Acuerdo de encargado de tratamiento (DPA)

Este Acuerdo de Encargado de Tratamiento (Data Processing Agreement, DPA) forma parte de los Términos y Condiciones de Gesta y regula el tratamiento de datos personales que Gesta (en calidad de Encargado del Tratamiento) realiza por cuenta del club cliente (en calidad de Responsable del Tratamiento), conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD).

1. Objeto

El Responsable encomienda al Encargado el tratamiento de datos personales necesarios para prestar los servicios de la plataforma Gesta (gestión de socios, cobros, comunicaciones, etc.) durante la vigencia del contrato.

2. Naturaleza, finalidad y duración

• Naturaleza: almacenamiento, organización, modificación, comunicación, conservación y supresión de datos.
• Finalidad: exclusivamente la prestación del servicio descrito en el contrato principal.
• Duración: mientras el contrato esté vigente, más los plazos legales de conservación posteriores.

3. Categorías de datos y de interesados

• Interesados: socios del club, tutores legales (en caso de menores), personal técnico, empleados.
• Datos identificativos: nombre, apellidos, DNI, fecha de nacimiento, dirección, teléfono, email.
• Datos económicos: IBAN, historial de pagos.
• Datos especiales (categorías sensibles): datos de salud relevantes para la actividad deportiva (cuando el club los introduzca), siempre con base jurídica aportada por el club.

4. Obligaciones del Encargado (Gesta)

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable.
• Garantizar la confidencialidad de las personas autorizadas para tratar los datos.
• Aplicar las medidas técnicas y organizativas del art. 32 RGPD (ver anexo de seguridad más abajo).
• Asistir al Responsable en el cumplimiento de sus obligaciones (atención de derechos de los interesados, notificación de brechas, etc.).
• Notificar al Responsable cualquier brecha de seguridad sin dilación indebida y, en cualquier caso, en un plazo no superior a 24 horas desde su conocimiento.
• Eliminar o devolver los datos personales a la finalización del contrato, salvo conservación legal exigida.
• Poner a disposición del Responsable toda la información necesaria para auditorías.

5. Subencargados

El Responsable autoriza la subcontratación con los subencargados listados en /subprocessors. Gesta notificará cualquier incorporación o sustitución con al menos 30 días de antelación, periodo durante el cual el Responsable podrá objetar.

6. Transferencias internacionales

Las transferencias fuera del EEE (principalmente EEUU) se realizan amparadas en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914).

7. Anexo de medidas de seguridad

• Cifrado TLS 1.3 en tránsito.
• Cifrado AES-256 en reposo (Supabase + Vercel storage).
• Control de accesos basado en roles (Row Level Security en PostgreSQL).
• Autenticación multifactor para administradores.
• Backups diarios cifrados con retención de 30 días.
• Registro de actividad (audit log) inmutable.
• Auditorías de dependencias y revisión de código.

8. Cómo firmar este DPA

La aceptación de los Términos y Condiciones implica la aceptación de este DPA. Si tu club necesita un DPA firmado en formato PDF para sus archivos internos, envía un correo a legal@gesta.app y te haremos llegar una copia contrasignada.