Contrato de encargo de tratamiento

1. Partes

• Responsable: el club o la entidad que solicita el acceso a Magestro, representado por quien acepta este contrato.
• Encargado: Eduardo Lozano Moreno (NIF: pendiente de publicar; puedes pedirlo en edu_vk84@hotmail.com), Calle Océano Atlántico, Ático B, 28523 Rivas-Vaciamadrid, Madrid, España. Contacto: edu_vk84@hotmail.com.

2. Objeto, naturaleza y finalidad

El encargado trata datos personales por cuenta del responsable para prestarle Magestro: alojar y organizar sus datos, calcular cuotas, generar ficheros de cobro, listas de asistencia, documentos y comunicaciones, y darle soporte. No los usa para fines propios, no los vende ni los cede.

3. Duración

Lo que dure el uso del servicio, incluida la prueba gratuita, más el periodo de devolución del apartado 12.

4. Datos e interesados

Datos de salud: Magestro no tiene campos médicos para los alumnos y el responsable no debe introducirlos en campos de texto libre. Las ausencias de los trabajadores pueden revelar una baja médica: el responsable limita su registro a lo necesario.

5. Obligaciones del responsable

Tener una base legal para cada dato, informar a los interesados, recabar las autorizaciones de padres y tutores cuando hagan falta, atender sus derechos, y dar instrucciones conformes a la ley. Las instrucciones son este contrato, la configuración que hace en el programa y las que dé por escrito.

6. Obligaciones del encargado (art. 28.3 RGPD)

1. Instrucciones. Trata los datos solo siguiendo instrucciones documentadas del responsable, también en las transferencias internacionales, salvo que una ley le obligue a otra cosa, y entonces le informa antes si la ley lo permite.
2. Confidencialidad. Quien acceda a los datos se compromete a guardar secreto.
3. Seguridad. Aplica las medidas del anexo 2 (art. 32 RGPD).
4. Subencargados. Cumple el apartado 8.
5. Derechos. Ayuda al responsable a responder a las peticiones de los interesados. Si recibe una, se la traslada sin demora y no la contesta por su cuenta.
6. Otras obligaciones. Ayuda al responsable con la seguridad, las notificaciones de violaciones y, si hacen falta, las evaluaciones de impacto y consultas previas (arts. 32 a 36).
7. Al terminar. Devuelve y suprime los datos según el apartado 12.
8. Demostrar el cumplimiento. Da la información necesaria y permite auditorías razonables, con preaviso y sin acceder a datos de otros clubes.

Si una instrucción le parece contraria a la ley, avisa de inmediato al responsable.

7. Acceso del encargado a los datos del club

El titular de Magestro solo entra en los datos de un club cuando el club lo pide o cuando hace falta para resolver una incidencia o un problema de seguridad. Cada entrada queda en el registro de acciones que puede consultar el club.

8. Subencargados

El responsable autoriza de forma general a los subencargados de la política de privacidad, que forma parte de este contrato como anexo 1. Antes de añadir o cambiar uno, el encargado avisa por correo con 15 días de antelación. El responsable puede oponerse por motivos razonables de protección de datos y, si no hay solución, cancelar sin coste. El encargado impone a cada uno las mismas obligaciones y responde por ellos ante el responsable (art. 28.2 y 28.4).

Si el responsable activa el cobro online, contrata él mismo la pasarela (Stripe, Redsys o PayPal). El encargado solo le envía el importe y el número de recibo: no recibe el dinero ni datos de tarjeta.

9. Transferencias internacionales

La base de datos y las funciones de la aplicación están en Fráncfort, pero algunos proveedores tratan datos fuera del Espacio Económico Europeo. Sus países y garantías (capítulo V del RGPD) están en el anexo 1. El responsable autoriza esas transferencias con esas garantías.

10. Violaciones de seguridad

Si el encargado conoce una violación que afecte a los datos del responsable, le avisa por correo sin dilación indebida y, si es posible, en 48 horas, a la dirección de la cuenta (art. 33.2 RGPD). Indica qué ha pasado, a qué datos y personas afecta, las consecuencias probables, las medidas tomadas y un contacto. Si no tiene toda la información, la da por fases. Quien decide si notificar a la autoridad o a los afectados es el responsable. Canal del encargado: edu_vk84@hotmail.com.

11. Si el encargado se excediera

Si el encargado decidiera por su cuenta los fines y medios del tratamiento, se le consideraría responsable de ese tratamiento (art. 28.10 RGPD).

12. Al terminar: devolución, bloqueo y borrado

• Devolución. Durante 30 días desde el final, el responsable puede descargar los listados y pedir una copia completa en un formato estándar (CSV).
• Borrado. En los 30 días siguientes, el encargado suprime los datos de la base en uso y confirma por escrito el borrado si se lo piden.
• Copias de seguridad. Los datos desaparecen cuando caducan las copias, en un máximo de 90 días, y mientras tanto no se usan salvo para restaurar el servicio.
• Obligaciones legales. Si una ley obliga a conservar algún dato, el encargado lo devuelve al responsable. Si pueden derivarse responsabilidades del tratamiento, conserva lo imprescindible, bloqueado, hasta que prescriban (art. 33.3 y 33.4 de la Ley Orgánica 3/2018).

13. Forma y cambios

Este contrato se hace por escrito, en formato electrónico (art. 28.9 RGPD), y se acepta con la casilla al solicitar el acceso. Se aplica desde que se aprueba la solicitud y se crea la cuenta. Si cambia, el encargado avisa con 30 días de antelación y publica la nueva versión con su fecha. Se aplica la ley española y, en caso de conflicto, prevalece sobre las condiciones del servicio en lo relativo a datos personales.

Anexo 1. Subencargados y transferencias

La lista vigente y sus garantías están en el apartado 4 de la política de privacidad.

Anexo 2. Medidas de seguridad

Medidas reales a 06/11/2026:

• Conexión cifrada (TLS 1.2 o superior) y redirección obligatoria a HTTPS.
• Base de datos y funciones en Fráncfort.
• IBAN cifrados con AES-256-GCM por la aplicación, con la clave fuera de la base de datos, y enmascarados en pantalla.
• Separación por club y por rol con reglas en la propia base de datos (RLS).
• Verificación en dos pasos obligatoria para el administrador del club y para la administración de la plataforma.
• Archivos en almacenes privados, con enlaces temporales.
• Registro de exportaciones y acciones importantes, con hora, usuario e IP.
• Cuentas desactivadas sin acceso.

Copias de seguridad: a esta fecha no hay copias automáticas con restauración probada. Mientras no se indique otra cosa aquí, el responsable debe descargar sus datos periódicamente.