Condiciones del servicio y contrato de encargo

En qué condiciones usas workatleta y lo que workatleta se compromete a hacer —y a no hacer— con los datos que guardas en tu espacio (art. 28 del RGPD).

Última actualización: 19 de octubre de 2026.

Las partes

Responsable del tratamiento: el cliente

Quien abre un espacio en workatleta para atender a sus pacientes, jugadores o clientes. Puede ser:

• Una persona física que trabaja por su cuenta —por ejemplo, un fisioterapeuta autónomo—, que acepta este contrato en nombre propio.
• Una entidad —un club, una sociedad, una asociación—, que lo acepta por medio de un representante con capacidad para obligarla.

Sus datos (nombre o razón social, NIF, domicilio, email de contacto y, en su caso, quién firma y en calidad de qué) son los que se introducen al aceptar el contrato en el panel o en la app, y forman parte de él.

Encargado del tratamiento: el prestador del servicio

Cómo se celebra

Este contrato se celebra por escrito en formato electrónico, como permite el art. 28.9 del RGPD: el administrador del espacio lo acepta desde el panel web o la app de workatleta después de introducir los datos del Responsable. El Encargado lo ofrece en los términos publicados en esta página, y queda aceptado por las dos partes en ese momento.

Se registra qué versión se aceptó, cuándo, desde qué cuenta y con qué datos, y se conserva mientras dure el servicio y los plazos de prescripción posteriores. El Responsable puede consultarlo en todo momento en Mi espacio, y pedir una copia escribiendo a privacidad@workatleta.com.

Condiciones del servicio

A. Precio

Hoy el acceso a workatleta es gratuito. Si pasa a ser de pago, se publicará aquí una versión nueva de este contrato con el precio y las condiciones de pago, y no se cobrará nada sin que el cliente la haya aceptado antes.

B. Las medidas de la app son orientativas

Las medidas que se calculan con los sensores o la cámara del móvil (saltos, rangos de movimiento, marcha, postura y demás) no están validadas clínicamente. El cliente las usa como apoyo, con su criterio profesional, y no basa en ellas solas ningún diagnóstico ni decisión terapéutica.

C. La historia clínica es del cliente

La Ley 41/2002 obliga al profesional sanitario a conservar la historia clínica de sus pacientes. workatleta hace copias de seguridad diarias, cifradas y ensayadas, y deja descargar los datos de cada paciente. Mientras el producto sea joven, se recomienda no tener workatleta como única copia.

D. Fallos del servicio

Mientras el acceso sea gratuito, y salvo dolo o culpa grave, workatleta no responde de los daños derivados de un fallo de la plataforma —una caída, un error de cálculo, un dato que no se sincroniza— y se compromete a corregirlo lo antes que pueda. Esto no cambia lo que cada parte responde por el tratamiento de los datos, que regula la cláusula 8.

E. Opiniones y sugerencias

workatleta puede usar libremente las opiniones, sugerencias e informes de fallos del cliente para mejorar el producto, sin contraprestación. El cliente no cede nada más: sus datos y su trabajo profesional siguen siendo suyos. Al informar de un fallo, no incluirá datos de sus pacientes (nombres, capturas con fichas reales): basta con describir los pasos o usar una ficha inventada.

F. Confidencialidad

Lo que el cliente vea de workatleta que aún no sea público —funciones sin lanzar, planes— es confidencial mientras use el servicio y los dos años siguientes. Puede contar que usa workatleta y dar su opinión; para publicar capturas o detalles de lo que no se ha lanzado necesita el visto bueno de workatleta.

G. Terminación

Cualquiera de las dos partes puede terminar el servicio en cualquier momento, avisando por email con quince días de antelación (workatleta, a privacidad@workatleta.com). Al terminar se aplica la cláusula 9: el cliente elige que se le devuelvan sus datos o que se supriman.

H. Ley aplicable

El uso de workatleta no crea ninguna relación laboral ni societaria entre las partes. Este contrato se rige por la ley española, y para cualquier controversia las partes se someten a los juzgados y tribunales de Eivissa (Ibiza).

Contrato de encargo del tratamiento

Las cláusulas 1 a 10 y sus anexos son el contrato de encargo del art. 28 del RGPD. En lo que toque a los datos personales, prevalecen sobre las condiciones del servicio.

1. Objeto

El Responsable usa workatleta —aplicación Android y panel web— para valorar, prescribir y seguir el trabajo físico o la rehabilitación de las personas que atiende. Para prestar ese servicio, el Encargado trata por cuenta del Responsable los datos personales que este y su equipo introducen en su espacio.

El Responsable es quien decide qué datos registra, sobre quién y con qué finalidad, y quien responde de tener una base legal para hacerlo y de haber informado a los interesados.

2. Duración

Mientras dure la prestación del servicio. Terminada esta, se aplica la cláusula 9.

3. Naturaleza y finalidad

Alojamiento, almacenamiento, sincronización entre dispositivos, copia de seguridad, consulta y puesta a disposición de los datos a los miembros del espacio, según el papel que el Responsable haya asignado a cada uno. Sin ninguna otra finalidad.

4. Datos e interesados

• Categorías de interesados: pacientes, jugadores o clientes del Responsable, incluidos menores de edad; y los miembros de su equipo con cuenta en el espacio.
• Categorías de datos: identificativos y de contacto; datos de salud (categoría especial, art. 9) —motivo de consulta, diagnóstico, derivación, lesiones, mecanismo y gravedad, sesiones de rehabilitación, disponibilidad, dolor—; medidas y pruebas físicas; hábitos autoinformados; imagen, si se sube.

Que haya datos del art. 9 y menores es lo que eleva el nivel de exigencia de todo lo que sigue.

5. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos solo siguiendo instrucciones documentadas del Responsable, incluida la configuración que este elija en su espacio. Si recibe una instrucción que considere contraria a la normativa, lo comunicará de inmediato.
2. No usar los datos para fines propios. En particular: no cederlos, no venderlos, no agregarlos para estadísticas, no usarlos para entrenar modelos ni para mejorar el producto, salvo autorización expresa y por escrito del Responsable.
3. Guardar secreto, y garantizar que toda persona con acceso se comprometa a lo mismo.
4. Aplicar las medidas de seguridad del art. 32 descritas en el anexo I.
5. No subcontratar sin autorización. El Responsable autoriza desde ya a los subencargados del anexo II; cualquier cambio se comunicará con antelación suficiente para que el Responsable pueda oponerse.
6. Asistir al Responsable para que pueda atender los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si un interesado se dirige al Encargado, este le remitirá a su Responsable y se lo comunicará sin demora.
7. Asistir al Responsable en las evaluaciones de impacto y en las consultas previas a la autoridad de control, cuando procedan.
8. Notificar las brechas de seguridad sin dilación indebida y, en todo caso, en un plazo que permita al Responsable cumplir sus 72 horas del art. 33, con la información de que disponga: qué ha pasado, a qué datos y a cuántas personas afecta, consecuencias probables y medidas adoptadas.
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, por el Responsable o por un auditor que este designe.
10. Devolver o suprimir los datos al terminar, según la cláusula 9.

6. Obligaciones del Responsable

1. Tener una base legal para cada tratamiento que realice en su espacio y, cuando sea el consentimiento, recogerlo y poder demostrarlo. Cuando quien atiende no sea profesional sanitario sujeto a secreto, la base para los datos de salud será el consentimiento explícito del interesado.
2. Informar a los interesados conforme a los arts. 13 y 14, incluida la existencia de este encargo.
3. Recabar el consentimiento parental para los menores de 14 años y registrarlo en la herramienta.
4. Gestionar los accesos de su equipo: dar de alta y de baja a sus miembros y asignar el papel mínimo necesario.
5. Respetar los plazos de conservación que le apliquen, en particular la Ley 41/2002 para la historia clínica, antes de ejecutar una supresión.
6. Mantener al día los datos del Responsable que constan en este contrato, aceptándolo de nuevo desde el panel si cambian.

7. Ubicación

Los datos se alojan en España (Madrid), dentro del Espacio Económico Europeo.

La única salvedad es el proxy inverso (Cloudflare), que trata direcciones IP en una red global y puede hacerlo fuera del EEE, amparado en cláusulas contractuales tipo. No afecta a la base de datos ni a los ficheros.

Cualquier otra transferencia fuera del EEE requerirá las garantías del capítulo V del RGPD y se comunicará previamente al Responsable.

8. Responsabilidad

Cada parte responde de sus propios incumplimientos conforme al art. 82 del RGPD.

9. Al terminar

A elección del Responsable, y dentro de los treinta días siguientes a la terminación, el Encargado:

• devolverá los datos en formato legible por máquina, o
• los suprimirá, incluidas las copias de seguridad, salvo que deba conservarlos por obligación legal, en cuyo caso los bloqueará.

Pasado ese plazo sin instrucciones, se procederá a la supresión.

10. Cambios en este contrato

Si cambia el texto, se publica aquí con una fecha de actualización nueva, y el panel y la app piden aceptar la versión nueva. Hasta que se acepte, la versión anterior sigue rigiendo los datos que ya están en el espacio, pero no se pueden dar de alta fichas nuevas. Un cambio de subencargados se comunica antes, como dice la cláusula 5.5.

Anexo I — Medidas de seguridad

• Cifrado en tránsito (TLS) en todo el tráfico público.
• Contraseñas con Argon2id; el hash no sale de su tabla.
• Base de datos accesible solo desde la propia máquina.
• Aislamiento por espacio en todas las rutas, incluida la sincronización, y control de acceso por rol.
• Tokens de sesión opacos, refresco rotatorio con revocación, y caducidad automática.
• Registro de autoría en cada medida registrada.
• Servicio endurecido a nivel de sistema operativo.
• Pruebas automáticas del aislamiento entre espacios y entre roles, incluida la sincronización.
• Copias de seguridad diarias, cifradas con clave pública: el servidor las escribe pero no puede leerlas. Se verifican al hacerse y al descargarse, y se guardan 30 días en el servidor y 60 en una copia externa. La restauración completa se ensayó el 22 de septiembre de 2026 y se repite cada trimestre.
• Datos en el móvil cifrados (SQLCipher, con una clave por dispositivo guardada en el almacén de claves del sistema), y excluidos de las copias de seguridad del teléfono.
• Registros técnicos conservados 90 días.
• Procedimiento escrito de respuesta ante brechas, con aviso al Responsable en un máximo de 24 horas.
• Pendiente de acreditar: el cifrado en reposo del almacenamiento del servidor, que el proveedor aplica por defecto pero que aún no se ha comprobado en su consola. Se declara tal cual: un anexo de seguridad que promete lo que no hay es peor que uno honesto.

Anexo II — Subencargados autorizados