En corto
El club es el responsable de los datos de sus socios y el programa que usa es el encargado. El artículo 28 del RGPD obliga a que entre los dos haya un contrato por escrito, y sin él responde el club, no el proveedor.
Quién responde de los datos de tus socios
Esta distinción no es un tecnicismo de abogados. Determina dos cosas muy concretas: quién paga la multa si hay una filtración y a quién tiene que escribir un socio si quiere que borren sus datos. En los dos casos, el club.
Por eso el RGPD no deja que esa relación sea de palabra. El artículo 28.3 exige un contrato escrito que fije qué puede hacer el encargado y qué no. Si no existe, el incumplimiento es del responsable — es decir, del club.
Qué tiene que decir ese contrato
El artículo 28.3 enumera lo que no puede faltar. Traducido a lo que de verdad importa en un club:
| Lo que exige la ley | Qué significa para tu club |
|---|---|
| Objeto, duración y finalidad | Para qué usa tus datos el programa y hasta cuándo |
| Tipos de datos y categorías de interesados | Nombres, DNI, cuotas, consumos… y de quién: socios, empleados |
| Actuar solo bajo tus instrucciones | El proveedor no puede usar tus datos para lo suyo |
| Confidencialidad de quien accede | Quién del proveedor puede ver la base de datos |
| Medidas de seguridad (art. 32) | Cifrado, copias, control de accesos |
| Régimen de subencargados | A quién subcontrata: alojamiento, correo, copias |
| Ayudarte con los derechos de los socios | Que puedas atender un borrado o un acceso sin pelearte |
| Notificarte las brechas sin dilación | Que te avisen a ti, que eres quien tiene que notificar |
| Devolver o borrar al terminar | Qué pasa con tus datos el día que te vas |
| Permitir auditorías | Que puedas comprobar lo que dice el contrato |
Cómo lo resuelve Kommyt
En el programa de gestión de socios de Kommyt el contrato de encargado se firma en el alta, antes de que exista el negocio. No se puede dar de alta un club sin aceptarlo: no es una casilla que se pueda saltar, es un paso del formulario.
Y al aceptarlo se guarda el hash SHA-256 del texto exacto que se firmó. Eso resuelve el problema de fondo de los contratos web: poder demostrar, meses después, qué versión aceptó cada cual. Si alguien edita el texto sin subir la versión, la huella deja de cuadrar y se nota.
Un contrato que no se puede probar es una declaración de intenciones. La huella es lo que lo convierte en prueba.
El contrato está publicado y se puede leer entero antes de dar ningún dato: contrato de encargado del tratamiento.
Qué hacer esta semana si tu club ya usa un programa
- Busca el contrato de encargado de tu proveedor actual. Si no lo encuentras en dos minutos, pídelo por escrito.
- Compruébalo contra la tabla de arriba. Fíjate sobre todo en los subencargados y en qué pasa al darte de baja.
- Guarda una copia con la fecha en que lo aceptaste. Si el proveedor no te da forma de probarlo, apúntalo tú.
- Revisa quién de tu club tiene acceso a la base de datos, y quítaselo a quien ya no esté.
- Anota el proveedor en tu registro de actividades de tratamiento.
Los cinco pasos son gratis y llevan una tarde. El cuarto es el que más problemas evita: en la práctica, la mayoría de los sustos de datos en un club no son ataques, son ex empleados que siguen entrando.
Preguntas frecuentes
¿Necesito contrato si el programa es gratis?
Sí. La obligación no depende de que se pague: depende de que un tercero trate datos por tu cuenta. Un programa gratuito que guarda los datos de tus socios es un encargado igual que uno de pago.
¿Y si llevo los socios en una hoja de cálculo mía?
Entonces no hay encargado y no hace falta este contrato — pero sigues siendo responsable: necesitas registro de actividades, base legal y medidas de seguridad. Y si esa hoja está en un servicio en la nube, el servicio sí es un encargado.
¿El contrato lo tiene que revisar un abogado?
Antes de firmarlo con terceros, sí. El de Kommyt está redactado siguiendo el artículo 28 y declara sus propias carencias, pero eso no sustituye a que alguien lo mire con tu caso concreto delante.
¿Qué pasa con los datos si dejo de usar el programa?
Tiene que decirlo el contrato: devolución o borrado, y en qué plazo. En Kommyt puedes exportar la copia íntegra de tu negocio en cualquier momento, sin pedir permiso ni esperar.
Y desde aquí
Kommyt para clubes socialesSocios, cuotas, mostrador y aforo, con el contrato firmado desde el altaEl contrato, enteroEl texto que se firma, publicado y legible antes de dar ningún datoPolítica de privacidadQué datos trata Kommyt de ti como cliente, que es otra cosaEsto es una guía, no asesoramiento jurídico ni fiscal. Antes de tomar una decisión con consecuencias legales, consúltalo con quien corresponda.