Acuerdo de encargado de tratamiento (DPA)

Este Acuerdo de Encargado de Tratamiento (Data Processing Agreement, DPA) forma parte de los Términos y Condiciones de Competia y regula el tratamiento de datos personales que Competia (en calidad de Encargado del Tratamiento) realiza por cuenta del club cliente (en calidad de Responsable del Tratamiento), conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD).

1. Objeto

El Responsable encomienda al Encargado el tratamiento de datos personales necesarios para prestar los servicios de la plataforma Competia (gestión de socios, cobros, comunicaciones, etc.) durante la vigencia del contrato.

2. Naturaleza, finalidad y duración

• Naturaleza: almacenamiento, organización, modificación, comunicación, conservación y supresión de datos.
• Finalidad: exclusivamente la prestación del servicio descrito en el contrato principal.
• Duración: mientras el contrato esté vigente, más los plazos legales de conservación posteriores.

3. Categorías de datos y de interesados

• Interesados: socios del club, tutores legales (en caso de menores), personal técnico, empleados.
• Datos identificativos: nombre, apellidos, DNI, fecha de nacimiento, dirección, teléfono, email.
• Datos económicos: IBAN, historial de pagos.
• Datos especiales (categorías sensibles): datos de salud relevantes para la actividad deportiva (cuando el club los introduzca), siempre con base jurídica aportada por el club.

4. Obligaciones del Encargado (Competia)

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable.
• Garantizar la confidencialidad de las personas autorizadas para tratar los datos.
• Aplicar las medidas técnicas y organizativas del art. 32 RGPD (ver anexo de seguridad más abajo).
• Asistir al Responsable en el cumplimiento de sus obligaciones (atención de derechos de los interesados, notificación de brechas, etc.).
• Notificar al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida desde que tenga conocimiento de ella y, en todo caso, dentro de las 24 horas siguientes, con la información de que disponga en ese momento y completándola después si no estuviera toda disponible. El plazo es autoimpuesto y más corto que el del art. 33.2 RGPD para dejarle al Responsable margen suficiente dentro de las 72 horas que él tiene frente a la autoridad de control (art. 33.1).
• Asistir al Responsable en la notificación a la autoridad de control y, cuando proceda, en la comunicación a los interesados (arts. 33 y 34 RGPD), así como en las evaluaciones de impacto y consultas previas de los arts. 35 y 36.
• A elección del Responsable, suprimir o devolver los datos personales una vez finalizada la prestación, y suprimir las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación (art. 28.3.g).
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28, y permitir y contribuir a auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor que este mandate (art. 28.3.h).
• Informar inmediatamente al Responsable si, en su opinión, una instrucción recibida infringe el RGPD o cualquier otra disposición de protección de datos de la Unión o de los Estados miembros (art. 28.3, párrafo segundo).

Competia no trata los datos personales objeto de este encargo salvo por instrucción documentada del Responsable, incluida la transferencia a un tercer país, y no los utiliza para fines propios ni para elaborar perfiles o entrenar modelos.

5. Subencargados

El Responsable autoriza la subcontratación con los subencargados listados en /subprocessors. Competia notificará cualquier incorporación o sustitución con al menos 30 días de antelación, periodo durante el cual el Responsable podrá objetar.

Conforme al art. 28.4 RGPD, Competia impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que las estipuladas en este acuerdo, y responde plenamente ante el Responsable del incumplimiento de esas obligaciones por parte del subencargado.

6. Transferencias internacionales

Las transferencias fuera del EEE (principalmente EEUU) se realizan amparadas en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914).

7. Anexo de medidas de seguridad

• Cifrado TLS 1.3 en tránsito.
• Cifrado AES-256 en reposo (base de datos y almacenamiento de ficheros).
• Control de accesos basado en roles (Row Level Security en PostgreSQL).
• Autenticación multifactor para administradores.
• Backups diarios cifrados con retención de 30 días.
• Registro de actividad (audit log) con constancia de las escrituras y de las consultas a datos de salud y a documentos de los socios.
• Alojamiento de la aplicación y de los datos en la Unión Europea (Alemania e Irlanda).
• Auditorías de dependencias y revisión de código.

8. Formalización y versión

Este acuerdo es la versión 2026-08-29. La aceptación de los Términos y Condiciones implica la aceptación de esta versión, y la fecha y la versión aceptadas quedan registradas para cada club: sin fecha ni versión, un acuerdo "aceptado" no acredita qué se aceptó ni cuándo.

Si tu club necesita el acuerdo firmado en PDF para sus archivos —o si el club ya venía operando sin él—, escribe a legal@competia.es y te haremos llegar una copia contrasignada.