Contrato de encargo del tratamiento

Última actualización: 2026-10-26

Este Contrato de encargo del tratamiento se aplica a los coaches que usan SunCoach con sus clientes. Regula cómo trata SunCoach los datos de clientes que un coach gestiona en la app, conforme al art. 28 del Reglamento General de Protección de Datos de la UE (RGPD) y al art. 9 de la Ley Federal suiza de Protección de Datos (revLPD). Forma parte de nuestros Términos del servicio para toda cuenta de coach y se aplica junto con nuestra Política de privacidad; para los datos gestionados por el coach, prevalece este contrato.

1. Partes y definiciones

Este contrato se celebra entre el Coach — la persona o empresa que usa las funciones de coach de SunCoach — y el operador de SunCoach (SunCoach):

Gökhan Kaya
Untere Vogelsangstrasse 205
8400 Winterthur
Switzerland
Correo electrónico: privacy@suncoach.app

Cliente: una persona a la que el Coach asesora a través de SunCoach, tenga su propia cuenta en la app o exista solo como un registro sin conexión creado por el Coach.
Registro sin conexión: un perfil de cliente que el Coach crea y rellena él mismo para alguien que no tiene cuenta en la app.
Datos gestionados por el coach: los datos personales que el Coach introduce, crea o hace que SunCoach trate para su propio negocio (sección 2).
Datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, violación de la seguridad de los datos personales: según el art. 4 RGPD y el art. 5 revLPD.
Subencargado: un proveedor al que SunCoach recurre para tratar datos gestionados por el coach (sección 5).

2. Funciones

SunCoach es encargado del tratamiento del Coach para los datos gestionados por el coach, y responsable independiente de lo que los clientes introducen en sus propias cuentas. Un cliente con cuenta en la app se registra directamente en SunCoach, acepta la Política de privacidad y da un consentimiento registrado antes de que ningún coach vea sus datos; después, el Coach recibe esos datos para su coaching como responsable por derecho propio.

Datos	Quién decide el fin y los medios	Función de SunCoach
Registros sin conexión creados por el Coach y todo lo que contienen	El Coach	Encargado
Notas, páginas del cuaderno, resúmenes de sesión, planes de comidas, guías y formularios de seguimiento escritos por el Coach	El Coach	Encargado
Sesiones, tarifas, paquetes, pagos y facturas que registra el Coach	El Coach	Encargado
Medidas que el Coach introduce para un cliente	El Coach	Encargado
Que el Coach vea los datos del cliente (comidas, peso, hábitos, seguimientos, fotos de progreso)	El Coach, para su coaching	Encargado del acceso que facilita
Lo que el cliente registra en su propia cuenta (comidas, pesajes, fotos, chat)	El cliente y SunCoach	Responsable independiente (Política de privacidad)
La cuenta del propio Coach, su suscripción y su uso de la app	SunCoach	Responsable (Política de privacidad)

El Coach es responsable de contar con una base jurídica para su propio tratamiento, incluido el consentimiento explícito para los datos de salud de los registros sin conexión que crea (art. 9(2)(a) RGPD, art. 6(7) revLPD).

3. Objeto, finalidad y datos

SunCoach aloja, almacena, muestra y analiza los datos gestionados por el coach para que el Coach pueda llevar un negocio de coaching nutricional, mientras exista la cuenta del Coach.

Naturaleza del tratamiento: almacenamiento, acceso, visualización, estructuración, transmisión a la app del cliente, generación de PDF y, cuando el Coach lo pide, análisis con IA (resúmenes de sesión, planes de comidas, guías).
Interesados: los clientes del Coach, incluidas personas sin cuenta en la app (registros sin conexión).
Categorías de datos: nombre, correo electrónico y datos de contacto; edad, sexo, altura, peso; objetivos; comidas y registros de nutrición; hábitos; medidas corporales; respuestas a los seguimientos; fechas de sesiones, notas, tarifas y pagos; datos de facturación.
Categorías especiales: datos de salud (art. 9 RGPD; datos sensibles, art. 5(c) revLPD), incluidas restricciones alimentarias, embarazo o lactancia y fotos de progreso del cuerpo.
Lo que nunca se trata para el Coach: las fotos de progreso nunca se envían a ningún servicio de IA; los mensajes del chat no se usan en Coach AI ni en los resúmenes de sesión.
Duración: la vigencia de este contrato (sección 10) más los plazos de supresión de la sección 9.

4. Obligaciones de SunCoach

SunCoach trata los datos gestionados por el coach únicamente siguiendo las instrucciones documentadas del Coach, que son este contrato y el uso que el Coach hace de la app.

Instrucciones. Ningún tratamiento con otro fin. Si una instrucción parece infringir la normativa de protección de datos, SunCoach se lo comunica al Coach sin demora.
Confidencialidad. Todas las personas con acceso están sujetas a un deber de confidencialidad.
Seguridad. Las medidas del Anexo 1, mantenidas como mínimo a ese nivel durante toda la vigencia.
Subencargados. Solo según la sección 5, cada uno vinculado por obligaciones no menos estrictas que estas.
Asistencia. Con las solicitudes de los interesados (sección 8), las notificaciones de violaciones (sección 7) y cualquier evaluación de impacto o consulta previa que necesite el Coach.
Supresión o devolución al finalizar, según la sección 9.
Información. Todo lo necesario para demostrar el cumplimiento del art. 28 RGPD, según la sección 10.
Registros. Un registro de las actividades de tratamiento realizadas para los coaches (art. 30(2) RGPD, art. 12 revLPD).

5. Subencargados

El Coach autoriza a los subencargados indicados abajo. SunCoach anuncia cualquier subencargado nuevo con al menos 30 días de antelación, por correo electrónico o en la app; el Coach puede oponerse en ese plazo y, si no se encuentra una solución, rescindir este contrato.

Subencargado	Dónde se tratan los datos	Qué hace con los datos gestionados por el coach
Supabase, Inc.	UE (Irlanda); las funciones de servidor, en el centro de datos más cercano a quien las llama	Base de datos, inicio de sesión, almacenamiento de archivos, funciones del servidor
Google LLC (Gemini API)	EE. UU. / UE	Análisis con IA que pide el Coach: resúmenes de sesión, planes de comidas, guías, traducción
Google LLC (Firebase Cloud Messaging)	EE. UU.	Entrega de notificaciones push
Apple Inc. (Push Notification service)	EE. UU.	Entrega de notificaciones push en iOS
Vercel, Inc.	EE. UU.	Alojamiento de la app web
Cloudflare, Inc.	EE. UU.	DNS y reenvío de correo para suncoach.app

RevenueCat, y Apple y Google como tiendas de apps, tratan la suscripción del propio Coach, no datos de clientes, y están cubiertos por la Política de privacidad. Open Food Facts no es un subencargado: solo recibe el número de código de barras escaneado, nunca datos personales.

6. Transferencias internacionales

La base de datos y el almacenamiento de archivos están alojados en la UE (Irlanda). Las funciones de servidor se ejecutan en el centro de datos de Supabase más cercano a quien las llama. Algunos subencargados están en Estados Unidos. Toda transferencia allí se basa en el Marco de Privacidad de Datos UE-EE. UU. o su extensión Suiza-EE. UU., cuando el proveedor está certificado, y en caso contrario en las Cláusulas Contractuales Tipo de la Comisión Europea (reconocidas por el Comisionado Federal de Protección de Datos y Transparencia suizo, FDPIC), junto con las medidas complementarias del proveedor.

El Coach puede pedir una copia de las garantías de cualquier subencargado.

7. Violaciones de la seguridad de los datos

SunCoach comunica al Coach cualquier violación que afecte a datos gestionados por el coach sin dilación indebida y, a más tardar, 48 horas después de tener conocimiento de ella. Así el Coach tiene tiempo para su propia notificación a una autoridad de control en 72 horas (art. 33 RGPD) o al FDPIC «lo antes posible» (art. 24 revLPD).

La comunicación incluye, en la medida en que se conozca: qué ocurrió, qué datos y aproximadamente cuántas personas están afectadas, las consecuencias probables, qué ha hecho SunCoach y qué recomienda, y una persona de contacto. SunCoach la completa a medida que sabe más.

8. Solicitudes de los clientes

El Coach responde a las solicitudes de sus clientes sobre los datos gestionados por el coach; SunCoach ayuda. Una solicitud que llegue a SunCoach pero se refiera al tratamiento del Coach se remite al Coach en un plazo de 5 días hábiles, sin responderla.

El Coach puede atender la mayoría de las solicitudes desde la app:

Rectificación: el Coach puede editar notas, medidas, sesiones, ajustes de seguimiento y registros sin conexión.
Supresión: el Coach puede borrar notas, páginas, sesiones, medidas y un registro sin conexión con todo lo que contiene.
Fin de la relación: cuando un cliente se desconecta, el acceso del Coach a sus registros termina de inmediato; las fotos de progreso dejan de ser visibles para el Coach en ese mismo momento.

Cuando la app no tiene un botón para ello (por ejemplo, una exportación completa de los datos gestionados por el coach de un cliente), SunCoach la facilita a petición, gratis, en un plazo de 30 días.

9. Supresión y devolución

Cuando el Coach borra su cuenta, SunCoach suprime de inmediato los datos gestionados por el coach: los registros sin conexión y todo lo que contienen, las notas y páginas del cuaderno con sus archivos, las sesiones, paquetes, facturas, formularios de seguimiento, plantillas, respuestas guardadas y el logotipo del negocio. Los clientes con cuenta propia conservan su cuenta y lo que han registrado.

Antes de borrarla, el Coach puede exportar sus ingresos (CSV o PDF) y guardar cualquier PDF que genere la app. Si lo solicita antes de borrarla, SunCoach devuelve los datos gestionados por el coach en un formato legible por máquina en un plazo de 30 días.

Las copias en las copias de seguridad de los proveedores caducan con el periodo de conservación de esas copias. SunCoach no conserva nada que no esté obligado a conservar por ley.

10. Auditoría, responsabilidad, vigencia y ley aplicable

Información y auditorías. SunCoach responde por escrito a las preguntas del Coach sobre el tratamiento en un plazo de 30 días y comparte las certificaciones e informes de sus subencargados en la medida en que estos lo permitan. Una vez al año, con 30 días de preaviso, a costa del Coach y bajo confidencialidad, es posible una auditoría in situ.
Responsabilidad. Según los Términos del servicio, salvo cuando el art. 82 RGPD o el derecho suizo no permitan limitarla.
Vigencia. Desde que el Coach usa SunCoach por primera vez con un cliente hasta que se borra su cuenta de coach. Las secciones 7 a 9 siguen vigentes mientras quede algún dato gestionado por el coach.
Prioridad. Para los datos gestionados por el coach, este contrato prevalece sobre los Términos del servicio y la Política de privacidad.
Cambios. SunCoach anuncia los cambios con al menos 30 días de antelación, por correo electrónico o en la app; seguir usándola después significa aceptarlos, salvo que la ley exija más.
Idiomas. Este contrato se publica en inglés, alemán, turco y español. Si las versiones difieren, prevalece la versión en inglés.
Ley aplicable y jurisdicción. Derecho suizo. Tribunales de Winterthur (Suiza), sin perjuicio de las normas imperativas de consumo o de protección de datos que otorguen al Coach otro fuero.

Anexo 1: Medidas técnicas y organizativas

Las medidas vigentes a 2026-10-26:

Ámbito	Medida
Control de acceso	Seguridad a nivel de fila en cada tabla: un coach llega a los datos de un cliente solo mientras ese cliente es suyo, y un cliente solo a los suyos. Los visitantes sin sesión iniciada son rechazados en todas las tablas.
Datos propiedad del servidor	El estado de la suscripción, los vínculos con el coach y los límites de plazas no se pueden escribir desde la app; un disparador de la base de datos lo rechaza.
Vinculación de clientes	Los enlaces de invitación de un solo uso caducan a los 14 días; los enlaces para unirse no vinculan a nadie hasta que el coach acepta; los códigos incorrectos se limitan por cuenta.
Cifrado	TLS para todo el tráfico; datos almacenados cifrados por el proveedor de alojamiento.
Autenticación	Supabase Auth con hashes de contraseña con sal, o inicio de sesión con Apple / Google.
Archivos	Espacios de almacenamiento privados; cada carpeta solo la puede leer su propietario y, en el caso de las fotos de progreso, su coach actual.
Fotos de progreso	Solo para adultos (comprobado en la base de datos); recodificadas a partir de los píxeles para que no se guarde ninguna ubicación ni dato de la cámara; nunca se envían a la IA.
Tratamiento con IA	A través de la propia función de servidor de SunCoach, sin clave en la app; condiciones de pago de la API de Gemini (los datos de entrada no se usan para entrenar); los mensajes del chat quedan excluidos de la IA.
Funciones del servidor	Quien llama se identifica por sesiones verificadas; las llamadas de máquinas (el disparador de notificaciones, el webhook de pagos) usan secretos propios, no la clave de servicio.
Notificaciones	Cada usuario puede desactivar la vista previa de los mensajes en las notificaciones push.
Personas	El acceso de administrador se limita al operador, sujeto a confidencialidad.
Supresión	El borrado de una cuenta elimina sus registros de la base de datos en una sola transacción y los archivos de la persona a través de la API de almacenamiento.