Acord d'Encàrrec de Tractament

Última actualització: 21 de setembre del 2026

Aquest Acord d'Encàrrec de Tractament (en endavant, el “DPA”) forma part integrant dels Termes i Condicions o del contracte de prestació de serveis subscrit entre [RAÓ SOCIAL DEL CLUB] (en endavant, el “Club”) i Marc Piera Secall (en endavant, “Spooru”).

Quan el Club utilitzi Spooru per gestionar dades personals per compte del Club, aquest DPA regula el tractament d'aquestes dades de conformitat amb l'article 28 del Reglament (UE) 2016/679, Reglament General de Protecció de Dades (“RGPD”).

1. Parts

1.1. Responsable del tractament

• [RAÓ SOCIAL DEL CLUB]
• NIF: [NIF]
• Domicili: [DOMICILI]
• Correu electrònic: [EMAIL]

A partir d'ara, el “Responsable” o el “Club”.

1.2. Encarregat del tractament

• Marc Piera Secall
• Número fiscal (Steuernummer): 11 44 198 41243 57 2642
• Domicili: Froschau, 24, 74925 Epfenbach, Alemanya
• Correu electrònic: info@spooru.com

A partir d'ara, l'“Encarregat” o “Spooru”.

El Club i Spooru es podran denominar conjuntament les “Parts”.

2. Objecte

Aquest DPA regula el tractament de dades personals que Spooru realitza per compte del Club com a conseqüència de la prestació dels serveis tecnològics contractats.

Spooru tractarà les dades personals exclusivament per prestar les funcionalitats contractades pel Club i d'acord amb les instruccions documentades del Club, llevat que el tractament sigui exigit pel Dret de la Unió Europea o per la legislació aplicable a l'Encarregat.

Aquest DPA no converteix Spooru en responsable del tractament respecte d'aquells tractaments en què el Club determini les finalitats i els mitjans essencials del tractament.

3. Abast del tractament

La naturalesa, finalitat, durada, categories de dades i categories de persones interessades objecte del tractament es descriuen a l'Annex I d'aquest DPA.

El Club serà responsable de determinar les finalitats del tractament i de garantir que les instruccions proporcionades a Spooru siguin lícites.

Spooru no utilitzarà les dades tractades per compte del Club per a finalitats pròpies independents de les instruccions del Club, llevat que aquesta utilització sigui necessària per complir una obligació legal aplicable a Spooru o quan Spooru actuï com a responsable respecte d'un tractament diferent i existeixi una base jurídica independent per a això.

4. Instruccions del Club

El Club instrueix Spooru perquè tracti les dades personals en la mesura necessària per:

• allotjar i emmagatzemar les dades;
• permetre l'accés autoritzat a la plataforma;
• gestionar equips, temporades i jugadors;
• gestionar calendaris i convocatòries;
• gestionar estadístiques esportives;
• proporcionar les funcionalitats de missatgeria;
• gestionar les funcionalitats de cobrament habilitades pel Club;
• realitzar còpies de seguretat i operacions de manteniment;
• proporcionar suport tècnic;
• garantir la seguretat i disponibilitat de la plataforma;
• executar la resta de funcionalitats contractades pel Club.

El tractament de dades per part de Spooru es limitarà a les finalitats anteriors i a les instruccions documentades que el Club proporcioni.

Quan Spooru consideri que una instrucció infringeix el RGPD o una altra disposició aplicable en matèria de protecció de dades, n'informarà el Club sense dilació indeguda.

5. Durada

El tractament tindrà lloc durant la vigència de la relació contractual entre les Parts.

Un cop finalitzada la prestació de serveis, Spooru deixarà de tractar les dades personals per compte del Club, llevat que existeixi una obligació legal que n'exigeixi la conservació o que el Club en sol·liciti la conservació durant el període necessari per efectuar una migració o exportació.

6. Obligacions del Club com a responsable

El Club declara i garanteix que:

• disposa d'una base jurídica adequada per als tractaments que encomana a Spooru;
• compleix les obligacions d'informació exigibles davant les persones interessades;
• ha determinat les finalitats i mitjans dels tractaments que realitza com a responsable;
• no proporcionarà a Spooru instruccions contràries a la normativa aplicable;
• garantirà que les dades facilitades a Spooru siguin adequades, pertinents i no excessives;
• gestionarà correctament els permisos de les seves persones usuàries;
• atendrà les sol·licituds d'exercici de drets quan sigui el responsable del tractament;
• determinarà els terminis de conservació aplicables a les dades que gestiona;
• realitzarà, quan resulti necessari, les avaluacions d'impacte relatives a la protecció de dades;
• determinarà les mesures de seguretat adequades en funció del risc;
• obtindrà els consentiments necessaris quan aquesta sigui la base jurídica aplicable.

Quan el tractament afecti menors, el Club serà responsable de complir les obligacions específiques que resultin aplicables.

7. Obligacions de Spooru com a encarregat

Spooru es compromet a:

• tractar les dades personals únicament seguint instruccions documentades del Club;
• garantir que les persones autoritzades a tractar dades estiguin subjectes a obligacions de confidencialitat;
• aplicar mesures tècniques i organitzatives apropiades;
• mantenir la confidencialitat de les dades personals;
• assistir el Club en el compliment de les seves obligacions;
• informar el Club de les sol·licituds de les persones interessades quan correspongui;
• informar el Club de les violacions de seguretat de les dades personals;
• col·laborar raonablement en avaluacions d'impacte;
• col·laborar amb el Club en les consultes prèvies davant autoritats de control quan correspongui;
• mantenir la documentació necessària per demostrar el compliment de les seves obligacions;
• permetre auditories en els termes establerts en aquest DPA.

8. Confidencialitat

Spooru garantirà que les persones autoritzades a tractar les dades personals s'hagin compromès a mantenir la confidencialitat o estiguin subjectes a una obligació legal apropiada de confidencialitat.

L'obligació de confidencialitat continuarà vigent després de la finalització de la relació contractual mentre la informació conservi caràcter confidencial.

9. Mesures de seguretat

Spooru aplicarà mesures tècniques i organitzatives adequades al risc per protegir les dades personals.

Aquestes mesures podran incloure, segons correspongui:

• control d'accés;
• autenticació;
• gestió de permisos;
• xifratge de les comunicacions;
• protecció de les infraestructures;
• còpies de seguretat;
• registre de determinats esdeveniments de seguretat;
• procediments de recuperació;
• mesures de continuïtat;
• gestió de vulnerabilitats;
• procediments de resposta davant incidents;
• mesures destinades a garantir la confidencialitat, integritat, disponibilitat i resiliència dels sistemes.

Les mesures concretes es podran actualitzar quan resulti necessari per adaptar-se a l'evolució tecnològica i als riscos.

Les mesures tècniques i organitzatives actuals es descriuen amb més detall a l'Annex II.

10. Subencarregats

El Club autoritza Spooru a recórrer a altres encarregats del tractament per a determinades operacions necessàries per prestar el servei.

Entre els subencarregats que es poden utilitzar hi ha, en funció de les funcionalitats contractades:

• Supabase, per a serveis d'infraestructura, allotjament de bases de dades i emmagatzematge.
• Resend, per a l'enviament de comunicacions electròniques.
• Stripe, per a determinades funcionalitats relacionades amb pagaments, quan correspongui al tractament realitzat per compte del Club.
• Altres proveïdors tecnològics que Spooru pugui incorporar d'acord amb el procediment establert en aquest DPA.

Spooru mantindrà disponible per al Club una relació actualitzada dels subencarregats utilitzats, incloent-hi la seva identitat i, quan escaigui, ubicació i funció.

El Club autoritza amb caràcter general la incorporació de nous subencarregats.

Spooru informarà el Club de qualsevol incorporació o substitució de subencarregats amb una antelació raonable.

El Club podrà formular una objecció raonable per motius relacionats específicament amb la protecció de dades personals.

Si les Parts no arriben a una solució raonable, qualsevol d'elles podrà exercir els drets que corresponguin conforme al contracte principal.

11. Obligacions respecte dels subencarregats

Spooru garantirà mitjançant contracte que els subencarregats quedin subjectes a obligacions de protecció de dades equivalents a les establertes en aquest DPA, en la mesura exigida pel RGPD.

Spooru continuarà sent responsable davant el Club del compliment de les obligacions que corresponguin als subencarregats conforme al RGPD i a aquest DPA.

12. Exercici de drets

Tenint en compte la naturalesa del tractament, Spooru assistirà el Club, mitjançant mesures tècniques i organitzatives apropiades, quan sigui possible, perquè aquest pugui respondre a les sol·licituds d'exercici de drets de les persones interessades.

Quan Spooru rebi directament una sol·licitud d'una persona relativa a dades tractades per compte del Club, Spooru:

• no respondrà sobre el fons llevat que hi estigui autoritzada;
• remetrà la sol·licitud al Club quan resulti apropiat;
• proporcionarà al Club la informació disponible que sigui necessària per gestionar la sol·licitud.

Spooru col·laborarà raonablement per localitzar, modificar, exportar, restringir o eliminar les dades quan aquestes operacions siguin tècnicament necessàries per atendre un dret legalment exercitable.

13. Violacions de seguretat

Spooru notificarà al Club, sense dilació indeguda, qualsevol violació de seguretat de les dades personals tractades per compte del Club de la qual tingui coneixement.

Quan sigui possible, la notificació inclourà:

• naturalesa de l'incident;
• categories de dades afectades;
• categories aproximades de persones interessades;
• conseqüències previsibles;
• mesures adoptades o proposades;
• informació de contacte per obtenir informació addicional.

Spooru proporcionarà informació addicional a mesura que estigui disponible.

El Club serà responsable de valorar i, quan correspongui, notificar la violació de seguretat a l'autoritat de control i a les persones interessades.

Spooru col·laborarà raonablement amb el Club per permetre-li complir aquestes obligacions.

14. Avaluacions d'impacte i consultes prèvies

Tenint en compte la naturalesa del tractament i la informació disponible per a Spooru, aquesta assistirà raonablement el Club quan sigui necessari per:

• realitzar avaluacions d'impacte relatives a la protecció de dades;
• identificar riscos;
• definir mesures de mitigació;
• realitzar consultes prèvies a l'autoritat de control.

El Club continuarà sent responsable de determinar si està obligat a realitzar una avaluació d'impacte i d'adoptar les decisions corresponents.

15. Transferències internacionals

Spooru no realitzarà transferències internacionals de dades personals tractades per compte del Club llevat que existeixi una base jurídica vàlida conforme al capítol V del RGPD.

Quan sigui necessari transferir dades personals fora de l'Espai Econòmic Europeu, Spooru garantirà que s'utilitzi un mecanisme de transferència vàlid, com:

• una decisió d'adequació;
• les clàusules contractuals tipus aprovades per la Comissió Europea;
• o un altre mecanisme legalment reconegut.

Quan resulti necessari, Spooru aplicarà mesures suplementàries apropiades.

Spooru proporcionarà al Club la informació raonablement necessària perquè pugui complir les seves obligacions respecte de les transferències internacionals.

16. Sol·licituds d'autoritats

Si Spooru rep una sol·licitud jurídicament vinculant d'una autoritat pública per accedir a dades personals tractades per compte del Club, n'informarà el Club quan legalment ho pugui fer.

Spooru limitarà la informació facilitada a la que estigui legalment obligada a proporcionar i avaluarà la legalitat de la sol·licitud quan resulti raonablement possible.

Quan existeixi una prohibició legal d'informar el Club, Spooru podrà no realitzar aquesta comunicació.

17. Conservació i eliminació de dades

En finalitzar els serveis, el Club podrà sol·licitar la devolució o exportació de les dades personals tractades per Spooru per compte seu, quan aquesta funcionalitat estigui disponible.

Un cop finalitzat el període de migració raonablement necessari, Spooru procedirà a eliminar o retornar les dades personals, segons determini el Club, llevat que la legislació aplicable n'exigeixi la conservació.

Quan existeixi una obligació legal de conservació, les dades es conservaran únicament durant el període exigit i quedaran subjectes a les mesures de protecció corresponents.

Les còpies de seguretat es podran mantenir durant els cicles tècnics ordinaris de backup i s'eliminaran d'acord amb les polítiques de retenció de Spooru, llevat que existeixi una obligació legal que n'exigeixi la conservació.

18. Auditories

Spooru posarà a disposició del Club la informació necessària per demostrar el compliment de les obligacions establertes a l'article 28 del RGPD.

Quan sigui necessari, Spooru podrà facilitar documentació relativa a les seves mesures de seguretat, certificacions, auditories independents o qüestionaris de seguretat disponibles.

El Club podrà realitzar, per si mateix o mitjançant un auditor independent subjecte a obligacions de confidencialitat, auditories relacionades amb el tractament realitzat per Spooru per compte del Club.

Les auditories:

• s'hauran de notificar amb una antelació raonable;
• es realitzaran durant l'horari laboral habitual;
• no podran interferir injustificadament en les operacions de Spooru;
• s'hauran de limitar a la informació rellevant per al tractament objecte del DPA;
• hauran de respectar la confidencialitat d'altres clients i dels secrets empresarials de Spooru.

Llevat que existeixi una obligació legal o un incident de seguretat rellevant, els costos d'una auditoria seran assumits pel Club.

Spooru podrà satisfer sol·licituds d'auditoria proporcionant, quan sigui suficient, informes d'auditoria o certificacions independents existents.

19. Registre i documentació

Spooru mantindrà la documentació necessària per demostrar el compliment de les obligacions que li corresponguin com a encarregat.

Quan el Club ho sol·liciti raonablement, Spooru proporcionarà informació rellevant sobre les seves mesures de seguretat, subencarregats i pràctiques de tractament.

20. Ús de les dades per Spooru per a finalitats pròpies

Les dades tractades per Spooru per compte del Club no seran utilitzades per a finalitats comercials pròpies de Spooru que siguin incompatibles amb les instruccions del Club.

En particular, Spooru no vendrà les dades del Club ni les utilitzarà per crear perfils comercials dels jugadors o famílies per compte propi.

Quan Spooru realitzi un tractament per a una finalitat pròpia respecte de la qual determini les seves pròpies finalitats i mitjans, aquest tractament s'analitzarà separadament i Spooru actuarà com a responsable independent quan correspongui, proporcionant la informació legalment exigible i disposant d'una base jurídica pròpia.

21. Dades agregades i anonimitzades

Spooru podrà generar informació estadística agregada o anonimitzada sobre el funcionament de la plataforma sempre que aquesta informació no permeti identificar directament o indirectament persones físiques.

La informació correctament anonimitzada no tindrà la consideració de dada personal.

Spooru no utilitzarà dades personals identificables del Club per a finalitats analítiques pròpies sense una base jurídica adequada i, quan correspongui, sense la corresponent informació a les persones interessades.

22. Menors d'edat

El Club reconeix que la plataforma es pot utilitzar per gestionar dades de jugadors menors d'edat.

El Club serà responsable de garantir que el tractament de les dades de menors es realitza conforme a la legislació aplicable i d'obtenir els consentiments que siguin necessaris quan la base jurídica utilitzada sigui el consentiment.

Spooru aplicarà mesures tècniques i organitzatives raonables per protegir les dades dels menors que tracti per compte del Club.

El Club es compromet a no introduir informació mèdica detallada, historials clínics, diagnòstics o altres categories especials de dades llevat que el tractament sigui necessari, lícit i expressament compatible amb la funcionalitat contractada.

23. Categories especials de dades

El Club no haurà d'introduir a Spooru categories especials de dades personals, incloent-hi dades relatives a la salut, llevat que:

• existeixi una necessitat legítima i específica;
• existeixi una base jurídica conforme a l'article 9 del RGPD;
• el tractament sigui compatible amb la funcionalitat del servei;
• s'hagin adoptat les mesures de seguretat apropiades.

La mera existència d'un camp administratiu relacionat amb la vigència d'una aptitud esportiva no autoritza el Club a introduir diagnòstics, informes mèdics, lesions, tractaments o historials clínics.

24. Prevalença del DPA

En cas de conflicte entre aquest DPA i altres condicions contractuals respecte del tractament de dades personals per compte del Club, prevaldrà aquest DPA en matèria de protecció de dades.

En les altres matèries continuarà sent aplicable el contracte principal entre les Parts.

25. Responsabilitat

Cada Part serà responsable del compliment de les obligacions que li corresponguin conforme al RGPD, la normativa espanyola aplicable i aquest DPA.

Spooru respondrà davant el Club dels incompliments que li siguin legalment imputables en la seva condició d'encarregat.

Quan Spooru utilitzi subencarregats, mantindrà davant el Club la responsabilitat que li correspongui conforme al RGPD respecte de les obligacions que hi hagi delegat.

Les limitacions de responsabilitat previstes en el contracte principal seran aplicables a aquest DPA en la mesura permesa per la legislació aplicable.

Res del que es disposa en aquest DPA limita les responsabilitats que legalment no puguin ser excloses.

26. Cooperació amb autoritats de control

Les Parts cooperaran de bona fe amb les autoritats de protecció de dades quan sigui necessari per complir les seves obligacions legals.

Spooru informarà el Club quan una autoritat de control sol·liciti informació relacionada específicament amb tractaments realitzats per compte del Club, llevat que existeixi una prohibició legal.

27. Durada i finalització

Aquest DPA romandrà vigent mentre Spooru tracti dades personals per compte del Club.

Les obligacions que per la seva naturalesa hagin de sobreviure a la finalització del contracte continuaran vigents mentre resulti necessari, incloent-hi les obligacions de confidencialitat i les relatives a l'eliminació o conservació legal de les dades.

28. Legislació aplicable

Aquest DPA es regirà pel Reglament (UE) 2016/679, la legislació espanyola aplicable en matèria de protecció de dades i les altres normes que resultin aplicables al tractament.

Qualsevol controvèrsia relativa al DPA es resoldrà conforme al règim de jurisdicció establert en el contracte principal, sense perjudici de les competències imperatives de les autoritats de protecció de dades i dels drets legalment reconeguts a les persones interessades.

Annex I — Detalls del tractament

A. Objecte

Prestació de serveis tecnològics de gestió i administració de clubs esportius mitjançant la plataforma Spooru.

B. Durada

La durada del tractament coincidirà amb la durada de la relació contractual entre el Club i Spooru, més els períodes addicionals necessaris per a la migració, eliminació, backup o conservació legal.

C. Naturalesa de les operacions

Les operacions poden incloure:

• recollida;
• registre;
• organització;
• estructuració;
• emmagatzematge;
• consulta;
• modificació;
• recuperació;
• comunicació dins de la plataforma;
• exportació;
• eliminació;
• còpia de seguretat;
• allotjament;
• suport tècnic.

D. Finalitats

• Gestió de clubs.
• Gestió d'equips.
• Gestió de temporades.
• Gestió de jugadors.
• Gestió de calendaris.
• Gestió de convocatòries.
• Gestió d'estadístiques.
• Comunicacions internes.
• Gestió administrativa.
• Gestió de pagaments quan el Club utilitzi aquestes funcionalitats.
• Seguretat i manteniment del servei.

E. Categories de persones interessades

Es poden incloure:

• jugadors;
• jugadors menors d'edat;
• pares, mares i tutors;
• entrenadors;
• membres del staff;
• administradors de clubs;
• persones de contacte;
• pagadors.

F. Categories de dades

Es poden incloure:

• nom i cognoms;
• data de naixement;
• fotografia;
• correu electrònic;
• informació de contacte;
• equip;
• categoria;
• dorsal;
• posició;
• estadístiques esportives;
• convocatòries;
• informació continguda en missatges;
• identificadors tècnics;
• informació relacionada amb pagaments;
• informació relativa a la vigència de determinats reconeixements esportius quan aquesta funcionalitat sigui utilitzada.

G. Categories especials

Amb caràcter general, el servei no està destinat al tractament de categories especials de dades.

Si el Club introdueix categories especials de dades, haurà d'assegurar-se que aquest tractament és lícit, necessari i compatible amb la funcionalitat utilitzada.

H. Freqüència

El tractament es podrà realitzar de manera contínua durant la prestació del servei i segons les accions realitzades per les persones usuàries autoritzades.

Annex II — Mesures tècniques i organitzatives

Spooru aplicarà mesures tècniques i organitzatives apropiades al risc, incloent-hi, segons correspongui:

Control d'accés

• Gestió d'usuaris i permisos.
• Accés basat en rols.
• Autenticació.
• Limitació de l'accés a personal autoritzat.

Protecció de comunicacions

• Ús de connexions xifrades.
• Protecció de les comunicacions entre clients i servidors.

Protecció d'infraestructura

• Ús de proveïdors d'infraestructura especialitzats.
• Control d'accés a sistemes.
• Gestió de credencials.
• Actualització de components quan sigui necessari.

Còpies de seguretat

• Realització de còpies de seguretat quan resulti necessari.
• Protecció davant pèrdua accidental.
• Procediments de recuperació.

Seguretat del desenvolupament

• Control d'accés al codi.
• Gestió de canvis.
• Revisió d'actualitzacions.
• Gestió de vulnerabilitats.

Gestió d'incidents

• Procediments interns per detectar i respondre a incidents.
• Avaluació de l'impacte.
• Comunicació al Club quan correspongui.

Personal

• Accés limitat a les persones que necessitin tractar dades.
• Obligacions de confidencialitat.
• Formació i conscienciació en seguretat quan correspongui.

Les mesures es podran modificar i actualitzar sempre que es mantingui un nivell de seguretat adequat al risc.

Annex III — Subencarregats

La relació actualitzada de subencarregats es mantindrà disponible per als clubs.

Spooru informarà de les incorporacions o substitucions de subencarregats d'acord amb el procediment establert en aquest DPA.