Condiciones para entrenadores

• Objeto: el encargado trata, por cuenta del responsable, los datos personales de los clientes del responsable para prestarle el servicio Trainer Hub.
• Duración: mientras el responsable tenga cuenta en Trainer Hub, más el plazo de devolución y borrado de la cláusula 9.
• Naturaleza: alojamiento, almacenamiento, organización, consulta, comunicación entre responsable y cliente, envío de avisos, copia de seguridad, exportación y supresión.
• Finalidad: que el responsable pueda preparar y seguir los planes de entrenamiento y nutrición de sus clientes.

• Interesados: clientes del responsable, siempre mayores de edad.
• Datos identificativos y de contacto: nombre, correo, teléfono, DNI, dirección, fecha de nacimiento, sexo y contacto de emergencia.
• Categorías especiales (salud): cuestionario de salud, medidas, peso y composición corporal, registros de entrenamiento, alimentación, sueño y hábitos, cuestionarios semanales.
• Imagen y voz: fotos de progreso y notas de voz.
• Datos del servicio: contrato, revisiones, mensajes y notas del responsable.

El encargado solo trata los datos siguiendo las instrucciones documentadas del responsable: estas condiciones y el uso que el responsable hace de las funciones de la app (dar de alta, editar, exportar o borrar clientes, enviar mensajes…). No los usa para fines propios. Si una instrucción le parece contraria a la normativa, lo dirá de inmediato. Las transferencias fuera del Espacio Económico Europeo se limitan a las de la cláusula 7.

• Las personas autorizadas por el encargado tienen deber de confidencialidad, también después de terminar su relación.
• El administrador de Trainer Hub no consulta los datos de salud de los clientes del responsable. Solo puede hacerlo mediante un acceso de soporte que el responsable autoriza expresamente, limitado en el tiempo y que queda registrado, o cuando lo exija la ley [acceso de soporte en implantación].

• Datos alojados en la Unión Europea (Fráncfort, Alemania).
• Conexiones cifradas (HTTPS) y cifrado en reposo del proveedor de la base de datos.
• Control de acceso en la propia base de datos: cada entrenador solo ve sus clientes y cada cliente solo lo suyo.
• Fotos y notas de voz en almacenamiento privado, con enlaces temporales de una hora.
• Contraseñas gestionadas por el sistema de acceso, nunca guardadas en claro.
• Verificación en dos pasos obligatoria para el administrador y recomendada para los entrenadores [en implantación].
• Copias de seguridad diarias y copias cifradas propias en la UE [en implantación].
• Registro de consentimientos y borrado completo verificable de cada cliente.
• Notificaciones sin contenido sensible con la pantalla bloqueada.

El responsable da una autorización general para que el encargado recurra a los proveedores de la lista de proveedores. El encargado avisará de cualquier alta o cambio con al menos 15 días de antelación (por correo o en la app); el responsable podrá oponerse y, si no hay acuerdo, darse de baja. El encargado impone a cada subencargado las mismas obligaciones de este contrato y responde de su cumplimiento.

El asistente de inteligencia artificial (Anthropic) solo se usará cuando esté activo y el responsable decida usarlo, y nunca recibirá DNI, dirección ni teléfono de los clientes.

Los datos se guardan en la UE. Si un subencargado de fuera del Espacio Económico Europeo puede acceder a ellos, se hará con las garantías del capítulo V del RGPD (cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.). El uso de la app desde Latinoamérica no cambia el lugar donde se guardan los datos.

• Derechos de los clientes: la app permite al cliente descargar sus datos y retirar sus consentimientos, y al responsable editar y borrar por completo a un cliente. Si un cliente se dirige al encargado, este se lo trasladará al responsable sin demora y le ayudará a responder en plazo.
• Consentimiento: la app pide y registra, en nombre del responsable, el consentimiento explícito de cada cliente para sus datos de salud y, aparte, para sus fotos, con la fecha y la versión aceptadas.
• Brechas de seguridad: el encargado avisará al responsable sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento, con la información disponible para que pueda notificar a la autoridad en 72 horas si procede.
• Ayudará también, en lo que le corresponda, con la evaluación de impacto y la consulta previa a la autoridad (artículos 35 y 36 del RGPD).

Al terminar, el responsable podrá exportar los datos de sus clientes durante [30 días]. Después, el encargado los suprimirá por completo (base de datos, fotos y notas de voz); las copias de seguridad se eliminan al caducar. Solo se conservará lo que la ley obligue, bloqueado. Los datos de un cliente que se da de baja se conservan 12 meses con exportación disponible para el responsable y después se borran del todo, salvo que el responsable los borre antes.

El encargado pondrá a disposición del responsable la información necesaria para demostrar que cumple este contrato y permitirá auditorías razonables, con preaviso y sin acceso a datos de otros entrenadores. Llevará el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD).

• Tener base legal para tratar los datos de sus clientes y no pedir más de los necesarios.
• Dar de alta solo a personas mayores de edad.
• Valorar si necesita una evaluación de impacto y mantener su registro de actividades de tratamiento.
• Derivar a un profesional sanitario a los clientes que lo necesiten y no usar la app para diagnosticar.
• Supervisar el tratamiento y comunicar sus instrucciones por escrito.