Condiciones de pago con tarjeta para clubes y contrato de encargado del tratamiento

Estas condiciones las acepta, en nombre del club, el administrador del club que solicita activar los pagos con tarjeta en MeHoop. Al aceptarlas declara tener facultades para obligar al club. [REVISAR: identificación del titular de MeHoop — razón social, NIF, domicilio, contacto.]

Parte A · Condiciones del servicio de cobro

1. Qué hace MeHoop y qué no

• MeHoop permite al club publicar cuotas de socio (mensuales o anuales) y cobrarlas con tarjeta a través del TPV virtual Redsys del propio club.
• El dinero va directamente de la tarjeta de la familia a la cuenta bancaria del club. MeHoop no recibe, custodia ni transfiere fondos y no es parte del contrato entre el club y su banco.
• Los números de tarjeta se introducen únicamente en la página segura de Redsys. MeHoop no los ve ni los guarda; solo conserva, cifrada, la referencia (token) que Redsys emite para el comercio del club, con la que se cobran las renovaciones.

2. Obligaciones del club

• Ser el comercio titular del TPV virtual, con contrato vigente con su banco, y tener activados el pago por referencia (COF) y las operaciones iniciadas por el comercio (MIT).
• Cumplir lo que su banco le exija en materia de seguridad de tarjetas (PCI DSS, normalmente el cuestionario SAQ A).
• Informar a las familias del precio, la periodicidad, la renovación automática y cómo darse de baja, y atender devoluciones, reclamaciones y contracargos, que gestiona el club desde el panel de Redsys.
• Emitir los recibos o facturas que correspondan. [REVISAR: obligaciones fiscales del club como asociación deportiva; IVA exento o no.]
• Proteger las cuentas de sus administradores: la gestión de pagos exige la verificación en dos pasos.

3. Cambios de terminal

Todo TPV nuevo o modificado lo revisa MeHoop antes de aprobarlo y entra en vigor 24 horas después de la aprobación. Todos los administradores del club reciben un aviso por correo en cada paso y cualquiera de ellos puede cancelarlo. MeHoop puede pedir al club que confirme el cambio por un medio distinto del correo.

4. Disponibilidad y responsabilidad

[REVISAR: nivel de servicio, limitación de responsabilidad, precio del servicio si lo hubiera, duración, resolución, ley aplicable (española) y fuero.]

Parte B · Contrato de encargado del tratamiento (art. 28 RGPD y art. 33 LOPDGDD)

5. Objeto, duración, naturaleza y finalidad

El club es el responsable del tratamiento de los datos de sus socios y familias. MeHoop es el encargado del tratamiento y los trata solo para prestar el servicio de cuotas y cobros descrito en la Parte A, mientras el club lo tenga activado, y siguiendo las instrucciones documentadas del club, que son estas condiciones y lo que el club configure en la plataforma.

6. Datos y personas afectadas

• Personas: quienes pagan la cuota (normalmente madres, padres o tutores) y, cuando se indica, el jugador o jugadora para quien es la cuota, que puede ser menor de edad.
• Datos: nombre y correo electrónico de quien paga; nombre del jugador o jugadora; plan, importe y estado de la cuota; fechas e identificadores de cada cobro; marca de la tarjeta, sus cuatro últimas cifras y fecha de caducidad; la referencia de la tarjeta emitida por Redsys, cifrada. No se tratan números completos de tarjeta, códigos de seguridad, datos bancarios ni categorías especiales de datos.

7. Obligaciones de MeHoop

• Tratar los datos solo según las instrucciones del club, también en cuanto a transferencias internacionales, y avisar si una instrucción le parece contraria a la normativa.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD), entre ellas: cifrado en tránsito (HTTPS); cifrado en reposo (AES-256-GCM) de la clave secreta del TPV, de las referencias de tarjeta y de los secretos de verificación en dos pasos; verificación en dos pasos obligatoria para la gestión de pagos; aprobación y espera de 24 horas en los cambios de terminal; registro de auditoría; acceso restringido al servidor.
• Subencargados: [REVISAR: proveedor de alojamiento (DigitalOcean) y su región — si el servidor está fuera del EEE hacen falta garantías para la transferencia; proveedor de correo electrónico; mecanismo de autorización general con aviso previo y derecho de oposición del club.]
• Ayudar al club a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Notificar al club, sin dilación indebida y en todo caso en menos de [REVISAR: 48] horas, cualquier violación de seguridad que afecte a sus datos, con la información necesaria para que el club pueda notificarla a la AEPD en el plazo de 72 horas.
• Ayudar al club con las evaluaciones de impacto y consultas previas cuando proceda.
• Al terminar el servicio, suprimir o devolver los datos según elija el club, salvo los que deban conservarse por obligación legal, que se bloquearán. [REVISAR: plazos de conservación de registros de cobro (p. ej. art. 30 del Código de Comercio, normativa tributaria).]
• Poner a disposición del club la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

8. Obligaciones del club como responsable

• Informar a las familias del tratamiento (MeHoop pone a su disposición un modelo en /legal/payments-privacy.html).
• Contar con una base jurídica para el tratamiento (normalmente, la ejecución de la relación de socio).
• Supervisar el tratamiento y dar instrucciones lícitas.

9. Otros responsables independientes

Redsys y el banco del club tratan los datos de la tarjeta como responsables independientes, según sus propias condiciones. MeHoop no es encargado de ellos.

Versión 2026-10-draft. Cada vez que cambie este texto cambia la versión, y MeHoop registra qué versión aceptó cada club y quién la aceptó.