Contrato de encargo de tratamiento de datos

Última actualización: junio de 2026

Partes

Responsable del tratamiento (el Cliente): la persona física o jurídica que contrata los servicios de Mi Liga Social para gestionar su liga social, pozo, evento o comunidad deportiva. Sus datos quedan identificados en el presupuesto o contrato individual suscrito con el Prestador.

Encargado del tratamiento (el Prestador):
Nombre: Mi Liga Social
Correo electrónico: info@miligasocial.es

1. Objeto

El Prestador tratará datos personales de los participantes de la liga o evento del Cliente (jugadores, socios, asistentes) con el único fin de prestar el servicio contratado: despliegue, mantenimiento y operación de la web de liga social, incluyendo la gestión de rankings, jornadas, resultados, porras, fotos, medallas y patrocinadores.

2. Naturaleza de los datos tratados

Los datos que el Prestador tratará en nombre del Cliente son, con carácter general:

• Nombre o apodo (nick) de los participantes.
• Resultados deportivos (puntos, victorias, derrotas).
• Fotos de jornadas o eventos aportadas por el Cliente o los propios participantes.
• Dirección IP y agente de usuario en caso de acceso autenticado.
• Cualquier otro dato que el Cliente decida incluir en el sistema dentro del alcance del servicio.

El Cliente es responsable de recabar el consentimiento o de disponer de la base legal adecuada para tratar los datos de sus participantes antes de incorporarlos al sistema.

3. Instrucciones de tratamiento

El Prestador tratará los datos exclusivamente siguiendo las instrucciones documentadas del Cliente. Si el Prestador considera que alguna instrucción vulnera el RGPD u otra normativa aplicable, lo comunicará de inmediato al Cliente por escrito.

El Prestador no utilizará los datos para finalidades propias ni los cederá a terceros sin autorización expresa del Cliente, salvo obligación legal.

4. Medidas de seguridad

El Prestador aplicará, como mínimo, las siguientes medidas técnicas y organizativas:

• Cifrado de las comunicaciones mediante HTTPS/TLS en todos los accesos a la web.
• Acceso al panel de administración protegido por contraseña y restringido al personal autorizado.
• Contraseñas almacenadas con hash (bcrypt o equivalente), nunca en texto plano.
• Copias de seguridad periódicas de la base de datos, almacenadas en el mismo VPS o en ubicación segura equivalente.
• Actualización razonable de los componentes de software para corregir vulnerabilidades conocidas.

5. Subencargados

El Prestador utiliza los siguientes subencargados para la prestación del servicio:

• Proveedor de VPS / hosting: Hetzner — alojamiento de la infraestructura técnica.
• Proveedor de correo transaccional: DonDominio SMTP — envío de notificaciones automáticas.

El Prestador se compromete a notificar al Cliente cualquier cambio previsto en los subencargados con al menos treinta (30) días de antelación, dando al Cliente la posibilidad de oponerse. Los subencargados quedan sujetos a las mismas obligaciones de protección de datos que el Prestador.

6. Notificación de brechas de seguridad

El Prestador notificará al Cliente, sin dilación indebida y en todo caso en un plazo máximo de 72 horas desde que tenga conocimiento de ello, cualquier violación de seguridad que afecte a los datos personales tratados en virtud de este contrato. La notificación incluirá, como mínimo: naturaleza de la brecha, categorías y número aproximado de personas afectadas, posibles consecuencias y medidas adoptadas o propuestas.

7. Asistencia al Cliente

El Prestador asistirá razonablemente al Cliente para que pueda cumplir con sus obligaciones en materia de derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición y limitación), así como en la realización de evaluaciones de impacto cuando proceda. Esta asistencia se prestará en los plazos que permitan al Cliente cumplir con los plazos legales aplicables.

8. Supresión o devolución de datos al finalizar el contrato

A la finalización del contrato de prestación de servicios, el Prestador pondrá a disposición del Cliente, durante un plazo de 30 días naturales, una exportación completa de los datos en formato CSV o equivalente. Transcurrido dicho plazo sin solicitud expresa del Cliente, el Prestador procederá a la eliminación segura de todos los datos personales tratados, salvo que la normativa aplicable exija su conservación.

9. Auditorías

El Prestador pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente contrato y permitirá la realización de auditorías, incluidas inspecciones, realizadas por el Cliente o un auditor autorizado por este, con un preaviso razonable y sin entorpecer la actividad ordinaria.

10. Duración

Este contrato de encargo de tratamiento estará vigente mientras dure la relación contractual entre el Cliente y el Prestador. La finalización del contrato de servicios conlleva automáticamente la finalización del encargo de tratamiento en los términos del apartado 8.

11. Legislación aplicable

Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española aplicable en materia de protección de datos. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio del Prestador.