Anexo · Acordo de Tratamento de Datos (DPA)
Tradución informativa. En caso de discrepancia prevalece a versión en castelán.
Este Acordo de Tratamento de Datos (en diante, «DPA») regula o tratamento de datos persoais entre ENES Estrategia Conjunta SL (en diante, «DEKKO») e o club ou escola de mergullo asinante (en diante, «o Club») no marco do contrato de servizos SaaS subscrito entre ambos. É anexo obrigatorio das Condicións do Servizo DEKKO e compleméntase coa Política de Privacidade. Modelo base: cláusulas tipo da Decisión 2021/914/UE, adaptado ao modelo de corresponsabilidade (art. 26 RGPD) de DEKKO.
1 · Partes e definicións
Os termos «Responsable», «Encargado», «Corresponsables (Joint Controllers)», «Datos persoais», «Tratamento», «Interesado» e «Categorías especiais» interprétanse segundo o RGPD (Regulamento UE 2016/679).
- DEKKO · ENES Estrategia Conjunta SL · CIF B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (España) · privacidad@dekko.club
- O Club · a persoa física ou xurídica identificada no contrato específico, que opera profesionalmente na actividade de mergullo recreativo ou técnico.
2 · Obxecto e natureza do tratamento
Os datos dos mergulladores (clientes finais do Club) trátanse en réxime de corresponsabilidade (Joint Controller · art. 26 RGPD): o Club determina as finalidades operativas (a inmersión, o curso, a actividade), e DEKKO determina as finalidades de servizo cross-club, perfil de mergullador persistente e análise estatística, suxeitas ao consentimento explícito do mergullador.
- Os datos do operador do Club trátaos DEKKO como Responsable único.
- Os datos do resto do persoal do Club trátaos o Club como Responsable, con DEKKO como Encargado cando se almacenan no dashboard.
3 · Categorías de datos e interesados
Interesados: mergulladores (clientes finais), operadores do Club e persoal do Club.
Datos tratados: identificativos (nome, DNI/pasaporte, data de nacemento), contacto (email, teléfono, enderezo), datos de mergullo (certificación, seguro, equipo de aluguer, historial de inmersións), económicos (metadatos de pagamento · o cobro procésao Stripe), de comunicación (WhatsApp, emails, imaxes de documentos) e categoría especial (art. 9 RGPD): a declaración médica do cuestionario SSI/PADI/RSTC e, se é o caso, o certificado médico.
4 · Repartición de responsabilidades
O Club é responsable principal de: informar o mergullador do tratamento no servizo reservado; recoller o consentimento da primeira caixa de verificación do checkout; tratar os datos médicos para prestar o servizo; cumprir as obrigas legais da actividade (manifestos, listas, normativa local); cobrar e facturar; e conservar as facturas 6 anos.
DEKKO é responsable principal de: informar do tratamento cross-club; recoller o consentimento opt-in da segunda caixa de verificación; manter o perfil de mergullador se houbo opt-in; as comunicacións emitidas en nome de DEKKO; e a seguridade técnica da infraestrutura común.
Ambas as partes son conxuntamente responsables de: as medidas técnicas e organizativas; a notificación de violacións á AEPD (<72 h) e aos interesados cando proceda; a atención dos dereitos do interesado (<30 días); o rexistro de actividades de tratamento; e as avaliacións de impacto (DPIA) cando se apliquen.
5 · Punto de contacto único para o interesado
O interesado pode exercer os seus dereitos ante calquera das dúas partes: escribindo a privacidad@dekko.club (ou ao DPO en dpo@dekko.club) ou ao email do Club. A parte que reciba a solicitude notificarallo á outra en menos de 48 horas e coordinaranse para dar resposta única no prazo legal.
6 · Dobre consentimento opt-in granular
Na primeira reserva do mergullador (web pública, axente de WhatsApp ou alta), o mergullador outorga dous consentimentos separados, granulares e NON premarcados: (1) obrigatorio, para a xestión da reserva e as obrigas legais do Club; (2) opcional, para o perfil DEKKO transversal cross-club. Regras invariables: non premarcado, non agrupado, non oculto, e cada consentimento rexístrase con timestamp, IP anonimizada, user-agent, versión do documento e identificador do mergullador.
7 · Medidas técnicas e organizativas (art. 32 RGPD)
- Cifrado en tránsito (TLS 1.3 · HSTS) e en repouso (AES-256).
- Illamento multi-tenant a nivel de base de datos (Row Level Security de PostgreSQL).
- Separación de datasets entre os datos operativos do Club e o perfil de mergullador DEKKO.
- Autenticación por magic link (sen contrasinais almacenados) e control de acceso por roles.
- Monitorización de accesos a categorías especiais (datos médicos) con logs auditables 12 meses.
- Copias de seguridade diarias en infraestrutura UE con retención de 30 días e plan de recuperación documentado.
- DPO designado (dpo@dekko.club), formación anual do persoal e procedemento de resposta a incidentes.
8 · Subencargados autorizados
DEKKO sérvese dos seguintes subencargados, todos con DPA asinado. O Club autorízaos expresamente mediante a sinatura deste DPA; os cambios notifícanse con 30 días de antelación e o Club pode opoñerse motivadamente.
| Subencargado | Función | Localización | Transferencia internacional |
|---|---|---|---|
| Supabase Inc. | Base de datos + Auth + Storage | Irlanda (UE) | N/A |
| Cloudflare Inc. | CDN, hosting, DNS | EUA + UE | SCC 2021/914 |
| Stripe Payments Europe Ltd. | Procesamento de pagamentos | Irlanda (UE) | N/A |
| Brevo (Sendinblue) | Email transaccional e marketing | Francia (UE) | N/A |
| Manychat Inc. | Orquestración do bot de WhatsApp | EUA | SCC 2021/914 |
| Anthropic, PBC | API Claude (IA do bot) | EUA | SCC 2021/914 |
| Netelip Telecom SL | Telefonía VoIP | España (UE) | N/A |
9 · Prazos de conservación
| Categoría | Prazo |
|---|---|
| Datos de reserva e cobro | 6 anos (Código de Comercio) |
| Datos médicos | 30 días despois da inmersión salvo incidente |
| Perfil DEKKO transversal (opt-in) | Ata a supresión solicitada polo interesado |
| Logs de seguridade | 12 meses |
| Rexistro de consentimentos exercidos | Indefinido (defensa legal) |
10 · Dereitos do interesado
Ambas as partes garanten o exercicio de todos os dereitos RGPD (acceso, rectificación, supresión, limitación, portabilidade, oposición, revogación) nun prazo máximo de 30 días, ampliable 2 meses en casos complexos con aviso ao interesado. O dereito de supresión (art. 17) é inviolable, salvo obriga legal de conservar (datos contables) ou defensa fronte a reclamacións: en calquera outro caso execútase sen litigar, eliminando os datos de produción en 30 días e das copias de seguridade nos 90 seguintes.
11 · Notificación de violacións de seguridade
A parte que detecte unha violación notificarallo á outra de inmediato e coordinaranse para notificala á AEPD en menos de 72 horas (art. 33 RGPD) e, se entraña alto risco, aos interesados afectados sen dilación indebida (art. 34). Toda violación, mesmo as non notificables, documéntase internamente.
12 · Auditoría
O Club pode auditar o cumprimento deste DPA unha vez ao ano, con preaviso de 30 días, respectando a confidencialidade doutros clientes de DEKKO, mediante cuestionario documental, auditor externo (ao seu cargo) ou revisión de informes SOC2/ISO27001 cando DEKKO os obteña.
13 · Terminación
Á terminación do contrato SaaS, este DPA deixa de aplicarse a novos tratamentos, pero permanecen vixentes as obrigas de confidencialidade, conservación legal, atención de dereitos e notificación de violacións sobre datos preexistentes. DEKKO entregaralle ao Club, nun máximo de 30 días, todos os seus datos operativos en CSV ou JSON estruturado. Os datos do perfil DEKKO transversal (se houbo opt-in) permanecen en DEKKO conforme ao consentimento do mergullador, ata que este exerza o seu dereito de supresión.
14 · Publicidade, modificacións e lexislación
Conforme ao art. 26.2 RGPD, o esencial deste DPA ponse á disposición do interesado a través da Política de Privacidade. Este DPA pode modificarse por acordo das partes ou por necesidade regulatoria, con aviso de 30 días. Réxese pola lexislación española e o RGPD; para controversias, as partes sométense aos Xulgados e Tribunais de Tarragona.