Contrato de encargo de tratamiento

Última actualización: 10 de octubre de 2026

1. Partes y objeto

Este contrato regula el encargo de tratamiento de datos personales (art. 28 del Reglamento (UE) 2016/679, RGPD) entre el entrenador titular de una cuenta en Provido, que actúa como responsable del tratamiento respecto de los datos de sus clientes, y el titular de Provido (ver Aviso legal), que actúa como encargado del tratamiento.

Este contrato forma parte de los Términos del servicio y se acepta junto con ellos al crear una cuenta de entrenador. Su objeto es el tratamiento de datos personales de los clientes del entrenador necesario para prestar el servicio Provido.

2. Duración

El encargo dura mientras la cuenta del entrenador esté activa. Al cerrarse la cuenta se aplica lo previsto en la cláusula 7.

3. Naturaleza y finalidad del tratamiento

Alojamiento, conservación, consulta, modificación y supresión de los datos que el entrenador o sus clientes registran en Provido, con la única finalidad de prestar el servicio de seguimiento y gestión descrito en los Términos: planes de alimentación y entrenamiento, registro de comidas, sesiones y medidas, y priorización de la atención del entrenador. Incluye también enviar avisos al móvil del cliente en nombre del entrenador (revisiones y cambios en su guía u objetivo), enviar al cliente los correos del servicio (invitación, recuperación de contraseña, código para confirmar la baja y aviso previo a la eliminación de una cuenta sin entrenador) y atender directamente las solicitudes del cliente de descarga de sus datos y de baja de su cuenta.

Cuando un cliente acepta la invitación de otro entrenador, deja de ser cliente de este: el entrenador anterior deja de acceder a sus datos, y el nuevo solo accede a lo que el cliente registre desde ese momento.

Además, de los clientes que lo consienten expresamente en una casilla aparte y opcional, Provido utiliza indicadores derivados y seudonimizados de ese seguimiento —adherencia, constancia, evolución, los avisos que genera y la opinión del entrenador sobre ellos— para mejorar el propio servicio y los indicadores que calcula, y para elaborar estadísticas agregadas sin persona identificable. Para esa finalidad concreta, y conforme al art. 28.10 RGPD, Provido actúa como responsable del tratamiento, con la base jurídica que recoge la Política de privacidad. Provido no utiliza estos datos para ninguna otra finalidad propia, no los cede a terceros y no los emplea con fines publicitarios.

4. Tipos de datos y categorías de interesados

• Interesados: los clientes del entrenador, siempre mayores de 18 años, y las personas a las que el entrenador invita y que todavía no tienen cuenta.
• Datos identificativos y de contacto: nombre, correo electrónico y, si el cliente lo da, teléfono; de las personas invitadas, solo el correo electrónico.
• Datos de seguimiento, incluidos datos relativos a la salud (art. 9 RGPD): perfil (fecha de nacimiento, sexo, altura, país, objetivo, nivel de actividad, preferencias e intolerancias alimentarias), peso, medidas corporales, fotografías de progreso, registros de alimentación y de entrenamiento, pasos diarios, objetivos y, si el entrenador lo pide, valoraciones periódicas del cliente sobre su sueño, hambre, energía y molestias, y sus respuestas a las preguntas que el entrenador añada a la revisión, con una nota opcional.
• Datos que apunta el entrenador: notas breves de contacto sobre el cliente y la fecha en que renueva con él.
• Datos técnicos: el identificador del móvil del cliente para enviarle avisos, si los acepta.

5. Obligaciones de Provido como encargado

• Tratar los datos únicamente para prestar el servicio y conforme a este contrato, sin usarlos para fines propios ni cederlos a terceros con fines comerciales.
• Garantizar que las personas con acceso a los datos están sujetas a un deber de confidencialidad.
• Aplicar las medidas de seguridad técnicas y organizativas apropiadas (art. 32 RGPD) descritas en la Política de privacidad.
• Asistir al entrenador, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, en la atención de los derechos de los interesados (acceso, rectificación, supresión, oposición, portabilidad y limitación) y en el cumplimiento de sus obligaciones de seguridad. Provido pone a disposición del cliente, desde la aplicación, la descarga de sus datos y la baja de su cuenta.
• Notificar al entrenador sin dilación indebida las violaciones de seguridad de los datos de las que tenga conocimiento y que afecten a los datos de sus clientes.
• Poner a disposición del entrenador la información necesaria para demostrar el cumplimiento de este contrato.

6. Subencargados

El entrenador autoriza de forma general la contratación de los siguientes subencargados, que tratan los datos con garantías equivalentes a las de este contrato. Provido informará de cualquier cambio en esta lista mediante la actualización de esta página y, si el cambio es sustancial, por correo electrónico, pudiendo el entrenador oponerse cerrando su cuenta:

• Railway Corp. (EE. UU.) — alojamiento de la aplicación y de la base de datos, con infraestructura en región de la Unión Europea.
• Cloudflare, Inc. (EE. UU.) — red de entrega e intermediario (proxy) de la aplicación, con red global; almacenamiento de imágenes y copias de seguridad (R2), con jurisdicción en la UE.
• 650 Industries, Inc. (Expo) (EE. UU.) — envío de los avisos al móvil del cliente (recibe el identificador del móvil y el texto de cada aviso) y distribución de las actualizaciones de la aplicación. Los avisos se entregan a través de Apple Push Notification service (Apple Inc., EE. UU.) o Firebase Cloud Messaging (Google LLC, EE. UU.).
• Resend, Inc. (EE. UU.) — envío de correos transaccionales (por ejemplo, la invitación que recibe el cliente).
• Functional Software, Inc. (Sentry) (EE. UU.) — registro de los errores técnicos de la aplicación para su diagnóstico, con la organización alojada en la Unión Europea. No recibe datos identificativos: el usuario se identifica únicamente mediante un identificador interno.

Las transferencias internacionales derivadas de estos proveedores se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea (art. 46 RGPD).

7. Fin del encargo

Al cerrarse la cuenta del entrenador, se borran los datos que son del entrenador —sus guías, rutinas y planes, sus notas sobre los clientes, sus invitaciones y los indicadores derivados de su cartera—. Las cuentas de sus clientes y su historial no se borran: siguen siendo de cada cliente, que puede descargarlos, darse de baja o vincularse con otro entrenador, y se rigen por los plazos de la Política de privacidad (entre ellos, la eliminación de la cuenta de un cliente que pasa 13 meses sin entrenador, con aviso previo). Lo mismo ocurre cuando el entrenador deja de llevar a un cliente. Antes del cierre, el entrenador puede solicitar una copia de los datos de sus clientes escribiendo a team@provido.app; se le entregará en un formato estructurado y de uso común en el plazo máximo de un mes. Cada cliente puede, además, descargar los suyos desde la aplicación. Se conservarán, bloqueados, los datos que deban mantenerse por obligación legal.

De la relación entre el entrenador y cada cliente se conserva, una vez anonimizada —sin nombre, sin correo y sin ningún dato de seguimiento—, la fecha en que empezó, la fecha en que terminó y el motivo, con el único fin de medir la calidad del servicio. Esa información ya no permite identificar a nadie y, por tanto, deja de ser un dato personal.

8. Obligaciones del entrenador como responsable

• Contar con una base jurídica válida para tratar los datos de sus clientes y, en particular, con su consentimiento explícito para los datos relativos a la salud (arts. 6 y 9 RGPD), consentimiento que Provido recoge en el alta del cliente por cuenta del entrenador. El consentimiento opcional para la mejora del servicio (cláusula 3) lo recoge Provido para sí, en una casilla aparte.
• Registrar únicamente datos veraces, pertinentes y de personas mayores de 18 años.
• Atender los derechos de sus clientes como responsable del tratamiento e informarles del tratamiento conforme a los arts. 13 y 14 RGPD.
• Impartir a Provido únicamente instrucciones lícitas.