Contrato de Encargado de Tratamiento (DPA)

Última actualización: 2 de junio de 2026

Este acuerdo regula el tratamiento de datos personales que AIronPump (en adelante, el Encargado) realiza por cuenta del entrenador usuario de la plataforma (en adelante, el Responsable), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Su aceptación es condición para el uso de la plataforma como entrenador.

1. Partes

2. Objeto

El Encargado pone a disposición del Responsable una plataforma web y una aplicación móvil para la gestión de su actividad de entrenamiento personal: gestión de clientes, rutinas, planes de alimentación, seguimiento (revisiones, registros de peso/medidas, fotos), roadmap de objetivos y comunicación. En el marco de ese servicio, el Encargado trata datos personales de los clientes del Responsable únicamente por cuenta y según las instrucciones de éste.

3. Duración

Este acuerdo es válido mientras el Responsable mantenga una cuenta activa en la plataforma. A su finalización se aplicará lo previsto en la cláusula 9 (devolución/supresión).

4. Naturaleza, finalidad y tipos de datos

4.1 Finalidad

Prestación del servicio de gestión de clientes de entrenamiento personal contratado por el Responsable.

4.2 Categorías de interesados

Clientes (y leads) del Responsable que usan la app o el formulario de captación.

4.3 Categorías de datos

• Identificativos y de contacto (nombre, email, teléfono).
• Características físicas y de actividad (peso, medidas, pasos, hábitos, objetivos).
• Datos de salud (categoría especial, art. 9 RGPD): lesiones, limitaciones, enfermedades, cuestionario PAR-Q, alergias/intolerancias. Su tratamiento requiere consentimiento explícito del interesado, que la plataforma recaba y registra (sección de consentimiento del cuestionario).
• Imágenes de progreso (fotos), si el cliente las aporta.

5. Obligaciones del Encargado

• Tratar los datos solo siguiendo instrucciones documentadas del Responsable (incluido este acuerdo y el uso de la plataforma).
• Garantizar la confidencialidad de quienes traten los datos.
• Aplicar las medidas técnicas y organizativas del art. 32 RGPD (cifrado en tránsito, control de acceso por inquilino —aislamiento entre entrenadores—, autenticación, copias de seguridad gestionadas por la infraestructura).
• No recurrir a otro encargado sin autorización (ver cláusula 7).
• Asistir al Responsable para responder a los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad).
• Asistir al Responsable en el cumplimiento de los arts. 32 a 36 (seguridad, notificación de brechas, evaluaciones de impacto).
• Notificar al Responsable sin dilación indebida cualquier violación de seguridad de la que tenga conocimiento.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

6. Obligaciones del Responsable (entrenador)

• Disponer de una base legal para el tratamiento de los datos de sus clientes y, cuando proceda, recabar su consentimiento (especialmente para datos de salud, art. 9).
• Informar a sus clientes sobre el tratamiento y sobre el uso de AIronPump como herramienta de gestión.
• Usar la plataforma conforme a la ley y no introducir datos sin legitimación.
• Atender, como responsable, las solicitudes de derechos de sus clientes (con la asistencia del Encargado).

7. Subencargados

El Responsable autoriza al Encargado a servirse de los siguientes subencargados para prestar el servicio:

• Google Ireland Ltd. / Google LLC — Firebase (Authentication, Firestore, Storage, Cloud Functions, Hosting, Cloud Messaging).
• Stripe, Inc. — procesamiento de los pagos de suscripción del Responsable (entrenador).
• Apple Inc. y Google Ireland Ltd. (App Store / Google Play) — compras del cliente final dentro de la app.

El Encargado garantiza que estos subencargados ofrecen garantías suficientes (art. 28.4) e informará de cualquier alta o cambio de subencargados, dando al Responsable opción a oponerse.

8. Transferencias internacionales

El uso de Google/Firebase puede implicar transferencias fuera del Espacio Económico Europeo. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea y demás garantías adecuadas previstas por el proveedor.

9. Devolución o supresión al finalizar

A la finalización del servicio, y a elección del Responsable, el Encargado devolverá o suprimirá los datos personales tratados por cuenta de aquél, salvo que la normativa exija su conservación. El proyecto de origen (datos heredados) se conserva como copia de solo lectura cuando aplique.

10. Responsabilidad y legislación aplicable

Cada parte responde del cumplimiento de sus obligaciones conforme al RGPD y la LOPDGDD. Este acuerdo se rige por la legislación española y se interpreta de forma coherente con el RGPD.

Aceptación: el Responsable acepta este acuerdo al marcar la casilla correspondiente durante el registro como entrenador o al continuar usando la plataforma tras su publicación.