Acuerdo de tratamiento de datos

El Usuario, identificado en el momento del registro para el uso de la plataforma, los sitios web y los servicios relacionados de 1club EOOD, en su condición de Responsable del tratamiento (“Usuario” o “Responsable”), y

1club EOOD, con UIC 208644166, sociedad constituida y existente conforme a la legislación de la República de Bulgaria, con domicilio social y dirección de gestión en: 10 Tsar Osvoboditel Blvd., floor 3, Sofia, 1000, Bulgaria, en su condición de Encargado del tratamiento (“1club”, “nosotros” o “Encargado”),

en lo sucesivo denominados conjuntamente las “Partes” e individualmente una “Parte”,

teniendo en cuenta que:

(A) El Usuario utiliza la plataforma 1club (“Servicio”), accesible en 1club.ai y en las aplicaciones móviles relacionadas, para la gestión de instalaciones deportivas y de fitness, incluida la gestión de membresías, reservas, horarios, pagos y comunicación con los usuarios finales, socios del Usuario;

(B) En relación con la prestación del Servicio, 1club trata los datos personales de los usuarios finales (socios) del Usuario por cuenta del Usuario y de conformidad con sus instrucciones documentadas;

(C) Las Partes desean regular las condiciones del tratamiento de datos personales de conformidad con los requisitos del artículo 28 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, “RGPD”) y de la Ley de Protección de Datos Personales de la República de Bulgaria;

(D) Las Partes desean celebrar el presente acuerdo de tratamiento de datos personales (“Acuerdo”), que regula las condiciones del tratamiento de los Datos Personales del Usuario por parte del Encargado en relación con la prestación del Servicio.

LAS PARTES ACUERDAN LO SIGUIENTE:

1. DEFINICIONES

En el presente Acuerdo, los siguientes términos tendrán el significado que se indica a continuación:

“Responsable del tratamiento” o “Responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento de datos personales; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser establecidos por el Derecho de la Unión o de los Estados miembros. A efectos del presente Acuerdo, el Responsable es el Usuario.

“Datos Personales”: toda información sobre una persona física identificada o identificable (el interesado); se considera persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, mental, psicológica, económica, cultural o social de dicha persona.

“Datos Personales del Usuario”: los Datos Personales tratados por 1club por cuenta del Usuario en relación con la prestación del Servicio, según se describen en el Anexo 1.

“Violación de la seguridad de los datos personales”: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o el acceso no autorizados a dichos datos.

“Tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

“Encargado del tratamiento” o “Encargado”: la persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable del tratamiento. A efectos del presente Acuerdo, el Encargado es 1club EOOD.

“RGPD”: el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

“Subencargado del tratamiento”: cualquier tercero al que el Encargado recurra para llevar a cabo actividades de tratamiento específicas por cuenta del Responsable.

“Legislación Aplicable en materia de Protección de Datos”: el RGPD, la Ley de Protección de Datos Personales de la República de Bulgaria y cualquier otra legislación aplicable de la UE y/o de los Estados miembros de la UE en materia de protección de datos personales.

“Categorías Especiales de Datos Personales”: los datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o a la orientación sexual de una persona física.

“Interesado”: la persona física identificada o identificable, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, mental, psicológica, económica, cultural o social de dicha persona.

“Cláusulas Contractuales Tipo” o “CCT”: las cláusulas contractuales tipo aprobadas por la Comisión Europea aplicables a la transferencia de datos personales a Terceros Países.

“Tercer País”: cualquier país situado fuera del Espacio Económico Europeo (EEE).

“Servicio”: la plataforma 1club, accesible en 1club.ai y en las aplicaciones móviles relacionadas, para la gestión de instalaciones deportivas y de fitness, incluida la gestión de membresías, reservas, horarios, pagos y comunicación con los usuarios finales, socios del Usuario.

2. ÁMBITO DE APLICACIÓN.

2.1. El presente Acuerdo regula el tratamiento de los Datos Personales del Usuario por parte de 1club en relación con la prestación del Servicio.

2.2. En caso de conflicto entre las disposiciones del presente Acuerdo y cualquier otro contrato o acuerdo entre las Partes en materia de protección de datos personales, prevalecerán las disposiciones del presente Acuerdo.

2.3. El presente Acuerdo no se aplica a los tratamientos en los que 1club actúe como Responsable del tratamiento independiente.

3. CELEBRACIÓN DEL ACUERDO

3.1. Al crear un perfil registrado en 1club.ai, completar los datos de la solicitud de uso del Servicio para la identificación del Usuario (nombre y apellidos y dirección, en el caso de personas físicas; denominación, UIC y nombre y apellidos del representante, en el caso de personas jurídicas) y marcar la casilla obligatoria correspondiente de aceptación del presente Acuerdo:

3.1.1. Usted (como persona física), o la persona jurídica a la que representa, celebra con 1club un “Acuerdo de Tratamiento de Datos Personales”, que se aplica cuando tratamos datos personales que usted nos proporciona en su condición de Responsable del tratamiento de dichos datos personales.

3.1.2. Usted declara que dispone de la debida facultad de representación para celebrar el presente Acuerdo en nombre y por cuenta de una persona jurídica que tiene la condición de Usuario.

4. FUNCIONES DE LAS PARTES

4.1. En relación con los Datos Personales del Usuario, el Usuario actúa como Responsable y 1club actúa como Encargado.

4.2. El Usuario confirma que le corresponde cumplir sus obligaciones como Responsable conforme a la Legislación Aplicable en materia de Protección de Datos, entre ellas garantizar una base jurídica para el tratamiento, proporcionar información a los interesados y obtener los consentimientos necesarios (incluido el consentimiento parental para menores de 14 años, cuando corresponda).

5. OBLIGACIONES DEL RESPONSABLE E INSTRUCCIONES

5.1. El Responsable da instrucciones al Encargado sobre el tratamiento de los Datos Personales del Usuario de conformidad con la Legislación Aplicable en materia de Protección de Datos.

5.2. Las instrucciones del Responsable al Encargado se consideran documentadas mediante: (a) el presente Acuerdo y sus anexos; y (b) el uso por parte del Responsable de las funcionalidades del Servicio.

5.3. El Responsable garantiza que el tratamiento de los Datos Personales del Usuario que ha encomendado al Encargado es lícito y cuenta con una base jurídica válida.

6. OBLIGACIONES DEL ENCARGADO

6.1. El Encargado trata los Datos Personales del Usuario únicamente siguiendo instrucciones documentadas del Responsable, inclusive con respecto a las transferencias de datos personales a un Tercer País o a una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de un Estado miembro que se aplique al Encargado; en tal caso, el Encargado informará al Responsable de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

6.2. El Encargado informará inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otra Legislación Aplicable en materia de Protección de Datos.

6.3. El Encargado trata los Datos Personales del Usuario únicamente para prestar el Servicio, según se describe en el Anexo 1, y no los trata para fines propios.

7. CONFIDENCIALIDAD

7.1. El Encargado garantiza que las personas autorizadas para tratar los Datos Personales del Usuario se han comprometido a respetar la confidencialidad.

7.2. El Encargado garantiza que el acceso a los Datos Personales del Usuario se limita a los empleados y personas que lo necesiten para cumplir las obligaciones derivadas del presente Acuerdo.

8. SEGURIDAD DEL TRATAMIENTO

8.1. Teniendo en cuenta el estado de la técnica, los costos de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el Encargado aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

8.2. Las medidas técnicas y organizativas concretas que aplica el Encargado se describen en el Anexo 2 del presente Acuerdo y se actualizan cuando es necesario.

9. SUBENCARGADOS DEL TRATAMIENTO

9.1. El Responsable otorga al Encargado una autorización general por escrito para recurrir a Subencargados del tratamiento a efectos de la prestación del Servicio.

9.2. La lista de Subencargados del tratamiento aprobados a la fecha del presente Acuerdo figura en el Anexo 3.

9.3. El Encargado notificará al Responsable cualquier incorporación o sustitución prevista de un Subencargado del tratamiento con una antelación mínima de 30 días respecto al cambio previsto, proporcionando información suficiente sobre el nuevo Subencargado del tratamiento.

9.4. El Responsable tiene derecho a oponerse a la contratación de un nuevo Subencargado del tratamiento en un plazo de 30 días desde la recepción de la notificación. La oposición deberá estar motivada y referirse a la protección de los datos personales. En caso de oposición justificada, las Partes harán esfuerzos razonables para encontrar una solución mutuamente aceptable. Si no fuera posible alcanzar dicha solución, el Responsable tendrá derecho a dar por terminado el Acuerdo en la parte afectada por el cambio.

9.5. El Encargado celebrará con cada Subencargado del tratamiento un contrato por escrito que le imponga las mismas obligaciones de protección de datos que las establecidas en el presente Acuerdo. El Encargado seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones del Subencargado del tratamiento.

10. DERECHOS DE LOS INTERESADOS

10.1. Teniendo en cuenta la naturaleza del tratamiento, el Encargado asiste al Responsable, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, para que este pueda cumplir su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD.

10.2. El Encargado notificará al Responsable sin dilación indebida la recepción de cualquier solicitud de un interesado relativa a los Datos Personales del Usuario y no responderá por sí mismo a dicha solicitud salvo autorización expresa del Responsable.

11. ASISTENCIA AL RESPONSABLE

11.1. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Encargado ayuda al Responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, entre ellas la obligación de aplicar medidas de seguridad apropiadas (artículo 32), la obligación de notificar a la autoridad de control una violación de la seguridad de los datos personales (artículo 33), la obligación de comunicarla a los interesados en caso de alto riesgo (artículo 34), la realización de evaluaciones de impacto relativas a la protección de datos (artículo 35) y la consulta previa a la autoridad de control (artículo 36), cuando corresponda.

12. NOTIFICACIÓN DE UNA VIOLACIÓN DE LA SEGURIDAD DE LOS DATOS PERSONALES

12.1. El Encargado notificará al Responsable, sin dilación indebida y a más tardar en un plazo de 24 (veinticuatro) horas desde que tenga conocimiento de ella, cualquier Violación de la seguridad de los datos personales que afecte a los Datos Personales del Usuario.

12.2. La notificación incluirá, como mínimo:

(a) una descripción de la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados;

(b) una descripción de las posibles consecuencias de la violación;

(c) una descripción de las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus posibles efectos negativos;

(d) los datos de contacto de la persona de la que pueda obtenerse más información.

12.3. El Encargado coopera con el Responsable y adopta medidas razonables para ayudar en la investigación, la contención y la subsanación de las consecuencias de la violación.

12.4. La notificación o la asistencia por parte del Encargado no constituye un reconocimiento de culpa ni de responsabilidad por incumplimiento de las obligaciones derivadas del presente Acuerdo.

12.5. En caso de una Violación de la seguridad de los datos personales que pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas, el Encargado asiste al Responsable en la comunicación a los interesados afectados de conformidad con el artículo 34 del RGPD, en particular proporcionando la información de contacto disponible de los interesados afectados, ayudando a preparar las comunicaciones y asegurando canales de comunicación a efectos de la notificación, en la medida en que el Encargado disponga de ellos.

13. SUPRESIÓN O DEVOLUCIÓN DE LOS DATOS

13.1. A la terminación o expiración de la relación contractual de uso del Servicio, y a elección del Responsable, el Encargado suprime o devuelve al Responsable todos los Datos Personales del Usuario y suprime las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija la conservación de los datos personales.

13.2. Si el Responsable no da una instrucción expresa en el plazo de un mes desde la terminación de la relación contractual de uso del Servicio, el Encargado suprime los Datos Personales del Usuario, incluidas todas las copias.

13.3. La obligación de supresión no se aplica a los datos cuya conservación exija la legislación aplicable.

14. AUDITORÍA

14.1. El Encargado pone a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD, y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por el Responsable.

14.2. El Responsable notificará al Encargado cualquier auditoría prevista con una antelación mínima de 30 (treinta) días, salvo en los casos en que la auditoría sea exigida por una autoridad de control o esté relacionada con una violación de la seguridad.

14.3. Las auditorías se realizan en horario laboral habitual, de forma que no perturben injustificadamente las actividades del Encargado, y con sujeción a obligaciones de confidencialidad.

14.4. El Encargado podrá atender las solicitudes de auditoría proporcionando certificaciones actualizadas, informes de auditoría de terceros u otra documentación adecuada, en la medida en que dichos documentos abarquen el alcance de la inspección solicitada. En tales casos, no se lleva a cabo una auditoría in situ por parte del Responsable.

15. TRANSFERENCIAS INTERNACIONALES DE DATOS PERSONALES

15.1. El Encargado no transfiere Datos Personales del Usuario a un Tercer País ni a una organización internacional salvo que se cumplan las condiciones del capítulo V del RGPD, incluida la concurrencia de alguno de los siguientes supuestos:

(a) la existencia de una decisión de adecuación de la Comisión Europea respecto del país destinatario;

(b) la aportación de garantías adecuadas mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea;

(c) códigos de conducta o mecanismos de certificación aprobados; o

(d) otra base admisible con arreglo al artículo 49 del RGPD.

15.2. Cuando la transferencia se base en Cláusulas Contractuales Tipo, el Encargado realiza una evaluación de impacto de la transferencia y aplica medidas adicionales, cuando sea necesario, para garantizar un nivel de protección equivalente. El Encargado informa al Responsable de cualquier nueva transferencia de datos a un Tercer País antes de llevarla a cabo.

16. REGISTROS Y CUMPLIMIENTO

16.1. El Encargado lleva un registro de las actividades de tratamiento efectuadas por cuenta del Responsable.

16.2. Previa solicitud, el Encargado proporciona al Responsable información sobre las medidas de seguridad, los Subencargados del tratamiento y otros aspectos del tratamiento necesarios para demostrar el cumplimiento de la Legislación Aplicable en materia de Protección de Datos.

17. RESPONSABILIDAD

17.1. El Encargado indemnizará al Responsable por todos los daños directamente sufridos y los costos razonables, en la medida en que se deriven de un incumplimiento por parte del Encargado de sus obligaciones conforme al presente Acuerdo o a la Legislación Aplicable en materia de Protección de Datos, o de un tratamiento realizado al margen de las instrucciones escritas del Responsable o en contra de ellas. Esta cláusula regula únicamente las relaciones internas entre las partes y no limita los derechos de los interesados ni las competencias de las autoridades de control derivados de la Legislación Aplicable en materia de Protección de Datos.

18. DURACIÓN Y TERMINACIÓN

18.1. El presente Acuerdo entra en vigor en la fecha de su celebración, conforme a la cláusula 3.1 anterior, y permanece vigente durante todo el periodo en que el Encargado trate Datos Personales del Usuario en relación con la prestación del Servicio.

18.2. Cualquiera de las Partes podrá dar por terminado el presente Acuerdo mediante preaviso por escrito de 30 (treinta) días a la otra Parte en caso de que el Usuario deje de utilizar el Servicio. La terminación se entiende sin perjuicio de las obligaciones de supresión o devolución de los datos y de las obligaciones de confidencialidad, que seguirán vigentes tras la terminación.

18.3. El Responsable tiene derecho a dar por terminado el presente Acuerdo con efecto inmediato si el Encargado incumple de forma sustancial sus obligaciones conforme al presente Acuerdo o a la Legislación Aplicable en materia de Protección de Datos y no subsana el incumplimiento en un plazo de 30 (treinta) días desde la recepción de una notificación por escrito.

18.4. La terminación del presente Acuerdo conlleva también la terminación del contrato de prestación del Servicio.

19. DISPOSICIONES FINALES

19.1. El Encargado podrá modificar o completar unilateralmente el Acuerdo mediante notificación por escrito al Responsable, en la que indicará el contenido de la modificación, su motivo y la fecha de su entrada en vigor, que será al menos treinta (30) días calendario posterior a la notificación. Si el Responsable no está de acuerdo con la modificación y/o adición unilateral, tendrá derecho a dar por terminado el contrato mediante notificación por escrito al Encargado, enviada antes de la fecha de entrada en vigor de la modificación. Si el Responsable no ejerce su derecho de terminación dentro de dicho plazo y sigue ejecutando o utilizando el contrato después de la fecha de entrada en vigor de la modificación, esta se considerará aceptada, pasará a ser vinculante para las Partes y formará parte integrante del presente Acuerdo.

19.2. Si alguna disposición del presente Acuerdo se declara nula o inaplicable, las demás disposiciones conservarán su validez.

19.3. El presente Acuerdo se rige por la legislación de la República de Bulgaria. Todas las controversias derivadas del presente Acuerdo o relacionadas con él se resolverán ante el tribunal competente de la ciudad de Sofía (República de Bulgaria).

19.4. Ninguna de las Partes podrá ceder ni transmitir a terceros sus derechos u obligaciones derivados del presente Acuerdo sin el consentimiento previo por escrito de la otra Parte.

19.5. El presente Acuerdo, junto con sus anexos, constituye el acuerdo íntegro entre las Partes en relación con su objeto y sustituye a todos los pactos, negociaciones y acuerdos anteriores, verbales o escritos, entre las Partes relativos al tratamiento de datos personales.

19.6. Las declaraciones y comunicaciones escritas en virtud del presente Acuerdo se considerarán válidamente efectuadas si se realizan mediante mensajes de correo electrónico, haciendo clic en un botón electrónico o marcando una casilla en la plataforma, siempre que la declaración quede registrada técnicamente de forma que permita su reproducción. En las relaciones entre las Partes, la firma electrónica avanzada y la firma electrónica simple tienen el efecto jurídico de una firma manuscrita y vinculan a las Partes a las declaraciones de voluntad electrónicas realizadas.

19.7. Todas las notificaciones y comunicaciones en virtud del presente Acuerdo se envían a la dirección de correo electrónico asociada al perfil del Usuario para el uso del Servicio o, en su caso, a la dirección de correo electrónico del Encargado indicada en 1club.ai. Las comunicaciones se consideran recibidas desde el momento de su envío. Cada Parte está obligada a mantener actualizados los datos de contacto asociados al perfil o a la plataforma.

ANEXO 1

DESCRIPCIÓN DEL TRATAMIENTO

1. Objeto del tratamiento:

Tratamiento de datos personales de los usuarios finales (socios) del Usuario en relación con la prestación del Servicio de gestión de instalaciones deportivas y de fitness a través de la plataforma 1club.

2. Duración del tratamiento:

Durante toda la vigencia de la relación contractual de uso del Servicio entre el Usuario y 1club, incluido el plazo de supresión de los datos tras su terminación.

3. Naturaleza del tratamiento:

Recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, utilización, comunicación por transmisión, difusión, interconexión, limitación, supresión y destrucción de datos personales por medios automatizados.

4. Fines del tratamiento:

• Gestión de membresías y suscripciones;
• Gestión de horarios y reservas;
• Procesamiento de pagos y facturación;
• Envío de notificaciones y comunicación con los socios;
• Generación de informes y analíticas;
• Soporte del sitio web, del portal del cliente y de la aplicación móvil;
• Envío de mensajes de marketing;
• Asistentes de IA y automatización;
• Soporte técnico del Servicio.

5. Categorías de interesados:

• Socios (usuarios finales) del Usuario;
• Menores (cuando corresponda, con consentimiento parental);
• Empleados/instructores del Usuario;
• Personas de contacto del Usuario.

6. Categorías de datos personales:

• Datos identificativos: nombre, correo electrónico, número de teléfono;
• Datos demográficos: edad, fecha de nacimiento;
• Datos de membresía: estado, suscripción, origen de la cuenta;
• Datos de asistencia y reservas;
• Datos de pago;
• Preferencias, notas y configuración del perfil;
• Datos técnicos: dirección IP, tipo de dispositivo, tipo de navegador;
• Datos de localización;
• Datos sobre el uso del Servicio.
• Categorías especiales de datos personales.

7. Operaciones de tratamiento:

• Creación y gestión de perfiles de usuario;
• Gestión de reservas y asistencia;
• Procesamiento de pagos mediante la integración con proveedores de pago;
• Envío de correos electrónicos y SMS transaccionales;
• Almacenamiento de fotos de perfil y archivos multimedia;
• Generación de informes y analíticas;
• Prestación de funcionalidades de IA.

ANEXO 2

MEDIDAS TÉCNICAS Y ORGANIZATIVAS DE SEGURIDAD

El Encargado aplica las siguientes medidas técnicas y organizativas para garantizar la seguridad de los Datos Personales del Usuario:

1. Control de acceso

• Control de acceso basado en el principio de mínimo privilegio;
• Cuentas de usuario individuales para los empleados, con autenticación única;
• Política de contraseñas seguras y autenticación multifactor;
• Revisión periódica de los derechos de acceso.

2. Cifrado y protección durante la transmisión

• Cifrado de los datos en tránsito;
• Cifrado de los datos en reposo, cuando sea técnicamente adecuado;
• Gestión segura de las claves criptográficas.

3. Supervisión y registro

• Sistemas de supervisión en tiempo real de los accesos y las actividades;
• Registro de las operaciones críticas con datos personales;
• Sistemas de detección y prevención de accesos no autorizados.

4. Copias de seguridad y recuperación

• Realización periódica de copias de seguridad de los datos;
• Pruebas de los procedimientos de recuperación;
• Almacenamiento de las copias de seguridad en un entorno seguro con acceso restringido.

5. Separación de entornos y controles de pruebas

• Separación de los entornos de desarrollo, pruebas y producción (sandboxing);
• Restricción de las notificaciones automáticas (correos electrónicos, SMS) en los entornos de pruebas, de forma predeterminada o mediante una lista de permitidos;
• Prohibición de utilizar datos personales reales en entornos de pruebas sin un control expreso.

6. Minimización de datos

• Tratamiento únicamente de los datos necesarios para cada fin concreto;
• Lista de verificación de minimización de datos y base jurídica para las funciones de importación;
• Revisión periódica de los datos almacenados y supresión de los registros innecesarios.

7. Gestión de incidentes

• Procedimiento documentado de respuesta a incidentes de seguridad;
• Equipo designado de respuesta a incidentes;
• Documentación, análisis y medidas correctivas tras cada incidente.

8. Gestión de proveedores (Subencargados del tratamiento)

• Evaluación de las medidas de seguridad de los proveedores antes de contratarlos;
• Obligaciones contractuales de protección de datos con todos los Subencargados del tratamiento;
• Revisión periódica del cumplimiento por parte de los proveedores.
• Revisión manual de las funcionalidades basadas en IA que tratan datos personales (supervisión humana o human-in-the-loop);
• Minimización del volumen de datos personales transmitidos a los modelos de IA;
• Cuando corresponda, uso de un modo de API sin conservación de datos;
• Prohibición de entrenar modelos de IA con Datos Personales del Usuario;
• Uso exclusivo de servicios basados en IA para clientes empresariales, en los que el proveedor del servicio correspondiente no tiene acceso a los datos tratados por el Encargado.

9. Confidencialidad y capacitación del personal

• Obligaciones de confidencialidad para todos los empleados con acceso a datos personales;
• Capacitación periódica de los empleados en materia de protección de datos personales;
• Políticas de uso aceptable y de seguridad de la información.

10. Desarrollo seguro

• Principios de protección de datos desde el diseño y por defecto;
• Revisión de código y pruebas de seguridad;
• Gestión de vulnerabilidades y aplicación oportuna de parches.

ANEXO 3

SUBENCARGADOS DEL TRATAMIENTO APROBADOS