Acuerdo de encargo del tratamiento de DigitalDojo

Versión de 2 de octubre de 2026

Acuerdo conforme al artículo 28 del Reglamento General de Protección de Datos, aplicable desde la prueba gratuita cuando se traten datos personales por cuenta de la academia.

1 Partes objeto y duración

La persona física o jurídica titular de la academia, identificada en el formulario de alta y en su confirmación electrónica, actúa como responsable del tratamiento. Quien acepta en su nombre declara disponer de representación suficiente. Actúa como encargado Vidal Rodriguez Pascual, con NIF 41564115X y domicilio en Calle Seneca 17, 17200 Palafrugell, Girona, España, bajo el nombre comercial DigitalDojo; contacto: digitaldojo.contacto@gmail.com. El acuerdo se refiere a los datos que el responsable incorpora o genera en la plataforma para gestionar su academia. El encargo comprende la prueba y la suscripción, la transición y recuperación de datos, y las operaciones de supresión final que correspondan.

Su finalidad es prestar las funciones contratadas. Las operaciones autorizadas comprenden recogida por cuenta del cliente, registro, organización, almacenamiento, consulta, actualización, comunicaciones solicitadas, exportación, restricción, devolución y supresión. Las comunicaciones se limitarán a destinatarios autorizados y finalidades documentadas.

2 Personas y datos incluidos

Las personas afectadas pueden ser alumnos, interesados en inscribirse, tutores o familiares de contacto, instructores, personal y colaboradores de la academia, incluidos menores cuando el centro los atienda.

Los datos pueden incluir identificación y contacto; fecha de nacimiento cuando sea necesaria; imagen de perfil; relación familiar o representación; disciplina, grupo y matrícula; asistencia, reservas y progresión; cuotas, movimientos y referencias de pagos; datos bancarios o mandatos cuando la función activada lo requiera; comunicaciones y registros técnicos vinculados a la cuenta.

El servicio no está destinado al tratamiento de lesiones, datos de salud, certificados médicos ni biometría de identificación. No se autoriza el tratamiento de categorías especiales ni datos penales mediante las funciones generales o los campos de texto libre. Si una función necesita datos de salud u otra categoría especial, se acordarán por escrito su finalidad, categorías, habilitación e instrucciones y medidas específicas antes de tratarla. Una fotografía de perfil no se destinará a reconocimiento biométrico por el mero hecho de cargarla.

3 Instrucciones y límites de uso

DigitalDojo tratará los datos solo siguiendo instrucciones documentadas del responsable, contenidas en este acuerdo, la configuración autorizada y las comunicaciones verificadas, incluidas las instrucciones sobre transferencias internacionales. Si una norma obliga a otro tratamiento, informará previamente, salvo prohibición legal por razones importantes de interés público.

Informará inmediatamente si considera que una instrucción infringe la normativa. No venderá los datos, elaborará perfiles comerciales propios ni los utilizará para entrenar modelos de uso general. Tampoco los comunicará a terceros fuera de las instrucciones, autorizaciones y supuestos legales aplicables.

4 Personal y confidencialidad

Vidal Rodriguez Pascual es el prestador y encargado que asume las obligaciones de este acuerdo. Él y su socio autorizado para tareas técnicas de consulta y administración podrán acceder a los datos necesarios para prestar el servicio. El acceso del socio se sujetará a instrucciones documentadas, confidencialidad y limitación de finalidad; no le autoriza a tratar datos de las academias para fines propios. Vidal responderá del cumplimiento de estas obligaciones en el ámbito de la prestación contratada. Si en el futuro interviene personal adicional, se limitará el acceso a personas autorizadas sujetas a confidencialidad contractual o legal, se les facilitarán instrucciones adecuadas y se retirarán permisos cuando ya no sean necesarios. Los accesos de los proveedores se rigen por las reglas de subcontratación de este acuerdo. El deber de secreto subsiste después de finalizar el encargo.

5 Seguridad

El encargado implantará y mantendrá medidas apropiadas conforme al artículo 32 del RGPD, atendiendo al riesgo, el estado de la técnica y la naturaleza del tratamiento. El anexo II de este acuerdo establece las medidas mínimas que DigitalDojo se obliga a implantar y mantener durante el tratamiento. El responsable podrá solicitar información sobre su aplicación efectiva.

El encargado realizará revisiones de acceso, gestión de vulnerabilidades e incidentes, separación de información entre academias y procedimientos de recuperación acordes al servicio. Las medidas podrán evolucionar sin reducir el nivel de protección comprometido.

6 Subencargados

El responsable autoriza con carácter general a los subencargados descritos en el anexo I aceptado, en el alcance allí indicado. La autorización no cubre automáticamente una marca comercial sin identificar su entidad, operación y ubicación de tratamiento.

DigitalDojo notificará incorporaciones o sustituciones con treinta días naturales de antelación, aportando información suficiente. El responsable podrá formular objeciones fundadas en protección de datos antes de la fecha propuesta. Las partes evaluarán alternativas o medidas que resuelvan la objeción; no se iniciará el tratamiento cuestionado sobre los datos de ese cliente mientras no se resuelva de forma válida. Si no hubiera una solución viable, se acordará la salida del servicio afectado, facilitando la devolución de los datos y del periodo anticipado no prestado.

El subencargado asumirá por escrito obligaciones de protección equivalentes. DigitalDojo seguirá respondiendo ante el responsable del cumplimiento de las obligaciones de protección de datos del subencargado en los términos del artículo 28.4 del RGPD.

7 Localización y transferencias

Las localizaciones y accesos remotos se regirán por el anexo I y por el registro operativo de ubicaciones que DigitalDojo deberá mantener y facilitar al responsable. El encargado no realizará transferencias fuera del Espacio Económico Europeo sin las instrucciones o autorización documentadas y las garantías exigidas por el capítulo V del RGPD. Verificará el mecanismo aplicable al destinatario concreto y las medidas adicionales necesarias.

Una autorización de subcontratación no sustituye las garantías de transferencia. El encargado informará de requerimientos de acceso de autoridades de terceros países cuando legalmente pueda hacerlo y aplicará las obligaciones legales correspondientes.

8 Derechos y deber de asistencia

El encargado ayudará al responsable mediante las medidas técnicas y organizativas disponibles a atender los derechos de las personas. Si recibe una solicitud relativa a datos del cliente, la trasladará sin dilación indebida y no responderá en su nombre salvo autorización o deber legal.

Prestará asistencia razonable para cumplir las obligaciones de seguridad, evaluación de impacto, consulta previa y comunicaciones de brechas, atendiendo a la naturaleza del tratamiento y a la información a su disposición. No se condicionará la asistencia legalmente obligatoria a la aceptación de cargos que impidan ejercer esos derechos.

9 Brechas de seguridad

DigitalDojo notificará al contacto del responsable cualquier violación de seguridad de sus datos personales sin dilación indebida desde que tenga conocimiento. No esperará a terminar toda la investigación para enviar una primera comunicación.

La información incluirá, cuando esté disponible, naturaleza del incidente, categorías y volumen aproximado de afectados y registros, posibles consecuencias, medidas adoptadas o propuestas y contacto de seguimiento. Podrá completarse por fases. Mantendrá registros y colaborará en la contención y recuperación.

Corresponde al responsable decidir las notificaciones a la autoridad y a los afectados, con asistencia del encargado. DigitalDojo no asumirá que dispone de setenta y dos horas para avisar al cliente: su obligación es hacerlo sin dilación indebida.

10 Información y auditorías

El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a auditorías, incluidas inspecciones realizadas por el responsable o su auditor.

Las comprobaciones ordinarias se coordinarán con un preaviso razonable y medidas de confidencialidad para proteger otros clientes. Estas condiciones no impedirán inspecciones de autoridades, actuaciones urgentes por incidentes ni la verificación efectiva del cumplimiento. Los informes de terceros podrán servir como evidencia, sin sustituir por completo el derecho de comprobación.

11 Devolución y supresión

Al finalizar el servicio, el responsable elegirá la devolución o supresión de los datos y copias, salvo conservación legal obligatoria. Se respetarán los periodos de recuperación de las condiciones de la prueba o del contrato de suscripción, según la fase del servicio, salvo instrucción válida de supresión anticipada y siempre que no se lesionen derechos legales.

Las copias de seguridad se eliminarán en el plazo máximo establecido en el anexo II. Hasta entonces permanecerán protegidas y fuera del uso ordinario. Si fuera necesario restaurarlas por una incidencia, se reaplicarán las instrucciones de supresión antes de reanudar el uso de los datos correspondientes.

La conservación excepcional se limitará a datos, finalidad y plazo exigidos por la norma aplicable. DigitalDojo documentará la operación final y emitirá confirmación a petición del responsable.

12 Obligaciones del responsable

El cliente determinará la legitimación y finalidades, informará a las personas, atenderá sus derechos, mantendrá datos adecuados y exactos y verificará las garantías del encargado. Realizará las evaluaciones de riesgo e impacto exigibles y gestionará autorizaciones y representación de menores cuando correspondan.

El responsable no impartirá instrucciones ilícitas ni cargará datos ajenos al alcance acordado. Sus obligaciones no eximen al encargado de las que le atribuye directamente la normativa.

13 Aceptación electrónica y continuidad

Este acuerdo se formaliza mediante una casilla de aceptación inicialmente desmarcada y la confirmación del alta o del paso de importación correspondiente. El texto íntegro y sus anexos de proveedores y seguridad deberán estar disponibles para consulta y conservación antes de aceptar. La identidad del responsable y de su representante se obtiene del formulario y queda vinculada a la versión aceptada; no es necesario rellenar ni firmar a mano este documento.

El acuerdo debe aceptarse antes de que DigitalDojo reciba datos reales de alumnos u otras personas por cuenta de la academia, incluidos los ficheros enviados para su importación. La selección de un archivo que se mantiene únicamente en el dispositivo del usuario no autoriza su envío: la transmisión solo se realizará una vez formalizado el encargo.

DigitalDojo remitirá copia y confirmación al correo registrado y conservará la fecha, la identidad de la cuenta, la versión íntegra aceptada y la evidencia proporcionada de aceptación. La autorización de publicidad se recogerá separadamente.

El acuerdo se aplica desde el primer tratamiento durante la prueba y continúa, si se contrata la suscripción, mientras se mantengan sus condiciones. Subsistirá durante la devolución, conservación autorizada y supresión de datos. Las modificaciones deberán documentarse y seguir las reglas de información, autorización y contratación aplicables.

14 Legislación y prevalencia

Se aplican el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y las demás normas de protección de datos pertinentes. Este acuerdo prevalece sobre las condiciones comerciales en su materia. Las controversias se someterán a los tribunales competentes conforme a las reglas legales aplicables.

Anexo I Proveedores e integraciones autorizadas

1 Infraestructura y operaciones

La autorización se limita a los servicios y categorías siguientes. Solo se comunicarán a cada proveedor los datos necesarios para su función; no todos recibirán la totalidad de la información de la academia.

La incorporación de un proveedor adicional de copias o almacenamiento requerirá cumplir el procedimiento de subcontratación de este acuerdo. Los entornos de desarrollo, incluidos los servicios de Neon que se utilicen con ese fin, no recibirán datos personales reales de las academias sin una instrucción documentada y la previa incorporación del proveedor al alcance autorizado.

2 Pagos, calendario y control de acceso

Stripe. Cuando se habiliten pagos de alumnos, podrán intervenir Stripe Payments Europe, Limited, Stripe Technology Europe, Limited y las entidades que correspondan al país y producto de la cuenta conectada. Se transmitirán identificación, referencias, importes, estados de pago y datos estrictamente necesarios para la operación. Stripe puede actuar como encargado para determinadas prestaciones y como responsable independiente para sus obligaciones financieras, prevención de fraude y otros fines propios informados. La academia deberá aceptar su relación directa cuando proceda. El cobro de la suscripción de DigitalDojo constituye, por su parte, un tratamiento propio de facturación del prestador.

Google Calendar. La sincronización o suscripción a calendarios se realiza por decisión de la academia o del usuario autorizado. Se limitará a los calendarios, eventos y permisos seleccionados; no autoriza acceso general al correo ni a otros contenidos de una cuenta de Google. Google Ireland Limited y las entidades correspondientes al servicio tratarán la información conforme a la cuenta conectada y a sus condiciones. La academia deberá controlar destinatarios, visibilidad y enlaces de suscripción.

Kapri. La integración de control de acceso utiliza los terminales habilitados por la academia, sus identificadores, códigos QR o credenciales y registros de autorización o denegación. La academia determinará las reglas de acceso y atenderá las incidencias que afecten a sus alumnos. La integración no autoriza reconocimiento facial ni huellas. La conexión con equipos de la academia no supone por sí sola encargar el alojamiento de datos al fabricante del terminal; si se incorpora un servicio externo que trate esos datos, se aplicarán previamente las reglas de autorización de este acuerdo.

Las cuentas y servicios contratados directamente por la academia no se convierten automáticamente en subencargados de DigitalDojo. DigitalDojo conserva la responsabilidad por la configuración, transmisión y demás operaciones que efectúe por cuenta del cliente.

3 Documentación y transferencias

Se facilita información contractual y sobre subencargados en:

• Vercel: acuerdo de tratamiento y centro de confianza.
• Supabase: acuerdo de tratamiento y subencargados.
• Cloudinary: acuerdo de tratamiento y subencargados.
• Resend: acuerdo de tratamiento y subencargados.
• Stripe: acuerdo de tratamiento y condiciones del servicio.
• Google: privacidad y condiciones de la cuenta o servicio conectado.

DigitalDojo mantendrá un registro de las localizaciones de ejecución, almacenamiento y acceso remoto aplicables a los datos de las academias y facilitará su consulta al responsable. Conservará una copia o evidencia de los acuerdos efectivos y notificará cambios de proveedores y ubicaciones que alteren las condiciones autorizadas. Las listas enlazadas no sustituyen esas obligaciones.

El responsable autoriza las operaciones internacionales necesarias para los servicios descritos, sujetas a la existencia previa de una decisión de adecuación aplicable o de cláusulas contractuales tipo, la evaluación de las transferencias y las medidas complementarias exigibles. Esta autorización no exime a DigitalDojo de comprobar y mantener las garantías del capítulo V del RGPD.

Anexo II Medidas y compromisos de seguridad

Las siguientes medidas constituyen obligaciones de DigitalDojo desde que se traten datos personales por cuenta del cliente. No representan una certificación de un tercero ni una garantía de ausencia de incidentes.

1 Accesos y separación de academias

• Asignar accesos individuales y permisos según las funciones de administrador, instructor o alumno.
• Comprobar la pertenencia a la academia y la autorización de cada operación en el servidor, aplicando el contexto de academia y las restricciones de acceso a los registros correspondientes.
• Mantener autenticación de dos factores en las cuentas administrativas de los proveedores, incluida la cuenta de correo utilizada para administrar el servicio.
• Revisar los accesos al menos trimestralmente y retirarlos al cesar la necesidad o la colaboración.
• Documentar las instrucciones y la confidencialidad del socio y de cualquier persona autorizada. Los accesos técnicos no autorizarán usos propios de los datos.

2 Credenciales y cifrado

• Mantener las contraseñas de la aplicación mediante hash bcrypt y sesiones autenticadas; no almacenar contraseñas de acceso en texto legible.
• Gestionar claves y secretos mediante la configuración protegida del servidor y restringir su consulta. Revocar o sustituir las credenciales comprometidas.
• Utilizar HTTPS/TLS para las comunicaciones y conexiones cifradas con la base de datos, con validación de certificados.
• Mantener cifrado en reposo para los soportes y copias bajo control de DigitalDojo y utilizar las medidas de protección en reposo de los proveedores contratados.
• Limitar la publicación de imágenes a lo autorizado por la academia. Los archivos personales de acceso restringido se entregarán mediante mecanismos de autenticación o autorización adecuados.

3 Copias de seguridad y recuperación

DigitalDojo realizará al menos una copia diaria de la base de datos y de los archivos aportados necesarios para recuperar el servicio, incluidas las imágenes que no estén contenidas en una copia de la base de datos. Las copias se guardarán cifradas en un soporte separado del sistema de producción, bajo control de DigitalDojo y con custodia en el Espacio Económico Europeo. Las claves de recuperación se protegerán separadamente.

Cada copia se conservará durante un máximo de treinta días desde su generación, con eliminación o sustitución al finalizar ese ciclo. Se comprobará diariamente el resultado de las tareas y se atenderán los fallos sin demora indebida. Al menos una vez por trimestre se efectuará una prueba de restauración en un entorno aislado, documentando fecha, alcance y resultado y eliminando después los datos de prueba.

La región de producción es Irlanda y el plan de base de datos es Supabase Free. El compromiso de copia diaria corresponde a DigitalDojo y deberá cumplirse mediante un procedimiento propio o un servicio expresamente contratado; no presupone que el plan gratuito de Supabase incluya copias diarias recuperables para el cliente.

La recuperación se realizará con diligencia y priorizando integridad y confidencialidad. La frecuencia de copia no constituye una garantía de pérdida máxima de datos ni un plazo fijo de restauración. No se limita la responsabilidad por incumplir las medidas comprometidas ni se traslada al cliente la obligación de realizar las copias a cargo de DigitalDojo.

4 Conservación y supresión

Los registros técnicos propios de seguridad y funcionamiento tendrán una conservación ordinaria máxima de noventa días, salvo aislamiento justificado de registros vinculados a incidentes o responsabilidades. Los registros académicos y de actividad se conservarán conforme a las instrucciones del responsable y la duración del servicio.

Al finalizar la relación, se aplicarán primero los periodos de transición y recuperación previstos en las condiciones aceptadas. Completados esos periodos o recibida una instrucción válida de supresión anticipada, DigitalDojo eliminará los datos activos por cuenta del cliente y tramitará su eliminación en los proveedores correspondientes. Las copias propias residuales desaparecerán al completar el ciclo máximo de treinta días desde su generación; dejarán de incorporarse los datos suprimidos a nuevas copias.

Las copias residuales permanecerán inaccesibles para uso ordinario. Si una restauración recupera datos previamente suprimidos, se reaplicará la supresión antes de permitir su uso. La conservación impuesta por una obligación legal concreta se limitará a su objeto y plazo, con acceso restringido y comunicación al responsable cuando proceda. DigitalDojo documentará las supresiones y atenderá las solicitudes de acreditación.

5 Mantenimiento e incidentes

DigitalDojo revisará al menos mensualmente las actualizaciones de seguridad y vulnerabilidades de sus componentes. Los riesgos críticos conocidos se evaluarán y atenderán sin demora, sin esperar a la revisión mensual. Se comprobarán los permisos y la separación entre academias tras cambios que puedan afectarlos.

Los incidentes se comunicarán a digitaldojo.contacto@gmail.com. DigitalDojo registrará la incidencia, limitará los accesos afectados cuando sea necesario, evaluará su alcance, coordinará la respuesta con los proveedores y avisará al responsable sin dilación indebida, completando la información por fases. Se conservará la evidencia necesaria y se documentarán las medidas correctoras.

6 Exportación y devolución segura

La devolución incluirá todos los datos y metadatos legalmente exportables del cliente, en CSV o JSON para conjuntos estructurados, XLSX para informes disponibles y el formato conservado para archivos. Se facilitará la información necesaria para interpretar campos, relaciones y fechas.

Las categorías y el procedimiento se describen en el registro de datos exportables incorporado a las condiciones de la prueba y al contrato de suscripción. Las categorías que no tengan una descarga directa se extraerán mediante asistencia de DigitalDojo. La entrega se realizará a un destinatario autorizado por un canal autenticado o cifrado y se eliminarán las copias temporales de entrega cuando dejen de ser necesarias.