1. Partes y aceptación
- Responsable del tratamiento: el club registrado en Mister Lucrapp, representado por la persona que lo registra como administrador (en adelante, «el club»).
- Encargado del tratamiento: Carai Melilla SL, CIF B52021052, con domicilio en Avda. Cándido Lobera 5, Local 2, 52001 Melilla (España) y correo mister@lucrapp.com (en adelante, «el encargado»).
Este contrato forma parte de los Términos y condiciones. Lo acepta el administrador en nombre del club al registrarlo, y la aceptación queda registrada con su fecha y versión.
2. Objeto, naturaleza y finalidad
El encargado presta al club el servicio Mister Lucrapp: alojamiento, almacenamiento, organización, consulta, modificación, exportación y supresión de datos para la gestión deportiva del club (equipos, personal técnico, jugadores, entrenamientos, partidos y convocatorias, asistencia, estadísticas, calendario y sesiones). El tratamiento se realiza de forma automatizada, a través de la plataforma, y solo con esa finalidad.
3. Datos e interesados
| Interesados | Tipos de datos |
|---|---|
| Jugadores, incluidos menores de edad | Identificativos (nombre), fecha de nacimiento, contacto (correo y teléfono), datos deportivos (dorsal, posición), datos físicos (altura y peso), asistencia y puntualidad en entrenamientos, convocatorias y asistencia a partidos, goles y asistencias de gol, valoraciones y notas del cuerpo técnico |
| Padres, madres o tutores | Nombre y datos de contacto |
| Personal del club (entrenadores, asistentes, supervisores) | Nombre, correo, teléfono, cargo, equipos asignados y notas internas |
Categorías especiales. La plataforma no solicita datos de salud. Si el club decide registrar en las notas información como alergias o lesiones, lo hace bajo su responsabilidad y debe contar con una base jurídica válida, normalmente el consentimiento explícito de los padres o tutores (artículo 9.2.a del RGPD). El encargado aplicará a esos datos las mismas medidas de seguridad.
4. Duración
El encargo dura mientras el club mantenga su cuenta en Mister Lucrapp. Al terminar se aplica lo previsto en el apartado «Fin del encargo».
5. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del club, que son las que se desprenden de este contrato y del uso que el club hace de la plataforma. Si considera que una instrucción infringe la normativa, informará al club de inmediato.
- No utilizar los datos para fines propios ni comunicarlos a terceros, salvo obligación legal.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
- Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en este contrato.
- Recurrir a subencargados solo en las condiciones del apartado «Subencargados».
- Asistir al club para que pueda atender los derechos de los interesados. Si un interesado se dirige al encargado, le dará traslado de la solicitud al club sin dilación indebida y, en todo caso, en un plazo máximo de 5 días hábiles.
- Ayudar al club a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (artículos 32 a 36 del RGPD), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
- Llevar el registro de las actividades de tratamiento que efectúa por cuenta de los clubes (artículo 30.2 del RGPD).
- Poner a disposición del club la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, con aviso previo y sin afectar a la seguridad ni a los datos de otros clubes.
- No transferir los datos fuera del Espacio Económico Europeo salvo con las garantías del capítulo V del RGPD.
6. Obligaciones del club
- Contar con base jurídica para cada tratamiento y, en el caso de jugadores menores de 14 años, con el consentimiento de sus padres o tutores (artículo 7 de la LOPDGDD).
- Informar a jugadores, familias y personal del tratamiento de sus datos (artículos 13 y 14 del RGPD).
- Registrar solo los datos necesarios para la gestión deportiva (principio de minimización) y mantenerlos exactos y actualizados.
- No incluir datos de salud u otras categorías especiales salvo que sea imprescindible y exista base jurídica.
- Gestionar con diligencia los accesos: invitar solo a personas vinculadas al club, asignar el papel adecuado y dar de baja a quien deje de colaborar.
- Atender los derechos de los interesados y supervisar el tratamiento.
7. Subencargados
El club autoriza de forma general al encargado a recurrir a los siguientes subencargados, que ofrecen garantías suficientes y están sujetos por contrato a las mismas obligaciones de protección de datos:
| Subencargado | Servicio | Ubicación y garantía |
|---|---|---|
| Supabase, Inc. | Base de datos y autenticación de usuarios | Datos alojados en la Unión Europea (Irlanda). Contrato de encargo y cláusulas contractuales tipo de la Comisión Europea. |
| Vercel, Inc. | Alojamiento de la aplicación web y funciones de servidor | Estados Unidos y red de distribución global. Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. |
| IPZ Marketing, S.L. (Mailrelay) | Envío de correos electrónicos del servicio | España. Contrato de encargo del tratamiento. |
El encargado informará de cualquier cambio previsto en esta lista con al menos 15 días de antelación, por correo al administrador del club o en la plataforma. Si el club se opone por motivos razonables relacionados con la protección de datos, podrá resolver el contrato y solicitar sus datos.
8. Medidas de seguridad
- Comunicaciones cifradas mediante HTTPS.
- Base de datos alojada en la Unión Europea, con copias de seguridad gestionadas por el proveedor.
- Contraseñas almacenadas con funciones de cifrado irreversible.
- Aislamiento de los datos de cada club mediante políticas de seguridad a nivel de fila en la base de datos: ningún usuario puede leer datos de otro club.
- Control de acceso por papeles dentro de cada club (administrador, supervisor, entrenador y asistente).
- Invitaciones con enlace de un solo uso que caduca a los 7 días.
- Credenciales de los servicios cifradas y acceso técnico a los sistemas limitado a personal autorizado.
9. Brechas de seguridad
Si el encargado tiene conocimiento de una violación de la seguridad que afecte a los datos del club, lo notificará al administrador sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas, con la información disponible: naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, posibles consecuencias y medidas adoptadas o propuestas. Corresponde al club, como responsable, notificarla a la autoridad de control y, en su caso, a los interesados.
10. Fin del encargo
Cuando el club solicite la baja, podrá pedir en un plazo de 30 días una copia de sus datos en un formato estructurado. Transcurrido ese plazo, el encargado suprimirá los datos del club, incluidas las copias, salvo que una norma exija conservarlos; en ese caso los mantendrá bloqueados y solo durante el plazo legal. Las copias de seguridad se eliminan conforme a su ciclo ordinario de rotación.
11. Responsabilidad
Cada parte responde del cumplimiento de sus propias obligaciones conforme al artículo 82 del RGPD. Si el encargado destina los datos a otras finalidades, los comunica o los utiliza incumpliendo este contrato, será considerado responsable del tratamiento respecto de ese uso.