Acuerdo de encargo (Art. 28 RGPD)

§ 1 Objeto y duración

El objeto es el tratamiento de datos personales para prestar zenyogi: web del estudio, horario, reservas, lista de espera, administración de alumnos y profesores, correo, tienda, vídeos, challenges y pagos asociados.

La duración es el uso de zenyogi por el estudio más el plazo de borrado o devolución al terminar el servicio.

§ 2 Naturaleza y finalidad

El encargado trata los datos solo según instrucciones documentadas del estudio, para que este opere su web, venda clases, gestione reservas y escriba a los alumnos.

Las finalidades propias del encargado (p. ej. facturar la cuenta zenyogi) quedan fuera de este acuerdo.

§ 3 Tipos de datos e interesados

Los interesados y tipos de datos constan en el anexo A.

§ 4 Instrucciones documentadas

El encargado trata datos solo según instrucciones documentadas del responsable, también para transferencias a un tercer país, salvo que el Derecho de la Unión o de un Estado miembro lo exija.

Las instrucciones se dan por el software, por correo a la dirección del aviso legal o en este acuerdo. Si el encargado considera ilícita una instrucción, lo comunica al estudio sin dilación indebida.

§ 5 Confidencialidad

Quien pueda acceder a los datos está obligado a confidencialidad y solo los trata en lo necesario para su tarea.

§ 6 Seguridad del tratamiento

El encargado aplica medidas técnicas y organizativas adecuadas según el Art. 32 RGPD. Las medidas vigentes están en el anexo B. Cualquier debilitamiento material se comunica al estudio.

§ 7 Encargados posteriores

El estudio autoriza con carácter general a los encargados del anexo C.

zenyogi anuncia un encargado nuevo o sustituto al menos 14 días antes en esta página o por correo. El estudio puede oponerse por un motivo razonable de protección de datos. Sin oposición, el cambio queda autorizado.

Con los encargados se firman contratos con las mismas obligaciones. Stripe, PayPal y SumUp solo se usan si el estudio los conecta; también aplican sus propios DPA.

§ 8 Derechos de los interesados

El encargado ayuda al estudio con acceso, rectificación, supresión, limitación, portabilidad y oposición, con las herramientas del producto (exportar y borrar desde la cuenta del estudio) cuando existan.

§ 9 Asistencia en los artículos 32 a 36

El encargado asiste al estudio en seguridad, notificación de brechas, comunicación a interesados y evaluaciones de impacto, en la medida de la información de que dispone.

§ 10 Violación de datos

Si una violación afecta a datos de este acuerdo, el encargado lo notifica al estudio sin dilación indebida cuando tenga conocimiento, con la información que tenga para los Art. 33 y 34 RGPD.

§ 11 Supresión y devolución

Al terminar el tratamiento, el encargado borra los datos del estudio o los devuelve, según elija el estudio, salvo obligación legal de conservación.

Durante la vigencia, el estudio puede exportar y pedir el borrado de perfiles desde la cuenta.

§ 12 Información y auditorías

El encargado facilita la información necesaria para acreditar el cumplimiento y permite auditorías, incluidas inspecciones, por el estudio o un auditor designado.

Las auditorías se anuncian con tiempo, no interrumpen el servicio de forma desproporcionada y son como máximo anuales salvo causa concreta (p. ej. una brecha). Se respeta la confidencialidad.

§ 13 Transferencias internacionales

El encargado está establecido en Estados Unidos. Los encargados del anexo C también pueden tratar datos en EE. UU. u otros terceros países.

Las transferencias se basan en una decisión de adecuación (incluido el Data Privacy Framework UE-EE. UU. si el destinatario está certificado) o en las cláusulas tipo de la Comisión (Decisión 2021/914), módulo 2 y/o 3, más medidas complementarias si hace falta.

Al usar zenyogi, el estudio instruye al encargado a realizar esas transferencias en lo necesario para el servicio.

§ 14 Responsabilidad

La responsabilidad se rige por el Art. 82 RGPD y el derecho aplicable. El encargado responde ante el estudio por los daños de un tratamiento contrario a este acuerdo o al RGPD, en la medida de su culpa.

§ 15 Duración y extinción

Este acuerdo rige mientras el estudio use zenyogi y termina con el contrato de servicio, sin extinguir las obligaciones de borrado, confidencialidad y auditoría que deban continuar.

§ 16 Disposiciones finales

zenyogi publica los cambios en esta página o por correo. Si el estudio no se opone por un motivo de protección de datos en 14 días, aplica la nueva versión.

Si una cláusula es inválida, el resto sigue vigente. Aplica el RGPD. Si hace falta derecho nacional complementario, el alemán aplica a estudios establecidos en la UE o el EEE.

Esta página muestra el acuerdo en el idioma elegido. Si hay divergencia, el texto alemán prevalece para estudios en Alemania o Austria; en los demás casos, el inglés.

Anexo A — Tratamiento

Interesados: alumnos y otros clientes del estudio; profesores y personal que el estudio añade en zenyogi; contactos de emergencia si el estudio los guarda.

Tipos de datos: nombre, correo, teléfono, dirección, fecha de nacimiento, idioma, opt-in de marketing y recordatorios, waiver, reservas, lista de espera, asistencia, abonos y compras, notas del estudio, perfiles de profesores y estado de pago. Los números de tarjeta quedan en el proveedor de pago conectado. El estudio también puede guardar imágenes o vídeos de personas.

Anexo B — Medidas técnicas y organizativas

El encargado mantiene al menos:

• Cifrado en tránsito (HTTPS/TLS)
• Acceso limitado a cuentas de estudio autenticadas; roles de estudio y profesores
• Separación de datos por businessId
• Cifrado en reposo cuando lo ofrezcan los proveedores
• Copias de seguridad periódicas a través de Convex
• Confidencialidad para quien tenga acceso de soporte
• Exportación y borrado de perfiles desde la cuenta del estudio
• Registros de seguridad en la medida habitual de los servicios usados

Anexo C — Encargados

Lista a 2026-08-25. Los trackers de marketing en zenyogi.io (Vercel Analytics o Microsoft Clarity) no tratan datos de alumnos del estudio y quedan fuera de este acuerdo.

• Convex, Inc. — Base de datos, funciones backend y autenticación. Lugar: Estados Unidos.
• Vercel Inc. — Alojamiento de la aplicación y CDN. Lugar: Estados Unidos / edge global.
• Cloudflare, Inc. — Almacenamiento de objetos (R2) para imágenes y vídeos. Lugar: Estados Unidos / red Cloudflare.
• Resend, Inc. — Correo transaccional y del estudio. Lugar: Estados Unidos.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — Pagos con tarjeta cuando el estudio conecta Stripe. Lugar: UE / Estados Unidos. Solo si el estudio usa Stripe. También aplica el DPA de Stripe.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. / PayPal, Inc. — Pagos cuando el estudio conecta PayPal. Lugar: UE / Estados Unidos. Solo si el estudio usa PayPal. También aplica el DPA de PayPal.
• SumUp Limited — Pagos cuando el estudio conecta SumUp. Lugar: UE / Reino Unido. Solo si la plataforma ha activado SumUp y el estudio lo usa.