Contrato de encargo del tratamiento (art. 28 RGPD)

Versión 0.1 (borrador) · Última actualización: [completar: fecha]

Partes

• Responsable del tratamiento: la Escuela que se registra en YOFLO, con los datos que indica al registrarse (en adelante, "la Escuela").
• Encargado del tratamiento: [datos del titular: nombre, NIF, dirección, email de contacto], que presta el servicio con la marca YOFLO (en adelante, "YOFLO").

Este contrato forma parte de las condiciones del servicio. La Escuela lo acepta al registrarse y dura lo mismo que ellas. [revisar: mecanismo de aceptación y registro de la versión aceptada]

1. Objeto

YOFLO trata datos personales por cuenta de la Escuela solo para prestarle el servicio descrito en las condiciones. El detalle (interesados, datos, operaciones y plazos) está en el anexo I.

2. Instrucciones de la Escuela

• Son instrucciones de la Escuela: estas cláusulas, las condiciones del servicio, la configuración que la Escuela elige en la app y las acciones que hacen sus usuarios en ella.
• YOFLO no trata los datos para fines propios ni los comunica a terceros, salvo a los subencargados del anexo III o cuando la ley lo exija (en ese caso, avisará a la Escuela antes, salvo que la ley lo prohíba).
• Si YOFLO cree que una instrucción infringe la normativa de protección de datos, lo dirá a la Escuela de inmediato.

3. Obligaciones de YOFLO

YOFLO se compromete a:

1. tratar los datos solo según las instrucciones de la Escuela, también en lo que se refiere a transferencias internacionales;
2. que las personas autorizadas para tratarlos se comprometan a guardar confidencialidad; [completar: quién accede, p. ej. solo el titular de YOFLO y, en su caso, colaboradores con compromiso escrito];
3. aplicar las medidas de seguridad del anexo II;
4. respetar las condiciones para recurrir a subencargados (cláusula 5);
5. ayudar a la Escuela a atender los derechos de los interesados (cláusula 8);
6. ayudar a la Escuela con la seguridad, las violaciones de seguridad, las evaluaciones de impacto y las consultas previas (arts. 32 a 36 RGPD), según la información de que disponga;
7. al terminar el servicio, devolver o suprimir los datos (cláusula 11);
8. poner a disposición de la Escuela la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 12);
9. llevar un registro de las actividades de tratamiento que realiza como encargado (art. 30.2 RGPD).

4. Obligaciones de la Escuela

La Escuela se compromete a:

• tener una base jurídica para cada tratamiento e informar a los interesados (puede usar la plantilla de privacidad y los textos de consentimiento);
• recoger y poder demostrar los consentimientos necesarios, en especial para promociones, imagen y contactos importados;
• elegir en la app el plazo de inactividad tras el cual se borran los datos de contacto de los alumnos (por defecto, 3 años);
• no introducir categorías especiales de datos (por ejemplo, de salud) ni datos de menores de 14 años sin el consentimiento de sus padres o tutores;
• decidir quién de su equipo accede y con qué rol;
• contratar directamente con Stripe y con WhatsApp los servicios que use con sus propias cuentas (anexo IV).

5. Subencargados

• La Escuela autoriza de forma general a YOFLO a recurrir a los subencargados del anexo III.
• YOFLO avisará con [completar: días] de antelación de cualquier alta o cambio de subencargado. La Escuela puede oponerse por motivos razonables de protección de datos; si no se llega a un acuerdo, puede terminar el contrato antes de que el cambio se aplique.
• YOFLO impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos y responde de su cumplimiento frente a la Escuela.

6. Transferencias internacionales

La base de datos y los archivos están en Alemania y las copias de seguridad en [completar: ubicación de la Storage Box de Hetzner], siempre en la UE. Algunos subencargados son empresas de EE. UU. (anexo III). Esas transferencias se basan en [verificar con los términos del proveedor: adhesión al Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo de la Comisión Europea].

7. Violaciones de seguridad

YOFLO avisará a la Escuela sin dilación indebida, y en todo caso en un plazo máximo de [completar: horas], desde que tenga conocimiento de una violación de seguridad que afecte a sus datos. El aviso incluirá, en la medida en que se conozca: qué ha pasado, qué datos e interesados afecta, las consecuencias probables y las medidas tomadas o propuestas. Notificar a la autoridad de control y a los interesados corresponde a la Escuela, con la ayuda de YOFLO.

8. Derechos de los interesados

• La app da a la Escuela herramientas para atender los derechos: consultar y corregir fichas, exportar datos en Excel o CSV, y borrar o anonimizar datos.
• Cada alumno puede descargar sus datos y pedir la supresión de su cuenta en una escuela desde Mi cuenta. La petición llega a los titulares de la Escuela, que deciden y la ejecutan: se borra todo de inmediato salvo lo que la ley obliga a conservar.
• Si un interesado se dirige a YOFLO, YOFLO trasladará la petición a la Escuela sin responderla por su cuenta.

9. Accesos del equipo de YOFLO

YOFLO solo entra en la cuenta de la Escuela para dar soporte o resolver una incidencia, o para el alta asistida que la Escuela pida. Cada acceso queda registrado (quién, cuándo y motivo) y la Escuela puede ver ese registro.

10. Asistente IA

• El asistente lo usan los titulares y la secretaría; ve solo los datos que puede ver quien pregunta.
• Para responder, YOFLO envía al proveedor de IA (anexo III) la pregunta y los datos necesarios para contestarla; también las fotos o PDF de facturas que se le pidan leer y los textos de la Escuela que se traducen. La voz se transcribe con otro proveedor (anexo III); YOFLO no guarda el audio, solo el texto transcrito.
• Las acciones que propone el asistente las confirma siempre una persona. No hay decisiones automatizadas con efectos jurídicos sobre los interesados.
• YOFLO no usa los datos de la Escuela para entrenar modelos de IA y ha contratado la API de los proveedores de forma que estos no los usen para entrenar los suyos [verificar con los términos del proveedor].

11. Fin del servicio: devolución y supresión

• La Escuela puede exportar sus datos en cualquier momento, también con la cuenta en solo lectura.
• Si la cuenta deja de pagarse, los datos se conservan hasta que la Escuela pida el cierre (condiciones, apartado 9).
• Cuando la Escuela pide el cierre, YOFLO suprime sus datos en [completar: plazo], salvo que la ley obligue a conservarlos. Las copias de seguridad se borran a los 30 días.

12. Auditorías

YOFLO facilitará a la Escuela la información necesaria para demostrar el cumplimiento de este contrato. La Escuela puede pedir una auditoría, hecha por ella o por un auditor sujeto a confidencialidad, [completar: preaviso, frecuencia máxima y quién asume el coste].

13. Datos agregados

YOFLO puede obtener recuentos agregados del uso del servicio por cuenta (alumnos activos, alumnos que usan la app, importes cobrados a través de la app, pasos de configuración completados, consumo del asistente) para facturar, dar soporte, aplicar límites y medir la salud de la cuenta. Estos recuentos no identifican a los alumnos. [revisar: encaje con el art. 28.10 RGPD]

14. Responsabilidad

Cada parte responde de sus incumplimientos según el art. 82 RGPD y las condiciones del servicio. [revisar: relación con el límite de responsabilidad de las condiciones]

Anexo I · Descripción del tratamiento

Naturaleza y finalidad: alojamiento, registro, organización, consulta, modificación, comunicación (avisos), exportación, anonimización y supresión de datos, para que la Escuela gestione su actividad: clases, alumnos, abonos y cuotas, asistencia, cobros, eventos y entradas, gastos y compensaciones, páginas públicas, avisos y asistente IA.

Interesados:

• alumnos y personas que reservan una clase de prueba;
• contactos (personas que la Escuela guarda solo para promociones y avisos, con su consentimiento);
• compradores de entradas y asistentes a eventos;
• equipo de la Escuela: titulares, secretaría, profesores (también externos e invitados de eventos);
• proveedores de la Escuela que sean personas físicas.

Datos:

• identificación y contacto: nombre, apellidos, email, teléfono, foto (opcional), idioma;
• opcionales: fecha de nacimiento, NIF/CF, contacto de emergencia, notas, número de socio o de licencia (asociaciones en Italia);
• perfil de baile: estilos, rol (leader, follower o ambos), nivel e historial de niveles;
• inscripciones, clases de prueba, asistencia, recuperaciones;
• abonos, cuotas, pagos y devoluciones: importes, fechas, método, titular fiscal, identificadores de Stripe (nunca los datos completos de la tarjeta);
• entradas: comprador, nombre y rol de cada asistente, registro de entrada al evento;
• solicitudes de los alumnos y sus respuestas; avisos enviados; consentimiento y bajas de promociones;
• profesores: nombre, foto, biografía, especialidades, Instagram, email de invitación, acuerdos y compensaciones;
• gastos: proveedor, NIF, importes y facturas adjuntas;
• conversaciones con el asistente IA y transcripciones de voz;
• registro de cambios (quién hizo qué y cuándo) y datos de uso de la app (último acceso).

Categorías especiales: no están previstas. La Escuela no debe introducirlas.

Plazos de conservación (los aplica la app):

• datos de contacto del alumno (teléfono, email, foto, notas): se borran tras el plazo de inactividad elegido por la Escuela (por defecto, 3 años);
• nombre y NIF/CF ligados a los pagos, los pagos y el registro de cambios: se conservan el plazo legal del país de la Escuela (España 6 años, Italia 10) y después se anonimizan;
• supresión pedida por el interesado: todo de inmediato, salvo lo que la ley obliga a conservar;
• elementos borrados: 30 días en la papelera;
• archivos y textos de importación: 30 días;
• audio de voz: no se guarda;
• contactos que se dan de baja de las promociones: [completar];
• conversaciones con el asistente: [completar];
• avisos enviados: [completar];
• copias de seguridad: 30 días.

Duración: la del contrato, más los plazos de la cláusula 11.

Anexo II · Medidas de seguridad

1. Separación entre escuelas en la propia base de datos (seguridad a nivel de fila), comprobada con pruebas automáticas entre dos cuentas.
2. Permisos por rol aplicados en la base de datos: por ejemplo, un profesor no ve email, NIF/CF, notas, fecha de nacimiento ni importes de sus alumnos (salvo que la Escuela le deje cobrar, y solo al cobrar).
3. Claves y secretos solo en el servidor; las claves de servicios externos se guardan cifradas. De Stripe solo se guardan identificadores.
4. Conexiones cifradas (HTTPS).
5. Acceso con código por email, contraseña, Google o Apple.
6. Registro de cambios no modificable para abonos, cuotas, pagos, asistencia, gastos, compensaciones, acciones del asistente y accesos de soporte. Los pagos no se modifican: las correcciones son movimientos nuevos.
7. Papelera de 30 días para lo que se borra.
8. Copias de seguridad cifradas cada noche de la base de datos y los archivos en un almacenamiento de Hetzner [completar: ubicación], conservadas 30 días, con prueba de restauración mensual y alerta si fallan.
9. Límite de peticiones por IP en la API pública y en los formularios públicos.
10. La app instalada no guarda en caché páginas ni datos de usuarios con sesión iniciada.
11. Asistente IA limitado a lo que ve quien pregunta; no devuelve dinero, no borra datos ni cambia ajustes; toda acción necesita confirmación.
12. Servidor propio con actualizaciones de seguridad y monitorización a cargo de YOFLO; errores de los procesos automáticos registrados y avisados.
13. [completar: otras medidas organizativas, p. ej. doble factor en las cuentas de administración, gestor de contraseñas]

Anexo III · Subencargados

Anexo IV · Servicios que la Escuela contrata directamente (no son subencargados de YOFLO)