Aquest contracte regula el tractament de dades personals que Adrià Colomer Serra (l'«encarregat») realitza per compte de cada client de Pranarp (el «responsable») en prestar-li el servei, d'acord amb l'article 28 del RGPD i l'article 33 de la LOPDGDD. Forma part dels Termes del servei i el responsable l'accepta en donar-se d'alta. La seva versió vigent és la 2026-10.
1. Objecte, durada i finalitat
L'encarregat tracta les dades personals que el responsable introdueix o genera a l'aplicació amb l'única finalitat de prestar-li el servei contractat: allotjament, gestió de clients, reserves, activitats, cobraments, facturació, comunicacions, informes i la resta de funcions que el responsable decideixi utilitzar. El tractament dura el mateix que el contracte de servei i, després, el temps necessari per retornar o eliminar les dades segons l'apartat 9.
2. Tipus de dades i persones afectades
- Persones afectades: clients, socis, alumnes, pacients, assistents i potencials clients del responsable; els seus tutors legals; treballadors i col·laboradors del responsable.
- Dades: identificatives i de contacte; dades de reserves, assistència, membresies, bons i activitats; dades econòmiques, de facturació i bancàries (IBAN i mandats SEPA; les dades de targeta les tracta Stripe directament); comunicacions; documents i signatures; dades d'horaris i nòmines de treballadors, i qualsevol altra que el responsable decideixi registrar.
- Categories especials: si el responsable registra dades de salut o altres categories especials (per exemple, en notes o fitxes), ho fa sota la seva responsabilitat i ha de disposar d'una base legal adequada. L'encarregat els aplica les mateixes mesures de seguretat que a la resta de dades.
3. Obligacions de l'encarregat
L'encarregat es compromet a:
- tractar les dades només seguint les instruccions documentades del responsable, que són aquest contracte i la configuració i l'ús que el responsable fa de l'aplicació, també pel que fa a transferències internacionals; si considera que una instrucció infringeix la normativa, li ho comunicarà immediatament;
- no utilitzar les dades per a finalitats pròpies ni comunicar-les a tercers, tret dels subencarregats autoritzats o per obligació legal;
- garantir que les persones autoritzades a tractar les dades s'han compromès a respectar-ne la confidencialitat i han rebut la formació necessària;
- aplicar les mesures de seguretat de l'apartat 5;
- ajudar el responsable a atendre les sol·licituds d'exercici de drets de les persones afectades, sobretot mitjançant les funcions de l'aplicació (consulta, rectificació, exportació i eliminació de fitxes), i traslladar-li sense demora qualsevol sol·licitud que rebi directament;
- ajudar el responsable a complir les seves obligacions de seguretat, de notificació de violacions de seguretat i, si escau, d'avaluació d'impacte i consulta prèvia, tenint en compte la naturalesa del tractament i la informació de què disposi;
- posar a disposició del responsable la informació necessària per demostrar el compliment d'aquest contracte i permetre auditories raonables, avisades amb almenys 30 dies d'antelació, a càrrec del responsable i sense comprometre la seguretat ni la confidencialitat d'altres clients.
4. Obligacions del responsable
El responsable garanteix que les dades que introdueix a l'aplicació s'han obtingut lícitament, que disposa d'una base legal per tractar-les (inclòs l'enviament de comunicacions als seus clients), que ha informat les persones afectades i que només registra les dades necessàries. També és responsable de gestionar els accessos del seu equip i els permisos que els concedeix.
5. Mesures de seguretat
- Xifratge de les comunicacions (HTTPS/TLS) i contrasenyes emmagatzemades amb funcions de resum (hash) segures.
- Aïllament lògic de les dades de cada empresa i control d'accessos per rols i permisos.
- Allotjament en centres de dades d'IONOS a la Unió Europea, amb mesures físiques de seguretat.
- Còpies de seguretat periòdiques i procediments de restauració.
- Registre de l'activitat rellevant i monitorització d'errors.
- Actualitzacions de seguretat del programari i de les seves dependències.
- Accés del personal de l'encarregat a les dades del responsable limitat al que sigui necessari per prestar suport o resoldre incidències.
6. Violacions de seguretat
L'encarregat notificarà al responsable, sense dilació indeguda i en un termini màxim de 48 hores des que en tingui coneixement, qualsevol violació de la seguretat que afecti les seves dades. Hi inclourà la informació disponible: naturalesa de la violació, categories i nombre aproximat de persones i registres afectats, conseqüències probables i mesures adoptades o proposades. La notificació a l'autoritat de control i a les persones afectades correspon al responsable, amb l'ajuda de l'encarregat.
7. Subencarregats
El responsable autoritza de manera general l'encarregat a recórrer als subencarregats de la llista següent. L'encarregat els imposa per contracte les mateixes obligacions de protecció de dades que assumeix en aquest contracte i respon del seu compliment. Els marcats com a «opcional» només tracten dades si el responsable activa la funció corresponent.
L'encarregat avisarà el responsable de qualsevol alta o substitució de subencarregats amb almenys 15 dies d'antelació, per correu electrònic o a l'aplicació. El responsable s'hi pot oposar per motius raonables relacionats amb la protecció de dades; si no s'arriba a una solució, podrà cancel·lar el servei sense penalització.
| Subencarregat | Servei | Ubicació | Garantia |
|---|---|---|---|
| IONOS SE | Allotjament de l'aplicació, base de dades, fitxers i còpies de seguretat; enviament de correu electrònic | UE (Alemania / España) | Tractament a la UE |
| Stripe Payments Europe, Ltd. | Cobrament de la subscripció i pagaments en línia i domiciliacions dels centres | UE (Irlanda) | Marc de privadesa de dades UE-EUA i clàusules contractuals tipus |
| Functional Software, Inc. (Sentry) | Monitorització d'errors tècnics | EE. UU. | Clàusules contractuals tipus |
| Cloudflare, Inc. (Turnstile) | Protecció antispam dels formularis | EE. UU. / UE | Marc de privadesa de dades UE-EUA i clàusules contractuals tipus |
| Google Ireland Ltd. / Google LLC | Inici de sessió amb Google, autocompletat d'adreces i, amb consentiment, analítica | UE (Irlanda) / EE. UU. | Marc de privadesa de dades UE-EUA i clàusules contractuals tipus |
| Anthropic, PBC | Funcions d'intel·ligència artificial (assistent i anàlisi) opcional | EE. UU. | Clàusules contractuals tipus |
| OpenAI, L.L.C. | Funcions d'intel·ligència artificial, si el centre tria aquest proveïdor opcional | EE. UU. | Marc de privadesa de dades UE-EUA i clàusules contractuals tipus |
| Meta Platforms Ireland Ltd. (WhatsApp Business) | Enviament de notificacions per WhatsApp opcional | UE (Irlanda) / EE. UU. | Marc de privadesa de dades UE-EUA i clàusules contractuals tipus |
| Twilio Ireland Ltd. | Enviament de notificacions per SMS opcional | UE (Irlanda) / EE. UU. | Marc de privadesa de dades UE-EUA i clàusules contractuals tipus |
| BunnyWay d.o.o. (bunny.net) | Allotjament i reproducció de vídeos del contingut digital opcional | UE (Eslovenia) | Tractament a la UE |
| Bilbabit, S.L. (Verifacti) | Enviament dels registres de facturació VeriFactu a l'Agència Tributària opcional | UE (España) | Tractament a la UE |
8. Transferències internacionals
Les dades s'allotgen a la Unió Europea. Quan un subencarregat les tracta fora de l'Espai Econòmic Europeu, la transferència s'empara en una decisió d'adequació (inclòs el Marc de privadesa de dades UE-EUA per a les entitats adherides) o en les clàusules contractuals tipus de la Comissió Europea, amb les mesures complementàries necessàries.
9. Devolució i eliminació de les dades
En acabar el servei, el responsable pot exportar les seves dades durant 30 dies o demanar a l'encarregat que les hi lliuri en un format estructurat i d'ús comú. Transcorreguts 90 dies des de la fi del contracte, l'encarregat elimina les dades dels seus sistemes actius, i les còpies de seguretat se sobreescriuen en el seu cicle habitual. L'encarregat pot conservar bloquejades les dades estrictament necessàries mentre puguin derivar-se responsabilitats de l'execució del servei.
10. Responsabilitat i vigència
Cada part respon dels incompliments que li siguin imputables d'acord amb l'article 82 del RGPD. Si l'encarregat tracta les dades per a finalitats pròpies o incompleix aquest contracte, serà considerat responsable d'aquest tractament. Aquest contracte està vigent mentre ho estigui el contracte de servei i, després, mentre l'encarregat conservi dades del responsable. Per a qualsevol consulta, escriu a support@pranarp.com.