Contrato de encargo de tratamiento

Cláusula 1. Finalidad y ámbito

Este contrato regula el tratamiento de datos personales que Fitway realiza por cuenta del profesional que utiliza la plataforma, conforme al artículo 28.3 del Reglamento (UE) 2016/679 (RGPD).

• Responsable del tratamiento: el profesional de la nutrición titular de la cuenta, que decide qué datos introduce y para qué.
• Encargado del tratamiento: Fitway, titular de la plataforma, identificado en el Aviso legal.

Este contrato se acepta al registrarse y forma parte de los Términos de Uso. Queda registrada la fecha de aceptación y la versión aceptada.

Cláusula 2. Invariabilidad

Las partes se comprometen a no modificar estas cláusulas salvo para añadir información o reforzar las garantías. Ello no impide incorporar las cláusulas a un contrato más amplio ni añadir otras garantías, siempre que no contradigan lo aquí pactado ni menoscaben los derechos de los interesados.

Cláusula 3. Interpretación

Los términos definidos en el RGPD tienen aquí el mismo significado. Estas cláusulas se interpretan a la luz del RGPD y no de forma que contradiga los derechos y obligaciones que establece.

Cláusula 4. Jerarquía

En caso de contradicción entre estas cláusulas y los Términos de Uso o cualquier otro acuerdo entre las partes, prevalecen estas cláusulas en lo relativo al tratamiento de datos personales.

Cláusula 5. Adhesión de terceros

Una entidad que no sea parte de este contrato puede adherirse en cualquier momento, como responsable o como encargado, con el acuerdo de las partes y asumiendo los derechos y obligaciones que correspondan a su papel.

Cláusula 6. Descripción del tratamiento

Objeto, duración, naturaleza, finalidad, tipos de datos y categorías de interesados: véase el Anexo I.

Cláusula 7. Obligaciones de las partes

7.1 Instrucciones.

Fitway trata los datos personales únicamente siguiendo instrucciones documentadas del profesional. El uso normal de la plataforma —crear clientes, planes, recetas, mediciones y revisiones— constituye esa instrucción documentada. Fitway informará al profesional si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos.

7.2 Limitación de la finalidad.

Los datos se tratan solo para las finalidades del Anexo I, salvo instrucción posterior del profesional. Fitway no utiliza los datos de los clientes del profesional para fines propios, ni para entrenar modelos, ni los cede ni los vende a terceros.

7.3 Duración.

El tratamiento dura mientras esté vigente la suscripción del profesional. Lo que ocurre al terminar está en la cláusula 8.5.

7.4 Seguridad del tratamiento.

Fitway aplica las medidas técnicas y organizativas del Anexo II para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta que se tratan datos de salud. Las personas autorizadas a tratar los datos están sujetas a confidencialidad.

7.5 Datos sensibles.

El tratamiento incluye datos relativos a la salud (categoría especial del art. 9 RGPD). Se les aplican las restricciones y salvaguardias adicionales del Anexo II: cifrado en tránsito, acceso restringido a la cuenta del profesional responsable y del propio interesado, y alojamiento en la Unión Europea.

7.6 Documentación y cumplimiento.

Fitway atenderá las solicitudes de información del profesional relativas a este tratamiento y pondrá a su disposición la información necesaria para demostrar el cumplimiento del artículo 28 RGPD. Permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el profesional o por un auditor que este designe, con preaviso razonable.

7.7 Subencargados.

El profesional autoriza de forma general la contratación de los subencargados enumerados en el Anexo III. Fitway informará con al menos treinta (30) días de antelación de cualquier incorporación o sustitución, y el profesional podrá oponerse por motivos razonables; si la oposición no se resuelve, podrá resolver la suscripción sin penalización. Fitway impone a cada subencargado las mismas obligaciones de protección de datos que asume en este contrato y responde ante el profesional del incumplimiento de aquel.

7.8 Transferencias internacionales.

Los datos se alojan y se tratan en la Unión Europea. Si en el futuro fuera necesaria una transferencia a un tercer país, solo se hará amparada en una decisión de adecuación o en garantías adecuadas del capítulo V del RGPD, y se actualizará el Anexo III antes de que ocurra.

Cláusula 8. Asistencia al responsable

8.1 Fitway notificará sin dilación al profesional cualquier solicitud que reciba de un interesado, sin responderla por su cuenta salvo que el profesional lo autorice.

8.2 Fitway asistirá al profesional en el cumplimiento de sus obligaciones de atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. La plataforma incorpora para ello la exportación de los datos de un cliente y su borrado completo.

8.3 Fitway asistirá al profesional en la evaluación de impacto relativa a la protección de datos y en la consulta previa a la autoridad de control, cuando procedan.

8.4 Fitway pondrá a disposición del profesional la información necesaria sobre la seguridad del tratamiento para que este pueda cumplir el artículo 32 RGPD.

8.5 Devolución o supresión al terminar.

Al finalizar la prestación, y a elección del profesional, Fitway devolverá los datos en un formato estructurado y de uso común o los suprimirá, junto con las copias existentes, salvo que el Derecho de la Unión o nacional exija conservarlos. Si el profesional no manifiesta su elección, los datos se suprimirán transcurridos treinta (30) días desde la finalización, previo aviso.

Cláusula 9. Notificación de violaciones de seguridad

9.1 Cuando la violación afecte a datos tratados por el profesional, Fitway le asistirá en lo necesario para notificarla a la autoridad de control y, cuando proceda, a los interesados.

9.2 Cuando la violación afecte a datos tratados por Fitway, se lo notificará al profesional sin dilación indebida y, en todo caso, en un plazo máximo de cuarenta y ocho (48) horas desde que tenga conocimiento de ella, indicando la naturaleza del incidente, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

Cláusula 10. Incumplimiento y resolución

El profesional puede suspender el tratamiento o resolver el contrato si Fitway incumple de forma grave o reiterada estas cláusulas. Resuelto el contrato, se aplica la cláusula 8.5.

Anexo I · Descripción del tratamiento

Categorías de interesados:

• Clientes del profesional, que usan la aplicación para seguir su plan.
• El propio profesional y, en su caso, las personas que él autorice en su cuenta.

Categorías de datos personales:

• Datos de contacto e identificación: nombre, apellidos, correo electrónico, teléfono, país, fecha de nacimiento y sexo.
• Datos relativos a la salud (art. 9 RGPD): peso, altura, medidas corporales, objetivos, alergias e intolerancias, plantillas de dieta, planes de alimentación, revisiones, fotos de progreso y, cuando el profesional activa el módulo, entrenamientos y sesiones registradas.
• Datos de uso del servicio: accesos a la cuenta, mensajes entre profesional y cliente, citas y documentos que se intercambien.
• Datos de facturación del profesional, si procede.

Naturaleza y finalidad del tratamiento:

• Alojar y poner a disposición del profesional las herramientas de seguimiento nutricional de sus clientes.
• Permitir al cliente consultar su plan, registrar su evolución y comunicarse con su profesional.
• Mantener el servicio en funcionamiento: copias de seguridad, registro de accesos y soporte.

Duración: mientras esté vigente la suscripción del profesional, con lo previsto en la cláusula 8.5 al terminar.

Frecuencia: tratamiento continuo mientras el servicio esté en uso.

Anexo II · Medidas técnicas y organizativas

Lo que sigue describe las medidas efectivamente implantadas en la aplicación en la fecha de esta versión.

Seudonimización y cifrado:

• Las contraseñas no se guardan: se almacena su resumen criptográfico con bcrypt y factor de coste 10, de modo que no son legibles ni recuperables.
• Todo el tráfico entre el navegador y el servidor va cifrado con HTTPS/TLS, y el servidor solo se sirve por HTTPS.
• La conexión entre la aplicación y la base de datos va cifrada con TLS.
• Las cookies de sesión son HttpOnly y Secure, y llevan un testigo firmado criptográficamente que caduca.

Confidencialidad y control de acceso:

• Cada persona accede únicamente con su propia cuenta y contraseña; no hay cuentas compartidas.
• Un profesional solo puede ver y modificar los datos de sus propios clientes: la comprobación de pertenencia se hace en el servidor en cada operación, no en el navegador.
• Un cliente solo puede ver y modificar sus propios datos.
• Los enlaces de invitación y de restablecimiento de contraseña van firmados y caducan.
• Queda registro de los accesos a la cuenta durante 90 días, para poder detectar accesos indebidos.

Integridad y disponibilidad:

• La base de datos y los archivos se alojan en Supabase, en la región de Fráncfort (Alemania), dentro de la Unión Europea.
• Las funciones de servidor de la aplicación se ejecutan en la región de Fráncfort (Alemania), de modo que los datos no salen de la Unión Europea durante su tratamiento.
• Los archivos que suben los profesionales y los clientes —fotos de progreso, fotos de recetas y documentos— se guardan en Supabase Storage y se sirven mediante enlaces firmados y caducables, no mediante URLs públicas permanentes.
• El proveedor de base de datos realiza copias de seguridad periódicas.

Verificación y gobierno:

• El borrado de un cliente elimina en cascada todos sus datos asociados, incluidos los archivos del almacenamiento.
• La aplicación permite exportar los datos de un cliente en un formato estructurado, para atender los derechos de acceso y portabilidad.
• Las aceptaciones de los textos legales quedan registradas con su fecha y la versión aceptada, y no se sobrescriben.

Medidas pendientes de implantar, que se declaran expresamente por transparencia: autenticación en dos factores para la cuenta del profesional, y registro detallado de accesos a los datos de cada cliente más allá del registro de inicio de sesión.

Anexo III · Subencargados autorizados

El profesional autoriza de forma general a los siguientes subencargados:

• Supabase — base de datos y almacenamiento de archivos. Región: Fráncfort (Alemania), Unión Europea. Trata todas las categorías de datos del Anexo I.
• Vercel — alojamiento y ejecución de la aplicación. Región de ejecución: Fráncfort (Alemania), Unión Europea. Trata los datos en tránsito mientras se atiende cada petición.
• [PROVEEDOR DE CORREO] — envío de correos transaccionales: invitaciones, verificación de dirección y restablecimiento de contraseña. Trata nombre y dirección de correo electrónico. Pendiente de designar; este anexo se actualizará antes de empezar a usarlo.

No hay otros subencargados. Cualquier incorporación se comunicará con treinta (30) días de antelación conforme a la cláusula 7.7.