Annex: Acord de Tractament de Dades (DPA)

1. Identificació de les parts

El present Acord de Tractament de Dades (d'ara endavant, «DPA») regula el tractament de dades personals realitzat per:

• El Client, com a Responsable del Tractament
• Maladeta Studio S.L., amb CIF B02697837, domicili a Plaça Naua, 1, Planta 2, Módulo 8, 25538 Casau (Lleida), Espanya, titular del programari Lueira (d'ara endavant, «Lueira»), com a Encarregat del Tractament

en el marc de l'ús del programari de gestió Lueira.

2. Objecte

El present acord té per objecte regular el tractament de dades personals dut a terme per Lueira en nom del Client per a la prestació dels serveis contractats a través de la seva plataforma, de conformitat amb l'article 28 del Reglament (UE) 2016/679 (RGPD) i l'article 33 de la Llei Orgànica 3/2018 (LOPDGDD).

Lueira únicament tractarà les dades personals seguint les instruccions documentades del Client, i no les utilitzarà per a finalitats pròpies ni diferents de les establertes en el present acord.

3. Naturalesa i finalitat del tractament

Lueira tractarà les dades personals exclusivament per a la prestació dels serveis inclosos en la subscripció contractada, que comprenen:

• Gestió de clients, alumnes i participants
• Gestió de reserves, activitats i calendari
• Facturació, pagaments i control financer
• Gestió de lloguers i inventari
• Check-in digital i recollida de formularis signats electrònicament
• Comunicacions amb usuaris del servei
• Gestió de documents amb signatura electrònica (eIDAS)
• Gestió automatitzada de reserves i consultes mitjançant l'assistent d'intel·ligència artificial integrat amb WhatsApp (d'ara endavant, «Agent IA»), quan el Client habiliti aquesta funcionalitat

Lueira no utilitzarà les dades tractades en nom del Client per entrenar models d'intel·ligència artificial propis ni per a cap finalitat d'anàlisi, màrqueting o desenvolupament de producte que vagi més enllà de la prestació del servei contractat.

4. Tipus de dades i categories d'interessats

Tipus de dades que poden ser objecte de tractament:

• Dades identificatives: nom, cognoms, número de document d'identitat
• Dades de contacte: adreça de correu electrònic, número de telèfon, adreça postal
• Dades de transaccions i facturació: historial de compres, imports, referències de pagament
• Dades bancàries: número de compte (IBAN), titular i entitat bancària, quan el Client les introdueixi a la plataforma per a la gestió de cobraments o pagaments
• Dades d'ús del servei: registres d'activitat, reserves, assistència
• Contingut de comunicacions: missatges intercanviats a través de l'Agent IA de WhatsApp, quan aquesta funcionalitat estigui habilitada pel Client
• Signatures electròniques recollides mitjançant els formularis de check-in digital
• Qualsevol altra dada que el Client introdueixi a la plataforma en l'exercici de la seva activitat

Categories d'interessats:

• Clients finals del Client (persones que contracten activitats, lloguers o serveis gestionats amb Lueira)
• Alumnes i participants en activitats
• Empleats, instructors i personal del Client amb accés a la plataforma
• Qualsevol altra persona les dades de la qual el Client decideixi gestionar a través de la plataforma

Dades de categories especials (article 9 RGPD):

El present acord no preveu, amb caràcter general, el tractament de dades especialment protegides (dades de salut, origen ètnic, biomètriques, etc.). En cas que el Client necessiti tractar dades d'aquesta naturalesa a través de la plataforma, haurà de notificar-ho prèviament a Lueira i assegurar-se de disposar de la base legal adequada. Lueira no serà responsable del tractament de dades de categories especials introduïdes pel Client sense aquesta comunicació prèvia.

4 bis. Dades de persones menors d'edat

Les parts reconeixen que la plataforma Lueira pot ser utilitzada pel Client per gestionar dades d'alumnes, participants o clients finals que siguin menors d'edat, especialment en contextos d'escoles esportives, campaments o activitats de turisme actiu adreçades a menors.

En aquests casos:

• El Client, com a Responsable del Tractament, és l'únic responsable d'obtenir el consentiment informat dels progenitors o tutors legals quan sigui preceptiu d'acord amb la normativa aplicable. A Espanya, l'article 7 de la LOPDGDD estableix que els menors de 14 anys requereixen el consentiment del seu representant legal perquè les seves dades siguin tractades.
• El Client garanteix que disposa de la base legal adequada abans d'introduir dades de menors a la plataforma, i que els formularis, comunicacions i documents adreçats a menors o als seus representants legals compleixen la normativa vigent.
• Lueira, com a Encarregat del Tractament, no utilitzarà les dades de menors per a cap finalitat pròpia més enllà de la prestació del servei contractat, i els aplicarà les mateixes mesures de seguretat que a la resta de dades personals tractades.
• L'incompliment de les obligacions establertes en aquesta clàusula per part del Client exonera Lueira de qualsevol responsabilitat derivada d'aquest incompliment.

5. Obligacions de Lueira com a Encarregat del Tractament

Lueira es compromet a:

a) Tractar les dades personals únicament seguint les instruccions documentades del Client, tal com s'estableixen en els presents Termes i en el present DPA, tret que estigui obligat a actuar d'una altra manera en virtut del Dret de la Unió o dels Estats membres, cas en què informarà el Client d'aquest requisit legal, tret que el Dret aplicable prohibeixi aquesta informació per raons d'interès públic.

b) No cedir, comunicar ni permetre l'accés a les dades personals a tercers sense autorització prèvia del Client, excepte als subencarregats recollits a la secció 7 del present acord.

c) No utilitzar les dades personals del Client per a finalitats pròpies, incloent-hi el desenvolupament o entrenament de models d'intel·ligència artificial.

d) Garantir que les persones autoritzades per tractar les dades personals s'han compromès a respectar la confidencialitat o estan subjectes a una obligació legal de confidencialitat.

e) Aplicar les mesures de seguretat tècniques i organitzatives establertes a la secció 6 del present acord.

f) Assistir el Client en el compliment de les sol·licituds d'exercici dels drets dels interessats (accés, rectificació, supressió, oposició, portabilitat, limitació), responent les sol·licituds que Lueira rebi directament en el termini màxim de 5 dies hàbils i redirigint l'interessat al Client quan correspongui.

g) Ajudar el Client a garantir el compliment de les obligacions de seguretat, notificació de violacions de dades, avaluació d'impacte i consulta prèvia.

h) Posar a disposició del Client tota la informació necessària per demostrar el compliment de les obligacions establertes a l'article 28 del RGPD.

i) Notificar al Client, sense dilació indeguda i en qualsevol cas en el termini màxim establert a la secció 10, qualsevol violació de seguretat que afecti les dades personals tractades en virtut del present acord.

6. Mesures de seguretat

Lueira implementa les següents mesures de seguretat tècniques i organitzatives per protegir les dades personals:

• Xifratge de dades en trànsit mitjançant HTTPS/TLS
• Xifratge de dades sensibles en repòs (en particular, dades bancàries i contrasenyes)
• Control d'accés basat en rols, amb autenticació segura
• Gestió d'usuaris i permisos amb principi de mínim privilegi
• Còpies de seguretat periòdiques emmagatzemades dins de l'EEE
• Infraestructura cloud allotjada íntegrament dins de l'Espai Econòmic Europeu
• Procediments de gestió d'incidents de seguretat
• Formació periòdica del personal en matèria de protecció de dades

Lueira revisarà i actualitzarà aquestes mesures periòdicament per adaptar-les a l'estat de la tècnica. El Client reconeix que cap sistema és completament infal·lible i que Lueira adoptarà mesures raonables i proporcionals al risc del tractament.

7. Subencarregats del Tractament

El Client, mitjançant l'acceptació dels presents Termes, autoritza Lueira a contractar els següents subencarregats per a la prestació del servei. Lueira garanteix que aquests subencarregats ofereixen garanties suficients de conformitat amb el RGPD i ha subscrit amb ells els corresponents acords de tractament de dades:

Lueira notificarà al Client amb almenys 30 dies d'antelació qualsevol canvi previst a la llista de subencarregats (incorporació o substitució d'un subencarregat), donant al Client la possibilitat d'oposar-s'hi. En cas d'oposició justificada, les parts negociaran de bona fe una solució alternativa. Si no fos possible arribar a un acord, el Client podrà resoldre el contracte sense penalització.

La llista actualitzada de subencarregats estarà sempre disponible a /ca/legal/termes/dpa/ o podrà sol·licitar-se en qualsevol moment a rgpd@maladetastudio.com.

8. Transferències internacionals de dades

Quan el tractament impliqui la transferència de dades personals fora de l'Espai Econòmic Europeu (EEE), Lueira s'assegurarà que aquestes transferències comptin amb les garanties adequades d'acord amb el Capítol V del RGPD, incloent-hi:

• Clàusules Contractuals Tipus aprovades per la Comissió Europea (Decisió 2021/914)
• Decisions d'adequació de la Comissió Europea vigents en el moment de la transferència

Les transferències internacionals actualment identificades es detallen a la taula de subencarregats de la secció 7. El Client reconeix i accepta les transferències descrites en aquesta taula en subscriure el present acord.

9. Drets dels interessats

Lueira assistirà el Client en l'atenció dels drets dels interessats d'acord amb el RGPD:

• Dret d'accés (art. 15)
• Dret de rectificació (art. 16)
• Dret de supressió (art. 17)
• Dret d'oposició (art. 21)
• Dret de portabilitat (art. 20)
• Dret de limitació del tractament (art. 18)

El Client és el responsable últim de gestionar les sol·licituds d'exercici de drets rebudes dels interessats. Quan Lueira rebi directament una sol·licitud d'un interessat, la traslladarà al Client en el termini de 5 dies hàbils perquè aquest doni resposta en el termini màxim d'1 mes establert pel RGPD.

10. Notificació de violacions de seguretat

Lueira notificarà al Client qualsevol violació de seguretat que afecti les dades personals tractades en virtut del present acord, sense dilació indeguda i, en tot cas, en el termini màxim de 72 hores des que en tingui coneixement.

La notificació inclourà, en la mesura del possible:

• Descripció de la naturalesa de la violació
• Categories i nombre aproximat d'interessats i de registres afectats
• Probable impacte i conseqüències de la violació
• Mesures adoptades o proposades per remeiar la situació

El Client, com a Responsable del Tractament, és qui ha de valorar si la violació s'ha de notificar a l'Agència Espanyola de Protecció de Dades (termini: 72 hores des del seu coneixement) i/o als interessats afectats, d'acord amb els articles 33 i 34 del RGPD.

11. Durada i finalització

El present acord estarà vigent mentre duri la relació contractual entre el Client i Lueira.

A la finalització del servei, i en el termini màxim de 30 dies des de la data de cancel·lació del compte:

• Lueira procedirà a l'eliminació segura de les dades actives del Client a la plataforma, o al seu retorn en format exportable (CSV o equivalent) si el Client ho sol·licita abans de la cancel·lació.
• Es lliurarà al Client, si ho sol·licita, una confirmació escrita de l'eliminació realitzada.

No obstant l'anterior, Lueira podrà conservar de forma bloquejada determinades dades quan hi estigui obligada per normativa legal aplicable (obligacions fiscals, comptables o d'un altre tipus), durant els terminis legalment establerts i sense utilitzar-les per a cap altra finalitat. Un cop transcorreguts aquests terminis, procedirà a la seva eliminació definitiva.

12. Auditories i inspeccions

El Client podrà verificar el compliment per part de Lueira de les obligacions establertes en el present acord mitjançant qualsevol dels següents mecanismes:

a) Sol·licitud d'informació documentada sobre les mesures de seguretat i procediments aplicats, a la qual Lueira respondrà en el termini màxim de 15 dies hàbils.

b) Auditories realitzades pel Client o per un auditor extern designat per aquest, previ acord amb Lueira sobre l'abast, la data i les condicions d'aquesta, i sempre que no interfereixin de manera desproporcionada en l'operativa del servei. Els costos de l'auditoria seran assumits pel Client.

c) Consulta de certificacions de seguretat o informes d'auditoria independent que Lueira posi a disposició del Client.

Les sol·licituds d'auditoria s'hauran de formular amb almenys 30 dies d'antelació a rgpd@maladetastudio.com.

12 bis. Avaluació d'Impacte relativa a la Protecció de Dades (DPIA)

Quan el tipus de tractament previst, especialment per la utilització de noves tecnologies o pel tractament de dades bancàries, dades de menors, o decisions automatitzades mitjançant l'Agent IA, pugui suposar un alt risc per als drets i llibertats dels interessats, el Client, com a Responsable del Tractament, haurà de realitzar una Avaluació d'Impacte relativa a la Protecció de Dades (DPIA) d'acord amb l'article 35 del RGPD.

Lueira col·laborarà amb el Client en la realització d'aquesta avaluació, proporcionant la informació raonablement necessària sobre el tractament realitzat en nom del Client i les mesures de seguretat aplicades.

12 ter. Registre d'activitats de tractament

D'acord amb l'article 30.2 del RGPD, Lueira, en la seva condició d'Encarregat del Tractament, manté un registre de les categories d'activitats de tractament efectuades en nom dels Responsables del Tractament que utilitzen la plataforma. Aquest registre inclou la informació prevista a l'article 30.2 del RGPD i està disponible per a l'autoritat de control competent (AEPD) quan aquesta ho requereixi.

13. Responsabilitat

Cada part serà responsable dels danys i perjudicis derivats de l'incompliment de les seves respectives obligacions en matèria de protecció de dades establertes en el present acord i en la normativa aplicable.

Lueira no serà responsable dels incompliments derivats d'instruccions incorrectes, incompletes o contràries a la normativa facilitades pel Client, ni dels tractaments realitzats pel Client fora del marc del servei contractat.

14. Integració amb els Termes

El present DPA forma part integrant dels Termes i Condicions de Lueira.

L'acceptació d'aquests Termes durant el procés de registre implica l'acceptació del present Acord de Tractament de Dades.

En cas de conflicte entre el que disposen els Termes i Condicions i el que disposa el present DPA en matèria de protecció de dades, prevaldrà el que estableix aquest DPA.