Este contrato cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD). Lo celebran el centro que contrata Aforia (el responsable) e Illatech (el encargado), y forma parte de las condiciones del servicio.
El encargado
- Titular: Miquel Adrover Quevedo («Illatech»)
- NIF: 41587201G
- Domicilio: C/ Gabriel Roca, 7, 07638 Ses Salines (Islas Baleares), España
- Correo: info@illatech.es
1. Objeto y duración
Illatech trata datos personales por cuenta del centro para prestarle Aforia, y solo para eso, mientras el centro tenga el servicio contratado.
2. Qué tratamientos
Guardar y consultar los datos; gestionar altas, reservas, asistencia, cuotas, bonos y cobros; enviar los avisos y correos que el centro configura; el buzón de mensajes y, si el centro lo usa, el asistente automático; la facturación y su envío a la Agencia Tributaria; las exportaciones que pide el centro; y las copias de seguridad.
3. Qué datos y de quién
- De quién: socios y clientes del centro, personas interesadas, y el personal del centro.
- Qué datos: identificativos y de contacto (nombre, correo, teléfono, foto), fecha de nacimiento y sexo, contacto de emergencia, datos económicos y de facturación (cuotas, cobros, NIF), reservas, asistencia y entrenamiento, mensajes, y las notas del personal.
- Datos de salud, solo los que el centro decida recoger (declaración de salud, medidas, lesiones en notas o en servicios de fisioterapia). Son una categoría especial: el centro necesita para ellos el consentimiento expreso del socio, y Aforia deja registrada la fecha en que lo da.
4. Lo que se compromete a hacer Illatech
- Tratar los datos solo siguiendo las instrucciones del centro, que son estas y las que da al configurar Aforia. Si una instrucción le parece contraria a la ley, se lo dirá.
- Que quien acceda a los datos esté obligado a guardar secreto, también después de dejar de trabajar con Illatech.
- Aplicar medidas de seguridad adecuadas (art. 32): cifrado en las comunicaciones, separación de los datos de cada centro en la propia base de datos, acceso del personal de Illatech solo con doble factor, copias de seguridad diarias y registro de los accesos y los cambios.
- Recurrir solo a los subencargados de la lista de abajo. Avisará al centro antes de añadir o cambiar alguno, y el centro podrá oponerse; si no hay acuerdo, podrá darse de baja sin coste. Cada subencargado tiene las mismas obligaciones que este contrato.
- Ayudar al centro a atender los derechos de los socios (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un socio se los pide a Illatech, se los pasará al centro.
- Avisar al centro sin dilación indebida, y como mucho en 48 horas, de cualquier brecha de seguridad que afecte a sus datos, con lo que se sepa para que pueda cumplir con sus propias obligaciones.
- Ayudar al centro, con la información que tenga, en las evaluaciones de impacto y consultas a la autoridad que necesite.
- Al terminar el servicio, dejar al centro descargar sus datos durante 30 días y después borrarlos, salvo que la ley obligue a conservar algo (como las facturas emitidas), que se guardará bloqueado.
- Poner a disposición del centro la información necesaria para demostrar que cumple, y permitir auditorías razonables, avisadas con antelación.
5. Lo que corresponde al centro
- Tener una base legal para cada dato que recoge e informar a sus socios. Aforia le da hecha una página de privacidad con sus datos, que el centro debe revisar.
- Recoger el consentimiento expreso para los datos de salud y para la publicidad.
- Dar las instrucciones y vigilar que se cumplen.
6. Subencargados
- Supabase, para la base de datos y las cuentas de acceso (servidores en Frankfurt (Alemania)).
- Vercel, para servir la aplicación (funciones en Frankfurt; empresa de EE. UU. adherida al Marco de Privacidad de Datos UE–EE. UU., con cláusulas contractuales tipo).
- Resend, para enviar los correos (empresa de EE. UU., con cláusulas contractuales tipo de la Comisión Europea).
- Anthropic, para el asistente que contesta en el buzón, en los centros que lo usan (empresa de EE. UU., con cláusulas contractuales tipo; no usa los mensajes para entrenar sus modelos).
- Cloudflare, para comprobar en el acceso que quien entra no es un robot (empresa de EE. UU. adherida al Marco de Privacidad de Datos).
- Verifacti, para enviar las facturas a la Agencia Tributaria (VeriFactu), en los centros que facturan con Aforia (España).
- Stripe, para los cobros con tarjeta, Bizum o domiciliación. Los datos del pago los trata Stripe como responsable propio, según su política de privacidad: ni el centro ni Illatech ven el número de la tarjeta.
Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE–EE. UU. o en cláusulas contractuales tipo de la Comisión Europea, como se indica en cada caso.
7. Aceptación
El centro acepta este contrato desde su panel (Ajustes, El centro), con los datos que tiene puestos allí: queda registrado quién, cuándo, con qué datos y qué versión. Los avisos de este contrato se mandan al correo para avisos del centro. También se puede firmar aparte; en ese caso vale lo firmado.