Acuerdo de tratamiento de datos de VolleyClub
Última actualización: 22 de octubre de 2026.
1. Partes, ámbito y prelación
Este acuerdo (el «ATD») forma parte del Pedido firmado entre el Club identificado en dicho Pedido (el «Responsable») y PSG, Borut Grauf s.p., Pod gonjami 85, 2391 Prevalje, Eslovenia, número de registro 8519471000, número de IVA SI54246679 (el «Encargado»).
Se aplica a los datos personales tratados por cuenta del Club al prestar VolleyClub, incluido un sitio web alojado acordado. No modifica los roles del tratamiento que el operador realiza para sus propios fines, según el Aviso de privacidad.
Los términos del RGPD tienen el significado del Reglamento (UE) 2016/679. Este ATD prevalece sobre las disposiciones comerciales contradictorias relativas al tratamiento de datos personales. Prevalece la legislación imperativa.
2. Instrucciones documentadas y responsabilidades
El Encargado trata datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidos este ATD, el Pedido y la configuración y las acciones autorizadas en el Servicio. Esto también se aplica a las transferencias internacionales. Si el Derecho de la UE o de un Estado miembro exige otro tratamiento, el Encargado informa al Responsable antes de realizarlo, salvo prohibición legal.
El Responsable determina los fines lícitos y las bases jurídicas, facilita los avisos necesarios, establece instrucciones de conservación y controla a los usuarios autorizados. Debe identificar las condiciones adicionales necesarias para datos de categorías especiales y no ordenar tratamientos ilícitos.
El Encargado informa inmediatamente al Responsable si, en su opinión, una instrucción infringe la legislación aplicable de protección de datos. Puede suspender el tratamiento afectado mientras solicita aclaraciones o una alternativa lícita, protegiendo proporcionalmente los datos y la continuidad del servicio.
3. Confidencialidad y seguridad
Las personas autorizadas para tratar los datos deben estar sujetas a confidencialidad o a una obligación legal adecuada. El acceso se limita a lo que exige su función.
El Encargado aplica medidas técnicas y organizativas apropiadas conforme al artículo 32, teniendo en cuenta los riesgos, incluidos los relativos a menores e información de salud. El anexo B describe las medidas. El Encargado puede mejorarlas, pero no debe reducir sustancialmente el nivel de protección acordado durante el tratamiento.
4. Subencargados y transferencias
El Responsable concede autorización general escrita para los proveedores de la Lista de subencargados, sujeta a los fines y condiciones allí descritos. Antes de nombrar un subencargado adicional o sustituto, el Encargado avisa por escrito con al menos 14 días de antelación e identifica su función, ubicación y fecha prevista de inicio.
El Responsable puede oponerse durante ese plazo por motivos razonables de protección de datos. Las partes buscan una alternativa o garantías adecuadas. Si no resuelven la objeción, el Responsable puede poner fin al Servicio afectado antes del inicio del tratamiento propuesto y recibir las tarifas anticipadas no utilizadas de ese Servicio. El Encargado no debe interpretar el silencio antes del final del plazo de preaviso como permiso para comenzar antes.
Cada subencargado queda vinculado por un contrato escrito que impone las obligaciones aplicables de protección de datos exigidas por el artículo 28. El Encargado sigue siendo responsable del cumplimiento de dichas obligaciones por el subencargado.
Las transferencias internacionales sujetas a restricciones requieren un mecanismo lícito y garantías complementarias adecuadas cuando sean necesarias. El Encargado facilita al Responsable la información pertinente sobre el mecanismo y las garantías.
5. Solicitudes de las personas
Teniendo en cuenta la naturaleza del tratamiento, el Encargado asiste al Responsable con las solicitudes de ejercicio de derechos mediante medidas técnicas y organizativas apropiadas. Notifica sin demora al Responsable las solicitudes que afecten a datos bajo su responsabilidad, salvo que el Responsable haya dado una instrucción documentada para una categoría acordada de solicitudes.
El Responsable autoriza la recepción y verificación de identidad a través del canal central de solicitudes de la plataforma. Ese canal por sí solo no autoriza cualquier comunicación o supresión. El Encargado coordina el ámbito y las instrucciones lícitas con el Responsable pertinente, no comunica datos de otro Club ni decide las bases jurídicas del Responsable para conservar registros. Cuando el operador es a su vez responsable o la ley exige directamente actuar, cumple sus propias obligaciones.
Ninguna parte puede utilizar sus procedimientos internos para retrasar una solicitud más allá de los plazos aplicables. Las partes acuerdan las actuaciones urgentes necesarias cuando una solicitud afecte a varias cuentas, un menor, derechos de terceros u obligaciones legales de conservación.
6. Incidentes y asistencia
El Encargado notifica al Responsable sin dilación indebida tras tener conocimiento de una violación de seguridad de datos personales que afecte a los datos. Facilita, según esté disponible, la naturaleza de la violación, los datos y personas afectados, las consecuencias probables, el punto de contacto y las medidas adoptadas o propuestas. La información puede facilitarse por fases sin más dilación indebida.
El Encargado adopta medidas razonables para contener y remediar la violación y asiste al Responsable con las notificaciones exigidas. También le asiste con las obligaciones de seguridad, las evaluaciones de impacto de protección de datos y las consultas previas a autoridades, teniendo en cuenta el tratamiento y la información a su disposición. La notificación no se aplaza hasta conocer todos los detalles.
7. Información y auditorías
El Encargado facilita la información necesaria para demostrar el cumplimiento del artículo 28 y permite y contribuye a auditorías, incluidas inspecciones, por el Responsable o su auditor designado. Las partes acuerdan un preaviso razonable, confidencialidad y garantías para la información de otros clientes. Incidentes urgentes, solicitudes de reguladores o indicios creíbles de incumplimiento pueden exigir un acceso más rápido.
Las pruebas existentes o informes independientes pueden satisfacer una necesidad de auditoría cuando proceda, pero no eliminan los derechos legales de auditoría del Responsable. Este ATD no declara que el Servicio posea una certificación específica.
8. Devolución, eliminación y duración
Este ATD se aplica desde el inicio del tratamiento conforme al contrato firmado y continúa hasta que el Encargado haya devuelto o eliminado los datos según lo exigido.
A elección del Responsable, el Encargado devuelve o elimina los datos personales al finalizar los servicios de tratamiento y elimina las copias existentes, salvo que el Derecho de la UE o de un Estado miembro exija conservarlas. La instrucción ordinaria del Responsable es conservarlos de forma restringida durante 90 días tras la terminación y luego eliminarlos, incluidas las copias, según las Condiciones, apartado 13. El Responsable puede ordenar una eliminación anterior o solicitar devolución antes de la eliminación prevista. No se prepara una exportación automática; la devolución solicitada se organiza de forma segura. Los derechos imperativos de devolución y recuperación no se ven afectados, y los datos necesarios para una solicitud válida de devolución pendiente quedan protegidos hasta su finalización.
Las copias de seguridad permanecen protegidas y aisladas del tratamiento ordinario. Caducan en un plazo de 90 días desde su creación y también están sujetas al plazo de eliminación al finalizar el servicio. Si se utilizan para recuperación, se vuelven a aplicar las instrucciones de eliminación pertinentes. Toda conservación legalmente exigida se documenta, se limita a ese fin y se comunica cuando está permitido. El Encargado confirma la finalización ante una solicitud razonable.
9. Contactos y legislación aplicable
El contacto del Responsable es el representante designado en el Pedido o comunicado posteriormente. El contacto del Encargado es support@volleyclub.app. Se aplican las disposiciones de legislación y controversias de las Condiciones sin restringir los derechos de las personas o los reguladores conforme a la legislación aplicable.
Anexo A — Descripción del tratamiento
Objeto y finalidad: prestar los servicios acordados de gestión de clubes y sitios web: administración de miembros y equipos, relaciones de representación legal, horarios, asistencia, partidos, evaluaciones, comunicaciones, administración de cuotas de participación, publicación pública, consultas de afiliación, asistencia, exportaciones, eliminación y seguridad realizadas por cuenta del Club.
Operaciones: recogida, registro, organización, almacenamiento, recuperación, acceso autorizado, transmisión, publicación cuando se ordene, exportación, rectificación, limitación y eliminación.
Personas: miembros y posibles miembros, jugadores incluidos menores, representantes legales, entrenadores, empleados, voluntarios, oficiales, visitantes del sitio web y personas que contacten con el Club.
Datos: identidad y contacto; fechas de nacimiento; fotos y archivos; registros de equipos, roles y afiliación; vínculos de representación legal; asistencia y participación; resultados; evaluaciones y registros de desarrollo; comunicaciones; registros de cuotas; solicitudes; instrucciones de publicación y registros técnicos necesarios para el tratamiento.
Información sensible: una función habilitada y adecuada puede tratar información limitada sobre ausencias relacionadas con la salud. El Responsable debe establecer la base jurídica y la condición para categorías especiales necesarias, limitar la recogida y el acceso y facilitar instrucciones. Las notas generales y archivos subidos no deben utilizarse como historias clínicas sin restricciones. Otras categorías sensibles requieren una evaluación independiente y un ámbito expresamente acordado antes del tratamiento.
Duración y frecuencia: continuado durante el uso de las funciones correspondientes, seguido de los períodos acordados de devolución/eliminación y copias de seguridad. El Club debe dar instrucciones apropiadas para los registros que dejen de ser necesarios antes de terminar su suscripción.
Anexo B — Medidas de seguridad
- Separación de datos de clubes y acceso controlado según los roles autorizados.
- Controles de autenticación, contraseñas protegidas y gestión adecuada de credenciales y tokens.
- Transmisión cifrada para acceder al servicio y acceso administrativo restringido.
- Registros y supervisión adecuados para seguridad e investigación de fallos, con minimización de datos.
- Copias de seguridad protegidas, cifrado antes de la transferencia externa y restauración controlada.
- Procedimientos para cambios de acceso, gestión de incidentes, solicitudes de datos personales y eliminación.
- Obligaciones de confidencialidad y acceso limitado al personal y proveedores autorizados.
- Revisión y mantenimiento de las medidas adecuadas a los riesgos del tratamiento.
El Encargado facilita más detalles pertinentes ante una solicitud razonable, con garantías para no exponer información sensible de seguridad ni datos de otros clientes.
Anexo C — Proveedores
La versión de la Lista de subencargados facilitada con el Pedido se incorpora a este ATD. Los cambios posteriores siguen el apartado 4.