Encargado del Tratamiento

Preámbulo: cuándo se aplica este Anexo

Model Motion está diseñada para no recibir identificadores: no graba vídeo, no solicita el nombre del sujeto capturado y no almacena ningún dato que permita a Blautic saber a quién corresponde un movimiento.

Aun así, este Anexo puede resultar aplicable, porque la naturaleza personal del dato no depende de lo que Blautic sepa, sino de lo que sea razonablemente posible saber para cualquiera, incluido tú.

Este Anexo se aplica a las capturas que constituyan datos personales, es decir, cuando tú o alguien de tu organización podáis vincular una captura con una persona concreta por cualquier medio: agenda, hoja de asistencia, historial de cliente, sesión individual identificable o descarte.

No se aplica a capturas verdaderamente anónimas, en las que ni tú ni nadie podáis reconstruir el vínculo. En la práctica esto exige sesiones colectivas sin registro de participantes.

Se solicita tu aceptación al registrarte porque la situación puede cambiar en cualquier momento y una sola captura identificable activa el Anexo. Si tienes dudas sobre en qué escenario estás, consulta la sección 5 de la Política de Privacidad. En caso de duda, asume que se aplica.

Partes

• RESPONSABLE DEL TRATAMIENTO: tú, el usuario profesional titular de la cuenta, cuyos datos constan en tu perfil y se incorporan por referencia.
• ENCARGADO DEL TRATAMIENTO: BLAUTIC DESIGNS, S.L., NIF B98920895, Calle República Argentina, 4, 46021 Valencia.

1. Objeto

El Responsable encarga al Encargado el tratamiento de los datos descritos en el Anexo I, con la exclusiva finalidad de prestar los servicios de Model Motion: alojamiento de capturas, procesamiento, entrenamiento de modelos, generación de estadísticas de referencia, visualización, ejecución de modelos y distribución de los modelos que el Responsable decida publicar.

2. Duración

Vigente mientras el Responsable mantenga cuenta activa o conserve datos personales en la plataforma. Sobrevive en las obligaciones que por su naturaleza deban subsistir, en particular la confidencialidad.

3. Obligaciones del Responsable (tú)

Te corresponde y no podemos hacerlo por ti:

1. Determinar si tus capturas son datos personales aplicando el criterio del Preámbulo, y revisarlo cuando cambie tu forma de trabajar.
2. Determinar los fines y medios del tratamiento.
3. Disponer de base jurídica válida antes de capturar. Cuando la finalidad sea de rehabilitación, fisioterapia, valoración funcional o prevención de lesiones en pacientes, los datos de EMG y movimiento son datos de salud y necesitas consentimiento explícito (art. 9.2.a) o la excepción sanitaria (art. 9.2.h).
4. Informar a los interesados conforme a los arts. 13 y 14 RGPD antes de la primera captura, incluso cuando el resultado vaya a ser anónimo. Blautic facilita plantillas; su entrega y adecuación son tu responsabilidad.
5. Obtener el consentimiento del representante legal cuando el sujeto sea menor de edad o persona con capacidad modificada.
6. Recabar autorización específica para la publicación del modelo si vas a compartirlo.
7. No introducir identificadores en los campos libres de la plataforma. Es un incumplimiento contractual y desactiva la principal medida de minimización del sistema.
8. Atender los derechos de los interesados que se dirijan a ti.
9. Mantener registro de quién realiza cada sesión de captura si permites que otras personas usen tu cuenta. Sin él no podrás atender una solicitud de supresión.
10. Llevar tu registro de actividades de tratamiento si estás obligado (art. 30 RGPD).
11. Valorar si necesitas una Evaluación de Impacto (art. 35 RGPD).
12. Configurar correctamente la plataforma: visibilidad de modelos, conservación, accesos.
13. Instruir por escrito cualquier tratamiento adicional al descrito en el Anexo I.

Blautic no supervisa la licitud de tus capturas y no tiene medios para hacerlo: precisamente porque no recibe identificadores, no puede saber si has informado o no a la persona. La responsabilidad frente al interesado y frente a la autoridad de control es tuya.

4. Obligaciones del Encargado (Blautic)

1. Tratar los datos únicamente siguiendo tus instrucciones documentadas. Este Anexo, los T&C y la configuración que estableces constituyen tus instrucciones iniciales. Si una obligación legal nos exigiera tratar los datos de otro modo, te informaremos antes salvo prohibición legal.
2. No utilizar los datos para fines propios. En particular, no entrenar modelos propios de Blautic con tus capturas salvo consentimiento expreso y separado, conforme a la Política de Propiedad §6.
3. No intentar reidentificar a las personas capturadas ni cruzar capturas entre cuentas con esa finalidad.
4. Garantizar la confidencialidad, con compromisos expresos de todo el personal con acceso, subsistentes tras el fin de la relación laboral.
5. Limitar el acceso al personal estrictamente necesario, bajo mínimo privilegio.
6. Aplicar las medidas de seguridad del Anexo III, adecuadas al riesgo (art. 32 RGPD).
7. No subcontratar sin autorización. Se autorizan los subencargados del Anexo II. Toda alta o cambio se notificará con 30 días de antelación, pudiendo oponerte motivadamente; si te opones y no hay alternativa, podrás resolver sin penalización.
8. Imponer a los subencargados las mismas obligaciones por contrato, respondiendo Blautic de su incumplimiento.
9. Asistirte en la atención de derechos mediante las funcionalidades de acceso, exportación, rectificación de etiquetas y supresión. Si un interesado se dirige a nosotros le remitiremos a ti y te lo comunicaremos sin demora; no podemos localizar sus capturas por nuestra cuenta.
10. Asistirte en el cumplimiento de los arts. 32 a 36 RGPD.
11. Notificarte cualquier violación de seguridad que afecte a tus datos sin dilación indebida y en un máximo de 48 horas desde que tengamos conocimiento, con la información disponible. La notificación a la autoridad corresponde a ti como responsable.
12. Poner a tu disposición la información necesaria para acreditar el cumplimiento y permitir auditorías, realizadas por ti o por un auditor mandatado, con preaviso de 30 días, en horario laboral y bajo confidencialidad. Podremos satisfacerlo mediante certificaciones o informes de auditoría independiente vigentes.
13. Informarte inmediatamente si consideramos que una instrucción tuya infringe la normativa.
14. Llevar registro de las categorías de tratamiento realizadas por tu cuenta (art. 30.2 RGPD).

5. Devolución y supresión al finalizar

A la terminación, y según tu elección expresa, Blautic suprimirá o te devolverá los datos personales tratados, suprimiendo las copias, en un máximo de 30 días.

Excepciones: - Copias en sistemas de respaldo, eliminadas conforme al ciclo de rotación en un máximo de 90 días, bloqueadas mientras tanto. - Datos cuya conservación exija el Derecho de la Unión o español, debidamente bloqueados. - Modelos publicados y adquiridos por terceros, conforme a la Política de Propiedad §4.4. Estos modelos no contienen capturas ni permiten reconstruirlas, y las capturas subyacentes sí se suprimen.

6. Responsabilidad

Cada parte responde de los daños causados por su propio incumplimiento (art. 82 RGPD). Blautic responde únicamente cuando haya incumplido las obligaciones que el RGPD impone a los encargados o haya actuado al margen de tus instrucciones lícitas.

ANEXO I — Descripción del tratamiento

Objeto: prestación de los servicios de la plataforma Model Motion.

Naturaleza y operaciones: recogida, registro, estructuración, almacenamiento, adaptación, extracción, consulta, utilización para entrenamiento de modelos, comunicación mediante distribución de modelos publicados, limitación, supresión y destrucción.

Finalidad: creación, entrenamiento, validación, prueba, gestión y distribución de modelos de aprendizaje automático definidos por el Responsable.

Categorías de interesados: - Deportistas, atletas y practicantes de actividad física. - Personas en procesos de rehabilitación o valoración funcional. - Clientes de servicios de entrenamiento personal. - Participantes en proyectos de investigación. - Trabajadores, en aplicaciones ergonómicas. - El propio usuario profesional, cuando se autocaptura. - Menores de edad, cuando el Responsable así lo determine y cuente con autorización de sus representantes legales.

Categorías de datos personales:

Identificadores: ninguno. La plataforma no recoge nombre, documento de identidad, imagen, voz ni ubicación del sujeto capturado.

Categorías especiales: condicionado a la finalidad del Responsable. Los datos de EMG y movimiento constituyen datos de salud (art. 9 RGPD) cuando la finalidad sea valorar, mantener o restablecer el estado de salud del interesado. El Responsable debe declararlo en la configuración de su cuenta. Cuando así sea, se aplican las garantías reforzadas del Anexo III.

Duración: mientras el Responsable mantenga los datos en la plataforma.

ANEXO II — Subencargados autorizados

Arsys es el único subencargado. No se utilizan servicios de terceros para el entrenamiento de modelos, el envío de correo, la analítica ni el procesamiento de pagos. El sitio web no carga recursos de servidores ajenos: las tipografías se sirven desde la propia infraestructura.

Todos los subencargados tratan los datos dentro del Espacio Económico Europeo. El Encargado no realizará transferencias internacionales sin instrucción previa y documentada del Responsable.

Lista vigente en modelmotion.tech/subencargados. El Responsable puede suscribirse a las notificaciones de cambio.

ANEXO III — Medidas técnicas y organizativas

Minimización por diseño — la medida más eficaz del sistema - No se graba, transmite ni almacena vídeo. El procesamiento de imagen se realiza en el dispositivo y solo se transmiten coordenadas. - No se solicitan ni almacenan identificadores del sujeto capturado. - Los campos libres advierten contra la introducción de datos identificativos.

Control de acceso - Autenticación individual; contraseñas almacenadas con función de derivación de clave resistente. - Autenticación multifactor para acceso administrativo. - Perfiles por rol y mínimo privilegio. - Revisión periódica de permisos y revocación inmediata al cese.

Cifrado - TLS 1.2 o superior en todas las comunicaciones. - Cifrado en reposo de bases de datos y almacenamiento de capturas. - Gestión de claves separada del dato cifrado.

Integridad y disponibilidad - Copias de seguridad diarias con retención de 30 días y pruebas de restauración semestrales. - Redundancia y plan de continuidad. - Separación de entornos; prohibición de usar datos reales en desarrollo.

Trazabilidad - Registro de accesos, modificaciones de etiquetas, eliminaciones, entrenamientos y descargas, conservado 12 meses.

Organizativas - Compromisos de confidencialidad firmados por todo el personal. - Formación periódica en protección de datos y seguridad. - Procedimiento documentado de gestión de brechas con plazos internos. - Política de desarrollo seguro y revisión de código. - Evaluación de seguridad de proveedores previa a su contratación. - Sistema de gestión de calidad certificado ISO 9001.

Verificación - Pruebas de seguridad anuales y revisión anual de estas medidas.

Documento vigente. Las versiones anteriores se conservan y están disponibles bajo petición en privacidad@blautic.com.