Acuerdo de Encargo de Tratamiento

Última actualización: 21 de septiembre de 2026

El presente Acuerdo de Encargo de Tratamiento (en adelante, el “DPA”) forma parte integrante de los Términos y Condiciones o del contrato de prestación de servicios celebrado entre [RAZÓN SOCIAL DEL CLUB] (en adelante, el “Club”) y Marc Piera Secall (en adelante, “Spooru”).

Cuando el Club utilice Spooru para gestionar datos personales por cuenta del Club, el presente DPA regula el tratamiento de dichos datos de conformidad con el artículo 28 del Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (“RGPD”).

1. Partes

1.1. Responsable del tratamiento

• [RAZÓN SOCIAL DEL CLUB]
• NIF: [NIF]
• Domicilio: [DOMICILIO]
• Correo electrónico: [EMAIL]

En adelante, el “Responsable” o el “Club”.

1.2. Encargado del tratamiento

• Marc Piera Secall
• Número fiscal (Steuernummer): 11 44 198 41243 57 2642
• Domicilio: Froschau, 24, 74925 Epfenbach, Alemania
• Correo electrónico: info@spooru.com

En adelante, el “Encargado” o “Spooru”.

El Club y Spooru podrán denominarse conjuntamente las “Partes”.

2. Objeto

El presente DPA regula el tratamiento de datos personales que Spooru realiza por cuenta del Club como consecuencia de la prestación de los servicios tecnológicos contratados.

Spooru tratará los datos personales exclusivamente para prestar las funcionalidades contratadas por el Club y de acuerdo con las instrucciones documentadas del Club, salvo que el tratamiento sea exigido por el Derecho de la Unión Europea o por la legislación aplicable al Encargado.

El presente DPA no convierte a Spooru en responsable del tratamiento respecto de aquellos tratamientos en los que el Club determine las finalidades y los medios esenciales del tratamiento.

3. Alcance del tratamiento

La naturaleza, finalidad, duración, categorías de datos y categorías de interesados objeto del tratamiento se describen en el Anexo I del presente DPA.

El Club será responsable de determinar las finalidades del tratamiento y de garantizar que las instrucciones proporcionadas a Spooru sean lícitas.

Spooru no utilizará los datos tratados por cuenta del Club para finalidades propias independientes de las instrucciones del Club, salvo cuando dicha utilización sea necesaria para cumplir una obligación legal aplicable a Spooru o cuando Spooru actúe como responsable respecto de un tratamiento distinto y exista una base jurídica independiente para ello.

4. Instrucciones del Club

El Club instruye a Spooru para que trate los datos personales en la medida necesaria para:

• alojar y almacenar los datos;
• permitir el acceso autorizado a la plataforma;
• gestionar equipos, temporadas y jugadores;
• gestionar calendarios y convocatorias;
• gestionar estadísticas deportivas;
• proporcionar las funcionalidades de mensajería;
• gestionar las funcionalidades de cobro habilitadas por el Club;
• realizar copias de seguridad y operaciones de mantenimiento;
• proporcionar soporte técnico;
• garantizar la seguridad y disponibilidad de la plataforma;
• ejecutar las demás funcionalidades contratadas por el Club.

El tratamiento de datos por parte de Spooru se limitará a las finalidades anteriores y a las instrucciones documentadas que el Club proporcione.

Cuando Spooru considere que una instrucción infringe el RGPD u otra disposición aplicable en materia de protección de datos, informará al Club sin demora indebida.

5. Duración

El tratamiento tendrá lugar durante la vigencia de la relación contractual entre las Partes.

Una vez finalizada la prestación de servicios, Spooru dejará de tratar los datos personales por cuenta del Club, salvo que exista una obligación legal que exija su conservación o que el Club solicite su conservación durante el período necesario para efectuar una migración o exportación.

6. Obligaciones del Club como responsable

El Club declara y garantiza que:

• dispone de una base jurídica adecuada para los tratamientos que encomienda a Spooru;
• cumple las obligaciones de información exigibles frente a los interesados;
• ha determinado las finalidades y medios de los tratamientos que realiza como responsable;
• no proporcionará a Spooru instrucciones que sean contrarias a la normativa aplicable;
• garantizará que los datos facilitados a Spooru sean adecuados, pertinentes y no excesivos;
• gestionará correctamente los permisos de sus usuarios;
• atenderá las solicitudes de ejercicio de derechos cuando sea el responsable del tratamiento;
• determinará los plazos de conservación aplicables a los datos que gestiona;
• realizará, cuando resulte necesario, las evaluaciones de impacto relativas a la protección de datos;
• determinará las medidas de seguridad adecuadas en función del riesgo;
• obtendrá los consentimientos necesarios cuando esta sea la base jurídica aplicable.

Cuando el tratamiento afecte a menores, el Club será responsable de cumplir las obligaciones específicas que resulten aplicables.

7. Obligaciones de Spooru como encargado

Spooru se compromete a:

• tratar los datos personales únicamente siguiendo instrucciones documentadas del Club;
• garantizar que las personas autorizadas para tratar datos estén sujetas a obligaciones de confidencialidad;
• aplicar medidas técnicas y organizativas apropiadas;
• mantener la confidencialidad de los datos personales;
• asistir al Club en el cumplimiento de sus obligaciones;
• informar al Club de las solicitudes de los interesados cuando corresponda;
• informar al Club de las violaciones de seguridad de los datos personales;
• colaborar razonablemente en evaluaciones de impacto;
• colaborar con el Club en las consultas previas ante autoridades de control cuando proceda;
• mantener la documentación necesaria para demostrar el cumplimiento de sus obligaciones;
• permitir auditorías en los términos establecidos en este DPA.

8. Confidencialidad

Spooru garantizará que las personas autorizadas para tratar los datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal apropiada de confidencialidad.

La obligación de confidencialidad continuará vigente después de la finalización de la relación contractual mientras la información conserve carácter confidencial.

9. Medidas de seguridad

Spooru aplicará medidas técnicas y organizativas adecuadas al riesgo para proteger los datos personales.

Estas medidas podrán incluir, según corresponda:

• control de acceso;
• autenticación;
• gestión de permisos;
• cifrado de las comunicaciones;
• protección de las infraestructuras;
• copias de seguridad;
• registro de determinados eventos de seguridad;
• procedimientos de recuperación;
• medidas de continuidad;
• gestión de vulnerabilidades;
• procedimientos de respuesta ante incidentes;
• medidas destinadas a garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.

Las medidas concretas podrán actualizarse cuando resulte necesario para adaptarse a la evolución tecnológica y a los riesgos.

Las medidas técnicas y organizativas actuales se describen con mayor detalle en el Anexo II.

10. Subencargados

El Club autoriza a Spooru a recurrir a otros encargados del tratamiento para determinadas operaciones necesarias para prestar el servicio.

Entre los subencargados que pueden utilizarse se encuentran, dependiendo de las funcionalidades contratadas:

• Supabase, para servicios de infraestructura, alojamiento de bases de datos y almacenamiento.
• Resend, para el envío de comunicaciones electrónicas.
• Stripe, para determinadas funcionalidades relacionadas con pagos, cuando corresponda al tratamiento realizado por cuenta del Club.
• Otros proveedores tecnológicos que Spooru pueda incorporar de acuerdo con el procedimiento establecido en este DPA.

Spooru mantendrá disponible para el Club una relación actualizada de los subencargados utilizados, incluyendo su identidad y, cuando proceda, ubicación y función.

El Club autoriza con carácter general la incorporación de nuevos subencargados.

Spooru informará al Club de cualquier incorporación o sustitución de subencargados con una antelación razonable.

El Club podrá formular una objeción razonable por motivos relacionados específicamente con la protección de datos personales.

Si las Partes no alcanzan una solución razonable, cualquiera de ellas podrá ejercer los derechos que correspondan conforme al contrato principal.

11. Obligaciones respecto de los subencargados

Spooru garantizará mediante contrato que los subencargados queden sujetos a obligaciones de protección de datos equivalentes a las establecidas en el presente DPA, en la medida exigida por el RGPD.

Spooru seguirá siendo responsable frente al Club del cumplimiento de las obligaciones que correspondan a los subencargados conforme al RGPD y al presente DPA.

12. Ejercicio de derechos

Teniendo en cuenta la naturaleza del tratamiento, Spooru asistirá al Club, mediante medidas técnicas y organizativas apropiadas, cuando sea posible, para que este pueda responder a las solicitudes de ejercicio de derechos de los interesados.

Cuando Spooru reciba directamente una solicitud de una persona relativa a datos tratados por cuenta del Club, Spooru:

• no responderá sobre el fondo salvo que esté autorizado para ello;
• remitirá la solicitud al Club cuando resulte apropiado;
• proporcionará al Club la información disponible que sea necesaria para gestionar la solicitud.

Spooru colaborará razonablemente para localizar, modificar, exportar, restringir o eliminar los datos cuando estas operaciones sean técnicamente necesarias para atender un derecho legalmente ejercitable.

13. Violaciones de seguridad

Spooru notificará al Club, sin dilación indebida, cualquier violación de seguridad de los datos personales tratados por cuenta del Club de la que tenga conocimiento.

Cuando sea posible, la notificación incluirá:

• naturaleza del incidente;
• categorías de datos afectadas;
• categorías aproximadas de interesados;
• consecuencias previsibles;
• medidas adoptadas o propuestas;
• información de contacto para obtener información adicional.

Spooru proporcionará información adicional a medida que esté disponible.

El Club será responsable de valorar y, cuando corresponda, notificar la violación de seguridad a la autoridad de control y a los interesados.

Spooru colaborará razonablemente con el Club para permitirle cumplir estas obligaciones.

14. Evaluaciones de impacto y consultas previas

Teniendo en cuenta la naturaleza del tratamiento y la información disponible para Spooru, esta asistirá razonablemente al Club cuando sea necesario para:

• realizar evaluaciones de impacto relativas a la protección de datos;
• identificar riesgos;
• definir medidas de mitigación;
• realizar consultas previas a la autoridad de control.

El Club seguirá siendo responsable de determinar si está obligado a realizar una evaluación de impacto y de adoptar las decisiones correspondientes.

15. Transferencias internacionales

Spooru no realizará transferencias internacionales de datos personales tratados por cuenta del Club salvo cuando exista una base jurídica válida conforme al capítulo V del RGPD.

Cuando sea necesario transferir datos personales fuera del Espacio Económico Europeo, Spooru garantizará que se utilice un mecanismo de transferencia válido, como:

• una decisión de adecuación;
• las cláusulas contractuales tipo aprobadas por la Comisión Europea;
• u otro mecanismo legalmente reconocido.

Cuando resulte necesario, Spooru aplicará medidas suplementarias apropiadas.

Spooru proporcionará al Club la información razonablemente necesaria para que pueda cumplir sus obligaciones respecto de las transferencias internacionales.

16. Solicitudes de autoridades

Si Spooru recibe una solicitud jurídicamente vinculante de una autoridad pública para acceder a datos personales tratados por cuenta del Club, informará al Club cuando legalmente pueda hacerlo.

Spooru limitará la información facilitada a la que esté legalmente obligada a proporcionar y evaluará la legalidad de la solicitud cuando resulte razonablemente posible.

Cuando exista una prohibición legal de informar al Club, Spooru podrá no realizar dicha comunicación.

17. Conservación y eliminación de datos

A la finalización de los servicios, el Club podrá solicitar la devolución o exportación de los datos personales tratados por Spooru por su cuenta, cuando dicha funcionalidad esté disponible.

Una vez finalizado el período de migración razonablemente necesario, Spooru procederá a eliminar o devolver los datos personales, según determine el Club, salvo que la legislación aplicable exija su conservación.

Cuando exista una obligación legal de conservación, los datos se conservarán únicamente durante el período exigido y quedarán sujetos a las medidas de protección correspondientes.

Las copias de seguridad podrán mantenerse durante los ciclos técnicos ordinarios de backup y se eliminarán de acuerdo con las políticas de retención de Spooru, salvo que exista una obligación legal que exija su conservación.

18. Auditorías

Spooru pondrá a disposición del Club la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD.

Cuando sea necesario, Spooru podrá facilitar documentación relativa a sus medidas de seguridad, certificaciones, auditorías independientes o cuestionarios de seguridad disponibles.

El Club podrá realizar, por sí mismo o mediante un auditor independiente sujeto a obligaciones de confidencialidad, auditorías relacionadas con el tratamiento realizado por Spooru por cuenta del Club.

Las auditorías:

• deberán notificarse con una antelación razonable;
• se realizarán durante el horario laboral habitual;
• no podrán interferir injustificadamente en las operaciones de Spooru;
• deberán limitarse a la información relevante para el tratamiento objeto del DPA;
• deberán respetar la confidencialidad de otros clientes y de los secretos empresariales de Spooru.

Salvo que exista una obligación legal o un incidente de seguridad relevante, los costes de una auditoría serán asumidos por el Club.

Spooru podrá satisfacer solicitudes de auditoría proporcionando, cuando sea suficiente, informes de auditoría o certificaciones independientes existentes.

19. Registro y documentación

Spooru mantendrá la documentación necesaria para demostrar el cumplimiento de las obligaciones que le correspondan como encargado.

Cuando el Club lo solicite razonablemente, Spooru proporcionará información relevante sobre sus medidas de seguridad, subencargados y prácticas de tratamiento.

20. Uso de los datos por Spooru para finalidades propias

Los datos tratados por Spooru por cuenta del Club no serán utilizados para finalidades comerciales propias de Spooru que sean incompatibles con las instrucciones del Club.

En particular, Spooru no venderá los datos del Club ni los utilizará para crear perfiles comerciales de los jugadores o familias por cuenta propia.

Cuando Spooru realice un tratamiento para una finalidad propia respecto de la cual determine sus propias finalidades y medios, dicho tratamiento se analizará separadamente y Spooru actuará como responsable independiente cuando corresponda, proporcionando la información legalmente exigible y disponiendo de una base jurídica propia.

21. Datos agregados y anonimizados

Spooru podrá generar información estadística agregada o anonimizada sobre el funcionamiento de la plataforma siempre que dicha información no permita identificar directa o indirectamente a personas físicas.

La información correctamente anonimizada no tendrá la consideración de dato personal.

Spooru no utilizará datos personales identificables del Club para finalidades analíticas propias sin una base jurídica adecuada y, cuando corresponda, sin la correspondiente información a los interesados.

22. Menores de edad

El Club reconoce que la plataforma puede utilizarse para gestionar datos de jugadores menores de edad.

El Club será responsable de garantizar que el tratamiento de los datos de menores se realiza conforme a la legislación aplicable y de obtener los consentimientos que sean necesarios cuando la base jurídica utilizada sea el consentimiento.

Spooru aplicará medidas técnicas y organizativas razonables para proteger los datos de los menores que trate por cuenta del Club.

El Club se compromete a no introducir información médica detallada, historiales clínicos, diagnósticos u otras categorías especiales de datos salvo que el tratamiento sea necesario, lícito y expresamente compatible con la funcionalidad contratada.

23. Categorías especiales de datos

El Club no deberá introducir en Spooru categorías especiales de datos personales, incluyendo datos relativos a salud, salvo que:

• exista una necesidad legítima y específica;
• exista una base jurídica conforme al artículo 9 del RGPD;
• el tratamiento sea compatible con la funcionalidad del servicio;
• se hayan adoptado las medidas de seguridad apropiadas.

La mera existencia de un campo administrativo relacionado con la vigencia de una aptitud deportiva no autoriza al Club a introducir diagnósticos, informes médicos, lesiones, tratamientos o historiales clínicos.

24. Prevalencia del DPA

En caso de conflicto entre el presente DPA y otras condiciones contractuales respecto del tratamiento de datos personales por cuenta del Club, prevalecerá el presente DPA en materia de protección de datos.

En las restantes materias continuará siendo aplicable el contrato principal entre las Partes.

25. Responsabilidad

Cada Parte será responsable del cumplimiento de las obligaciones que le correspondan conforme al RGPD, la normativa española aplicable y el presente DPA.

Spooru responderá frente al Club de los incumplimientos que le sean legalmente imputables en su condición de encargado.

Cuando Spooru utilice subencargados, mantendrá frente al Club la responsabilidad que le corresponda conforme al RGPD respecto de las obligaciones que haya delegado en ellos.

Las limitaciones de responsabilidad previstas en el contrato principal serán aplicables al presente DPA en la medida permitida por la legislación aplicable.

Nada de lo dispuesto en el presente DPA limita las responsabilidades que legalmente no puedan excluirse.

26. Cooperación con autoridades de control

Las Partes cooperarán de buena fe con las autoridades de protección de datos cuando sea necesario para cumplir sus obligaciones legales.

Spooru informará al Club cuando una autoridad de control solicite información relacionada específicamente con tratamientos realizados por cuenta del Club, salvo que exista una prohibición legal.

27. Duración y terminación

El presente DPA permanecerá vigente mientras Spooru trate datos personales por cuenta del Club.

Las obligaciones que por su naturaleza deban sobrevivir a la terminación del contrato continuarán vigentes mientras resulte necesario, incluyendo las obligaciones de confidencialidad y las relativas a la eliminación o conservación legal de los datos.

28. Legislación aplicable

El presente DPA se regirá por el Reglamento (UE) 2016/679, la legislación española aplicable en materia de protección de datos y las demás normas que resulten aplicables al tratamiento.

Cualquier controversia relativa al DPA se resolverá conforme al régimen de jurisdicción establecido en el contrato principal, sin perjuicio de las competencias imperativas de las autoridades de protección de datos y de los derechos legalmente reconocidos a los interesados.

Anexo I — Detalles del tratamiento

A. Objeto

Prestación de servicios tecnológicos de gestión y administración de clubes deportivos mediante la plataforma Spooru.

B. Duración

La duración del tratamiento coincidirá con la duración de la relación contractual entre el Club y Spooru, más los períodos adicionales necesarios para la migración, eliminación, backup o conservación legal.

C. Naturaleza de las operaciones

Las operaciones pueden incluir:

• recogida;
• registro;
• organización;
• estructuración;
• almacenamiento;
• consulta;
• modificación;
• recuperación;
• comunicación dentro de la plataforma;
• exportación;
• eliminación;
• copia de seguridad;
• alojamiento;
• soporte técnico.

D. Finalidades

• Gestión de clubes.
• Gestión de equipos.
• Gestión de temporadas.
• Gestión de jugadores.
• Gestión de calendarios.
• Gestión de convocatorias.
• Gestión de estadísticas.
• Comunicaciones internas.
• Gestión administrativa.
• Gestión de pagos cuando el Club utilice dichas funcionalidades.
• Seguridad y mantenimiento del servicio.

E. Categorías de interesados

Podrán incluirse:

• jugadores;
• jugadores menores de edad;
• padres, madres y tutores;
• entrenadores;
• miembros del staff;
• administradores de clubes;
• personas de contacto;
• pagadores.

F. Categorías de datos

Podrán incluirse:

• nombre y apellidos;
• fecha de nacimiento;
• fotografía;
• correo electrónico;
• información de contacto;
• equipo;
• categoría;
• dorsal;
• posición;
• estadísticas deportivas;
• convocatorias;
• información contenida en mensajes;
• identificadores técnicos;
• información relacionada con pagos;
• información relativa a la vigencia de determinados reconocimientos deportivos cuando esta funcionalidad sea utilizada.

G. Categorías especiales

Con carácter general, el servicio no está destinado al tratamiento de categorías especiales de datos.

Si el Club introduce categorías especiales de datos, deberá asegurarse de que dicho tratamiento es lícito, necesario y compatible con la funcionalidad utilizada.

H. Frecuencia

El tratamiento podrá realizarse de forma continua durante la prestación del servicio y según las acciones realizadas por los usuarios autorizados.

Anexo II — Medidas técnicas y organizativas

Spooru aplicará medidas técnicas y organizativas apropiadas al riesgo, incluyendo, según corresponda:

Control de acceso

• Gestión de usuarios y permisos.
• Acceso basado en roles.
• Autenticación.
• Limitación del acceso a personal autorizado.

Protección de comunicaciones

• Uso de conexiones cifradas.
• Protección de las comunicaciones entre clientes y servidores.

Protección de infraestructura

• Uso de proveedores de infraestructura especializados.
• Control de acceso a sistemas.
• Gestión de credenciales.
• Actualización de componentes cuando sea necesario.

Copias de seguridad

• Realización de copias de seguridad cuando resulte necesario.
• Protección frente a pérdida accidental.
• Procedimientos de recuperación.

Seguridad del desarrollo

• Control de acceso al código.
• Gestión de cambios.
• Revisión de actualizaciones.
• Gestión de vulnerabilidades.

Gestión de incidentes

• Procedimientos internos para detectar y responder a incidentes.
• Evaluación del impacto.
• Comunicación al Club cuando proceda.

Personal

• Acceso limitado a las personas que necesiten tratar datos.
• Obligaciones de confidencialidad.
• Formación y concienciación en seguridad cuando corresponda.

Las medidas podrán modificarse y actualizarse siempre que se mantenga un nivel de seguridad adecuado al riesgo.

Anexo III — Subencargados

La relación actualizada de subencargados se mantendrá disponible para los clubes.

Spooru informará de las incorporaciones o sustituciones de subencargados de acuerdo con el procedimiento establecido en el presente DPA.