Subir, almacenar y consultar fotografías de progreso, cuando la funcionalidad esté disponible.
• Comunicarse con Clientes Finales.
• Gestionar pagos vinculados a servicios profesionales, cuando la funcionalidad esté disponible.
• Utilizar integraciones, automatizaciones o funcionalidades adicionales habilitadas por Trakker.
• Acceder a soporte técnico, mantenimiento, seguridad y funcionalidades necesarias para el uso de la Plataforma.

Mientras actúe como encargado, Trakker no utilizará los datos personales tratados por cuenta del Profesional para ninguna finalidad propia. Si Trakker determina de forma independiente una finalidad y los medios esenciales de un tratamiento distinto, actuará como responsable únicamente respecto de ese tratamiento, que quedará fuera del presente encargo, deberá contar con una base jurídica válida y se informará de forma transparente al interesado.

5. Duración del encargo

Este contrato tendrá la misma duración que la relación contractual entre Trakker y el Profesional.

El encargo comenzará cuando el Profesional acepte este contrato y utilice Trakker para tratar datos personales de Clientes Finales.

El encargo finalizará cuando:

• El Profesional deje de utilizar Trakker.
• Se cancele o elimine la cuenta del Profesional.
• Se resuelva la relación contractual entre las Partes.
• Trakker deje de prestar los servicios que impliquen tratamiento por cuenta del Profesional.

Tras la finalización, Trakker devolverá o suprimirá los datos a elección documentada del Profesional conforme a la sección 21, sin perjuicio de la conservación que exija el Derecho de la Unión o de un Estado miembro aplicable a Trakker.

6. Naturaleza del tratamiento

Las operaciones de tratamiento que Trakker puede realizar por cuenta del Profesional incluyen recogida, registro, estructuración, organización, conservación, alojamiento, consulta, visualización, modificación, actualización, comunicación entre usuarios autorizados, transmisión, limitación, seudonimización cuando proceda, copia de seguridad, restauración, supresión, bloqueo, soporte técnico, monitorización de seguridad y cualquier otra operación necesaria para prestar la Plataforma conforme a las instrucciones del Profesional.

7. Finalidad del tratamiento

La finalidad del tratamiento es permitir al Profesional utilizar Trakker para gestionar su relación profesional con Clientes Finales y prestar sus servicios mediante la Plataforma. En particular, los datos podrán tratarse para:

• Gestionar Clientes Finales.
• Crear, adaptar y hacer seguimiento de entrenamientos.
• Crear, adaptar y hacer seguimiento de dietas o pautas nutricionales, cuando proceda.
• Registrar comidas y hábitos alimentarios.
• Analizar métricas, evolución, adherencia y rendimiento.
• Gestionar fotografías de progreso.
• Facilitar comunicaciones profesional-cliente.
• Permitir el uso de funcionalidades contratadas.
• Garantizar seguridad, disponibilidad, soporte, mantenimiento y continuidad de la Plataforma.
• Gestionar incidencias técnicas.
• Cumplir instrucciones documentadas del Profesional.

8. Categorías de interesados

Los interesados cuyos datos pueden tratarse son:

• Clientes Finales del Profesional.
• Potenciales Clientes Finales invitados por el Profesional, cuando proceda.
• Empleados, colaboradores o usuarios autorizados del Profesional.
• El propio Profesional, cuando corresponda.
• Otros terceros cuyos datos sean introducidos lícitamente por el Profesional o por Clientes Finales bajo la responsabilidad del Profesional.

9. Categorías de datos personales

Trakker puede tratar por cuenta del Profesional las siguientes categorías de datos:

9.1. Datos identificativos y de contacto

• Nombre y apellidos.
• Correo electrónico.
• Teléfono.
• Identificadores internos de usuario.
• Imagen de perfil, si se incorpora.
• Datos básicos de cuenta.

9.2. Datos de entrenamiento y rendimiento

• Planes de entrenamiento.
• Entrenamientos realizados.
• Ejercicios.
• Series, repeticiones, cargas, pesos, ritmos, distancias, duración o intensidad.
• Frecuencia cardiaca, zonas de entrenamiento u otros datos similares.
• Potencia, cadencia, velocidad, desnivel u otras métricas deportivas.
• Adherencia a la planificación.
• Sensaciones, fatiga, descanso o recuperación.
• Comentarios del Profesional o del Cliente Final.

9.3. Datos nutricionales y alimentarios

• Comidas registradas.
• Dietas o pautas nutricionales.
• Alimentos, cantidades, horarios o hábitos.
• Preferencias alimentarias.
• Alergias, intolerancias o restricciones comunicadas.
• Objetivos nutricionales.
• Información sobre suplementación, si se introduce.
• Fotografías de comidas, si la funcionalidad está disponible.

9.4. Datos corporales, fisiológicos, de salud o potencialmente sensibles

• Peso.
• Altura.
• Edad.
• Sexo, cuando sea necesario y se facilite.
• Composición corporal.
• Perímetros.
• Porcentaje de grasa.
• Masa muscular.
• Frecuencia cardiaca.
• Datos de sueño o recuperación.
• Lesiones comunicadas.
• Limitaciones físicas.
• Patologías o antecedentes comunicados voluntariamente.
• Medicación, embarazo u otras circunstancias de salud, si se introducen.
• Fotografías de progreso.
• Datos importados desde dispositivos, wearables o aplicaciones conectadas.
• Cualquier otro dato que pueda revelar información sobre salud, condición física, estado fisiológico o evolución corporal.

9.5. Comunicaciones

• Mensajes entre Profesional y Cliente Final.
• Comentarios.
• Observaciones.
• Notas de seguimiento.
• Respuestas a formularios o cuestionarios.
• Archivos o documentos compartidos.

9.6. Datos técnicos asociados al uso

• Identificadores de cuenta.
• Logs técnicos necesarios para seguridad y soporte.
• Información de dispositivo o sesión.
• Fecha y hora de accesos.
• Registros de actividad relacionados con uso de la Plataforma.

10. Categorías especiales de datos

Las Partes reconocen que el uso de Trakker puede implicar el tratamiento de categorías especiales de datos personales, especialmente datos relativos a la salud o datos que puedan revelar información sobre condición física, nutrición, composición corporal, lesiones, evolución, hábitos o estado fisiológico.

El Profesional se compromete a:

• Tratar estos datos únicamente cuando sea necesario para sus servicios.
• Contar con una base jurídica válida para el tratamiento.
• Obtener consentimiento explícito del Cliente Final cuando sea necesario.
• Informar al Cliente Final de forma clara sobre el tratamiento.
• No introducir datos excesivos, innecesarios o no pertinentes.
• No utilizar Trakker para tratar datos de salud si no cuenta con legitimación suficiente.
• No prestar servicios reservados a profesiones sanitarias si no está legalmente habilitado para ello.

Trakker aplicará medidas técnicas y organizativas adecuadas al riesgo para proteger este tipo de datos.

11. Instrucciones documentadas del Profesional

Trakker tratará los datos personales únicamente siguiendo instrucciones documentadas del Profesional, salvo que esté obligado a hacerlo por normativa aplicable. Se consideran instrucciones documentadas del Profesional:

• Estos términos del encargo.
• Las configuraciones realizadas por el Profesional en la Plataforma.
• Las acciones realizadas por el Profesional dentro de Trakker.
• Las solicitudes realizadas por el Profesional a través de canales habilitados.
• Las condiciones particulares suscritas por las Partes.
• Las instrucciones escritas adicionales que Trakker acepte expresamente.

Trakker podrá rechazar instrucciones cuando considere razonablemente que son ilícitas, vulneran la normativa de protección de datos, son contrarias a estos términos, comprometen la seguridad de la Plataforma, afectan a derechos de terceros, exceden el alcance del servicio contratado o son técnicamente inviables o desproporcionadas.

Si Trakker considera que una instrucción infringe el RGPD u otra normativa aplicable en materia de protección de datos, informará inmediatamente al Profesional, salvo que la normativa lo prohíba.

12. Obligaciones de Trakker como encargado

Trakker se obliga a:

• Tratar los datos personales únicamente conforme a las instrucciones documentadas del Profesional.
• No utilizar los datos tratados por cuenta del Profesional para ninguna finalidad propia.
• Garantizar que las personas autorizadas para tratar datos se comprometan a respetar la confidencialidad.
• Adoptar medidas técnicas y organizativas adecuadas para proteger los datos personales.
• Asistir al Profesional, teniendo en cuenta la naturaleza del tratamiento y mediante medidas técnicas y organizativas apropiadas, para que pueda atender los derechos de los interesados.
• Asistir al Profesional en el cumplimiento de sus obligaciones de seguridad y en la gestión y notificación de violaciones de seguridad, teniendo en cuenta la naturaleza del tratamiento y la información disponible para Trakker.
• Asistir al Profesional en evaluaciones de impacto y consultas previas cuando resulte exigible, teniendo en cuenta la naturaleza del tratamiento y la información disponible para Trakker.
• Poner a disposición del Profesional toda la información necesaria para demostrar el cumplimiento de las obligaciones aplicables a Trakker como encargado.
• Permitir y contribuir a auditorías, incluidas inspecciones, realizadas por el Profesional o por un auditor independiente autorizado. Con carácter ordinario podrán atenderse primero mediante documentación, informes, certificaciones o auditorías de terceros; las inspecciones específicas requerirán preaviso razonable, confidencialidad y coordinación para evitar interferencias, salvo urgencia o indicios fundados de incumplimiento. Estas condiciones no limitarán el derecho de auditoría reconocido por el artículo 28.3.h) del RGPD.
• Informar al Profesional de cualquier cambio previsto en la incorporación o sustitución de subencargados, dándole una oportunidad efectiva de oponerse.
• A elección del Profesional, devolver o suprimir los datos personales y las copias existentes al finalizar el servicio, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación.
• No comunicar datos a terceros salvo que sea necesario para prestar la Plataforma, exista autorización del Profesional, lo exija la normativa o esté previsto en este contrato.
• Mantener un registro de actividades de tratamiento cuando resulte exigible.
• Designar Delegado de Protección de Datos cuando resulte obligatorio.
• Notificar al Profesional las violaciones de seguridad de datos personales sin dilación indebida cuando afecten a datos tratados por cuenta del Profesional.

13. Obligaciones del Profesional como responsable

El Profesional se obliga a:

• Cumplir el RGPD, la LOPDGDD y demás normativa aplicable.
• Determinar las finalidades y bases jurídicas del tratamiento de los datos de sus Clientes Finales.
• Informar adecuadamente a sus Clientes Finales sobre el tratamiento de sus datos.
• Obtener los consentimientos necesarios.
• No introducir datos personales sin base jurídica suficiente.
• No introducir datos excesivos, innecesarios o no pertinentes.
• No dar instrucciones ilícitas a Trakker.
• Configurar correctamente accesos, permisos y usuarios autorizados.
• Revocar accesos de empleados, colaboradores o terceros que dejen de estar autorizados.
• Atender los derechos de los interesados cuando le corresponda como responsable.
• Notificar a Trakker cualquier incidente de seguridad que afecte a datos tratados en la Plataforma.
• No exportar, descargar o tratar datos fuera de Trakker sin base jurídica, finalidad legítima y medidas de seguridad adecuadas.
• No publicar fotografías, testimonios, evoluciones o datos de Clientes Finales sin autorización válida, expresa y documentada.
• Mantener la confidencialidad de los datos de Clientes Finales.
• Asegurarse de que sus empleados, colaboradores, socios, centros, clínicas, gimnasios o terceros autorizados cumplen estas obligaciones.
• Responder frente a Trakker por incumplimientos derivados de su actuación, instrucciones, usuarios autorizados o tratamientos externos a la Plataforma.

14. Medidas de seguridad

Trakker aplicará medidas técnicas y organizativas apropiadas teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Las medidas aplicables al servicio y al riesgo incluirán, según proceda: cifrado de datos en tránsito, cifrado de datos sensibles en reposo cuando proceda, control de accesos, autenticación de usuarios, gestión de roles y permisos, segregación lógica de datos, registro de actividad, copias de seguridad, monitorización de seguridad, gestión de vulnerabilidades, restricción de acceso al personal autorizado, confidencialidad contractual, medidas de minimización, medidas de seudonimización o agregación cuando proceda, procedimientos de respuesta a incidentes, revisión de proveedores, medidas de continuidad de negocio y pruebas y revisiones de controles de acceso cuando proceda.

Trakker documentará las medidas técnicas y organizativas vigentes con un nivel de detalle que permita al Profesional evaluar su adecuación al riesgo, facilitará esa información previa solicitud razonable y revisará periódicamente su eficacia. Trakker no reducirá de manera sustancial el nivel general de seguridad durante la vigencia del encargo.

El Profesional reconoce que ninguna medida de seguridad garantiza riesgo cero y se compromete a aplicar también medidas adecuadas en sus propios dispositivos, sistemas, credenciales, canales externos y organización.

15. Confidencialidad

Trakker garantizará que las personas autorizadas para tratar datos personales por cuenta del Profesional estén sujetas a un deber de confidencialidad adecuado.

El deber de confidencialidad se mantendrá incluso después de finalizar la relación entre las Partes.

El Profesional se obliga igualmente a mantener confidencialidad sobre los datos personales de Clientes Finales y a imponer obligaciones equivalentes a sus empleados, colaboradores, socios, centros, clínicas, gimnasios, asesores o terceros autorizados.

16. Subencargados del tratamiento

El Profesional autoriza de forma general a Trakker a contratar subencargados necesarios para prestar la Plataforma. Los subencargados directos inicialmente autorizados por el Profesional son:

• Vercel, Inc. (plan Pro): alojamiento y despliegue del frontend, distribución de contenidos, ejecución técnica y registros estrictamente necesarios. Su alcance se limitará a datos técnicos y de uso minimizados; Trakker no utilizará funciones, registros ni almacenamiento de Vercel para recibir o conservar deliberadamente datos de salud, fotografías de progreso u otras categorías especiales.
• Supabase, Inc.: base de datos, autenticación, almacenamiento, comunicaciones en tiempo real, funciones y servicios backend. El proyecto principal se configurará en una región de la Unión Europea y alojará los datos de Clientes Finales, incluidas las categorías especiales que procedan.
• PostHog, Inc.: analítica de producto, medición de uso, banderas de funcionalidad y, cuando se habiliten, monitorización de errores o grabación de sesiones. Se utilizará PostHog EU Cloud y se excluirán datos de salud, fotografías, campos libres, credenciales y contenidos sensibles, aplicando enmascarado y minimización.
• Google Cloud EMEA Limited, mediante Gemini API: funcionalidades de inteligencia artificial y generación de contenido. Se utilizará exclusivamente como servicio de pago asociado a un proyecto de Google Cloud con facturación activa, sujeto al anexo de tratamiento aplicable, sin utilizar entradas o respuestas para entrenar o mejorar modelos de Google. Los datos enviados se limitarán a lo estrictamente necesario.
• Stripe Payments Europe, Limited y las entidades de Stripe que correspondan: pagos, suscripciones, Stripe Connect, facturación, prevención del fraude y cumplimiento regulatorio. Stripe actuará como subencargado únicamente cuando trate datos por cuenta del Profesional o de Trakker conforme a instrucciones; sus tratamientos como responsable independiente se regirán por la sección 24.

Trakker impondrá contractualmente a cada subencargado las mismas obligaciones de protección de datos establecidas en este contrato respecto de las operaciones que realice, en particular garantías suficientes para aplicar medidas técnicas y organizativas apropiadas.

La relación anterior constituye la lista inicial de subencargados directos. Trakker mantendrá a disposición permanente del Profesional, en el apartado legal de trakker.fit o en la Plataforma, una lista actualizada que identifique a los subencargados directos, su función, ubicación principal y, cuando proceda, el mecanismo aplicable a transferencias internacionales, incluyendo enlaces a las listas vigentes de subencargados ulteriores publicadas por cada proveedor.

Trakker notificará al Profesional, mediante correo electrónico, la Plataforma u otro soporte duradero, cualquier incorporación o sustitución prevista de un subencargado con antelación razonable, salvo urgencia justificada, de forma que el Profesional disponga de una oportunidad efectiva de oponerse antes de que comience el tratamiento.

El Profesional podrá oponerse razonadamente a un nuevo subencargado cuando existan motivos fundados relacionados con protección de datos. Las Partes intentarán encontrar una alternativa razonable; si no fuera posible y la oposición impidiera prestar el servicio, cualquiera de ellas podrá resolver la funcionalidad afectada antes de que el nuevo subencargado trate los datos, sin perjuicio de las obligaciones ya devengadas.

Trakker seguirá siendo plenamente responsable frente al Profesional del cumplimiento por los subencargados de sus obligaciones de protección de datos. A solicitud razonable, facilitará la información necesaria para acreditar dichas obligaciones y, cuando resulte necesario para demostrar el cumplimiento, una copia de las cláusulas pertinentes del acuerdo de subencargo, pudiendo ocultar información confidencial no necesaria.

17. Transferencias internacionales

Trakker configurará por defecto en regiones de la Unión Europea los servicios principales que permitan selección regional, incluyendo Supabase y PostHog. Esta configuración no excluye accesos de soporte, servicios auxiliares o tratamientos técnicos limitados desde terceros países por Vercel, Google, Stripe o sus subencargados ulteriores, que deberán quedar amparados por un mecanismo válido del capítulo V del RGPD.

Trakker podrá utilizar proveedores ubicados fuera del Espacio Económico Europeo o que presten servicios con acceso internacional.

Cuando se produzcan transferencias internacionales de datos personales, Trakker adoptará garantías adecuadas conforme al RGPD, que podrán incluir:

• Decisiones de adecuación de la Comisión Europea.
• Cláusulas contractuales tipo.
• Normas corporativas vinculantes.
• Medidas técnicas, organizativas o contractuales complementarias.
• Otros mecanismos legalmente válidos.

El Profesional instruye y autoriza a Trakker a realizar las transferencias internacionales necesarias para prestar la Plataforma únicamente respecto de los subencargados y operaciones identificados conforme a la sección 16 y siempre que se cumpla el capítulo V del RGPD. Cualquier transferencia diferente requerirá una nueva instrucción documentada o deberá venir impuesta por el Derecho de la Unión o de un Estado miembro aplicable a Trakker.

Trakker documentará el mecanismo de transferencia utilizado y, cuando resulte exigible, la evaluación de impacto de la transferencia y las medidas complementarias. Pondrá a disposición del Profesional la información necesaria para que pueda evaluar y demostrar el cumplimiento, protegiendo los secretos comerciales y demás información confidencial no necesaria.

18. Atención de derechos de los interesados

El Profesional será responsable de atender los derechos de los Clientes Finales cuando actúe como responsable del tratamiento.

Trakker asistirá al Profesional, teniendo en cuenta la naturaleza del tratamiento y mediante medidas técnicas y organizativas apropiadas, para atender solicitudes de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad, retirada del consentimiento y no ser objeto de decisiones automatizadas cuando proceda.

Si Trakker recibe directamente una solicitud de derechos relativa a datos tratados por cuenta del Profesional, podrá remitir la solicitud al Profesional, indicar al interesado que debe dirigirse al Profesional, atender la solicitud directamente cuando corresponda por su propio rol como responsable, o adoptar medidas urgentes cuando sea necesario para cumplir la normativa o proteger derechos.

El Profesional deberá responder a Trakker en tiempo y forma cuando su colaboración sea necesaria para atender una solicitud.

19. Violaciones de seguridad de datos personales

Trakker notificará al Profesional, sin dilación indebida, las violaciones de seguridad de datos personales que afecten a datos tratados por cuenta del Profesional y de las que tenga conocimiento. La notificación incluirá, cuando sea posible: naturaleza del incidente, categorías de datos afectadas, categorías de interesados afectados, número aproximado de interesados afectados si se conoce, consecuencias probables, medidas adoptadas o propuestas para remediar el incidente y datos de contacto para seguimiento.

El Profesional será responsable de evaluar si debe notificar la violación de seguridad a la autoridad de control o a los interesados, cuando actúe como responsable del tratamiento.

Trakker colaborará con el Profesional, teniendo en cuenta la naturaleza del tratamiento y la información disponible, para gestionar el incidente, mitigar sus efectos y cumplir las obligaciones aplicables.

El Profesional deberá notificar a Trakker sin dilación indebida cualquier incidente que detecte y que pueda afectar a datos tratados en la Plataforma.

20. Evaluaciones de impacto y consulta previa

Cuando resulte necesario, Trakker asistirá al Profesional en la realización de evaluaciones de impacto relativas a la protección de datos y, cuando proceda, consultas previas ante la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información disponible para Trakker. La asistencia podrá consistir en facilitar información sobre la naturaleza del tratamiento realizado por Trakker, categorías de datos, medidas de seguridad, subencargados, transferencias internacionales, conservación y supresión, procedimientos de gestión de incidentes y otra información razonablemente necesaria.

Trakker podrá aplicar condiciones comerciales razonables a asistencias extraordinarias, auditorías específicas o trabajos personalizados que excedan el soporte ordinario, siempre que ello no impida ni limite el cumplimiento de las obligaciones que el artículo 28 del RGPD impone al encargado.

21. Supresión, devolución y bloqueo de datos

Al finalizar la prestación de servicios de tratamiento, Trakker, a elección documentada del Profesional, devolverá los datos personales y suprimirá las copias existentes, o suprimirá directamente todos los datos personales tratados por cuenta del Profesional, salvo que el Derecho de la Unión o de un Estado miembro aplicable a Trakker exija su conservación. Si el Profesional no comunica su elección dentro del plazo habilitado, se aplicará la opción de supresión conforme al calendario de conservación comunicado.

La ejecución de la devolución o supresión tendrá en cuenta las herramientas de exportación disponibles y, cuando proceda, un formato estructurado de uso común, las instrucciones documentadas del Profesional, las obligaciones legales aplicables, la existencia de una obligación legal de conservación o bloqueo vinculada a reclamaciones, disputas o responsabilidades, los plazos técnicos necesarios para eliminar datos de copias de respaldo conforme a sus ciclos ordinarios, y la separación entre los datos del encargo y los datos que Trakker trate legítimamente como responsable para finalidades propias diferenciadas.

Trakker solo conservará o bloqueará datos del encargo tras su finalización cuando una norma de la Unión o de un Estado miembro aplicable a Trakker lo exija. En tal caso, informará al Profesional de la obligación y su fundamento, salvo prohibición legal, limitará el tratamiento a esa conservación y mantendrá los datos protegidos y separados de los sistemas de uso ordinario.

Los datos incluidos en copias de seguridad podrán conservarse durante un periodo limitado hasta la expiración de dichas copias, quedando protegidos mediante medidas de seguridad adecuadas y no siendo utilizados para finalidades ordinarias.

22. Conservación de evidencias legales

Trakker podrá conservar evidencias relativas a la aceptación de este contrato, instrucciones documentadas, configuraciones, consentimientos, registros de actividad, incidencias, comunicaciones y demás elementos necesarios para acreditar cumplimiento, seguridad, defensa jurídica o responsabilidades.

La conservación de estas evidencias se realizará durante el tiempo necesario para acreditar cumplimiento y atender posibles responsabilidades.

23. Tratamientos propios de Trakker

Las Partes reconocen que Trakker puede actuar como responsable del tratamiento respecto de determinados datos y finalidades propias, incluyendo:

• Gestión de cuentas de usuario.
• Seguridad de la Plataforma.
• Gestión de suscripciones SaaS.
• Facturación de servicios propios de Trakker.
• Atención al cliente y soporte.
• Prevención de fraude, abuso o uso indebido.
• Cumplimiento legal.
• Comunicaciones administrativas o comerciales propias cuando proceda.
• Analítica técnica y mejora del servicio cuando exista base jurídica.
• Defensa de derechos y reclamaciones.

Estos tratamientos se regulan en la Política de Privacidad de Trakker y no quedan sujetos a las instrucciones del Profesional. No obstante, esta cláusula no autoriza a Trakker a reutilizar para analítica, mejora, publicidad, entrenamiento de sistemas de inteligencia artificial u otros fines propios el contenido de Clientes Finales, incluidos datos de salud, fotografías, métricas o comunicaciones, mientras dichos datos se traten por cuenta del Profesional. Solo podrán utilizarse para fines propios datos efectivamente anonimizados o datos cubiertos por un tratamiento independiente, transparente y con base jurídica válida.

24. Datos de pago y Stripe

Cuando se utilicen funcionalidades de pago, Trakker podrá integrar servicios de Stripe u otros proveedores de pago.

En los pagos de Profesionales a Trakker, Trakker podrá actuar como responsable respecto de los datos necesarios para gestionar suscripciones, facturación y cobros propios.

En los pagos de Clientes Finales a Profesionales, Trakker podrá facilitar la integración con Stripe Connect, actuando según el caso como proveedor tecnológico y tratando determinados datos por cuenta del Profesional o como responsable respecto de finalidades propias, como seguridad, prevención del fraude, comisiones tecnológicas, cumplimiento legal y gestión de la Plataforma.

Cuando Stripe trate datos siguiendo instrucciones por cuenta del Profesional o de Trakker dentro de este encargo, será considerado subencargado y quedará sujeto a la sección 16. Cuando determine sus propios fines y medios para prestar servicios de pago, prevenir fraude, verificar identidades o cumplir obligaciones regulatorias y de redes de pago, actuará como responsable independiente y ese tratamiento quedará fuera del presente encargo, sin perjuicio del deber de información correspondiente.

El Profesional deberá aceptar y cumplir las condiciones aplicables de Stripe cuando utilice las funcionalidades de pago.

25. Fotografías de progreso

Las fotografías de progreso pueden revelar información sensible sobre cuerpo, salud, estado físico, evolución, hábitos o condición personal del Cliente Final. El Profesional se compromete a:

• Solicitar o utilizar fotografías sólo cuando sean necesarias para sus servicios.
• Informar al Cliente Final de su finalidad.
• Obtener consentimiento cuando proceda.
• No descargarlas, publicarlas, difundirlas o reutilizarlas sin base jurídica válida.
• No usarlas como testimonio, caso de éxito o publicidad sin consentimiento expreso, específico y documentado.
• Aplicar medidas de seguridad adecuadas si las trata fuera de Trakker.
• Respetar la supresión o revocación cuando proceda.

Trakker podrá aplicar medidas específicas sobre fotografías, como almacenamiento privado, URLs firmadas, limitación de accesos, registros de actividad y restricciones de descarga.

26. Registros alimentarios, datos de salud y métricas sensibles

El Profesional reconoce que registros alimentarios, intolerancias, alergias, dietas, métricas corporales, lesiones, patologías, fotografías y datos fisiológicos pueden revelar información sensible. El Profesional se compromete a:

• No solicitar datos innecesarios.
• No introducir información médica excesiva.
• No tratar datos para finalidades incompatibles.
• No usar estos datos con fines comerciales, publicitarios o de investigación sin base jurídica válida.
• No compartirlos con terceros sin base legal.
• No tratarlos fuera de Trakker sin medidas de seguridad adecuadas.

27. Personal autorizado por el Profesional

El Profesional será responsable de los usuarios, empleados, colaboradores, centros, clínicas, gimnasios, asesores o terceros a los que permita acceder a datos de Clientes Finales en Trakker. El Profesional deberá:

• Asignar permisos mínimos necesarios.
• Revocar accesos cuando dejen de ser necesarios.
• Garantizar confidencialidad.
• Formar o informar a sus usuarios autorizados.
• Supervisar el uso correcto de la Plataforma.
• Responder por accesos, descargas, exportaciones o tratamientos indebidos realizados por personas autorizadas por él.

28. Limitación de instrucciones y usos prohibidos

El Profesional no podrá utilizar Trakker ni dar instrucciones a Trakker para:

• Tratar datos sin base jurídica.
• Tratar datos de salud sin legitimación suficiente.
• Prestar servicios sanitarios o regulados sin habilitación legal.
• Diagnosticar, tratar patologías o prescribir dietas clínicas sin habilitación.
• Publicar datos, fotos o testimonios sin consentimiento válido.
• Realizar tratamientos discriminatorios, ilícitos o abusivos.
• Eludir derechos de los interesados.
• Conservar datos más tiempo del necesario sin justificación.
• Transferir datos a terceros sin garantías.
• Usar datos de Clientes Finales para finalidades no informadas.

Trakker podrá suspender funcionalidades o cuentas cuando detecte usos prohibidos o instrucciones ilícitas.

29. Responsabilidad

Trakker responderá como encargado del tratamiento en los términos previstos por la normativa aplicable cuando incumpla obligaciones que le sean directamente exigibles como encargado o actúe al margen o en contra de instrucciones lícitas del Profesional.

El Profesional responderá como responsable del tratamiento por: la licitud del tratamiento, la información facilitada a los Clientes Finales, la base jurídica del tratamiento, la obtención de consentimientos necesarios, las instrucciones dadas a Trakker, la configuración de permisos, los tratamientos realizados fuera de Trakker, las actuaciones de sus empleados, colaboradores o terceros autorizados, la prestación de servicios profesionales y el uso indebido de datos de Clientes Finales.

El Profesional mantendrá indemne a Trakker frente a reclamaciones, sanciones, daños, costes o perjuicios derivados del incumplimiento por parte del Profesional de sus obligaciones como responsable del tratamiento, salvo que dichos daños sean directamente imputables a un incumplimiento de Trakker.

30. Modificación del contrato

Trakker podrá proponer modificaciones de este contrato por razones legales, técnicas, organizativas, de seguridad, de proveedores o de evolución de la Plataforma, siempre que no reduzcan las garantías exigidas por el artículo 28 del RGPD ni alteren retroactivamente las instrucciones documentadas del Profesional.

Trakker notificará previamente los cambios sustanciales mediante correo electrónico, la Plataforma u otro soporte duradero. Los cambios de subencargados y transferencias internacionales se regirán específicamente por las secciones 16 y 17.

Si el cambio requiere nueva aceptación o una nueva instrucción documentada, Trakker la solicitará antes de aplicar la modificación al tratamiento afectado.

Los cambios meramente formales o no sustanciales podrán entrar en vigor tras su notificación cuando la ley lo permita. Las modificaciones que afecten al objeto, naturaleza, finalidad, categorías de datos o interesados, instrucciones esenciales o garantías del encargo requerirán aceptación expresa o una nueva instrucción documentada cuando resulte necesario.

31. Jerarquía documental

Este contrato complementa los Términos y Condiciones, la Política de Privacidad, la Política de Cookies y las condiciones particulares aplicables.

En caso de contradicción entre este contrato y los Términos y Condiciones respecto del tratamiento de datos personales por cuenta del Profesional, prevalecerá este contrato.

En caso de contradicción con la normativa aplicable, prevalecerá la normativa aplicable.

32. Legislación aplicable y jurisdicción

Este contrato se regirá por la legislación española y por la normativa de la Unión Europea aplicable en materia de protección de datos.

Cuando el Profesional actúe como empresario, autónomo o profesional, cualquier controversia derivada de este contrato se someterá a los Juzgados y Tribunales de Madrid, salvo que una norma imperativa establezca otro fuero.

33. Aceptación electrónica

El Profesional podrá aceptar este contrato mediante checkbox, botón de aceptación, pantalla de onboarding o aceptación en la Plataforma.

Trakker conservará evidencia de la aceptación, incluyendo, cuando proceda: identidad del Profesional, fecha y hora de aceptación, versión del contrato, hash o identificador del documento aceptado, texto mostrado, dirección IP o información técnica equivalente, usuario, cuenta o workspace, y medio de aceptación.

La aceptación electrónica tendrá plena validez contractual.

Anexo I — Descripción resumida del tratamiento

• Responsable: el Profesional que gestiona Clientes Finales en Trakker.
• Encargado: Trakker.
• Objeto: prestación de servicios tecnológicos de gestión de clientes, entrenamientos, dietas, métricas, fotografías, comunicaciones y funcionalidades asociadas.
• Duración: mientras dure la relación contractual entre Trakker y el Profesional.
• Naturaleza: recogida, registro, conservación, alojamiento, consulta, organización, comunicación, soporte, seguridad, copia de seguridad y supresión.
• Finalidad: permitir al Profesional prestar servicios a sus Clientes Finales mediante Trakker.
• Interesados: Clientes Finales, Profesionales, usuarios autorizados, representantes legales si procede.
• Datos: identificación, contacto, entrenamiento, rendimiento, nutrición, comidas, métricas, salud, fotografías, comunicaciones, pagos limitados y datos técnicos.
• Categorías especiales: datos de salud, condición física, fotografías, métricas fisiológicas, lesiones, datos nutricionales y otros datos sensibles cuando se introduzcan.
• Subencargados: Vercel, Inc. (Pro), Supabase, Inc. (región UE), PostHog, Inc. (EU Cloud), Google Cloud EMEA Limited (Gemini API de pago) y Stripe Payments Europe, Limited, según la sección 16 y la lista vigente de cadenas de subencargo.
• Transferencias internacionales: podrán existir únicamente conforme a instrucciones documentadas y con las garantías exigidas por el capítulo V del RGPD.
• Medidas: cifrado, control de acceso, permisos, segregación lógica, backups, registros, seguridad, confidencialidad y monitorización.