Contrato de encargado del tratamiento

Última actualización: noviembre de 2026

Borrador pendiente de revisión por un abogado. Este texto todavía no es definitivo.

Este contrato cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de contratación de PB Coach y se acepta con ellas al contratar.

1. Las partes

El responsable eres tú: el entrenador, nutricionista o negocio que contrata PB Coach para llevar a sus clientes. Tus datos son los que figuran en tu cuenta.

El encargado es Pedro Belmonte Segura, profesional autónomo:

• NIF: 77242517F
• Domicilio: Calle Maestro José Fuentes s/n, 04140 Carboneras (Almería), España
• Correo: [email protected]

Tú decides para qué y cómo se usan los datos de tus clientes. El encargado solo los trata para darte el servicio PB Coach.

2. Qué datos y de quién

De quién: de tus clientes, actuales o pasados, y de las personas que se apunten a tu asesoría a través de PB Coach.

Qué datos:

• Identificación y contacto: nombre, correo, teléfono, fecha de nacimiento, foto de perfil.
• Datos de salud (categoría especial, art. 9 RGPD): peso, medidas, fotos de progreso, lesiones, enfermedades, medicación, alergias, hábitos de sueño y de comida, ciclo menstrual, datos de actividad y de salud que el cliente decida conectar desde su móvil, y lo que cuente en cuestionarios y check-ins.
• Entrenamiento y alimentación: planes, registros, objetivos y su evolución.
• Mensajes entre tú y tu cliente.
• Cobros y facturación de tus clientes: importes, fechas, estado de pago y datos de las facturas que emitas. Los datos de tarjeta no pasan por PB Coach.

Qué se hace con ellos: guardarlos, ordenarlos, mostrártelos, enviar avisos y recordatorios, hacer resúmenes y borradores con IA y preparar facturas. Solo mientras dure tu suscripción y para darte el servicio.

3. Lo que te corresponde a ti, como responsable

• Tener una base legal para tratar los datos de tus clientes y, para los datos de salud, su consentimiento explícito u otra excepción del art. 9.2 RGPD.
• Informar a tus clientes de que usas PB Coach y de los proveedores que aparecen en el punto 6.
• Atender los derechos de tus clientes (acceso, rectificación, supresión, etc.).
• Meter solo los datos que necesites para tu trabajo.
• Darnos instrucciones claras y por escrito si quieres algo distinto a lo que hace el servicio de serie.

4. Lo que se compromete a hacer el encargado

• Tratar los datos solo siguiendo tus instrucciones, que son estas condiciones y lo que hagas dentro de la app. Si una instrucción le parece contraria a la ley, te avisará.
• No usar los datos para nada propio: ni para venderlos, ni para publicidad, ni para entrenar modelos de IA.
• Guardar secreto, también después de terminar el contrato, y exigirlo a cualquier persona que trabaje con él.
• Aplicar las medidas de seguridad del punto 5.
• Ayudarte, en lo que pueda, a responder a los derechos de tus clientes, a hacer evaluaciones de impacto y a cumplir con la Agencia Española de Protección de Datos. Si un cliente tuyo le escribe directamente para ejercer un derecho, te lo pasará en un máximo de 5 días hábiles.
• Avisarte de cualquier brecha de seguridad como se explica en el punto 7.
• Llevar un registro de las actividades de tratamiento que hace por cuenta de sus clientes (art. 30.2 RGPD).
• Darte la información que necesites para comprobar que cumple este contrato y permitir auditorías razonables, avisadas con 30 días, como mucho una vez al año salvo que haya habido una brecha. Los costes de la auditoría los asume quien la pide.

Pedro Belmonte es también entrenador y tiene su propia asesoría. Los datos de tus clientes nunca se usan para su asesoría ni para contactar con ellos.

5. Medidas de seguridad

• Datos cifrados al viajar (HTTPS/TLS) y guardados cifrados en los servidores.
• Base de datos en la Unión Europea (Irlanda).
• Cada entrenador solo puede ver los datos de sus propios clientes: lo impide la propia base de datos con reglas de acceso por fila, no solo la app.
• Cada cliente solo ve sus propios datos en PB Athlete.
• Acceso de administración limitado al encargado, con verificación en dos pasos.
• Copias de seguridad automáticas y periódicas.
• Las fotos y documentos se guardan en espacios privados y se sirven con enlaces temporales.
• A la IA solo se envía lo necesario para cada tarea, sin nombre ni contacto del cliente cuando no hace falta.
• Revisión de las medidas cuando haya cambios importantes en el programa o en los proveedores.

6. Subencargados

Aceptas que el encargado use estos proveedores para dar el servicio. Todos han firmado un contrato que les obliga a lo mismo que este:

Si se añade o cambia algún proveedor, se te avisará por correo con al menos 30 días de antelación. Si te opones con un motivo razonable y no se encuentra una solución, puedes darte de baja sin coste y con devolución de la parte no usada de tu cuota.

7. Brechas de seguridad

Si el encargado descubre una brecha que afecte a los datos de tus clientes, te avisará sin demora y como mucho en 48 horas desde que la conozca, por correo, con lo que se sepa en ese momento:

• qué ha pasado y cuándo;
• qué datos y cuántas personas pueden estar afectadas;
• qué consecuencias puede tener;
• qué se ha hecho o se va a hacer para pararla y reducir el daño;
• a quién puedes preguntar.

Así podrás avisar tú a la Agencia Española de Protección de Datos en las 72 horas que marca la ley y, si hace falta, a tus clientes. El encargado te ayudará con lo que necesites para ello.

8. Transferencias fuera de la Unión Europea

Algunos proveedores del punto 6 son de Estados Unidos o pueden tratar datos allí. Solo se hace con las garantías del capítulo V del RGPD: empresas adheridas al Marco de Privacidad de Datos UE-EE. UU. o, si no lo están, con las cláusulas contractuales tipo de la Comisión Europea y medidas añadidas cuando haga falta. Puedes pedir una copia de las garantías de cada proveedor.

9. Al terminar el contrato

Cuando acabe tu suscripción:

• Durante 30 días podrás descargar todos los datos de tus clientes en un formato habitual (CSV o JSON, y PDF para las facturas).
• Pasado ese plazo, o antes si lo pides por escrito, se borran de la base de datos. Las copias de seguridad se borran solas en un máximo de [30 días] más.
• Si lo pides, te confirmaremos por escrito que se han borrado.
• Solo se guardará lo que una ley obligue a guardar, bloqueado y sin usarlo.

Los datos que tus clientes tengan en su propia cuenta de PB Athlete, como usuarios de la app, no son parte de este contrato: siguen siendo suyos y no se borran sin su permiso. Lo que deja de existir es tu acceso a ellos.

10. Duración

Este contrato dura lo mismo que tu suscripción a PB Coach, incluida la prueba gratuita, y lo que tarde en hacerse lo del punto 9. El deber de secreto sigue después.

11. Responsabilidad

Si el encargado incumple este contrato o usa los datos para algo distinto, será considerado responsable de ese tratamiento y responderá de ello (art. 28.10 RGPD). Lo demás sobre responsabilidad está en las condiciones de contratación.

12. Ley aplicable

Este contrato se rige por el RGPD, la ley española y, en lo demás, por las condiciones de contratación.