Contrato de encargo del tratamiento

Este contrato forma parte de las condiciones del servicio y se acepta al crear la cuenta. En él, el entrenador es el responsable de los datos de sus alumnas y Rachalia el encargado que los trata por su cuenta (artículo 28 del RGPD).

Versión 0.1 · 16 de octubre de 2026

Partes

• Responsable del tratamiento («el Entrenador»): la persona física o jurídica que contrata Rachalia, con los datos que indica en su alta y en Panel → Marca → Datos legales.
• Encargado del tratamiento («Neops»): Adrián González Gallego (Neops Studios), con NIF 49017458-L y domicilio en C/ Libertad nº 16, posterior, email de privacidad privacidad@rachalia.com.

1. Objeto

Neops trata, por cuenta del Entrenador, los datos personales necesarios para prestarle el servicio Rachalia: una aplicación web (y, en su caso, móvil) con su marca. Desde ella el Entrenador ofrece a sus clientes («Alumnas») retos, entrenamientos, nutrición, seguimiento y cobros.

Este contrato forma parte de las Condiciones del servicio y dura lo mismo que ellas. Las obligaciones de confidencialidad y de devolución y supresión siguen vigentes después.

2. Tratamiento encargado

3. Obligaciones del Entrenador

1. Tener una base jurídica para el tratamiento. Para los datos de salud, la plataforma recoge el consentimiento explícito de la Alumna, separado y fechado, antes de la primera revisión.
2. Informar a sus Alumnas. La plataforma genera los textos legales con los datos del Entrenador, pero el Entrenador responde de que esos datos sean correctos y completos.
3. Dar a Neops solo instrucciones lícitas. Se consideran instrucciones documentadas la configuración que el Entrenador hace en su panel y lo que pide por escrito a soporte.
4. Adoptar la EIPD de la plataforma y completarla con lo propio de su actividad.
5. Custodiar las credenciales de su equipo y la verificación en dos pasos, que es obligatoria para el equipo.

4. Obligaciones de Neops

1. Instrucciones. Tratar los datos solo según las instrucciones documentadas del Entrenador. Avisarle si alguna infringe la normativa.

2. Confidencialidad. Su personal con acceso está obligado por escrito a la confidencialidad. Solo accede a los datos cuando hace falta para el servicio:

   • El acceso de soporte a la cuenta del Entrenador exige un motivo.
   • Dura como mucho 5 minutos por enlace.
   • Queda registrado y se avisa al Entrenador por email.

3. Seguridad (art. 32). Aplicar las medidas del anexo I y mantenerlas al día.

4. Subencargados. Ver la cláusula 5.

5. Derechos de las Alumnas. La plataforma permite a cada Alumna, por sí misma:

   • acceder a sus datos y descargarlos (portabilidad);
   • rectificarlos;
   • suprimir su cuenta;
   • retirar el consentimiento de salud;
   • darse de baja de las comunicaciones comerciales.

   Si una Alumna se dirige a Neops, Neops lo trasladará al Entrenador en un plazo de 5 días hábiles y le ayudará a responder.

6. Ayuda al Entrenador en la seguridad, en la notificación de brechas, en la EIPD y en la consulta previa (arts. 32 a 36), con la información de la que disponga.

7. Brechas de seguridad. Notificarlas al Entrenador sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, con lo que indica el anexo III. Así el Entrenador puede cumplir el plazo de 72 horas ante la AEPD. ⚖️ Hay que valorar si Neops notifica a la AEPD en nombre del Entrenador cuando sean muchos los afectados.

8. Registro de las actividades de tratamiento que realiza como encargado (art. 30.2).

9. Demostrar el cumplimiento. Poner a disposición del Entrenador la información necesaria y permitir auditorías:

   • con 30 días de aviso;
   • como mucho una al año, salvo que haya una brecha;
   • a cargo del Entrenador;
   • sin acceso a los datos de otros entrenadores.

   ⚖️ Como alternativa, se puede ofrecer un informe de seguridad anual.

10. Delegado de protección de datos: [si se nombra: nombre y contacto]. ⚖️ Ver la EIPD, §1.

5. Subencargados

1. El Entrenador da una autorización general para los subencargados del anexo II.
2. Neops avisará al Entrenador por email, con 30 días de antelación, de cualquier alta o cambio de subencargado. El Entrenador puede oponerse con motivos en ese plazo. Si no hay acuerdo, puede terminar el contrato sin penalización y con la devolución de sus datos (cláusula 7).
3. Neops impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos, y responde ante el Entrenador de su cumplimiento.

6. Transferencias internacionales

Los datos se guardan en la Unión Europea: servidor, base de datos, ficheros y copias. Si algún subencargado trata datos fuera del Espacio Económico Europeo (anexo II), será con garantías del capítulo V del RGPD: decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo.

7. Fin del contrato: devolución y supresión

1. Al terminar, por la causa que sea, Neops entrega al Entrenador, si lo pide en los 30 días siguientes, una exportación completa. Es un fichero ZIP cifrado con AES-256 y una contraseña que se entrega por un canal distinto. Contiene:

   • todas sus tablas en formato JSON;
   • los ficheros: logotipos, imágenes, fotos y vídeos;
   • la información ya descifrada.

2. Después, y como tarde a los 30 días del fin, Neops suprime todos los datos. El borrado:

   • cancela las suscripciones activas;
   • da de baja los dominios;
   • borra la base de datos y los ficheros.

   Las copias de seguridad cifradas que los contengan caducan solas como máximo a los 90 días.

3. Neops solo conserva:

   • el registro del borrado, sin datos personales de las Alumnas;
   • lo que deba guardar por obligación legal, bloqueado. Por ejemplo, la facturación al Entrenador.

4. Neops certificará la supresión por escrito si el Entrenador lo pide.

8. Responsabilidad

Cada parte responde de sus incumplimientos según el art. 82 RGPD. ⚖️ Límite de responsabilidad y relación con las Condiciones del servicio.

Anexo I · Medidas de seguridad

Resumen de docs/21. El detalle técnico está disponible para el Entrenador si lo pide.

Aislamiento entre entrenadores

• Cada dato lleva el entrenador al que pertenece y toda consulta se filtra por él.
• Un test automático intenta, en cada cambio del código, acceder a recursos de otro entrenador por todas las rutas de la plataforma.
• Límite de peticiones por entrenador, para que el uso de uno no afecte a los demás.

Cifrado

• HTTPS en todas las conexiones.
• Los datos de salud y los mensajes van cifrados dentro de la base de datos.
• Las fotos y los vídeos se guardan cifrados (XChaCha20-Poly1305), fuera de la web pública, y se sirven con enlaces que caducan.
• Las copias de seguridad van cifradas (AES-256).

Acceso

• Verificación en dos pasos obligatoria para el equipo del Entrenador y para el personal de Neops.
• Permisos por papel: propietario, entrenador y editor.
• Límites de intentos de acceso.
• Las sesiones se cierran al cambiar la contraseña, y las sesiones abiertas se pueden revisar y cerrar.

Trazabilidad

• Registro de actividad: accesos, cambios y entradas de soporte. Se conserva 2 años.

Minimización

• Las respuestas del PAR-Q no se guardan.
• Las comparativas son anónimas, con un mínimo de 10 personas.
• Las notificaciones al móvil nunca llevan datos de salud ni el texto de los mensajes.
• Los vídeos de técnica se borran solos.
• Las cuentas sin actividad en 24 meses se borran, con aviso previo.

Disponibilidad

• Copia diaria fuera del servidor, con aviso si falla, y pruebas de restauración.

Desarrollo seguro

• Batería de tests automáticos, de la API y de punta a punta, antes de cada despliegue.
• Dependencias con versiones fijadas.
• Canal de divulgación responsable: /.well-known/security.txt.

Anexo II · Subencargados

No son subencargados de Neops:

• Stripe, para los cobros a las Alumnas: el Entrenador tiene su propia cuenta y su propio contrato con Stripe.
• Vimeo u otras plataformas de vídeo: el Entrenador enlaza los vídeos desde su propia cuenta.

Anexo III · Notificación de brechas

Neops comunicará al Entrenador, por email a los propietarios de la cuenta:

1. Qué ha pasado y cuándo. Cuándo se detectó.
2. Qué categorías de datos y cuántas Alumnas, aproximadamente, se ven afectadas.
3. Las consecuencias probables.
4. Las medidas tomadas: contención, como cerrar sesiones o rotar claves, y corrección.
5. Un contacto para el seguimiento.

Si no tiene toda la información en las 48 horas, enviará lo que tenga y completará el resto por fases (art. 33.4).

El Entrenador decide si notifica a la AEPD y a sus Alumnas. Con datos de salud, casi siempre procede. La plataforma le ayuda con la lista de afectadas y con el envío del aviso.