Annex · Acord de Tractament de Dades (DPA)
Traducció informativa. En cas de discrepància preval la versió en castellà.
Aquest Acord de Tractament de Dades (d'ara endavant, «DPA») regula el tractament de dades personals entre ENES Estrategia Conjunta SL (d'ara endavant, «DEKKO») i el club o escola de busseig signant (d'ara endavant, «el Club») en el marc del contracte de serveis SaaS subscrit entre tots dos. És annex obligatori de les Condicions del Servei DEKKO i es complementa amb la Política de Privacitat. Model base: clàusules tipus de la Decisió 2021/914/UE, adaptat al model de corresponsabilitat (art. 26 RGPD) de DEKKO.
1 · Parts i definicions
Els termes «Responsable», «Encarregat», «Corresponsables (Joint Controllers)», «Dades personals», «Tractament», «Interessat» i «Categories especials» s'interpreten segons el RGPD (Reglament UE 2016/679).
- DEKKO · ENES Estrategia Conjunta SL · CIF B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Espanya) · privacidad@dekko.club
- El Club · la persona física o jurídica identificada en el contracte específic, que opera professionalment en l'activitat de busseig recreatiu o tècnic.
2 · Objecte i naturalesa del tractament
Les dades dels bussejadors (clients finals del Club) es tracten en règim de corresponsabilitat (Joint Controller · art. 26 RGPD): el Club determina les finalitats operatives (la immersió, el curs, l'activitat), i DEKKO determina les finalitats de servei cross-club, perfil de bussejador persistent i anàlisi estadística, subjectes al consentiment explícit del bussejador.
- Les dades de l'operador del Club les tracta DEKKO com a Responsable únic.
- Les dades de la resta del personal del Club les tracta el Club com a Responsable, amb DEKKO com a Encarregat quan s'emmagatzemen al dashboard.
3 · Categories de dades i interessats
Interessats: bussejadors (clients finals), operadors del Club i personal del Club.
Dades tractades: identificatives (nom, DNI/passaport, data de naixement), de contacte (email, telèfon, adreça), de busseig (certificació, assegurança, equip de lloguer, historial d'immersions), econòmiques (metadades de pagament · el cobrament el processa Stripe), de comunicació (WhatsApp, emails, imatges de documents) i de categoria especial (art. 9 RGPD): la declaració mèdica del qüestionari SSI/PADI/RSTC i, si escau, el certificat mèdic.
4 · Repartiment de responsabilitats
El Club és responsable principal de: informar el bussejador del tractament en el servei reservat; recollir el consentiment de la primera casella del checkout; tractar les dades mèdiques per prestar el servei; complir les obligacions legals de l'activitat (manifestos, llistes, normativa local); cobrar i facturar; i conservar les factures 6 anys.
DEKKO és responsable principal de: informar del tractament cross-club; recollir el consentiment opt-in de la segona casella; mantenir el perfil de bussejador si hi ha hagut opt-in; les comunicacions emeses en nom de DEKKO; i la seguretat tècnica de la infraestructura comuna.
Totes dues parts són conjuntament responsables de: les mesures tècniques i organitzatives; la notificació de violacions a l'AEPD (<72 h) i als interessats quan escaigui; l'atenció dels drets de l'interessat (<30 dies); el registre d'activitats de tractament; i les avaluacions d'impacte (DPIA) quan s'apliquin.
5 · Punt de contacte únic per a l'interessat
L'interessat pot exercir els seus drets davant de qualsevol de les dues parts: escrivint a privacidad@dekko.club (o al DPO a dpo@dekko.club) o a l'email del Club. La part que rebi la sol·licitud ho notificarà a l'altra en menys de 48 hores i es coordinaran per donar una resposta única dins el termini legal.
6 · Doble consentiment opt-in granular
En la primera reserva del bussejador (web pública, agent de WhatsApp o alta), el bussejador atorga dos consentiments separats, granulars i NO premarcats: (1) obligatori, per a la gestió de la reserva i les obligacions legals del Club; (2) opcional, per al perfil DEKKO transversal cross-club. Regles inviolables: no premarcat, no agrupat, no ocult, i cada consentiment es registra amb marca de temps (timestamp), IP anonimitzada, user-agent, versió del document i identificador del bussejador.
7 · Mesures tècniques i organitzatives (art. 32 RGPD)
- Xifratge en trànsit (TLS 1.3 · HSTS) i en repòs (AES-256).
- Aïllament multi-tenant a nivell de base de dades (Row Level Security de PostgreSQL).
- Separació de datasets entre les dades operatives del Club i el perfil de bussejador DEKKO.
- Autenticació per magic link (sense contrasenyes emmagatzemades) i control d'accés per rols.
- Monitoratge dels accessos a categories especials (dades mèdiques) amb logs auditables 12 mesos.
- Còpies de seguretat diàries en infraestructura UE amb retenció de 30 dies i pla de recuperació documentat.
- DPO designat (dpo@dekko.club), formació anual del personal i procediment de resposta a incidents.
8 · Subencarregats autoritzats
DEKKO se serveix dels subencarregats següents, tots amb DPA signat. El Club els autoritza expressament mitjançant la signatura d'aquest DPA; els canvis es notifiquen amb 30 dies d'antelació i el Club s'hi pot oposar de manera motivada.
| Subencarregat | Funció | Ubicació | Transferència internacional |
|---|---|---|---|
| Supabase Inc. | Base de dades + Auth + Storage | Irlanda (UE) | N/A |
| Cloudflare Inc. | CDN, allotjament, DNS | EUA + UE | SCC 2021/914 |
| Stripe Payments Europe Ltd. | Processament de pagaments | Irlanda (UE) | N/A |
| Brevo (Sendinblue) | Email transaccional i màrqueting | França (UE) | N/A |
| Manychat Inc. | Orquestració del bot de WhatsApp | EUA | SCC 2021/914 |
| Anthropic, PBC | API Claude (IA del bot) | EUA | SCC 2021/914 |
| Netelip Telecom SL | Telefonia VoIP | Espanya (UE) | N/A |
9 · Terminis de conservació
| Categoria | Termini |
|---|---|
| Dades de reserva i cobrament | 6 anys (Codi de Comerç) |
| Dades mèdiques | 30 dies post-immersió llevat d'incident |
| Perfil DEKKO transversal (opt-in) | Fins a la supressió sol·licitada per l'interessat |
| Logs de seguretat | 12 mesos |
| Registre de consentiments exercits | Indefinit (defensa legal) |
10 · Drets de l'interessat
Totes dues parts garanteixen l'exercici de tots els drets RGPD (accés, rectificació, supressió, limitació, portabilitat, oposició, revocació) en un termini màxim de 30 dies, ampliable 2 mesos en casos complexos amb avís a l'interessat. El dret de supressió (art. 17) és inviolable, llevat d'obligació legal de conservar (dades comptables) o de defensa davant de reclamacions: en qualsevol altre cas s'executa sense litigar, eliminant les dades de producció en 30 dies i de les còpies de seguretat en els 90 següents.
11 · Notificació de violacions de seguretat
La part que detecti una violació ho notificarà a l'altra immediatament i es coordinaran per notificar-ho a l'AEPD en menys de 72 hores (art. 33 RGPD) i, si comporta un risc alt, als interessats afectats sense dilació indeguda (art. 34). Tota violació, fins i tot les no notificables, es documenta internament.
12 · Auditoria
El Club pot auditar el compliment d'aquest DPA un cop l'any, amb un preavís de 30 dies, respectant la confidencialitat d'altres clients de DEKKO, mitjançant qüestionari documental, auditor extern (a càrrec seu) o revisió d'informes SOC2/ISO27001 quan DEKKO els obtingui.
13 · Terminació
En acabar el contracte SaaS, aquest DPA deixa d'aplicar-se a nous tractaments, però continuen vigents les obligacions de confidencialitat, conservació legal, atenció de drets i notificació de violacions sobre dades preexistents. DEKKO lliurarà al Club, en un màxim de 30 dies, totes les seves dades operatives en CSV o JSON estructurat. Les dades del perfil DEKKO transversal (si hi ha hagut opt-in) romanen a DEKKO d'acord amb el consentiment del bussejador, fins que aquest exerceixi el seu dret de supressió.
14 · Publicitat, modificacions i legislació
D'acord amb l'art. 26.2 RGPD, els aspectes essencials d'aquest DPA es posen a disposició de l'interessat a través de la Política de Privacitat. Aquest DPA es pot modificar per acord de les parts o per necessitat reguladora, amb un avís de 30 dies. Es regeix per la legislació espanyola i el RGPD; per a les controvèrsies, les parts se sotmeten als Jutjats i Tribunals de Tarragona.