Este documento es el contrato que el artículo 28 del Reglamento General de Protección de Datos exige entre un responsable y su encargado. Forma parte de las condiciones de uso y el club lo acepta al empezar a usar Kanteo; queda anotado con la fecha. Si tu club prefiere firmarlo en papel, escribe a info@kanteo.es y se envía este mismo texto para firma.
Las partes
- El responsable es el club que usa Kanteo. Es suya la relación con el jugador y suya la decisión de qué se apunta y quién lo ve.
- El encargado es Elevate Studio SL, que explota Kanteo y trata esos datos por cuenta del club.
| Responsable | Elevate Studio SL |
| NIF | B75532226 |
| Domicilio | Calle Maracena 3, Vegas del Genil (Belicena), 18101 Granada |
| Teléfono | 684 053 267 |
| Contacto | info@kanteo.es |
Fuera de este contrato queda lo que Kanteo trata como responsable propio: la cuenta con la que cada persona entra (nombre, correo y contraseña), el identificador que permite mandarle avisos al móvil y los registros técnicos del servidor. Eso se rige por la política de privacidad.
Objeto, duración, naturaleza y finalidad
El encargado trata datos personales por cuenta del club con la única finalidad de prestarle el servicio: organizar la agenda de entrenos y partidos, las convocatorias, la asistencia, la plantilla, las estadísticas, las valoraciones, el chat del equipo y las actas. El tratamiento consiste en recoger, guardar, consultar, modificar, comunicar a quien el club autorice y suprimir esos datos.
El contrato dura lo que dure la relación entre el club y Kanteo, y se extingue con ella.
Qué datos y de quién
- Categorías de interesados: jugadores del club, incluidos menores de edad desde categoría sub-8, cuerpo técnico, delegados y directiva.
- Categorías de datos: identificativos (nombre, apodo, correo, teléfono, fecha de nacimiento, fotografía), deportivos (dorsal, puestos, número de licencia federativa, asistencia, minutos, tarjetas, valoraciones), contenido del chat del equipo, y actas firmadas.
- Estado de salud: Kanteo guarda si un jugador está marcado como lesionado, y nada más. No es una historia clínica y no debe usarse como tal. Si el club apunta ahí un diagnóstico, lo hace por su cuenta y fuera de este contrato.
Instrucciones del club
El encargado trata los datos únicamente siguiendo las instrucciones documentadas del club. Son instrucciones documentadas este contrato, la configuración que el club elige dentro de la aplicación (quién es cuerpo técnico, quién ve qué, si la página pública está encendida, si el chat admite fotos) y las peticiones que el club haga por escrito a la dirección de contacto.
Si una instrucción del club infringe la normativa de protección de datos, el encargado lo advertirá de inmediato y podrá no ejecutarla.
Confidencialidad
Quien accede a estos datos por parte del encargado está sujeto a un deber de confidencialidad que no caduca al terminar la relación. El acceso está limitado a las cuentas de administración, protegidas con segundo factor obligatorio y sesión de ocho horas como máximo.
Seguridad
El encargado aplica las medidas del artículo 32 apropiadas al riesgo, que aquí es alto porque hay datos de menores:
- Tráfico cifrado de extremo a extremo. Contraseñas guardadas con un algoritmo de derivación resistente a fuerza bruta, nunca en claro. Tokens de sesión y enlaces de recuperación guardados cifrados.
- Separación estricta entre clubes: los datos de uno no son accesibles desde otro, y esa separación está cubierta por pruebas automáticas.
- Toda acción del panel de administración queda registrada, y también las lecturas sensibles: abrir la ficha de una persona, leer un canal de chat o exportar un listado. El registro es de solo inserción y ni el propio código puede reescribirlo.
- Las fotos se reescriben al subirlas y pierden sus metadatos, incluidas las coordenadas del lugar donde se hicieron.
- Copias de seguridad diarias con catorce días de historia.
Subencargados
El club autoriza de forma general que el encargado recurra a estos subencargados, que son los que hacen falta para que la aplicación funcione:
- El proveedor de alojamiento, donde viven el servidor y la base de datos.
- Hostinger, desde cuyo buzón salen los correos de la aplicación.
- Expo, que hace llegar los avisos al móvil.
- El almacenamiento de objetos donde se guardan las fotos.
Con cada uno hay un contrato que le impone las mismas obligaciones que este. Si se incorpora o se sustituye alguno, se avisará al club con antelación suficiente para que pueda oponerse; si se opone, podrá resolver el contrato sin penalización.
Fuera de Europa. El servidor, la base de datos, las copias y las fotos están en Europa. La excepción es el envío de avisos al móvil: el identificador del dispositivo y el texto del aviso pasan por Expo, en Estados Unidos, al amparo de las cláusulas contractuales tipo de la Comisión Europea. No hay ninguna otra transferencia internacional.
Ayuda al club
- Derechos de las personas. La aplicación resuelve sola el acceso, la portabilidad, la rectificación y la supresión: cada persona tiene "Descargar mis datos" y "Borrar mi cuenta" en Ajustes. Para lo que no salga por ahí, el encargado asiste al club en el plazo que este le indique.
- Brechas de seguridad. El encargado avisará al club sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia de una violación de seguridad, con lo que sepa en ese momento, y le ayudará a notificarla.
- Evaluaciones de impacto. El encargado facilitará al club la información que necesite para una evaluación de impacto o una consulta previa.
Al terminar
Terminada la relación, el encargado suprime los datos del club. Antes de hacerlo le da la oportunidad de llevárselos. Se exceptúan las actas firmadas, que son el documento oficial del encuentro y cuya conservación tiene otra base legal, y lo que haya que guardar por obligación legal, que se conserva bloqueado durante el plazo que corresponda.
Comprobarlo
El encargado pone a disposición del club la información necesaria para demostrar que cumple este contrato, y admite auditorías del club o de quien este designe, avisando con antelación razonable y sin comprometer los datos de otros clubes.
Lo que el club se compromete a hacer
- Informar a sus jugadores, y a quien ejerza la tutela de los menores, de que sus datos se tratan en Kanteo.
- Recabar y conservar el consentimiento de quien ejerza la patria potestad o la tutela cuando el jugador sea menor de catorce años, antes de darlo de alta. Kanteo no verifica la edad por su cuenta.
- No apuntar en Kanteo datos que no hagan falta para la actividad deportiva, y muy en particular ningún dato médico más allá del estado de lesionado.
- Mantener al día quién es cuerpo técnico y retirar el acceso a quien deje el club.
Ley aplicable
Este contrato se rige por la ley española y por el Reglamento (UE) 2016/679.