Anexo I — Contrato de encargado del tratamiento

Versión 4.12 · publicada el 30 de agosto de 2026

Este Anexo es el contrato de encargado del tratamiento exigido por el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD). Forma parte integrante de los Términos de Servicio de Clubverso, lleva su misma versión y su misma fecha de publicación, y se acepta junto con ellos en un solo acto, del que queda constancia auditable (versión, fecha y hora, persona firmante y dirección IP). En lo relativo al tratamiento de datos personales por cuenta del Cliente, lo previsto aquí prevalece sobre cualquier otra cláusula de los Términos.

• Responsable del tratamiento: el Cliente — el club o asociación que contrata el servicio, con los datos identificativos que consten en su perfil.
• Encargado del tratamiento: el Proveedor — el titular de Clubverso, cuyos datos figuran en el apartado Titular del servicio al inicio de esta página.

1. Objeto, duración, naturaleza y finalidad

• Objeto: el tratamiento de los datos personales que el Cliente y las personas a las que da acceso introducen en la plataforma, o que en ella se generan, para prestarle el servicio contratado.
• Duración: la de la suscripción, incluido el período de prueba, más el plazo posterior a la baja previsto en el apartado 9 para devolver o suprimir los datos.
• Naturaleza y finalidad: alojar, conservar, estructurar, consultar, modificar, comunicar a los destinatarios que el propio Cliente determine, respaldar y finalmente suprimir esos datos, con la única finalidad de que el Cliente pueda gestionar su club: altas y bajas de socios, cuotas y su cobro, comunicaciones, documentación, web pública y las áreas privadas de socios y familias.

El tratamiento se realiza por cuenta del Cliente. El Proveedor no trata estos datos para fines propios ni los utiliza para elaborar perfiles, entrenar modelos ni cederlos a terceros, con la única excepción declarada en el apartado 4.

2. Datos personales tratados y categorías de interesados

• Tipo de datos personales: identificativos y de contacto (nombre y apellidos, DNI/NIE, fecha de nacimiento, correo, teléfono y dirección postal); datos de la relación con el club (número de socio, alta y baja, sede, horario, equipo, y los campos adicionales del catálogo que el Cliente tenga habilitados); datos económicos (cuotas, importes, estado y fecha de cobro, devoluciones); referencias del mandato de domiciliación —el IBAN completo lo custodia la pasarela, no el Proveedor—; imagen, cuando el interesado aporte fotografía; y los consentimientos otorgados, con su fecha.
• Categorías de interesados: los socios del Cliente, incluidos menores de edad; sus padres, madres o tutores legales; y las personas a las que el Cliente da acceso como operadores de su club.

No se tratan categorías especiales del art. 9 RGPD: la plataforma no ofrece ningún campo para datos de salud, origen étnico, creencias, afiliación sindical, datos genéticos ni biométricos, y el Cliente se obliga a no introducirlos por ninguna otra vía.

3. Obligaciones y derechos del Responsable

Corresponde al Cliente, como responsable del tratamiento:

• Determinar los fines y medios del tratamiento dentro de las funciones que ofrece la plataforma, y disponer de una base jurídica válida (art. 6, y art. 8 cuando el interesado sea un menor) para cada dato que introduce y para cada comunicación que ordena.
• Informar a los interesados conforme a los arts. 13 y 14 RGPD, incluida la existencia de este encargo y de los subencargados del apartado 8, y recabar y conservar los consentimientos que procedan. La plataforma le facilita plantillas de sus documentos legales que debe revisar y adaptar; las plantillas no le eximen de esa obligación.
• Atender el ejercicio de derechos de sus socios, tutores y operadores, con la asistencia del Proveedor prevista en el apartado 7.
• Impartir instrucciones lícitas y mantener actualizado el ámbito de acceso de sus operadores, dando de baja sin demora a quien deje de necesitarlo.
• Custodiar los enlaces de acceso del área de socios y familias, que funciona sin contraseña: el Cliente es responsable de enviarlos solo a su destinatario.
• Llevar su propio registro de actividades de tratamiento (art. 30.1) y realizar, cuando proceda, la evaluación de impacto del art. 35.
• Documentar las violaciones de seguridad de las que tenga conocimiento —los hechos, sus efectos y las medidas correctoras adoptadas—, que es el registro que le exige el art. 33.5 RGPD, y notificarlas cuando proceda a la autoridad de control (art. 33.1) y a los interesados (art. 34). Ese registro es del responsable y el Proveedor no lo lleva en su lugar: lo que le corresponde es avisarle en el plazo del apartado 7 y darle la información que necesite para cumplir.
• Valorar si está obligado a designar delegado de protección de datos y, en su caso, designarlo. La obligación es suya y depende de qué sea el Cliente, no de la plataforma: además de los supuestos del art. 37 RGPD, el art. 34.1 de la Ley Orgánica 3/2018 impone el delegado a una lista tasada de entidades en la que pueden encontrarse clubes que usen este servicio, señaladamente las federaciones deportivas y los centros docentes. El Proveedor lo advierte porque conoce a qué se dedican sus clientes, pero no lo decide por ellos ni sustituye el criterio de su propio asesor.
• Comunicar al Proveedor los datos de su delegado de protección de datos, si lo ha designado, y mantenerlos actualizados. El Cliente dispone en su perfil de los campos para hacerlo. Se le piden por dos motivos: el registro de actividades del Proveedor debe hacerlos constar (art. 30.2.a), y el propio Cliente debe facilitárselos a los interesados (art. 13.1.b), de modo que la plantilla de su política de privacidad los publica en cuanto los rellena.

Y le asiste el derecho a: impartir instrucciones al Proveedor; recibir la información y las auditorías del apartado 10; ser informado previamente de cualquier cambio de subencargado y oponerse a él en los términos del apartado 8; y recuperar o hacer suprimir los datos al terminar la relación conforme al apartado 9.

4. Instrucciones del Responsable

El Proveedor tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente, que son las recogidas en este Anexo y en los Términos, las que resultan de la configuración que el propio Cliente elige en la plataforma, y las que imparta por escrito a través de ella o del correo de contacto. Esto alcanza también a cualquier transferencia de datos a un tercer país o a una organización internacional, que el Proveedor no realizará salvo que se lo imponga el Derecho de la Unión o de un Estado miembro; en tal caso se lo comunicará al Cliente antes de llevarla a cabo, salvo que esa misma norma lo prohíba por razones de interés público. El estado actual es el descrito en el apartado 8: alojamiento y tratamiento dentro del Espacio Económico Europeo.

El Proveedor informará inmediatamente al Cliente si, a su juicio, una instrucción recibida infringe el RGPD u otra norma de protección de datos de la Unión o de un Estado miembro, y podrá suspender su ejecución hasta que el Cliente la confirme o la corrija.

Direcciones que rechazan el correo. Cuando un servidor de destino devuelve un correo como no entregable, o su destinatario lo marca como no deseado, el proveedor de envío avisa de ello y el Proveedor anota la dirección, el motivo y la fecha, junto con el detalle técnico que devuelve el servidor de destino y el número de avisos recibidos, en una lista de supresión común a toda la plataforma, para no volver a escribir a ese buzón. Esta anotación no la ordena el Cliente: responde a una finalidad propia del Proveedor —que el correo del servicio siga entregándose, porque insistir sobre direcciones rotas degrada la entrega de todos los clubes—, por lo que respecto de ella el Proveedor actúa como responsable del tratamiento y no como encargado, en los términos de su política de privacidad. La lista no guarda nada más: nunca el contenido de los correos ni a qué club iban dirigidos, y cada anotación se suprime cuando esa dirección deja de figurar en la plataforma. El Cliente ve el aviso en la ficha del socio afectado, para que pueda corregir la dirección.

5. Confidencialidad

El Proveedor es una persona física sin personal a su cargo, por lo que el acceso a los datos queda limitado al propio titular, que asume el deber de confidencialidad de forma indefinida, también tras finalizar la relación.

Si en el futuro el Proveedor autorizase a otras personas a tratar estos datos —empleados o colaboradores—, solo lo hará bajo compromiso expreso de confidencialidad, escrito y de duración indefinida, o bajo una obligación legal equivalente, limitando su acceso a lo estrictamente necesario para las tareas que tengan encomendadas (art. 28.3.b RGPD) y garantizando que reciben la formación necesaria en protección de datos antes de tratarlos, de modo que no traten los datos si no es siguiendo instrucciones del Proveedor (art. 32.4 RGPD). El alta de personal con acceso a los datos no requiere aviso al Cliente; la de un tercero que trate los datos por cuenta del Proveedor sí, y se rige por el apartado 8.

6. Medidas de seguridad

El Proveedor aplicará las medidas técnicas y organizativas apropiadas del art. 32 RGPD, de forma proporcionada al riesgo del tratamiento, y en particular:

• Proteger los datos personales contra la pérdida, el acceso no autorizado o la alteración.
• Mantener su confidencialidad y limitar el acceso conforme al apartado 5.
• Cifrar el tráfico, aislar los datos de cada club, controlar los accesos y mantener copias de seguridad periódicas, verificando su restauración.

7. Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Proveedor asistirá al Cliente:

• En la atención de las solicitudes de derechos que ejerzan sus socios, tutores y operadores (arts. 12 a 22 RGPD), poniendo a su disposición las funciones de consulta, rectificación, exportación y supresión de la plataforma. Si una solicitud llega al Proveedor por error, la remitirá al Cliente sin atenderla por su cuenta.
• Notificándole sin demora indebida y, en todo caso, dentro de las 48 horas siguientes a que tenga conocimiento de ella, cualquier violación de la seguridad de los datos, con la información necesaria para que el Cliente cumpla sus obligaciones de los arts. 33 y 34 RGPD. El plazo es un techo, no una espera: se avisa en cuanto hay algo que contar, aunque la información esté incompleta, y el resto se completa después. La cifra tiene un motivo: las 72 horas del art. 33.1 corren para el Cliente desde que él lo sabe, y avisarle «cuando se pueda» le comería su propio plazo. Documentar la violación en el registro del art. 33.5 le corresponde a él, como responsable (apartado 3); el Proveedor le entrega para ello cuanto conste de su lado.
• En la realización de las evaluaciones de impacto relativas a la protección de datos (art. 35 RGPD) y en la consulta previa a la autoridad de control (art. 36 RGPD), facilitándole la información sobre la plataforma que necesite para elaborarlas.
• En el cumplimiento de las demás obligaciones de los arts. 32 a 36 RGPD que dependan de información que solo el Proveedor posee.

8. Subencargados

El Proveedor se apoya en terceros para operar la plataforma. El Cliente autoriza expresamente como subencargados del tratamiento a los siguientes:

• OVH (Francia): alojamiento, base de datos y copias de seguridad, en servidores situados en la Unión Europea.
• Amazon Web Services EMEA SARL — Amazon SES (Irlanda): envío de los correos del servicio.

Con cada uno de ellos el Proveedor tiene suscrito un contrato que les impone las mismas obligaciones de protección de datos que las estipuladas en este Anexo, en particular las garantías suficientes del art. 28.1 RGPD. Cuando el subencargado incumpla sus obligaciones, el Proveedor seguirá siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de aquel (art. 28.4 RGPD).

El Proveedor informará al Cliente con antelación razonable de cualquier alta o sustitución de subencargado, pudiendo el Cliente oponerse por motivos justificados y, en tal caso, resolver la suscripción sin penalización.

Stripe Payments Europe, Ltd. (Irlanda) ocupa una posición distinta y no es subencargado del Proveedor: presta los servicios de pago y, conforme a sus propias condiciones, trata los datos de esas operaciones como responsable independiente. Así ocurre tanto en el cobro de la suscripción como en los cobros que el Cliente hace a sus socios, para los que el Cliente mantiene además su propio contrato con Stripe conforme al apartado 7 de los Términos.

El alojamiento y el tratamiento de los datos se realizan dentro del Espacio Económico Europeo. Si alguno de estos proveedores realizara un acceso puntual desde fuera del EEE —por ejemplo, para soporte técnico—, quedaría amparado por las cláusulas contractuales tipo aprobadas por la Comisión Europea o por una decisión de adecuación, sin que ello implique trasladar el alojamiento fuera de la Unión Europea.

9. Devolución o supresión de los datos al terminar

Al terminar la relación, el Cliente dispone de 30 días naturales desde la baja para llevarse sus datos mediante la exportación que el panel mantiene accesible, conforme al apartado 9 de los Términos. Vencido ese plazo, el Proveedor suprimirá de forma segura los datos personales tratados por cuenta del Cliente, sin plazo adicional de espera. Las copias de seguridad se conservan un máximo de 30 días y se sobrescriben en ese ciclo, de modo que la supresión es completa como muy tarde 60 días después de la baja. Mientras una copia siga conteniéndolos, el tratamiento queda limitado a su conservación.

La devolución no requiere solicitud ni espera: el panel ofrece en todo momento, y también durante esos 30 días, la descarga de todos los datos del Cliente en un solo archivo y en formato estructurado, de uso común y lectura mecánica (hojas CSV y los ficheros tal como se subieron, con un índice de su procedencia). Comprende los socios y sus fotografías, las familias, la totalidad del histórico de cobros, las facturas emitidas por el Proveedor, los documentos y archivos subidos y los contenidos publicados. Si el Cliente lo prefiere, puede pedir en su lugar la supresión inmediata, o solicitar la devolución por otro medio. Todo ello salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos, en cuyo caso el Proveedor lo comunicará y limitará el tratamiento a esa conservación.

Esa conservación limitada consiste en el bloqueo del art. 32 de la Ley Orgánica 3/2018: los datos necesarios para sostener los libros y la documentación contable del Cliente —quién pagó, qué se le cobró, cuándo y por cuánto— se conservan sin ser tratados, con el acceso reservado a atender reclamaciones y requerimientos de jueces y tribunales, el Ministerio Fiscal o las Administraciones competentes. Del resto no se conserva nada: fotografías, datos de contacto, fecha de nacimiento y datos de la actividad se suprimen en el plazo indicado. Desde el bloqueo el Cliente deja de tener acceso a los datos de sus socios —en eso consiste el bloqueo—, por lo que debe llevarse lo que necesite dentro de los 30 días de exportación. Conserva, en cambio, el acceso a su cuenta para consultar y descargar las facturas que el Proveedor le emitió: son documentación mercantil suya, que él mismo está obligado a conservar durante el mismo plazo de seis años.

El mandato de domiciliación tiene un plazo propio: se conserva trece meses desde el último adeudo realizado a su amparo, que es el tiempo durante el cual el socio puede reclamar la devolución de un cargo no autorizado y el mandato es la única prueba de que estaba autorizado. Ese plazo corre también cuando el Cliente ya se ha ido, porque la reclamación puede llegar después del cierre: los mandatos quedan bloqueados con el resto —sin que puedan utilizarse para ningún cobro— y se suprimen al cumplirse los trece meses, no antes.

Los datos bloqueados se suprimen de forma definitiva al cumplirse seis años desde el último asiento contable del Cliente —su último cobro a un socio o la última factura emitida por el Proveedor—, que es el mayor de los plazos legales concurrentes (art. 30 del Código de Comercio; cuatro años del art. 66 de la Ley General Tributaria y cinco del art. 1964 del Código Civil).

10. Información y derecho de auditoría

El Proveedor pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones de este Anexo y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor que este autorice (art. 28.3.h RGPD). Las auditorías se solicitarán de forma motivada, se coordinarán con antelación razonable y estarán sujetas a límites de confidencialidad —no alcanzan a los datos de otros clubes— y a un alcance proporcionado a la dimensión del Proveedor.

El Proveedor lleva por escrito el registro de las categorías de actividades de tratamiento efectuadas por cuenta de sus clientes que exige el art. 30.2 RGPD —la excepción del art. 30.5 no le alcanza, porque este tratamiento no es ocasional— y lo pone a disposición de la autoridad de control cuando lo requiera (art. 30.4). El Cliente puede solicitar el extracto que le concierne, que incluye su propia identificación como responsable —con los datos de su delegado de protección de datos, si los ha comunicado conforme al apartado 3—, las categorías de tratamiento realizadas por su cuenta, los subencargados del apartado 8 y la descripción de las medidas del apartado 6.

11. Delegado de protección de datos y contacto

La actividad del Proveedor no se encuentra entre los supuestos del art. 37 RGPD, por lo que no está obligado a designar Delegado de Protección de Datos. El punto de contacto en materia de protección de datos es el propio titular, en la dirección de correo indicada en el apartado Titular del servicio.

12. Ley aplicable y jurisdicción

Este Anexo se rige por el RGPD, por la Ley Orgánica 3/2018 (LOPDGDD) y, en lo no previsto en ellos, por la ley española. La cláusula de ley aplicable y fuero es la del apartado 17 de los Términos de los que este Anexo forma parte, y la limitación de responsabilidad, la de su apartado 13.

Se dice aquí, y no solo allí, porque este Anexo se descarga como documento propio: el club se lo enseña a su asesor o a una inspección por separado, y un contrato sin ley aplicable escrita obliga a ir a buscarla a otro papel.