Acuerdo de encargo del tratamiento

Quiénes somos

xBase360 (empresario individual) presta la plataforma xBase360 y es responsable del tratamiento de tus datos tal como se describe a continuación.

• Dirección postal: Gravin Juliana van Stolberglaan 31, 2263 AB Leidschendam, Países Bajos (no se atienden visitas)
• Número de la Cámara de Comercio neerlandesa (KvK): 42093846
• Número de IVA: NL005494735B95
• Correo electrónico: support@xbase360.com
• Teléfono: +31 70 204 2081
• Preguntas sobre privacidad: privacy@xbase360.com

1. A qué se refiere

Usas xBase360 para acompañar a tus miembros. Al hacerlo, tratas en nuestro sistema datos personales de tus miembros y empleados. Respecto de esos datos, tú eres el responsable del tratamiento y nosotros somos el encargado del tratamiento (artículo 28 del RGPD). Este acuerdo se aplica automáticamente en cuanto creas una cuenta de empresa; si lo solicitas, también lo firmamos.

Para algunos tratamientos somos nosotros los responsables: la gestión de las cuentas y de la plataforma, la seguridad y el registro de actividad, la facturación a ti y los servicios que un miembro contrata directamente con nosotros sin tu intervención. Figuran en el anexo 2 y se rigen por nuestra declaración de privacidad.

2. Qué tratamos y para qué

La naturaleza, la finalidad y las categorías de interesados y de datos figuran en el anexo 1. Tratamos los datos exclusivamente siguiendo tus instrucciones documentadas; el uso de la plataforma conforme al manual y la configuración que elijas tú se consideran instrucciones. Una instrucción que, a nuestro juicio, infrinja la ley, te la comunicamos y no la ejecutamos.

No tratamos los datos para fines propios, no los vendemos y no los usamos para entrenar modelos.

3. Nuestras obligaciones como encargado del tratamiento

• Confidencialidad. Todas las personas que tienen acceso en nuestra empresa están obligadas a guardar confidencialidad. Nuestros empleados solo pueden acceder a los datos de miembros y fichas mediante la función de acceso de soporte que el miembro activa durante un máximo de dos horas, o que tú o tu coach activáis para tu panel durante un máximo de 24 horas. En tu panel, en ese caso, solo vemos: no modificamos nada, como mucho una hora cada vez, de forma visible para quien lo activó y con registro.
• Seguridad. Aplicamos las medidas del anexo 3. Se derivan de la arquitectura del sistema y se actualizan con cada cambio.
• Subencargados. Das una autorización general para las empresas que figuran en la lista de nuestra página de privacidad. Un cambio lo anunciamos con al menos 30 días de antelación por correo electrónico a la dirección del administrador; puedes oponerte dentro de ese plazo, tras lo cual buscamos de común acuerdo una solución o puedes resolver el acuerdo. Con cada subencargado celebramos un contrato con al menos las mismas obligaciones.
• Transferencias fuera del EEE solo con las cláusulas contractuales tipo de la Comisión Europea o una decisión de adecuación, y solo para las finalidades indicadas. La base de datos y el almacenamiento de archivos están en la UE.
• Derechos de los interesados. La plataforma ofrece al miembro directamente el acceso, la rectificación, la portabilidad y la supresión. Las solicitudes que te lleguen y que no puedas resolver tú en la plataforma las apoyamos en un plazo de diez días laborables.
• Ayuda con una EIPD. Facilitamos, a primera solicitud, la información de nuestra propia evaluación de impacto relativa a la protección de datos y de nuestra documentación de seguridad.
• Violaciones de datos. Una violación que afecte a tus datos la notificamos sin dilación indebida, y a más tardar en las 48 horas siguientes a su descubrimiento, a la dirección del administrador, con lo que se sepa sobre su naturaleza, los interesados, las consecuencias y las medidas. No la notificamos en tu nombre a la autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens), salvo que nos lo pidas por escrito.
• Auditoría. Una vez al año, o después de un incidente, puedes hacer que un experto independiente sujeto a confidencialidad verifique nuestro cumplimiento, previo acuerdo sobre el momento y el alcance. Primero facilitamos nuestros informes existentes; una verificación adicional solo procede si estos son insuficientes.

4. Tus obligaciones como responsable del tratamiento

• Te aseguras de contar con una base jurídica, informas a tus miembros (para la parte técnica puedes remitirte a nuestra declaración de privacidad) y gestionas qué permisos tiene cada persona de tu equipo.
• Los datos de salud que introducen tus miembros se tratan sobre la base de su consentimiento explícito. Tú no recabas datos de salud fuera de las funciones previstas para ello: la entrevista inicial, el informe de conversación y la nutrición clínica.
• Si un empleado es un profesional sanitario colegiado o registrado (en los Países Bajos: registro BIG o Kwaliteitsregister Paramedici), lo indicas en la plataforma para ese empleado. Los informes de conversación de ese empleado se consideran historia clínica, sujeta a la obligación de conservación de veinte años de la ley neerlandesa sobre el contrato de tratamiento médico (WGBO), y no se incluyen en una solicitud de supresión del miembro. De esa historia clínica eres responsable tú.
• No usas la plataforma como producto sanitario ni la presentas como tal a tus miembros. Consulta también las condiciones de uso, en “Lo que la app no es”.

5. Conservación, devolución y supresión

Conservamos los datos según los plazos de nuestra declaración de privacidad. Lo que un miembro elimina, desaparece; lo que debe conservarse por ley (contabilidad, historias clínicas de profesionales sanitarios registrados) se mantiene.

Al finalizar tu suscripción puedes exportar tus datos durante 30 días. Después borramos los datos vinculados a tu organización, salvo lo que deba conservarse. Los miembros conservan su propia cuenta y sus propios datos: son suyos, no tuyos. Una solicitud de supresión de una ficha se tramita mediante la función “eliminar ficha”, con un plazo de reflexión y confirmación del nombre; es tu decisión, nosotros la ejecutamos.

6. Responsabilidad y duración

Se aplica el régimen de responsabilidad de las condiciones de uso. Las multas que imponga la autoridad de control por una infracción imputable a la otra parte pueden repercutirse a esa parte. Este acuerdo dura mientras dure tu suscripción y mientras después conservemos datos por cuenta tuya. Se aplica el Derecho neerlandés.

Anexo 1. Tratamientos de los que tú eres responsable y nosotros encargado

Anexo 2. Tratamientos de los que xBase360 es responsable

• Cuentas y gestión de la plataforma: inicio de sesión, sesiones, seguridad, límites de frecuencia, informes de errores.
• Registro de accesos a fichas: quién consultó qué, cuándo y con qué fundamento; el miembro puede consultarlo.
• Datos propios de un miembro sin gimnasio: todo lo que registra un miembro sin organización.
• Exportación “llévate tus datos”: a petición del miembro, mediante un enlace válido durante 24 horas, como máximo tres veces al día.
• Acceso de soporte: en la app, como máximo dos horas si lo activa el miembro; en el panel, como máximo 24 horas si lo activa el coach, solo lectura, visible y con registro.
• Facturación a ti: persona de contacto y facturas.

Anexo 3. Medidas de seguridad

• Quién puede ver cada fila lo impone la propia base de datos, según el propietario y el rol en la organización. Por eso, un error en una pantalla no puede mostrar datos de otra persona. El rol de servicio no tiene permisos generales de lectura ni de escritura.
• Permisos configurables por miembro del equipo. La verificación en dos pasos es obligatoria para nuestro propio equipo, para los profesionales sanitarios con informes de consulta y, a partir del 14 de octubre de 2026, para todo coach y propietario; cualquier otra persona puede activarla por su cuenta.
• Datos de salud, fotos y documentos en un almacenamiento protegido sin enlaces públicos, accesibles solo mediante direcciones firmadas y con caducidad.
• Registro de accesos a fichas y de exportaciones, que el miembro puede consultar.
• Conexiones cifradas; base de datos y almacenamiento en la UE; copias de seguridad a cargo del proveedor de alojamiento.
• Plazos de conservación aplicados automáticamente; archivos mediante una cola de limpieza; limitación de frecuencia con claves cifradas mediante hash.
• Revisión de seguridad conforme a OWASP ASVS 5.0; control de errores sin rastreo de datos personales; secretos de tareas rotados mediante script.
• Las solicitudes a la IA no contienen datos de contacto; los resultados de la IA solo se guardan tras la confirmación de una persona y llevan una etiqueta.