Contrato de encargo del tratamiento

1. Partes

Responsable del tratamiento: el gimnasio, box, estudio o centro deportivo titular de la cuenta de GymGest (en adelante, el «Responsable» o el «Centro»), identificado por los datos facilitados en el alta y, en su caso, completados en Ajustes → Datos fiscales.

Encargado del tratamiento: Álvaro Garray Molina (nombre comercial ilernetwork), NIF 47980663H, con domicilio en Av. Valencia, 32 — 25001 Lleida (España), correo electrónico info@ilernetwork.com, titular y operador de la plataforma GymGest (en adelante, el «Encargado» o «GymGest»).

Este contrato complementa el Aviso legal (condiciones del servicio) y la Política de privacidad (tratamiento de los datos del propio titular de la cuenta, del que GymGest es responsable). Aquí se regula únicamente el tratamiento que GymGest realiza por cuenta del Centro sobre los datos de sus socios, leads y empleados.

2. Objeto del encargo

El Encargado tratará, por cuenta del Responsable, los datos personales necesarios para prestar el servicio de gestión de centros deportivos contratado, que comprende las siguientes operaciones:

• Alta, ficha y gestión de socios (importación desde CSV incluida) y de leads o contactos interesados.
• Gestión de planes de cuota, membresías, renovaciones, congelaciones y bajas.
• Clases dirigidas: horarios, sesiones, reservas, listas de espera, plazas fijas y asistencia.
• Control de acceso al centro mediante código QR, PIN o registro manual, con histórico de entradas.
• Portal del socio (aplicación web/PWA): acceso sin contraseña mediante código por email, consulta de cuota, reservas, QR de acceso, notificaciones push y solicitudes al centro.
• Comunicaciones con los socios por cuenta del Centro: avisos de cuota, recordatorios de clase, secuencias de bienvenida, felicitaciones y contrato de alta con firma electrónica.
• Facturación, TPV, cobros y remisión de registros de facturación a la AEAT (VeriFactu, RD 1007/2023).
• Recursos humanos del Centro: fichaje de jornada, turnos, vacaciones y ausencias de los empleados del Responsable.
• Asistente de inteligencia artificial que responde a preguntas del Centro sobre su propia actividad (ver sub-encargados).

3. Duración

El contrato estará en vigor mientras el Responsable mantenga activa su cuenta de GymGest. Al finalizar, se aplicará lo previsto en la cláusula 10 (destino de los datos).

4. Categorías de interesados y de datos

Interesados

• Socios y usuarios del Centro (clientes finales del Responsable).
• Leads o personas que han mostrado interés en el Centro (formularios, widget de captación).
• Empleados, monitores y colaboradores del Centro (para RRHH y asignación de clases).
• Contactos de emergencia indicados por los socios.
• Titulares de la patria potestad o tutela de socios menores de 14 años (tutores legales).

Datos tratados

Categorías especiales de datos (Art. 9 RGPD). GymGest no es un servicio sanitario ni está diseñado para registrar información clínica. El Responsable se compromete a no introducir datos de salud ni otras categorías especiales: lesiones, diagnósticos, patologías, informes médicos o datos biométricos destinados a identificar de forma unívoca a una persona. Los campos de notas, documentos, consultas a la IA y solicitudes de soporte deben limitarse a información administrativa necesaria. El consentimiento explícito de una persona no amplía las funciones ni los tratamientos autorizados por este contrato.

Esta restricción no permite afirmar que nunca puedan existir datos sensibles en información histórica o introducida indebidamente. Si se detectan, Responsable y Encargado colaborarán para limitar su acceso y propagación y determinar, conforme a las instrucciones lícitas del Responsable, su rectificación, devolución, supresión o conservación legalmente exigible. No se modifica ni elimina automáticamente un registro previo de firma o de actividad. El Encargado mantiene sus propias obligaciones de confidencialidad, seguridad y asistencia; no quedan excluidas porque el Centro haya introducido la información.

5. Obligaciones del Encargado (Art. 28.3 RGPD)

1. Instrucciones documentadas. Tratar los datos únicamente conforme a las instrucciones del Responsable, que se entienden dadas mediante el uso de las funciones de la plataforma y este contrato. Si el Encargado considera que una instrucción infringe la normativa, informará inmediatamente al Responsable. Entre esas instrucciones se entiende incluida la declaración del Responsable de que, cuando da de alta a un socio menor de 14 años, ha recabado previamente el consentimiento del titular de su patria potestad o tutela (Art. 8 RGPD y Art. 7 LOPDGDD); la plataforma registra la fecha, la IP y la versión de los documentos con que se prestó, como prueba a disposición del Responsable.
2. Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad. El acceso técnico del Encargado a los datos del Centro se limita a soporte, mantenimiento y seguridad, y las acciones del superadministrador sobre cuentas quedan registradas en un log de auditoría.
3. Seguridad. Aplicar las medidas técnicas y organizativas de la cláusula 9 y del artículo 32 RGPD.
4. Sub-encargados. No recurrir a otro encargado sin la autorización del Responsable. El Responsable autoriza de forma general a los sub-encargados de la cláusula 7; el Encargado informará de cualquier cambio con al menos 30 días de antelación mediante aviso en el panel o por email, y el Responsable podrá oponerse cancelando la cuenta antes de que el cambio sea efectivo.
5. Asistencia en el ejercicio de derechos. Ayudar al Responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de los interesados. Para ello la plataforma ofrece: exportación completa en JSON desde Ajustes → Privacidad, descarga de datos y solicitud de eliminación por el propio socio desde su portal (el Centro recibe aviso por email), edición y borrado de fichas, y marcado de opt-out de comunicaciones.
6. Asistencia en seguridad, brechas y evaluaciones de impacto. Ayudar al Responsable a cumplir los artículos 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
7. Destino de los datos. Suprimir o devolver los datos al finalizar el servicio, según la cláusula 10.
8. Demostración del cumplimiento. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previo aviso con 15 días y sin perjudicar la seguridad del resto de clientes de la plataforma.

6. Obligaciones del Responsable

• Base legal. Disponer de una base jurídica válida (normalmente la ejecución del contrato de socio, Art. 6.1.b RGPD, o el consentimiento) para cada socio, lead o empleado cuyos datos introduce en GymGest, y declararla en la ficha del socio o al importar un fichero.
• Información a los interesados (Art. 13 RGPD). Informar a socios, leads y empleados de que sus datos se tratan con GymGest como encargado, de las finalidades, plazos y derechos. GymGest facilita un contrato de alta con firma electrónica que incluye esta información, pero su uso y contenido final son responsabilidad del Centro.
• Comunicaciones comerciales. Solo activar el envío de comunicaciones comerciales a los socios que hayan dado su consentimiento (opt-in) o cuando exista relación contractual previa conforme al artículo 21.2 LSSI, respetando siempre la baja.
• Menores. No dar de alta a menores de 14 años sin el consentimiento del padre, madre o tutor legal, ni tratar datos de menores más allá de lo necesario. Al introducir los datos del tutor legal en la ficha del socio o al hacerle firmar el contrato de alta, el Responsable garantiza haber recabado ese consentimiento (Art. 8 RGPD y Art. 7 LOPDGDD) y que los datos del tutor son ciertos; la plataforma deja constancia de la fecha, la IP y la versión aceptada.
• Datos de salud. No introducir datos de salud ni otras categorías especiales (cláusula 4).
• Veracidad y minimización. Introducir solo datos exactos, pertinentes y necesarios; mantener actualizada la información y suprimir la que ya no sea necesaria.
• Empleados. Cumplir la normativa laboral y los artículos 87 a 91 LOPDGDD en el uso del fichaje, turnos y control horario, e informar a la plantilla.
• Seguridad en su extremo. Custodiar las credenciales de acceso, asignar a cada empleado el rol mínimo necesario y comunicar sin demora cualquier acceso no autorizado que detecte.
• Registro de actividades. Mantener su propio registro de actividades de tratamiento (Art. 30 RGPD) cuando le sea exigible.

7. Sub-encargados autorizados y transferencias internacionales

Datos enviados a la IA según la función utilizada. El chat recibe el perfil del negocio, el catálogo, resúmenes de cuotas, clases y facturación y una lista general de hasta 200 nombres de socios; esa lista no incluye emails, teléfonos, NIF, direcciones ni notas internas. Los bloques de cuotas por caducar o de socios sin actividad pueden incluir sus nombres y teléfonos. El contexto de documentos comerciales incluye nombres de destinatarios, referencias, importes y estados. También se transmiten los mensajes y el historial de conversación que el usuario incorpora a la consulta. Por separado, el generador de documentos incorpora instrucciones, perfil del negocio, catálogo y datos identificativos y de contacto de hasta 200 fichas de clientes (nombre, email, teléfono, NIF y dirección postal, incluido el contacto comercial cuando consta), para completar los documentos solicitados. No deben introducirse datos de salud en ninguna de estas funciones. El chat opera en solo lectura; los documentos propuestos requieren revisión y confirmación del usuario. El Centro puede desactivar el módulo de IA en Ajustes → Módulos.

Las condiciones publicadas del proveedor no acreditan por sí solas la configuración de una cuenta concreta. El Encargado debe mantener y facilitar al Responsable la información del servicio efectivamente contratado, sus sub-encargados, la retención y las garantías de las transferencias aplicables. Referencias del proveedor: DPA comercial y retención en la API.

8. Notificación de violaciones de seguridad

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales de la que tenga conocimiento sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que la conozca, por email a la dirección de la cuenta. La notificación incluirá, en la medida en que se disponga de ella, la información del artículo 33.3 RGPD: naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas. Corresponde al Responsable valorar y, en su caso, notificar a la AEPD (72 horas) y a los interesados. El Encargado prestará la colaboración necesaria.

9. Medidas de seguridad

El Encargado aplica, entre otras, las siguientes medidas (detalle en la documentación de seguridad interna, disponible a petición del Responsable):

• Cifrado en tránsito obligatorio (HTTPS, HSTS, TLS 1.2 o superior) y cabeceras de seguridad (CSP, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy).
• Contraseñas con hash bcrypt; sesiones con token aleatorio de 256 bits, caducidad y cierre por inactividad; límite de intentos de acceso.
• Aislamiento multi-tenant: toda consulta se filtra por el identificador del Centro; roles de empleado con niveles de permiso; acciones del superadministrador auditadas.
• Consultas preparadas (PDO) contra inyección SQL; escapado de salidas contra XSS; protección contra inyección en CSV, correo e instrucciones de IA.
• Validación estricta de ficheros subidos (tipo real, extensión, tamaño) y bloqueo de ejecución en el directorio de subidas.
• Portal del socio sin contraseñas: códigos de un solo uso con caducidad de 10 minutos, límite de intentos y sesiones con hash en base de datos.
• Copias de seguridad del proveedor de alojamiento y respaldo previo a cada despliegue con posibilidad de restauración.
• Limpieza automática de datos técnicos caducados (códigos, sesiones, intentos de acceso, logs) y registro inmutable de consentimientos.

10. Destino de los datos al finalizar el servicio

• Durante la vigencia de la cuenta el Responsable puede exportar en cualquier momento todos sus datos en formato JSON estructurado (Art. 20 RGPD) desde Ajustes → Privacidad y datos personales.
• Al confirmar la eliminación se cancela la suscripción, se desactiva la cuenta y se abre un periodo de 30 días. Transcurrido ese plazo se suprimen los datos del Centro y de sus socios, empleados y leads, así como los ficheros asociados (logos, adjuntos y certificados).
• Antes de confirmar la baja, el Responsable debe usar la exportación disponible para conservar los documentos fiscales y mercantiles que le sean exigibles. GymGest no mantiene una copia operativa de esos documentos una vez ejecutada la supresión elegida por el Responsable, conforme al artículo 28.3.g RGPD.
• El registro de consentimientos y el log de auditoría se conservan durante el plazo de prescripción de las responsabilidades derivadas del tratamiento, como prueba de cumplimiento.

11. Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de las obligaciones que el RGPD le atribuye según su rol, conforme al artículo 82 RGPD. El Centro responde de sus decisiones sobre fines, base jurídica e información a los interesados; el Encargado responde de las obligaciones que le corresponden y del cumplimiento de las instrucciones lícitas del Responsable. La prohibición de introducir categorías especiales no excluye las obligaciones propias del Encargado ni limita los derechos de los interesados.

12. Modificaciones y versión

El Encargado podrá actualizar este contrato para adaptarlo a cambios normativos, técnicos o en los sub-encargados. Cada versión se identifica por su fecha. Cuando se publique una versión nueva, el titular de la cuenta deberá aceptarla en el panel; la aceptación queda registrada con fecha, IP y versión. La versión vigente es la 2026-10-22.

Para cualquier consulta sobre este contrato o para ejercer facultades como Responsable: info@ilernetwork.com.