1. Partes y celebración
Este acuerdo se celebra entre:
Cliente: la persona profesional o entidad identificada en el pedido, alta profesional o acuerdo de suscripción y en el anexo I, representada por la persona con facultades suficientes que lo acepta.
Proveedor: Trainingforever OÜ, sociedad estonia inscrita en el registro mercantil con código 16941437, número de IVA EE102717330, domicilio en Narva mnt 5, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia y contacto de privacidad y seguridad [email protected], en adelante «TrainingForever».
El Cliente y TrainingForever quedan vinculados por escrito, también mediante aceptación electrónica verificable. El pedido, la identidad del aceptante, su representación, la versión íntegra de este acuerdo y sus anexos deben quedar asociados de forma que puedan consultarse y conservarse.
La aceptación ordinaria de condiciones por un deportista no constituye la celebración de este DPA en nombre de su entrenador o club. El acuerdo tampoco sustituye la información o el consentimiento de los deportistas.
2. Objeto, papeles y prevalencia
Este acuerdo regula el tratamiento de datos personales que TrainingForever realiza por cuenta del Cliente para prestar las funciones contratadas de TrainingForever, conforme al artículo 28 del Reglamento (UE) 2016/679, «RGPD».
El Cliente actúa normalmente como responsable del tratamiento y TrainingForever como encargado. Si el Cliente actúa como encargado de otra entidad, TrainingForever será subencargado para ese tratamiento. El Cliente identificará al responsable originario y acreditará la autorización y las instrucciones necesarias. Las obligaciones se interpretarán de modo que mantengan la cadena de protección del artículo 28, sin atribuir al Cliente facultades que no tenga.
Los datos de cuenta, facturación propia, seguridad y otras operaciones que TrainingForever determine legítimamente para fines propios se rigen por su Política de privacidad. No se convierten en fines propios los datos de deportistas solo porque se procesen en infraestructura de TrainingForever o mediante IA.
Si las partes determinan conjuntamente fines y medios esenciales, deberán regular por separado la corresponsabilidad del artículo 26. Este acuerdo no la sustituye ni elimina la calificación que corresponda por los hechos.
Para los tratamientos incluidos, este DPA prevalece sobre cláusulas incompatibles de los Términos de servicio o del pedido. Las normas imperativas y las garantías válidas de transferencias internacionales que resulten aplicables prevalecen sobre ambos.
3. Alcance del encargo y duración
El anexo I concreta el objeto, duración, naturaleza, finalidad, categorías de personas y datos, operaciones, instrucciones y contactos. El anexo II contiene las medidas de seguridad exigibles y el anexo III, los subencargados autorizados y las transferencias.
El tratamiento comienza cuando exista un acuerdo válido y se habilite o reciba la información por cuenta del Cliente. Dura mientras sea necesario para el servicio contratado y, tras su finalización, únicamente para devolver, suprimir o conservar los datos por una obligación legal aplicable. Las obligaciones de confidencialidad y protección subsisten mientras se conserven datos.
No se autoriza el tratamiento de categorías adicionales o finalidades distintas por el hecho de que puedan introducirse técnicamente en un campo libre o archivo.
Los límites de finalidad, comunicación y conservación del proveedor de origen de los datos se aplicarán también al encargo. Un plazo general de este DPA no permite superar una restricción más exigente del origen.
4. Instrucciones documentadas
TrainingForever tratará los datos exclusivamente siguiendo instrucciones documentadas del Cliente, incluidas las relativas a destinatarios, subcontratación y transferencias, salvo que una norma de la Unión o de un Estado miembro le obligue a otro tratamiento. En ese caso informará previamente al Cliente de esa exigencia, salvo prohibición legal por razones importantes de interés público.
Son instrucciones documentadas este acuerdo, el pedido y sus anexos, la configuración válida de funciones y permisos, las operaciones realizadas por personas autorizadas y las solicitudes verificadas por los canales contractuales. La instrucción debe estar dentro del alcance del servicio y de las facultades de quien la emite.
Una salida generada por un modelo no se considera por sí sola una instrucción autónoma y válida del Cliente. Las acciones del asistente o de MCP requieren el contexto de autorización del usuario y los controles correspondientes. No amplían los fines ni destinatarios aprobados.
Si TrainingForever considera que una instrucción infringe el RGPD u otra norma aplicable de protección de datos, lo comunicará inmediatamente al Cliente y podrá suspender la operación afectada mientras se aclara. No suspenderá tratamientos ajenos sin necesidad proporcionada.
Si el cumplimiento técnico de una instrucción exige una ampliación del servicio, las partes acordarán su alcance y coste cuando proceda. Esto no permite condicionar o eludir obligaciones legales esenciales mediante costes desproporcionados.
5. Obligaciones del Cliente
Corresponde al Cliente:
El Cliente no garantiza la inexistencia absoluta de incidentes ni asume los incumplimientos propios de TrainingForever. La existencia de una declaración del Cliente no exime a TrainingForever de informar sobre instrucciones ilícitas, aplicar seguridad o cumplir sus obligaciones legales.
6. Obligaciones generales de TrainingForever
TrainingForever se obliga a:
Si TrainingForever determinase fines y medios propios contrariando este acuerdo, asumirá el papel y las responsabilidades que legalmente le correspondan respecto de ese tratamiento. Ninguna cláusula le permite modificar unilateralmente la finalidad del encargo.
7. Confidencialidad y acceso de personal
La obligación de confidencialidad se mantiene incluso tras finalizar la relación laboral, profesional o contractual. TrainingForever debe limitar el acceso a personal que lo necesite para operar o asistir en el servicio, con asignación individual, control y revisión de permisos.
El acceso de soporte a datos de salud requiere una necesidad documentada y el alcance mínimo. No se autoriza acceso habitual del personal a historiales por razones genéricas de calidad, desarrollo o formación. Los accesos privilegiados deben contar con medidas reforzadas y trazabilidad.
La divulgación impuesta por una autoridad se limitará a los datos y alcance legalmente exigibles, con información al Cliente cuando no esté prohibida y evaluación de las impugnaciones o salvaguardas legalmente procedentes.
8. IA, inferencias y herramientas
Solo se utilizará IA sobre los datos del encargo cuando la función esté contratada, el Cliente haya impartido una instrucción válida y exista la habilitación aplicable para los datos de las personas afectadas. El consentimiento de una persona representante del Cliente no sustituye el de esas personas.
El proveedor de IA, cualquier intermediario de enrutamiento y los proveedores finales que puedan recibir datos deben constar en el anexo III antes de su activación. La autorización de un intermediario no implica autorizar cualquier modelo, destino o país que este pueda seleccionar.
Se limitarán las entradas a los datos necesarios. Los mensajes, historial, contexto y resultados de herramientas deben someterse al mismo control: excluir nombres del mensaje inicial no basta si una herramienta devuelve después datos identificables o de salud. Las inferencias, resúmenes y resultados mantienen la protección correspondiente.
La conservación por el proveedor, registros de abuso, caché y subcontratación deben estar documentados y ser compatibles con este acuerdo. La ausencia de entrenamiento no equivale a retención cero ni a almacenamiento exclusivamente europeo.
Las llamadas a herramientas no recibirán facultades superiores a las de la cuenta autorizada. Se aplicarán los límites, validaciones y confirmaciones necesarios, especialmente para cambios masivos, destrucción, comunicaciones externas y datos sensibles. El texto de terceros importado no puede convertirse en una autorización para ejecutar acciones o revelar datos.
La IA del encargo no se utilizará para decisiones del artículo 22 con efectos jurídicos o significativamente similares sin un acuerdo e información específicos y una evaluación previa de licitud. La revisión humana debe ser efectiva cuando se requiera.
9. Servicios externos y MCP elegidos por el Cliente
Una conexión a ChatGPT, Claude u otro servicio externo puede generar un flujo distinto del proveedor de IA integrado. Deben identificarse destinatario, papel, plan contractual, permisos, datos, país y conservación antes de habilitar datos del encargo.
Si ese servicio actúa como subencargado contratado por TrainingForever, se incorpora al anexo III y se aplican todas las obligaciones de subcontratación. Si lo contrata directamente el Cliente, este debe formalizar la relación jurídica y las garantías necesarias y documentar la instrucción de comunicación. TrainingForever conserva sus obligaciones como encargado al ejecutar esa instrucción y no entregará datos por una orden no autorizada o manifiestamente ilícita.
No se presume que una cuenta personal o una configuración por defecto de un cliente de IA externo sea adecuada para datos de salud de terceros. La autorización técnica por MCP no habilita por sí sola una nueva finalidad, transferencia o tratamiento de salud.
Las restricciones del origen de los datos deben respetarse. Una conexión no puede comunicar a IA o a otros usuarios información que un proveedor deportivo prohíba utilizar de esa forma, aunque el Cliente desee hacerlo.
10. Subencargados
El Cliente autoriza los subencargados identificados y completados en el anexo III y concede una autorización general para sus cambios, sometida al siguiente procedimiento. Una lista vacía, de candidatos o sin destinos relevantes no constituye una autorización suficiente para ponerla en producción.
TrainingForever notificará la incorporación o sustitución de un subencargado con al menos 30 días naturales de antelación, por un medio que permita conservar el aviso. La comunicación identificará entidad, servicio, datos, países y garantías suficientes para evaluar el cambio.
El Cliente podrá oponerse por motivos razonables de protección de datos antes de la activación, preferiblemente dentro de los primeros 15 días para facilitar la resolución. TrainingForever no iniciará el nuevo acceso durante el preaviso. Una objeción razonable pendiente se abordará antes de enviarle los datos afectados.
Las partes buscarán una alternativa proporcionada. Si no existe solución compatible, el Cliente podrá terminar la parte afectada sin penalización, con devolución proporcional de los importes anticipados del servicio no prestado y con devolución o supresión de los datos. No se interpreta la falta de respuesta como consentimiento para una nueva finalidad de salud; este procedimiento se refiere a subcontratación dentro del encargo autorizado.
TrainingForever formalizará con cada subencargado un contrato que imponga, en lo pertinente, las mismas obligaciones de protección, confidencialidad, seguridad, asistencia, supresión y transferencias. Verificará garantías suficientes y seguirá respondiendo frente al Cliente del cumplimiento de las obligaciones del subencargado en los términos del artículo 28.4.
11. Localizaciones y transferencias internacionales
Las regiones de almacenamiento, países de acceso remoto y subcontratación constarán en el anexo III. Cambiar una región europea no permite omitir la evaluación de soporte o procesamiento fuera del EEE.
No se realizarán transferencias o accesos desde un tercer país sin instrucciones documentadas del Cliente y una base válida del capítulo V del RGPD. Se comprobará la adecuación aplicable al destino o se formalizarán garantías adecuadas, con la evaluación y medidas complementarias necesarias.
Cuando se utilicen cláusulas contractuales tipo de transferencia, se seleccionará el módulo correspondiente a las partes y sus papeles reales, se completarán sus anexos y se facilitará la documentación pertinente. Si se invoca un marco de adecuación para una entidad certificada, se verificará su vigencia y cobertura concreta.
Este DPA no es por sí mismo una cláusula contractual tipo de transferencia internacional. Tampoco constituye consentimiento de los deportistas para excepciones del artículo 49. Las transferencias habituales no se basarán de forma genérica en el consentimiento del alta.
Si una garantía deja de ser válida, TrainingForever informará sin dilación y suspenderá el flujo afectado cuando no exista una alternativa lícita, cooperando en las medidas necesarias y en la recuperación de datos.
12. Solicitudes de derechos
TrainingForever proporcionará asistencia adecuada para que el Cliente atienda acceso, rectificación, supresión, limitación, oposición, portabilidad y derechos sobre decisiones automatizadas.
Cuando reciba directamente una solicitud sobre datos del encargo, la remitirá al contacto del Cliente sin dilación indebida y, contractualmente, en un máximo de tres días hábiles. No responderá en nombre del Cliente sin instrucciones, salvo que la ley le obligue o la solicitud se refiera a un tratamiento propio distinto.
Facilitará los datos, búsquedas y operaciones necesarios con antelación suficiente para cumplir los plazos legales, teniendo en cuenta la urgencia informada. La complejidad técnica no autoriza a dejar transcurrir el plazo sin avisar. Las verificaciones de identidad se coordinarán de forma proporcionada.
Cuando proceda, ayudará a comunicar rectificaciones, supresiones o limitaciones a los destinatarios y subencargados, y a identificar los datos que no puedan eliminarse por una obligación legal concreta.
13. Violaciones de seguridad, evaluación de impacto y consulta
TrainingForever notificará al Cliente una violación de seguridad de datos del encargo sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a tener constancia de ella. La primera notificación no se retrasará hasta finalizar una investigación. Una sospecha fundada que requiera medidas urgentes se comunicará sin esperar a una certeza exhaustiva.
Se facilitará progresivamente, según esté disponible:
TrainingForever preservará evidencias de forma segura, cooperará en la investigación, documentará las actuaciones y coordinará las comunicaciones. No notificará por cuenta del Cliente a las personas o autoridades sin instrucción, salvo obligación legal propia. El Cliente conserva sus plazos: las 24 horas contractuales del encargado no amplían el plazo legal del responsable.
Teniendo en cuenta la naturaleza del tratamiento y la información disponible, TrainingForever ayudará al Cliente a cumplir los artículos 32 a 36, incluidas evaluaciones de impacto, análisis de medidas, información sobre proveedores y consulta previa cuando proceda. La asistencia incluirá los datos necesarios para evaluar IA, salud, menores, perfiles y transferencias del servicio.
14. Devolución, finalización y supresión
Al terminar el encargo, TrainingForever, a elección del Cliente, devolverá o suprimirá los datos y eliminará las copias existentes, salvo una obligación de conservación impuesta por Derecho de la Unión o de un Estado miembro.
La elección inicial del anexo I puede modificarse mediante instrucción válida. Como instrucción inicial por defecto se acuerda la devolución y posterior supresión: se pondrá a disposición del Cliente una exportación segura y un periodo de recuperación de 30 días desde la terminación, limitando el tratamiento a esa finalidad. Al finalizar ese periodo se suprimirán los datos de los sistemas activos, salvo que se haya dado otra instrucción lícita o resulte exigible un periodo legal distinto. La preparación y entrega de la exportación se completarán dentro de ese periodo.
Si el Cliente elige la supresión sin devolución, se ejecutará sin dilación indebida y, en todo caso, dentro de los 30 días siguientes a la instrucción válida. Los plazos de derechos o los plazos legales más exigentes prevalecen. Cuando resulten aplicables periodos específicos de cambio de proveedor o recuperación del Reglamento de Datos, se ajustará el calendario a ellos antes de la supresión.
Los datos eliminados de sistemas activos se suprimirán o sobrescribirán de las copias de seguridad en un máximo de 90 días desde ese borrado. Durante ese ciclo no estarán disponibles para uso ordinario, entrenamiento de modelos ni explotación comercial. Una restauración debe reaplicar las supresiones. Si el proveedor requiere otro ciclo, deberá resolverse antes de aceptarlo como compatible con este acuerdo.
TrainingForever exigirá la misma ejecución a sus subencargados, con los ciclos específicos más cortos que correspondan, y facilitará una confirmación de devolución o supresión a solicitud del Cliente. La desconexión de una API no acredita por sí sola que el borrado se haya ejecutado. Para los datos de Garmin Connect, el Cliente instruye el borrado automático previsto en el apartado 9.1 de la Política de privacidad al desconectar o recibir la revocación, incluidos los derivados que contengan esos datos y su propagación a subencargados. No requiere otra solicitud del Cliente ni se pospone por el periodo de devolución o recuperación; se respetan los plazos más cortos exigibles.
Una obligación legal de conservación se identificará y comunicará, salvo prohibición legal, con categorías, motivo y duración. Los datos se mantendrán aislados y limitados a esa obligación y se suprimirán al extinguirse. Este supuesto no permite retener todo el historial por interés comercial o por una posibilidad genérica de reclamación.
Los registros que TrainingForever deba conservar como responsable para acreditar este contrato o su propia facturación se limitarán a esa finalidad y no incluirán innecesariamente los datos de salud del encargo.
15. Información, auditorías e inspecciones
TrainingForever pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a auditorías, incluidas inspecciones realizadas por el Cliente o por un auditor independiente autorizado.
Para revisiones ordinarias, las partes podrán organizar primero una revisión documental y acordar un preaviso razonable, normalmente 15 días, alcance, confidencialidad y medidas para proteger los datos de otros clientes y la seguridad. Esa organización no elimina el derecho a una inspección cuando sea necesaria ni limita las facultades de autoridades.
Un incidente, indicio fundado de incumplimiento o requerimiento de autoridad puede exigir una revisión adicional o urgente. No se impondrá una periodicidad anual máxima ni un preaviso que impida cumplir la obligación. Las certificaciones o informes, si existen, pueden servir como evidencia, pero no se presume ninguna certificación ni sustituyen todos los derechos de auditoría.
Los costes extraordinarios de asistencia que no constituyan una obligación ordinaria podrán acordarse previamente y de forma razonable. No se utilizarán para impedir la verificación o el ejercicio efectivo de obligaciones legales. Cada parte comunicará sin dilación los hallazgos relevantes y cooperará en su corrección.
16. Responsabilidad y cooperación
Cada parte asume las responsabilidades que le correspondan por su intervención y por incumplimientos acreditados. El Cliente no indemniza automáticamente a TrainingForever por cualquier reclamación de un deportista, y TrainingForever no queda exento por limitarse a afirmar que siguió instrucciones.
Los derechos de indemnización de personas afectadas, incluida la responsabilidad y repetición del artículo 82 del RGPD, y las competencias sancionadoras de autoridades no se reducen por este DPA o por un límite comercial. Las responsabilidades frente a autoridades se determinan conforme a la ley; este acuerdo no garantiza que una sanción pueda trasladarse a otra parte.
Las partes cooperarán de buena fe para contener el daño, atender solicitudes y documentar su actuación. Una disputa comercial no permite denegar medidas de protección o retener datos vulnerando la normativa.
17. Modificaciones, ley y controversias
Las modificaciones materiales deben documentarse, comunicarse antes de su aplicación y aceptarse cuando sea necesario. No pueden reducir las garantías del artículo 28 mediante una mera actualización silenciosa de una página. Los cambios de subencargados siguen el apartado 10 y las nuevas finalidades requieren un acuerdo propio.
Se aplican el RGPD, el Derecho de la Unión y las normas nacionales que correspondan al tratamiento. Para la relación contractual entre las partes se aplica la ley y jurisdicción de los Términos de servicio, sin perjuicio de las normas imperativas, de las autoridades competentes y de los derechos de las personas afectadas.
Anexo I. Descripción del tratamiento e instrucciones
A. Identificación y contactos
| Campo | Información que debe quedar vinculada a la aceptación |
|---|---|
| Cliente y papel | Pendiente: razon social o nombre nif pais y papel |
| Domicilio del Cliente | Pendiente: domicilio cliente |
| Persona representante | Pendiente: nombre cargo y facultad |
| Responsable originario si el Cliente es encargado | Pendiente: identidad contacto y autorizacion o no aplica |
| Contacto operativo de privacidad del Cliente | Pendiente: nombre o funcion y correo |
| Contacto de incidentes del Cliente | Pendiente: correo y medio urgente valido |
| DPD del Cliente, si existe | Pendiente: contacto o no aplica |
| Contacto de TrainingForever | [email protected], asuntos «Privacidad», «DPA» o «Incidente de seguridad» |
| Pedido, organización y funciones contratadas | Pendiente: identificador pedido organizacion y alcance |
| Fecha y versión aceptadas | Pendiente: fecha hora version dpa y registro subencargados |
B. Objeto, finalidad y operaciones
Objeto: prestación de la plataforma de gestión del entrenamiento a personas autorizadas por el Cliente.
Finalidad: alojar y organizar datos de deportistas, planificar y registrar entrenamientos, facilitar comunicación y análisis deportivo y ejecutar las integraciones o funciones opcionales concretamente instruidas.
Naturaleza y operaciones: recogida o recepción, registro, almacenamiento, organización, consulta, cálculo, actualización, generación de métricas, comunicación a personas autorizadas, importación, exportación, restricción, devolución y supresión. La IA y cualquier elaboración de perfiles solo se incluyen con la habilitación específica siguiente.
Duración y frecuencia: durante la relación contractual y los periodos limitados de salida; tratamiento continuado con consultas, cambios y sincronizaciones según uso y permisos. No se incluye una reutilización indefinida tras la baja.
C. Personas y datos
Personas afectadas: deportistas del Cliente; entrenadores y personal autorizado; contactos y miembros de clubes; representantes legales cuando proceda. Los menores solo se incluyen cuando exista el procedimiento y habilitación legal aplicables.
Datos ordinarios: identificadores, contacto, cuenta, rol, pertenencia, disciplina, objetivos, calendario, entrenamientos, fuerza y resistencia, actividades, mensajes, archivos pertinentes, participación, datos técnicos mínimos y datos administrativos del servicio del Cliente.
Datos que pueden revelar salud: frecuencia cardíaca, zonas, métricas fisiológicas, condición física, recuperación, peso u otras medidas necesarias, fatiga, dolor, lesiones, limitaciones, observaciones y perfiles o inferencias de salud. Las rutas y localización pueden revelar información sensible.
Exclusiones: no se autoriza incluir historias clínicas completas, genética, datos biométricos para identificación, datos penales, creencias u otras categorías especiales ajenas al servicio. Un caso que los requiera exige evaluación y acuerdo previo, no su incorporación en texto libre.
Salvaguardas reforzadas: base del artículo 9 documentada por el responsable; separación por organización y rol; ausencia de publicación por defecto; minimización de salud en mensajes y registros; proveedores y países autorizados; acceso privilegiado controlado; formación y procedimientos de incidentes.
D. Selección de funciones y destinatarios
| Elemento | Instrucción y condición que debe registrarse |
|---|---|
| Planificación y seguimiento ordinarios | Funciones contratadas, datos necesarios y personas autorizadas |
| IA sobre datos del encargo | Pendiente: activada o desactivada proveedor finalidades datos y habilitacion. Desactivada para ese tratamiento si no se ha establecido la habilitación |
| Integraciones deportivas | Pendiente: servicio direccion datos permisos restricciones y destinatarios |
| MCP o clientes externos | Pendiente: destinatario papel plan contrato alcance y garantias o desactivado |
| Automatizaciones | Pendiente: funcion objetivo disparador frecuencia limites y revocacion o no aplica |
| Clubes, retos y visibilidad | Pendiente: datos publico autorizado y base para publicacion o privado |
| Menores | Pendiente: no incluidos o procedimiento edades paises representacion y habilitacion |
| Conservación indicada por el Cliente durante la relación | Pendiente: plazos por categoria y revision. No conservación ilimitada por defecto Para Garmin se aplica la instrucción de borrado al desconectar del apartado 9.1 de la Política de privacidad, sin prolongación por instrucciones generales de conservación. |
| Finalización | Devolución y supresión según el apartado 14, salvo elección registrada de supresión sin devolución |
Anexo II. Medidas técnicas y organizativas
Estas medidas son mínimos contractuales que deben implementarse y verificarse antes del tratamiento afectado. Su detalle operativo podrá evolucionar sin reducir el nivel de protección. Las evidencias se facilitarán en el marco del apartado 15.
| Área | Medidas exigibles |
|---|---|
| Gobierno y riesgo | Responsables internos definidos, inventario de sistemas y tratamientos, evaluación del riesgo y revisión de cambios que afecten a salud, IA, menores o transferencias |
| Separación de organizaciones | Autorización en servidor para cada acceso, validación de pertenencia y aislamiento entre clientes; verificación de consultas, archivos, exportaciones, tareas y herramientas, sin depender solo de la interfaz |
| Privilegios | Mínimo privilegio, cuentas individuales, revisión periódica, revocación al finalizar funciones y autenticación multifactor para administración y accesos privilegiados |
| Autenticación y sesiones | Contraseñas protegidas mediante funciones de derivación o hash adecuadas, mecanismos de recuperación seguros, protección de sesión y respuesta a abuso; no almacenamiento de contraseñas en texto claro |
| Cifrado | Comunicaciones cifradas mediante protocolos vigentes y protección criptográfica del almacenamiento y copias conforme al riesgo; gestión restringida de claves |
| Tokens y secretos | Almacenamiento protegido, permisos limitados, rotación y revocación; exclusión de prompts, registros generales, código público y respuestas a clientes |
| Salud y localización | Minimización, permisos diferenciados, perfiles y rutas privados por defecto, restricción de exportaciones y de acceso de soporte |
| IA y MCP | Proveedores autorizados y destinos limitados; validación de argumentos y permisos en servidor; protección frente a instrucciones de contenido no confiable; controles de confirmación proporcionales y no elevación de privilegios por el modelo |
| Historial y resultados de IA | Separación entre historial funcional y registros de diagnóstico, minimización de identificadores y resultados, conservación limitada y supresión que alcance mensajes, resultados y cachés pertinentes |
| Registros | Registro de eventos relevantes y accesos privilegiados, protección de integridad y acceso restringido; ausencia de volcados innecesarios de datos de salud, prompts o tokens |
| Soporte | Acceso excepcional justificado y limitado, registro de la intervención y confidencialidad del personal |
| Desarrollo y cambios | Separación de entornos, revisión de cambios, gestión de vulnerabilidades, actualizaciones y verificación proporcionada de los controles de autorización |
| Pruebas | Datos sintéticos o efectivamente anonimizados por defecto; uso excepcional de datos reales solo si existe necesidad, habilitación y controles documentados |
| Copias y restauración | Copias protegidas conforme a un plan documentado, pruebas periódicas de restauración, ciclo máximo compatible con el apartado 14 y reaplicación de supresiones tras restaurar |
| Continuidad | Plan de recuperación y gestión de fallos según el riesgo; objetivos de recuperación documentados y coherentes con la oferta contratada, sin presumir un SLA inexistente |
| Incidentes | Canal de recepción, procedimiento de valoración y contención, preservación de evidencias y notificación al Cliente conforme al apartado 13 |
| Proveedores y accesos físicos | Evaluación de garantías, contratos, ubicaciones y subcontratación; controles del proveedor sobre infraestructura física y accesos administrativos |
| Personas y formación | Confidencialidad, instrucciones sobre salud y menores, formación de seguridad y alfabetización en IA adecuada a su intervención |
| Derechos y salida | Procedimientos para localizar, exportar, corregir, restringir y suprimir datos, incluida propagación a subencargados y control de copias |
| Verificación | Revisión periódica y tras cambios relevantes; documentación de hallazgos y acciones correctivas, sin afirmar certificaciones no existentes |
Anexo III. Registro de subencargados, ubicaciones y transferencias
Versión del registro: TF-REG-2026-10-29-v2 Fecha: 26 de octubre de 2026.
Se incorpora a este anexo la descripción de finalidad, datos, países, garantías y conservación del apartado 2 del Anexo A de la Política de privacidad, versión TF-REG-2026-10-29-v2, que debe adjuntarse y conservarse con la copia aceptada de este DPA. Se facilita también como registro separado. La referencia corresponde a esa versión concreta; una página que cambie no sustituye la copia del registro aceptado. Los cambios posteriores siguen el apartado 10 de este acuerdo.
| Entidad y servicio identificado | Función dentro del encargo, cuando proceda | Ubicación principal declarada y otros flujos a evaluar | Condición específica |
|---|---|---|---|
| Supabase Pte. Ltd. — Supabase | Base de datos y servicios asociados utilizados para el Cliente | Proyecto en Irlanda; evaluación de afiliadas, soporte y otros servicios | DPA, plan, alcance y ciclos de datos |
| Vercel Inc. — Vercel | Alojamiento y backend/API que traten datos del encargo | Backend en UE/EEE; otros servicios y accesos a verificar | Verificar cobertura de DPA del plan antes de darla por existente |
| BunnyWay d.o.o. — Stream y Storage | Contenido de entrenadores y deportistas confiado por el Cliente | Almacenamiento y réplicas declarados solo en UE/EEE; CDN y accesos pendientes | DPA de cuenta, privacidad de archivos y borrado de copias/cachés |
| Plus Five Five, Inc. — Resend | Envíos que el Cliente instruya dentro de su servicio | Estados Unidos según condiciones estándar | No incluir salud innecesaria; comprobar plan, contrato y conservación |
| OpenAI Ireland Ltd. — API estándar EEE | Inferencia instruida para datos del Cliente | Sin residencia europea especial declarada; flujos internacionales por evaluar | Función e información de salud habilitadas, contrato y configuración de endpoint |
| Anthropic Ireland, Limited — API estándar EEE | Inferencia instruida para datos del Cliente | Sin residencia europea especial declarada; flujos internacionales por evaluar | Función e información de salud habilitadas, contrato, modelos y retención |
| Molina Studio — Stridee API | Sincronización deportiva instruida por el Cliente | Suiza y EEE según infraestructura publicada | Validar cadena de subencargo y compatibilidad de plazos |
| Entidad Stripe aplicable al servicio y contrato | Solo operaciones que efectivamente realice por cuenta del Cliente, por ejemplo una función de gestión de sus cobros si se contrata | Según servicio y cadena de Stripe | Separar datos propios de facturación de TrainingForever y tratamientos independientes de Stripe; verificar alcance antes de incluirlos en el encargo |
Esta tabla no incorpora como subencargados del Cliente los tratamientos de marketing propio de TrainingForever ni convierte a Google, Meta, Microsoft o los servicios deportivos independientes en encargados por el mero hecho de estar conectados. Cualquier uso de datos del encargo para una finalidad distinta requiere un análisis y habilitación propios.
Los clientes MCP contratados directamente por el Cliente se rigen por el apartado 9 y las instrucciones verificadas del anexo I. El uso de HealthKit no permite atribuir automáticamente a Apple un papel de subencargado. Las entidades deportivas de origen se describen por separado en el apartado 4 del registro.
Verificación de compatibilidad pendiente: contrastar los compromisos de este DPA sobre devolución, borrado, copias, asistencia, incidentes y cambios de subencargados con los contratos efectivamente aceptados. Los plazos estándar de Stridee, Resend y de las APIs de IA no deben presentarse como una confirmación de los plazos propuestos en el cuerpo del paquete. Una diferencia exige ajustar el servicio o acordar una redacción lícita antes de formalizarlo; no se resuelve eliminando la advertencia.
Anexo IV. Registro de aceptación
| Elemento | Evidencia vinculada al contrato |
|---|---|
| Cliente y organización | Pendiente: identificador y razon social |
| Representante y facultades declaradas o verificadas | Pendiente: identidad y cargo |
| DPA, pedido y anexos facilitados | Pendiente: versiones y copias integras |
| Registro de subencargados | Pendiente: version y copia |
| Medio y fecha de aceptación | Pendiente: fecha hora zona y accion afirmativa |
| Instrucciones opcionales iniciales | Pendiente: selecciones ia mcp menores conexiones y salida |
| Copia entregada al Cliente | Pendiente: medio fecha y referencia |
La evidencia técnica adicional debe ser proporcionada y conservarse solo mientras sea necesaria. El registro de aceptación no debe contener historias o métricas de salud.