Associu

Contrato de encargo de tratamiento de datos

Cómo trata Associu, por cuenta del club, los datos de socios, deportistas, familias y colaboradores, y a qué se compromete cada parte.

Versión de 7 de noviembre de 2026.

Este contrato se celebra entre:

  • el club o asociación que usa Associu, como responsable del tratamiento (en adelante, "el club");
  • [entidade], NIF [NIF], con domicilio en [morada], como encargado del tratamiento (en adelante, "Associu").

El contrato cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de los términos de uso y el club lo acepta al registrarse. Si hay contradicción en materia de protección de datos, prevalece este contrato.

2. Objeto

Associu trata datos personales por cuenta del club solo para prestarle el servicio de gestión descrito en los términos: portal de gestión, área de socio, web pública del club, inscripciones online, comunicación y el resto de funciones contratadas.

3. Duración

El contrato dura mientras esté vigente el contrato de servicio entre el club y Associu y, después, hasta que los datos se borren o se devuelvan según la sección 13.

4. Naturaleza y finalidad del tratamiento

El tratamiento consiste en recoger (también mediante las inscripciones online y el área de socio), registrar, organizar, conservar, consultar, modificar, exportar, comunicar por email tras la aprobación del club, publicar en la web del club tras la aprobación del club, y suprimir datos personales.

La finalidad es la gestión asociativa y deportiva del club: socios y cuotas, deportistas y licencias o inscripciones, entrenamientos y asistencia, convocatorias, calendario, finanzas y conciliación bancaria, registro de recibos, comunicación, resultados, documentación y caducidades, colaboradores y nóminas.

5. Interesados y categorías de datos

Interesados: socios, deportistas, padres, madres, tutores y otros familiares, colaboradores (entrenadores, personal, directivos), solicitantes de inscripción y otras personas que el club registre (por ejemplo, ordenantes de movimientos bancarios).

Categorías de datos, según el uso que haga el club:

  • identificación y contacto: nombre, fecha de nacimiento, sexo, DNI o NIE, NIF, domicilio, email, teléfono, fotografía;
  • relación con el club: número de socio, tipo de socio, unidad familiar y tutores, sección, categoría, equipo, temporada;
  • datos económicos: cuotas, pagos, deudas, recibos, IBAN y movimientos bancarios importados, retribuciones y horas de los colaboradores;
  • actividad deportiva: asistencia, convocatorias y respuestas, resultados de pruebas y partidos;
  • documentos entregados y sus caducidades (por ejemplo, DNI, seguro, titulación de entrenador);
  • autorizaciones y consentimientos, incluida la autorización de imagen de menores;
  • registro de acciones de los usuarios del club (quién hizo qué y cuándo).

Categorías especiales y datos sensibles:

  • datos de salud, como ficha médica o reconocimiento médico-deportivo;
  • certificado negativo del Registro Central de Delincuentes Sexuales y otros certificados penales de entrenadores y colaboradores, cuando el club los pida;
  • datos de menores de edad.

El club decide si recoge estos datos y es responsable de contar con base jurídica para hacerlo.

6. Obligaciones del club

El club se compromete a:

  • tener base jurídica para cada tratamiento e informar a los interesados, también del uso de Associu;
  • obtener el consentimiento de los padres, madres o tutores cuando sea necesario, en particular para los menores de 14 años, en los términos de la LOPDGDD, y la autorización de imagen;
  • recoger solo los datos necesarios, sobre todo de salud y penales;
  • asignar perfiles y permisos de forma adecuada, dando acceso a datos sensibles solo a quien lo necesite, y retirar accesos a quien deje de tener funciones;
  • dar instrucciones lícitas a Associu; la configuración y el uso de la plataforma por el club se consideran instrucciones documentadas;
  • atender las solicitudes de los interesados.

7. Obligaciones de Associu

Associu se compromete a:

  • tratar los datos solo según las instrucciones documentadas del club, también respecto a transferencias internacionales, salvo que la ley le obligue a otra cosa (en cuyo caso informará al club, si la ley lo permite);
  • avisar al club si considera que una instrucción infringe la normativa de protección de datos;
  • garantizar que las personas autorizadas para tratar los datos tienen un deber de confidencialidad;
  • no usar los datos para fines propios, no venderlos y no comunicarlos a terceros fuera de lo previsto en este contrato;
  • llevar un registro de las actividades de tratamiento que realiza por cuenta de los clubes.

8. Medidas de seguridad

Associu aplica medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD), entre ellas:

  • permisos denegados por defecto: cada usuario solo accede a lo que su perfil permite, por recurso, acción y ámbito (club, secciones o equipos); solo el administrador principal del club asigna perfiles;
  • comprobación de permisos siempre en el servidor y en la base de datos, no solo en la pantalla;
  • separación de los datos de cada club en la base de datos, con reglas de acceso por fila;
  • registro de acciones: todos los cambios y las consultas a datos sensibles (fichas médicas, nóminas, documentos) quedan registrados, igual que los intentos de acceso denegados;
  • cada colaborador ve solo su propia retribución, salvo permiso expreso de la administración;
  • archivos en almacenamiento privado, que solo se abren tras comprobar el permiso y registrar la consulta;
  • reglas para menores: las fotos de menores sin autorización de imagen se bloquean para su publicación; en los resultados públicos los menores aparecen con iniciales por defecto; las inscripciones online solo pueden hacerlas mayores de edad, que inscriben a los menores a su cargo;
  • nada se envía ni se publica sin la aprobación de un usuario del club;
  • comunicaciones cifradas y alojamiento en proveedores con garantías adecuadas.

Associu puede actualizar estas medidas siempre que no se reduzca el nivel de protección.

9. Subencargados del tratamiento

El club autoriza a Associu a recurrir a los siguientes subencargados:

Proveedor Servicio Ubicación
Supabase Base de datos, autenticación, almacenamiento de archivos y emails de autenticación Unión Europea
Cloudflare Alojamiento y entrega de la aplicación Red global, con las garantías del RGPD para transferencias

Associu impone por contrato a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y sigue siendo responsable frente al club de su cumplimiento.

Antes de añadir o sustituir un subencargado, Associu avisa al club con una antelación razonable. El club puede oponerse por motivos justificados; si no hay acuerdo, puede terminar el contrato antes de que el cambio tenga efecto.

10. Transferencias internacionales

Los datos se guardan en la Unión Europea. Cuando algún tratamiento implique una transferencia fuera del Espacio Económico Europeo, en particular a través de la red de Cloudflare, se aplican las garantías del capítulo V del RGPD.

11. Asistencia al club

Associu ayuda al club, en la medida de lo posible y según la naturaleza del tratamiento:

  • a atender las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición); la plataforma permite consultar, corregir, exportar a Excel y PDF y borrar datos; si un interesado se dirige directamente a Associu, se traslada la solicitud al club;
  • a cumplir las obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa a la AEPD;
  • poniendo a su disposición la información necesaria para demostrar el cumplimiento de este contrato y permitiendo auditorías razonables, con preaviso, realizadas por el club o por un auditor designado por él y sujeto a confidencialidad.

12. Brechas de seguridad

Si Associu tiene conocimiento de una brecha de seguridad que afecte a datos del club, lo notificará al club sin dilación indebida, con la información disponible: naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas.

Corresponde al club, como responsable, notificar a la AEPD y, cuando sea necesario, a los interesados. Associu colabora en lo que haga falta.

13. Fin del contrato

Durante el contrato, el club puede exportar sus datos en cualquier momento. Cuando el contrato termina:

  • el club puede exportar sus datos o pedir a Associu que se los devuelva en un formato de uso común;
  • Associu suprime los datos personales del club, incluidos los archivos, en un plazo de [prazo] desde el fin del contrato, también en las copias de seguridad cuando su ciclo lo permita;
  • Associu solo conserva, debidamente bloqueados, los datos que la ley le obligue a mantener y durante ese plazo.

14. Responsabilidad y ley aplicable

La responsabilidad de cada parte se rige por el artículo 82 del RGPD y por lo previsto en los términos de uso. Consulta también la política de privacidad.