Roster Acuerdo de encargado del tratamiento
Última actualización: 30 de julio de 2026
El contrato que exige el artículo 28 del RGPD entre cada profesional y Roster Studio. Se acepta al crear la cuenta y forma parte de las condiciones del servicio.
1 · Partes
| Papel | Quién |
|---|---|
| Responsable del tratamiento | El profesional titular de la cuenta, respecto a los datos de sus propios clientes |
| Encargado del tratamiento | Antonio Jesús Cañete Vidal (Tecnobaris Digital), titular de Roster Studio |
2 · Objeto y duración
El encargado tratará datos personales por cuenta del responsable con la única finalidad de prestarle el servicio de Roster Studio: almacenar, mostrar, transmitir y respaldar la información que el responsable y sus clientes introduzcan.
El acuerdo está vigente mientras exista la cuenta y durante los 30 días posteriores a su baja, plazo previsto para la devolución o supresión de los datos.
3 · Datos y personas afectadas
Categorías de interesados: los clientes del responsable, y en su caso los miembros de su equipo.
Categorías de datos:
- Identificativos y de contacto: nombre, correo, teléfono.
- Datos de la relación profesional: objetivos, notas, estado, cuota, historial de citas.
- Datos de categoría especial (art. 9 RGPD): datos de salud, incluyendo peso, medidas corporales, fotografías del cuerpo, sensaciones subjetivas, adherencia, lesiones, limitaciones físicas y cualquier información aportada en cuestionarios o mensajes.
4 · Obligaciones del encargado
El encargado se compromete a:
- Tratar los datos solo siguiendo instrucciones del responsable y exclusivamente para prestar el servicio. No usarlos para fines propios, no cederlos a terceros, no venderlos y no emplearlos para entrenar modelos de inteligencia artificial.
- Guardar confidencialidad, también después de finalizar la relación, y garantizar que cualquier persona con acceso asuma el mismo deber.
- Aplicar las medidas de seguridad del apartado 6.
- Asistir al responsable cuando un interesado ejerza sus derechos: facilitar la localización, exportación, rectificación o supresión de los datos que le afecten.
- Notificar sin dilación indebida cualquier violación de la seguridad de los datos, con la información necesaria para que el responsable pueda cumplir sus propias obligaciones de notificación.
- Advertir al responsable si considera que una instrucción suya infringe la normativa de protección de datos.
- Poner a disposición del responsable la información necesaria para acreditar el cumplimiento de este acuerdo.
- Al finalizar, devolver o suprimir los datos según elija el responsable, y suprimir también las copias, salvo obligación legal de conservación.
5 · Subencargados
El responsable autoriza al encargado a recurrir a los siguientes subencargados, con los que el encargado mantiene los correspondientes acuerdos. Es la lista completa:
| Subencargado | Servicio | Ubicación del tratamiento |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de archivos | Unión Europea |
| Netlify | Alojamiento de la aplicación (sin almacenamiento de datos personales) | Red global de distribución |
| Resend | Envío de correos de aviso | Unión Europea (Irlanda) |
| Stripe | Procesamiento de cobros, cuando aplique | Unión Europea, con transferencias amparadas |
| Anthropic | Generación asistida de borradores, únicamente si el responsable activa expresamente esa función. Se transmiten parámetros de entrenamiento redactados por el responsable; no se transmiten datos identificativos ni el historial de ningún interesado. | Estados Unidos, con cláusulas contractuales tipo |
El encargado informará al responsable con al menos 30 días de antelación de cualquier incorporación o sustitución de subencargados. Si el responsable se opone, podrá resolver el contrato sin penalización antes de que el cambio surta efecto.
6 · Medidas de seguridad
Atendiendo a que se tratan datos de categoría especial, se aplican al menos:
- Aislamiento entre responsables a nivel de base de datos, mediante políticas de seguridad por fila. Un profesional no puede acceder a datos de otro ni manipulando la aplicación. Verificado con pruebas específicas de aislamiento.
- Restricción de acceso por interesado: cada cliente accede únicamente a sus propios datos.
- Fotografías en almacenamiento privado, no accesibles por dirección pública. El acceso se realiza mediante enlaces firmados con caducidad de una hora.
- Cifrado en tránsito mediante TLS y cifrado en reposo.
- Contraseñas almacenadas mediante funciones de derivación de clave; no son recuperables ni consultables por el encargado.
- Copias de seguridad periódicas y control de acceso a la infraestructura.
- Registro de los envíos de comunicaciones realizados.
- Alojamiento de los datos en la Unión Europea.
7 · Obligaciones del responsable
Corresponde al profesional, como responsable:
- Informar a sus clientes del tratamiento y de la identidad del responsable, y obtener su consentimiento explícito para tratar datos de salud.
- Determinar qué datos recoge y con qué finalidad, y no introducir datos innecesarios.
- Atender los derechos de sus clientes, con la asistencia del encargado.
- Valorar si su actividad requiere una evaluación de impacto y realizarla en su caso.
- Mantener actualizada su propia política de privacidad, mencionando a Roster Studio como encargado y a los subencargados de la lista anterior.
8 · Aceptación
Este acuerdo se acepta de forma expresa al crear la cuenta de profesional y queda registrado con fecha y versión. Constituye el acuerdo de tratamiento exigido por el artículo 28.3 del RGPD y prevalece sobre cualquier disposición contraria de las condiciones generales en materia de protección de datos.
Roster Studio · Un producto de Tecnobaris Digital · Linares, Jaén