Contrato de encargo del tratamiento

Última actualización: 12 de octubre de 2026

Este contrato (art. 28.3 del Reglamento (UE) 2016/679, RGPD, y art. 33 de la Ley Orgánica 3/2018, LOPDGDD) forma parte de las condiciones del servicio y se acepta con ellas. Las partes son:

• Responsable del tratamiento: el cliente (el club, la entidad o la persona titular de la cuenta).
• Encargado del tratamiento: Tomás Hernández, NIF 02648307H, Calle Padre Antonio Salelles 7, Oliva, Valencia, titular de HandBrain.

1. Objeto, duración, naturaleza y finalidad

• Objeto: los datos personales que el cliente introduce en HandBrain.
• Tratamientos: alojamiento, registro, consulta, cálculo de estadísticas, generación y exportación de informes, envío al proveedor de IA que el cliente configure (solo cuando usa esas funciones) y supresión.
• Finalidad: únicamente prestar el servicio al cliente.
• Duración: la de la cuenta; al terminar se aplica el apartado 10.

2. Tipos de datos e interesados

• Datos:
  • identificativos básicos (nombre o apodo, dorsal, posición);
  • datos deportivos y estadísticos (acciones de juego, minutos, alineaciones);
  • correo de los usuarios del club.
  No se tratan categorías especiales de datos (salud, etc.), y el cliente no debe introducirlas.
• Interesados: jugadores y jugadoras (también menores de edad), personal técnico y usuarios del club, y jugadores rivales identificados por dorsal o nombre.

3. Obligaciones del cliente

• Tener una base jurídica para el tratamiento. En el caso de menores, cuenta con la autorización de madres, padres o tutores cuando la ley la exija; en España, para menores de 14 años (art. 7 LOPDGDD).
• Informar a los interesados.
• Introducir solo los datos necesarios.
• Dar instrucciones conformes con la normativa.
• Atender los derechos de los interesados.

4. Obligaciones de HandBrain como encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del cliente: estas condiciones y el uso que hace de la aplicación. Esto incluye las transferencias internacionales. Si una instrucción le parece contraria a la normativa, avisará al cliente de inmediato.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
3. Aplicar las medidas de seguridad del apartado 5 (art. 32 RGPD).
4. Recurrir a subencargados solo en las condiciones del apartado 6.
5. Ayudar al cliente, en la medida de lo posible, a atender los derechos de los interesados. Si recibe una solicitud directamente, se la trasladará sin demora.
6. Ayudar al cliente a cumplir con la seguridad, la notificación de violaciones, las evaluaciones de impacto y la consulta previa (arts. 32 a 36 RGPD).
7. Notificar al cliente, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible.
8. Al terminar el servicio, suprimir los datos como indica el apartado 10.
9. Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables. Las auditorías se piden con 30 días de preaviso, como máximo una vez al año salvo violación de seguridad, y su coste es del cliente.
10. No comunicar los datos a terceros, salvo a los subencargados autorizados o por obligación legal.
11. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

5. Medidas de seguridad

• Comunicaciones cifradas (HTTPS).
• Contraseñas guardadas con hash (bcrypt).
• Cookies de sesión protegidas.
• Claves de terceros cifradas en la base de datos.
• Separación lógica de los datos de cada cliente y control de acceso por usuario.
• Acceso del personal de HandBrain limitado a lo necesario para dar soporte o atender una petición del cliente.
• Actualización de dependencias y revisión de cambios antes de publicarlos.

6. Subencargados

El cliente da una autorización general para recurrir a subencargados. HandBrain avisará por correo, con al menos 15 días de antelación, de cualquier alta o sustitución. El cliente puede oponerse por motivos razonables y, si no se llega a un acuerdo, terminar el contrato. Cada subencargado queda sujeto a las mismas obligaciones de protección de datos. Subencargados actuales:

El proveedor de IA (Anthropic, OpenAI o Azure OpenAI) lo contrata directamente el cliente, con su propia clave y bajo sus propias condiciones. HandBrain solo le transmite datos cuando el cliente usa esas funciones, por instrucción suya, y ese proveedor no es subencargado de HandBrain.

7. Transferencias internacionales

Las transferencias fuera del Espacio Económico Europeo se hacen solo con las garantías del capítulo V del RGPD: decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la Comisión Europea.

8. Acceso para soporte

El personal de HandBrain solo accede a los datos del cliente cuando es necesario para resolver una incidencia, atender una petición suya o cumplir una obligación legal, y bajo deber de confidencialidad.

9. Responsabilidad

Cada parte responde de sus incumplimientos conforme al art. 82 RGPD, con los límites de las condiciones del servicio en lo que la ley permita.

10. Fin del encargo

Antes de cerrar la cuenta, el cliente puede exportar sus datos (PDF y Excel). Cuando la cuenta se cierra, HandBrain suprime los datos en un plazo máximo de 30 días. Las copias de seguridad que mantenga el proveedor de alojamiento se eliminan en sus ciclos ordinarios. Solo se conservan bloqueados los datos que la ley obligue a guardar, durante el plazo exigido.