Encargo del tratamiento

1.Partes y marco

Este documento se celebra entre el titular del centro que se suscribe a Rummo (el «Responsable») y Luís Correia, empresario individual, identificado en el Aviso legal en rummo.app/es/aviso-legal («Rummo», encargado del tratamiento).

Forma parte de los Términos y condiciones y cumple el artículo 28, apartado 3, del Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD).

Cuando este documento y los Términos y condiciones difieran en materia de datos personales, prevalece este.

2.Objeto, duración, naturaleza y finalidad

Objeto: el tratamiento de datos personales de los socios y demás interesados del Responsable, en la medida necesaria para prestar el servicio Rummo.

Duración: mientras esté en vigor el contrato de suscripción, más el periodo de conservación de la cláusula 9.

Naturaleza y finalidad: recogida, registro, organización, conservación, consulta, utilización y supresión, con la única finalidad de gestionar el centro: horarios, reservas, asistencia, planes, cobros, comunicación e informes.

• a)Categorías de interesados: socios actuales y antiguos del centro, atletas con clases sueltas, contactos comerciales del centro y el equipo del centro.
• b)Tipos de datos, identificación: nombre, correo electrónico, teléfono y fecha de nacimiento.
• c)Tipos de datos, uso: reservas, asistencia y resultados de entrenamiento.
• d)Tipos de datos, económicos: planes, cobros y estado de pago.
• e)Tipos de datos, escritos por el equipo: notas y etiquetas. Además, la firma de la declaración de responsabilidad, y la fotografía cuando el centro la use.
• f)Categorías especiales: Rummo no pide ni exige datos de salud. Los campos de texto libre (notas y etiquetas) pueden contener lo que el Responsable escriba en ellos, y la interfaz advierte de que no deben escribirse datos clínicos. La responsabilidad de hacerlo recae en el Responsable.

3.Tratamiento solo siguiendo instrucciones

Rummo trata los datos únicamente siguiendo instrucciones documentadas del Responsable. La suscripción al servicio y el uso de sus funciones constituyen esas instrucciones.

Rummo no usa estos datos para fines propios, no los vende, no los cede a terceros para fines de estos y no los usa para entrenar modelos.

Si Rummo está obligada a tratar datos en virtud del Derecho de la Unión o de un Estado miembro, informa al Responsable antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público.

Rummo informa al Responsable siempre que considere que una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos.

4.Confidencialidad

Las personas que, bajo la autoridad de Rummo, tienen acceso a estos datos están sujetas a un deber de confidencialidad, contractual o legal, que subsiste tras el fin de sus funciones.

El acceso se limita a quienes lo necesiten para prestar el servicio o para dar soporte a petición del Responsable.

El acceso de soporte a un centro es temporal, queda registrado y es visible para el Responsable.

5.Seguridad

Rummo aplica las medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD, entre ellas:

• a)Aislamiento entre centros impuesto en la propia base de datos, y no solo en la aplicación: quien no pertenece a un centro no lee ni escribe sus datos.
• b)Cifrado en tránsito en todas las conexiones.
• c)Autenticación sin contraseña, mediante código de un solo uso o cuenta de Google.
• d)Registro de las operaciones sensibles, con las claves ocultas.
• e)Copias de seguridad periódicas de la base de datos.
• f)Pruebas automáticas de aislamiento entre centros, ejecutadas en cada cambio, que impiden publicar código que lo rompa.

6.Subencargados del tratamiento

El Responsable otorga a Rummo una autorización general para recurrir a los subencargados indicados a continuación. Cada uno está sujeto por contrato a obligaciones de protección de datos no menos exigentes que las de este documento.

Para cada uno se indica la entidad, lo que hace y dónde trata los datos. Las transferencias fuera del Espacio Económico Europeo, y la base de cada una, figuran en la cláusula 11.

• a)Hostinger International Ltd. (Chipre): alojamiento del servidor donde funcionan la aplicación y la base de datos, con sus copias de seguridad. El servidor está en un centro de datos de la Unión Europea. La propia Rummo instala y gestiona la base de datos en ese servidor, y ningún otro proveedor de bases de datos tiene acceso a ella.
• b)Hostinger International Ltd. (Chipre): envío de correo electrónico transaccional, como los códigos de acceso, los avisos y los mensajes que envía el centro. Trata la dirección de destino y el contenido del mensaje. Hostinger recurre a subencargados propios, indicados en su contrato de tratamiento de datos.
• c)Stripe Payments Europe, Limited (Irlanda): cobros de la suscripción a Rummo y, cuando el centro conecta su cuenta de Stripe, los pagos de los socios al centro. En esos pagos Stripe trata también, como responsable propio, los datos que la ley le obliga a tratar, como los de prevención del fraude, conforme a su contrato con el centro.
• d)Anthropic Ireland, Limited (Irlanda): el «Agente», en los planes de pago. Solo recibe datos de un centro después de que su titular lo active en la aplicación, donde antes lee qué se envía, y solo cuando alguien del equipo le pregunta algo. Recibe la pregunta y cifras del centro, con las personas como referencias («Socio 17»), y nunca nombres, contactos, notas ni datos de salud. No usa estos datos para entrenar modelos. Los borra en 30 días, salvo lo que sus sistemas de seguridad señalen como infracción de su política de uso, que puede conservar hasta 2 años.
• e)Functional Software, Inc., que explota Sentry (Estados Unidos): registro de errores de la aplicación, cuando esté activo. Recibe mensajes técnicos de error, con las claves sensibles eliminadas, que pueden contener identificadores internos.
• f)Slack Technologies Limited (Irlanda): avisos internos al equipo de Rummo, cuando estén activos. Recibe el nombre del centro, acontecimientos de la cuenta y mensajes de error con las direcciones de correo ocultas.

6.1.

Rummo comunica con al menos 30 días de antelación cualquier cambio en esta lista. El Responsable puede oponerse por motivos de protección de datos dentro de ese plazo.

Si no se llega a un acuerdo, puede resolver la suscripción sin penalización y con reembolso del periodo no utilizado.

6.2.

No son subencargados de Rummo, y por eso no figuran en la lista:

• a)Google Analytics, Google Ads y el píxel de Meta. Se cargan en la web comercial de Rummo, con el consentimiento de quien la visita. Dentro de la aplicación, solo Google Ads, y solo en la página que sigue a la creación de un centro. No reciben datos del Responsable ni de sus socios.
• b)El servicio de notificaciones del navegador o del teléfono de quien recibe un aviso (Google, Apple, Mozilla o Microsoft). Lo elige el dispositivo, no Rummo. El mensaje viaja cifrado, y ese servicio solo lo entrega.
• c)Google, cuando alguien elige acceder con su cuenta de Google. Es una relación entre esa persona y Google, y Google no recibe datos del centro.

7.Asistencia en el ejercicio de los derechos de los interesados

Rummo da al Responsable los medios para atender por sí mismo las solicitudes de acceso, rectificación, supresión y portabilidad: la aplicación permite consultar, corregir, exportar y anonimizar los datos de un socio.

Si Rummo recibe directamente una solicitud de un interesado del Responsable, no la resuelve sobre el fondo: la remite al Responsable sin dilación indebida.

Cuando los medios de la aplicación no basten, Rummo presta una asistencia razonable, teniendo en cuenta la naturaleza del tratamiento.

8.Asistencia en los artículos 32 a 36

Rummo notifica al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida tras tener conocimiento de ella. Lo hace con la información de que disponga, para que el Responsable pueda notificarla a la autoridad de control en 72 horas.

Rummo presta al Responsable una asistencia razonable en la evaluación de impacto relativa a la protección de datos y en la consulta previa a la autoridad de control, cuando proceda.

9.Devolución y supresión al final

Cancelar el plan no borra datos: el espacio pasa al plan Lite, gratuito, y los datos se quedan. El Responsable puede exportarlos en cualquier momento, dentro de la aplicación y en un formato legible por máquina.

Cuando el Responsable borra el espacio, en Configurações → Propriedade, Rummo suprime los datos personales tratados por su cuenta. Solo queda lo que el Derecho de la Unión o de un Estado miembro obligue a conservar, en particular los registros de facturación.

Las copias de seguridad se renuevan según su propio ciclo, no superior a 90 días, tras el cual los datos que contienen dejan de existir.

10.Información y auditorías

Rummo pone a disposición del Responsable la información necesaria para demostrar el cumplimiento del artículo 28.

El Responsable puede realizar auditorías, incluidas inspecciones, por sí mismo o mediante un auditor que designe. Requieren un aviso previo de 30 días y caben como máximo una por año natural, salvo violación de datos o requerimiento de una autoridad de control.

Las auditorías se realizan en horario laboral, sin perturbar la operación, y el auditor queda sujeto a confidencialidad.

11.Transferencias internacionales

Los datos del servicio se guardan en la Unión Europea, en el servidor de la cláusula 6.

Hay transferencias fuera del Espacio Económico Europeo en los casos siguientes, cada uno con su base en el capítulo V del RGPD:

• a)Anthropic: a Estados Unidos, al amparo de las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo 3, que forman parte del contrato de tratamiento de datos de Anthropic. Solo ocurre con el «Agente» activado, cuando alguien le pregunta algo.
• b)Stripe: a Stripe, Inc., en Estados Unidos. Base: el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión de 10 de julio de 2023), en el que Stripe, Inc. está certificada, y las cláusulas contractuales tipo del contrato de tratamiento de datos de Stripe.
• c)Sentry: a Estados Unidos, al amparo del Marco de Privacidad de Datos UE-EE. UU., en el que Functional Software, Inc. está certificada, y de las cláusulas contractuales tipo de su contrato. Rummo puede pasar el registro de errores a la región europea de Sentry, y en ese caso este punto deja de aplicarse.
• d)Slack: a Estados Unidos, al amparo del Marco de Privacidad de Datos UE-EE. UU. y de las cláusulas contractuales tipo del contrato de tratamiento de datos de Slack.
• e)Hostinger: a sus subencargados fuera del Espacio Económico Europeo, al amparo de las cláusulas contractuales tipo del contrato de tratamiento de datos de Hostinger.

11.1.

Una transferencia nueva se comunica al Responsable antes de empezar, con la facultad de oposición de la cláusula 6.1.

A petición, Rummo facilita al Responsable una copia de las garantías de cada transferencia.

12.Responsabilidad

Cada parte responde de los daños que cause por infringir el RGPD, conforme a su artículo 82.

El límite de responsabilidad de los Términos y condiciones no se aplica a las multas e indemnizaciones derivadas de un incumplimiento culpable de Rummo de las obligaciones que el RGPD impone específicamente a los encargados del tratamiento.

13.Idioma

Este texto en español es una traducción facilitada por conveniencia. En caso de discrepancia, prevalece la versión en portugués.