Este contrato regula el tratamiento de datos personales que Adrià Colomer Serra (el «encargado») realiza por cuenta de cada cliente de Pranarp (el «responsable») al prestarle el servicio, conforme al artículo 28 del RGPD y al artículo 33 de la LOPDGDD. Forma parte de los Términos del servicio y el responsable lo acepta al darse de alta. Su versión vigente es la 2026-10.
1. Objeto, duración y finalidad
El encargado trata los datos personales que el responsable introduce o genera en la aplicación con la única finalidad de prestarle el servicio contratado: alojamiento, gestión de clientes, reservas, actividades, cobros, facturación, comunicaciones, informes y el resto de funciones que el responsable decida usar. El tratamiento dura lo mismo que el contrato de servicio y, después, el tiempo necesario para devolver o eliminar los datos según el apartado 9.
2. Tipos de datos y personas afectadas
- Personas afectadas: clientes, socios, alumnos, pacientes, asistentes y potenciales clientes del responsable; sus tutores legales; trabajadores y colaboradores del responsable.
- Datos: identificativos y de contacto; datos de reservas, asistencia, membresías, bonos y actividades; datos económicos, de facturación y bancarios (IBAN y mandatos SEPA; los datos de tarjeta los trata Stripe directamente); comunicaciones; documentos y firmas; datos de horarios y nóminas de trabajadores, y cualquier otro que el responsable decida registrar.
- Categorías especiales: si el responsable registra datos de salud u otras categorías especiales (por ejemplo, en notas o fichas), lo hace bajo su responsabilidad y debe disponer de una base legal adecuada. El encargado les aplica las mismas medidas de seguridad que al resto de datos.
3. Obligaciones del encargado
El encargado se compromete a:
- tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y la configuración y el uso que el responsable hace de la aplicación, también en lo relativo a transferencias internacionales; si considera que una instrucción infringe la normativa, se lo comunicará inmediatamente;
- no usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal;
- garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad y han recibido la formación necesaria;
- aplicar las medidas de seguridad del apartado 5;
- ayudar al responsable a atender las solicitudes de ejercicio de derechos de las personas afectadas, sobre todo mediante las funciones de la aplicación (consulta, rectificación, exportación y eliminación de fichas), y trasladarle sin demora cualquier solicitud que reciba directamente;
- ayudar al responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad y, en su caso, de evaluación de impacto y consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga;
- poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisadas con al menos 30 días de antelación, a cargo del responsable y sin comprometer la seguridad ni la confidencialidad de otros clientes.
4. Obligaciones del responsable
El responsable garantiza que los datos que introduce en la aplicación se han obtenido lícitamente, que dispone de una base legal para tratarlos (incluido el envío de comunicaciones a sus clientes), que ha informado a las personas afectadas y que solo registra los datos necesarios. También es responsable de gestionar los accesos de su equipo y los permisos que les concede.
5. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS/TLS) y contraseñas almacenadas con funciones de hash seguras.
- Aislamiento lógico de los datos de cada empresa y control de accesos por roles y permisos.
- Alojamiento en centros de datos de IONOS en la Unión Europea, con medidas físicas de seguridad.
- Copias de seguridad periódicas y procedimientos de restauración.
- Registro de la actividad relevante y monitorización de errores.
- Actualizaciones de seguridad del software y de sus dependencias.
- Acceso del personal del encargado a los datos del responsable limitado a lo necesario para prestar soporte o resolver incidencias.
6. Violaciones de seguridad
El encargado notificará al responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos. Incluirá la información disponible: naturaleza de la violación, categorías y número aproximado de personas y registros afectados, consecuencias probables y medidas adoptadas o propuestas. La notificación a la autoridad de control y a las personas afectadas corresponde al responsable, con la ayuda del encargado.
7. Subencargados
El responsable autoriza de forma general al encargado a recurrir a los subencargados de la lista siguiente. El encargado les impone por contrato las mismas obligaciones de protección de datos que asume en este contrato y responde de su cumplimiento. Los marcados como «opcional» solo tratan datos si el responsable activa la función correspondiente.
El encargado avisará al responsable de cualquier alta o sustitución de subencargados con al menos 15 días de antelación, por email o en la aplicación. El responsable puede oponerse por motivos razonables relacionados con la protección de datos; si no se llega a una solución, podrá cancelar el servicio sin penalización.
| Subencargado | Servicio | Ubicación | Garantía |
|---|---|---|---|
| IONOS SE | Alojamiento de la aplicación, base de datos, archivos y copias de seguridad; envío de correo electrónico | UE (Alemania / España) | Tratamiento en la UE |
| Stripe Payments Europe, Ltd. | Cobro de la suscripción y pagos online y domiciliaciones de los centros | UE (Irlanda) | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Functional Software, Inc. (Sentry) | Monitorización de errores técnicos | EE. UU. | Cláusulas contractuales tipo |
| Cloudflare, Inc. (Turnstile) | Protección antispam de los formularios | EE. UU. / UE | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Google Ireland Ltd. / Google LLC | Inicio de sesión con Google, autocompletado de direcciones y, con consentimiento, analítica | UE (Irlanda) / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Anthropic, PBC | Funciones de inteligencia artificial (asistente y análisis) opcional | EE. UU. | Cláusulas contractuales tipo |
| OpenAI, L.L.C. | Funciones de inteligencia artificial, si el centro elige este proveedor opcional | EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Meta Platforms Ireland Ltd. (WhatsApp Business) | Envío de notificaciones por WhatsApp opcional | UE (Irlanda) / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Twilio Ireland Ltd. | Envío de notificaciones por SMS opcional | UE (Irlanda) / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| BunnyWay d.o.o. (bunny.net) | Alojamiento y reproducción de vídeos del contenido digital opcional | UE (Eslovenia) | Tratamiento en la UE |
| Bilbabit, S.L. (Verifacti) | Envío de los registros de facturación VeriFactu a la Agencia Tributaria opcional | UE (España) | Tratamiento en la UE |
8. Transferencias internacionales
Los datos se alojan en la Unión Europea. Cuando un subencargado los trata fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas) o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias necesarias.
9. Devolución y eliminación de los datos
Al terminar el servicio, el responsable puede exportar sus datos durante 30 días o pedir al encargado que se los entregue en un formato estructurado y de uso común. Transcurridos 90 días desde el fin del contrato, el encargado elimina los datos de sus sistemas activos, y las copias de seguridad se sobrescriben en su ciclo habitual. El encargado puede conservar bloqueados los datos estrictamente necesarios mientras puedan derivarse responsabilidades de la ejecución del servicio.
10. Responsabilidad y vigencia
Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD. Si el encargado trata los datos para fines propios o incumple este contrato, será considerado responsable de ese tratamiento. Este contrato está vigente mientras lo esté el contrato de servicio y, después, mientras el encargado conserve datos del responsable. Para cualquier consulta, escribe a support@pranarp.com.