Encargo de tratamiento de datos

1. Partes y papeles

• Responsable del tratamiento: el centro que usa TNK Clubs.
• Encargado del tratamiento: WHYOMINK LLC, 407 Lincoln Rd, Ste 12-N, Miami Beach, FL 33139 (Estados Unidos). Contacto de privacidad: hello@whyomink.com.

2. Objeto, naturaleza y finalidad

• El encargado trata los datos para prestar TNK Clubs al centro: gestión de socios y equipo, reservas y aforo, asistencia, tarifas, cuotas y cobros, entradas de visitantes, comunicaciones del centro (avisos, tablón, chat), WOD, planes y entrenos del box, eventos, retos, ventajas y tienda del centro, su página web pública con las peticiones de información y de clase de prueba que lleguen por ella, y liquidación de cuotas y comisiones entre las partes.
• Las operaciones son las necesarias para ello: recogida, registro, organización, conservación, consulta, comunicación a los propios interesados, exportación y supresión.

3. Duración

Mientras el centro use TNK Clubs, más el plazo de devolución y supresión de la cláusula 10.

4. Datos y personas afectadas

• Personas: socios del centro, personas invitadas, visitantes que compran una entrada, personas interesadas que escriben desde la página web del centro, y dueños y coaches del centro.
• Datos identificativos y de contacto: nombre, correo electrónico y, si se facilita, teléfono.
• Datos de la relación con el centro: alta y baja, tarifas, cuotas y pagos (sin el número completo de la tarjeta, que trata el proveedor de pago), reservas y lista de espera, asistencia y su origen, marcas y resultados del WOD, entrenos de los planes del box (si se hicieron, esfuerzo y minutos), mensajes en el chat del centro, eventos a los que se apunta, marcas en los retos del centro, pedidos de su tienda, aceptación de normas y exención.
• Visitantes: nombre, correo, pase comprado, forma y estado del pago y llegada.
• Interesados: nombre, correo o teléfono, el mensaje que escriban y la clase de prueba que pidan.
• No se tratan por cuenta del centro categorías especiales de datos. Los datos de salud que un socio da en su cuenta personal de TNK los trata WHYOMINK LLC como responsable, según la Política de privacidad de TNK, y el centro no tiene acceso a ellos.

5. Instrucciones

• El encargado trata los datos solo siguiendo las instrucciones documentadas del responsable: estas condiciones y lo que el centro configura y hace en su panel. Si una instrucción le parece contraria al RGPD, lo avisará de inmediato.
• No usa los datos para fines propios, salvo lo estrictamente necesario para ejecutar las Condiciones de TNK Clubs (contar los socios para el mínimo de actividad y atribuir las comisiones), ni los cede a terceros, salvo a los subencargados de la cláusula 7 o por obligación legal.

6. Confidencialidad

Las personas autorizadas por el encargado para tratar los datos están obligadas a guardar confidencialidad, también después de terminar su relación con él.

7. Subencargados

El centro da una autorización general para que el encargado recurra a estos subencargados, con los que tiene contratos que les imponen las mismas obligaciones de protección de datos:

• Supabase: base de datos, autenticación y archivos, alojados en la región eu-west-1 (Irlanda, Unión Europea).
• Vercel: alojamiento de la web y del servidor.
• Resend: envío de correos (invitaciones, avisos, entradas de visitantes).
• Expo: envío de notificaciones push a la app.
• PostHog (región europea): analítica de uso de la app, solo de las personas que la aceptan.
• Apple (iCloud): copias de seguridad de la base de datos.
• OpenAI: solo cuando el coach pide a K un borrador o pasa a limpio su programación; recibe el texto que el coach escribe, no los datos de los socios.
• Stripe: solo si el centro conecta su cuenta de Stripe para cobrar; Stripe trata los pagos según su propio acuerdo con el centro.

8. Transferencias internacionales

• WHYOMINK LLC está establecida en Estados Unidos y algunos subencargados prestan servicio desde allí.
• Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914, módulo de responsable a encargado), que las partes incorporan a este encargo por referencia, y, cuando el proveedor está certificado, en el Marco de Privacidad de Datos UE-EE. UU. El centro puede pedir copia de las garantías aplicables.

9. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS).
• Base de datos en la Unión Europea, con acceso restringido por roles y políticas de seguridad que separan los datos de cada centro.
• Credenciales de pago del centro (como la clave del TPV) guardadas cifradas y nunca mostradas.
• Invitaciones de un solo uso y con caducidad, y acceso del equipo del centro solo a su propio centro.
• Acceso del personal del encargado limitado a lo necesario y registro de las acciones de administración.
• Copias de seguridad periódicas.

10. Fin del encargo

• Al terminar el servicio, el centro puede descargar sus datos desde el panel durante 30 días. Después, el encargado los suprime, incluidas las copias, salvo los que deba conservar por obligación legal, que guardará bloqueados.

11. Ayuda al responsable

• Derechos de las personas: el panel permite consultar, corregir, exportar y dar de baja a los socios. Si una persona se dirige al encargado para ejercer sus derechos sobre datos del centro, el encargado la remitirá al centro en un plazo de 5 días hábiles y le ayudará a responder.
• Violaciones de seguridad: el encargado avisará al centro sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, de cualquier violación que afecte a sus datos, con la información disponible para que el centro pueda notificarla si procede.
• El encargado ayudará al centro, en lo que le corresponda, con las medidas de seguridad, las evaluaciones de impacto y las consultas a la autoridad de control.

12. Demostrar el cumplimiento

El encargado pondrá a disposición del centro la información necesaria para demostrar que cumple este encargo y permitirá auditorías razonables, con 30 días de preaviso, a cargo del centro y sin acceso a datos de otros clientes.