Este anexo regula la relación en la que los clubes, tiendas o encordadores (en calidad de Responsables del Tratamiento) introducen datos personales de sus propios clientes finales (dueños de las raquetas) y de las personas de su equipo dentro de los servidores gestionados por ProString Custom Racket, S.L. (en calidad de Encargado del Tratamiento).

Nos comprometemos a tratar dichos datos siguiendo las instrucciones del cliente y a aplicar medidas de aislamiento lógico entre los datos de distintos clientes (segregación por identificador de espacio de trabajo).

Objeto, Duración y Datos Tratados

Objeto y naturaleza: alojamiento, almacenamiento, consulta y procesamiento de los datos que el Cliente introduce en la plataforma para gestionar su actividad de encordado, pedidos, jugadores, facturación y tienda. Finalidad: prestar el servicio contratado. Duración: la de la relación contractual más el periodo de conservación de 30 días descrito más abajo. Categorías de datos: identificación y contacto (nombre, correo, teléfono, dirección), datos de pedidos y servicios, datos de facturación y fiscales (incluidas las facturas que el Cliente emite con la plataforma, con el nombre, NIF y dirección de sus clientes finales) y contenido que el Cliente suba. No se prevé el tratamiento de categorías especiales de datos. Interesados: clientes finales y jugadores del Cliente y su equipo.

Instrucciones del Cliente

El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente (este Acuerdo y el uso de las funcionalidades de la plataforma), también respecto de las transferencias de datos a un tercer país, salvo obligación legal en contrario, en cuyo caso informará al Cliente antes del tratamiento cuando la ley lo permita. Si, en opinión del Encargado, una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Cliente.

Acceso del Encargado y su Personal

Sin perjuicio de lo anterior, el personal autorizado del Encargado dispone de herramientas internas de administración que permiten acceder, consultar y, cuando es imprescindible, copiar datos alojados en cualquier espacio de trabajo. Este acceso se ejerce única y exclusivamente para las siguientes finalidades:

• prestar soporte técnico, diagnosticar y corregir errores (depuración) del servicio;
• investigar problemas de seguridad, fraude o abuso del servicio;
• operar, mantener y facturar la plataforma;
• cumplir obligaciones legales o requerimientos de autoridad competente.

El Encargado no utilizará estos datos para ninguna otra finalidad. En particular, no se emplearán con fines comerciales o de marketing, no se cederán ni venderán a terceros, no se utilizarán para elaborar perfiles ni para entrenar modelos de inteligencia artificial, y no se conservarán fuera del entorno del cliente más allá de lo estrictamente necesario para resolver la incidencia concreta.

Cuando el acceso implique datos personales de clientes finales, se limitará a los registros estrictamente necesarios para la incidencia concreta y durante el tiempo imprescindible para resolverla; las copias temporales que hubiera que crear con fines de diagnóstico se eliminan una vez cerrada la incidencia.

Dicho acceso es limitado y se rige por el principio de necesidad de conocer (need-to-know), queda restringido al personal estrictamente necesario y está sujeto a deber de confidencialidad tanto durante como después de la relación laboral o contractual. El Cliente, al aceptar este Acuerdo, reconoce y autoriza este acceso como parte necesaria de la prestación del servicio.

Seguridad

El Encargado aplica las medidas técnicas y organizativas descritas en la Política de Seguridad (Bloque 9), adecuadas al riesgo conforme al artículo 32 del RGPD, y garantiza que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad.

Asistencia al Cliente y Demostración del Cumplimiento

El Encargado asistirá al Cliente, en lo razonablemente necesario, para atender el ejercicio de derechos de los interesados, cumplir las obligaciones de seguridad, de notificación de violaciones, de evaluación de impacto y de consulta previa a la autoridad (arts. 32 a 36 del RGPD), y para demostrar el cumplimiento de este Acuerdo, poniendo a su disposición la información necesaria y permitiendo auditorías razonables previa comunicación, sin acceso a datos de otros clientes.

Violaciones de Seguridad

El Encargado notificará al Cliente cualquier violación de la seguridad de los datos personales que afecte a su espacio de trabajo sin dilación indebida y, cuando sea posible, en un plazo máximo de 72 horas desde que tenga conocimiento de ella, con la información de que disponga para que el Cliente pueda cumplir sus propias obligaciones de notificación.

Subencargados

El Cliente concede autorización general para recurrir a subencargados. El listado vigente, con su finalidad y ubicación, está en el Bloque 10 (Anexos). Cualquier incorporación o sustitución de un subencargado se comunicará por correo electrónico a la dirección de la cuenta con al menos 30 días de antelación y se publicará en ese listado; el Cliente podrá oponerse por motivos fundados de protección de datos durante ese plazo y, de no alcanzarse una solución, resolver el contrato. La relación con cada subencargado se formaliza mediante contrato con obligaciones de protección de datos equivalentes a las de este Acuerdo, y el Encargado responde ante el Cliente de su cumplimiento.

Transferencias Internacionales

Los datos del Cliente se alojan en la región de Singapur y algunos subencargados operan en Estados Unidos y otros países fuera del EEE y del Reino Unido. Estas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea (módulo de encargado a subencargado) y, para datos del Reino Unido, en el Anexo/IDTA correspondiente, que se consideran incorporados a este Acuerdo cuando resulte necesario. El Cliente puede solicitar copia de las garantías escribiendo a prostringmanage@prostringmanage.com.

Devolución o Supresión de los Datos

Finalizada la relación (cancelación, impago definitivo o baja de la cuenta), el acceso se suspende y los datos del espacio de trabajo se conservan durante un periodo de 30 días naturales. A elección del Cliente, durante ese periodo puede devolverse la totalidad de los datos mediante una descarga completa (archivo ZIP con un archivo CSV por tabla, las imágenes y los adjuntos), cuyo enlace y fecha límite se envían en el correo de despedida, o reactivar la cuenta volviendo a suscribirse. Transcurrido el periodo sin reactivación, los datos se suprimen de forma permanente de los sistemas de producción, sin necesidad de solicitud expresa del Cliente, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. Las copias de seguridad diarias de la infraestructura se conservan 7 días, por lo que los datos suprimidos pueden permanecer en ellas hasta 7 días más antes de desaparecer.

Cambio de Proveedor y Portabilidad

El Cliente puede dejar el servicio al final de cualquier periodo ya pagado, exportar sus datos, incluidas las facturas emitidas, en un formato estructurado de uso común (CSV y un archivo por factura) y trasladarlos a otro proveedor o a su propia infraestructura sin coste añadido por el cambio. Dispone de 30 días tras la terminación para recuperar sus datos antes de su supresión, de conformidad con el Reglamento (UE) 2023/2854 (Reglamento de Datos) en lo que resulte aplicable al servicio.

Otras Legislaciones

Cuando el Cliente esté sujeto a la legislación de protección de datos de otro territorio (Reino Unido, California u otras), el Encargado actuará como encargado o proveedor de servicios conforme a ella: tratará los datos solo para prestar el servicio, no los venderá ni compartirá, no los combinará con datos de otras fuentes ni los utilizará fuera de la relación comercial directa con el Cliente.

Anexo para Clientes en China

Cuando el Cliente esté establecido en China continental o trate datos de personas que se encuentren en China, el Cliente es el responsable del tratamiento (personal information handler) y ProString Custom Racket, S.L. actúa como encargado en el extranjero (entrusted party) en la medida en que la Ley de Protección de la Información Personal (PIPL) resulte aplicable. ProString Custom Racket, S.L. presta el servicio a empresas y profesionales: no dirige su oferta a personas físicas en China ni trata los datos de los clientes finales del Cliente para fines propios. En ese caso:

• El Cliente es responsable de informar a sus clientes finales y a su equipo de la transferencia de sus datos al extranjero (destinatarios, finalidad, método, categorías de datos y modo de ejercer sus derechos), de obtener su consentimiento separado cuando la ley lo exija, y de realizar, en su caso, la evaluación de impacto o los trámites ante la autoridad que le correspondan.
• El Encargado trata los datos solo según las instrucciones del Cliente y para la finalidad pactada, aplica las medidas de seguridad del Bloque 9, no los subcontrata sin cumplir la sección de Subencargados, asiste al Cliente en el ejercicio de derechos y, al terminar el servicio, devuelve o suprime los datos conforme a la sección anterior.
• El Cliente no introducirá en la plataforma números de documentos de identidad de personas físicas ni datos personales de menores de 14 años. En las cuentas que declaran China la plataforma no admite esos campos; en un torneo que el Cliente marca como celebrado en China, la plataforma no los ofrece mientras ese torneo está en uso y cierra las facturas de ese torneo, y el acceso de ProString Custom Racket, S.L. a los datos personales de ese torneo pasa a requerir el permiso del Cliente. El texto libre no puede vigilarse: la obligación es del Cliente.
• Los destinatarios en el extranjero son los proveedores del Bloque 10 (Anexos). El Cliente puede pedir a prostringmanage@prostringmanage.com un texto informativo para sus propios clientes.