Este Acuerdo de Encargo del Tratamiento (en adelante, «el Acuerdo») forma parte de las condiciones de contratación y regula el tratamiento de datos personales que 21points realiza por cuenta del cliente cuando este utiliza la plataforma para gestionar torneos y marcadores. Se celebra conforme al artículo 28 del RGPD.
1. Partes y roles
El cliente (usuario que contrata o utiliza el servicio) es el responsable del tratamiento. Lajana Sistemas S.L., titular de 21points, es el encargado del tratamiento.
2. Objeto, naturaleza y finalidad
El encargado tratará datos personales por cuenta del responsable con la única finalidad de prestar el servicio 21points: alojamiento, almacenamiento y procesamiento de los datos de torneos, equipos y jugadores que el responsable introduce en la plataforma.
3. Duración
El tratamiento se mantendrá mientras esté vigente la relación de servicio entre las partes. A su finalización se aplicará lo previsto en la cláusula de devolución o supresión.
4. Tipos de datos personales
Datos identificativos y deportivos de jugadores, equipos, árbitros y personal del organizador: nombre, dorsal, categoría, edad o fecha de nacimiento, estadísticas y resultados. Pueden incluir datos de menores.
5. Categorías de interesados
Jugadores (incluidos posibles menores de edad), equipos, árbitros y personal vinculado al organizador.
6. Obligaciones del encargado
De conformidad con el art. 28.3 RGPD, el encargado se obliga a:
- Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
- Adoptar las medidas técnicas y organizativas de seguridad exigidas por el art. 32 RGPD.
- Respetar las condiciones para recurrir a otro encargado (subencargados) previstas en la cláusula 7.
- Asistir al responsable para atender las solicitudes de ejercicio de derechos de los interesados.
- Ayudar al responsable a cumplir las obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas y evaluaciones de impacto), teniendo en cuenta la información disponible.
- A elección del responsable, suprimir o devolver los datos al finalizar la prestación y suprimir las copias existentes, salvo obligación legal de conservación.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías o inspecciones.
- Informar de inmediato al responsable si considera que una instrucción infringe la normativa de protección de datos.
7. Subencargados
El responsable autoriza con carácter general al encargado a recurrir a subencargados para la prestación del servicio. En la actualidad, el encargado utiliza a IONOS (alojamiento e infraestructura, con servidores en la Unión Europea). El encargado impondrá a sus subencargados, mediante contrato, las mismas obligaciones de protección de datos. Informará al responsable de cualquier cambio relativo a la incorporación o sustitución de subencargados, dándole la posibilidad de oponerse.
8. Transferencias internacionales
El encargado no transferirá los datos del responsable fuera del Espacio Económico Europeo sin garantías adecuadas (decisión de adecuación, cláusulas contractuales tipo u otra garantía del RGPD) y sin informar previamente al responsable. La infraestructura que aloja los datos de torneos y jugadores se encuentra en la Unión Europea.
9. Violaciones de la seguridad
El encargado notificará al responsable, sin dilación indebida, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, facilitando la información necesaria para que el responsable pueda cumplir, en su caso, sus obligaciones de notificación ante la autoridad de control y los interesados.
10. Devolución o supresión de los datos
Una vez finalizada la prestación del servicio, y a elección del responsable, el encargado devolverá o suprimirá los datos personales y sus copias, salvo que deba conservarlos en virtud de una obligación legal.
11. Responsabilidad
Cada parte responde de los daños y perjuicios que cause por el incumplimiento de sus obligaciones, conforme al art. 82 RGPD. El responsable garantiza disponer de una base legal para el tratamiento y, cuando proceda, del consentimiento de los titulares de la patria potestad o tutela respecto de los datos de menores.
12. Legislación aplicable
Este Acuerdo se rige por el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) y demás legislación española aplicable en materia de protección de datos.