Política de privadesa

Versió privacy-2026-10-10 · vigent des del 10 d'octubre de 2026

Aquesta és una traducció oferta per comoditat. En cas de discrepància, preval la versió en castellà.

A Clybo’ tractem les dades personals d'acord amb el Reglament (UE) 2016/679 del Parlament Europeu i del Consell (RGPD) i amb la legislació maltesa que el complementa (Data Protection Act, capítol 586 de les Lleis de Malta), ja que el responsable està establert a Malta, així com amb les lleis estatals de privadesa dels Estats Units que siguin aplicables. Aquesta política t'explica quines dades recollim, per a què les fem servir, durant quant de temps i quins són els teus drets.

1. Responsable del tractament

El responsable del tractament de les teves dades personals és FlamaTech Consulting LTD, societat inscrita al C99332, amb domicili a The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.

Identitat: FlamaTech Consulting LTD (Clybo’)
NIF / VAT: MT28308119
Dades registrals: C99332
Domicili: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Contacte general: hola@clybo.app
Delegat de protecció de dades: dpo@clybo.app

2. Dades que recollim

En funció de la teva relació amb Clybo’, tractem les categories de dades següents:

Gestors de club: nom, correu electrònic, telèfon, dades del club (CIF, adreça fiscal), dades bancàries per cobrar la subscripció.
Tutors: nom, correu electrònic, telèfon, document d'identitat, referència de pagament i adreça postal.
Esportistes: nom, data de naixement, document, dades mèdiques (quan les aporta el tutor), consentiments signats.
Dades tècniques: adreça IP, user agent, registres d'auditoria i, amb el teu consentiment, correu d'accés com a identificador analític del compte, pàgines visitades, accessos, funcions utilitzades, navegador, dispositiu, ubicació aproximada i mètriques de rendiment LCP, INP, CLS i FCP.

Dades sensibles. Les dades mèdiques de menors es xifren en repòs amb AES-256 i només hi poden accedir les persones autoritzades del club. S'esborren automàticament quan l'esportista deixa el club.

3. Finalitat i base legal

Tractem les teves dades per a les finalitats següents:

Finalitat	Dades tractades	Base legal
Gestionar l'alta d'un club i l'accés a la plataforma	Correu electrònic, contrasenya amb hash, nom, dades fiscals del club (NIF, raó social, domicili fiscal)	Execució d'un contracte (art. 6.1.b RGPD)
Processar quotes i emetre factures electròniques (VeriFactu)	Dades del tutor pagador, referència de targeta tokenitzada i dades de l'esportista	Execució d'un contracte + obligació legal (arts. 6.1.b i 6.1.c RGPD)
Atenció al client	Correu electrònic, contingut del missatge, historial de la conversa	Interès legítim (art. 6.1.f RGPD)
Prevenció del frau i seguretat de la plataforma	Registres d'accés, IP, user agent i errors tècnics del servidor amb context minimitzat	Interès legítim (art. 6.1.f RGPD)
Diagnòstic i correcció d'errors del tauler de gestió del club	Identificador intern del compte (no el correu electrònic), club i rol, pantalla i moment de l'error, tipus i traça tècnica de l'error i l'operació que ha fallat. No inclou dades introduïdes en formularis ni contingut de les respostes. S'envia a través de la nostra API, sense galetes ni gravació de sessió, i sense crear un perfil de persona a PostHog.	Interès legítim (art. 6.1.f RGPD): prestar i mantenir el servei contractat. No depèn del consentiment d'analítica; t'hi pots oposar escrivint a l'adreça de contacte.
Analítica de producte i millora de la plataforma	Correu d'accés normalitzat com a identificador del compte a PostHog, pàgines visitades, mètode i resultat de l'accés, funcions utilitzades, navegador, dispositiu, ubicació aproximada i mètriques de rendiment LCP, INP, CLS i FCP. A l'app de famílies i als formularis d'inscripció, gravació de la sessió per detectar errors: estructura de la pantalla, clics, desplaçaments i temps. El text, el que escrius, les imatges i els enllaços s'oculten al navegador abans d'enviar-se, de manera que la gravació no conté noms, documents ni dades de contacte. Google Analytics 4 es limita a la landing pública i no rep l'identificador del compte.	Consentiment (art. 6.1.a RGPD), revocable en qualsevol moment
Comunicacions comercials	Correu electrònic, nom, nom del club	Consentiment (art. 6.1.a RGPD), revocable en qualsevol moment

4. Inici de sessió amb Google

Clybo’ ofereix Google com a mètode opcional de registre i d'inici de sessió. L'autenticació es fa mitjançant Google OAuth 2.0 i Supabase Auth. Elsscopes utilitzats són email i profile:

email permet rebre el correu principal del teu compte de Google i saber si Google l'ha verificat.
profile permet rebre les dades bàsiques de perfil disponibles, com ara el nom, els cognoms o la imatge. És possible que Google no faciliti tots aquests camps.

Accedim a aquestes dades únicament per crear o vincular el teu compte, autenticar-te, mantenir la teva sessió i inicialitzar les dades bàsiques del teu perfil. Aquesta integració no sol·licita permisos per llegir Gmail, Google Drive, Google Calendar, els teus contactes ni altres continguts del teu compte de Google.

Google lliura les dades a través de Supabase Auth, que les processa com a proveïdor d'autenticació de Clybo’. L'identificador d'identitat, el correu electrònic i les metadades de perfil rebudes s'emmagatzemen al registre d'autenticació associat al teu compte. Es conserven durant els terminis aplicables a les dades del compte indicats a la secció «Terminis de conservació» i no es comparteixen fora dels proveïdors necessaris descrits en aquesta política. No venem aquestes dades ni les fem servir per a publicitat.

Pots retirar la connexió des de les connexions de tercers del teu compte de Google. Retirar la connexió evita futures autoritzacions mitjançant Google, però no elimina per si sol el teu compte de Clybo’ ni les dades que ja s'hi han incorporat. Per sol·licitar-ne l'accés, la rectificació o la supressió, fes servir els canals de la secció «Els teus drets».

L'ús i la transferència de la informació rebuda des de les API de Google s'ajusten a la Google API Services User Data Policy, inclosos els seus requisits d'ús limitat.

5. Destinataris de les dades

Només compartim les teves dades amb els proveïdors estrictament necessaris per prestar el servei, sempre amb un contracte d'encarregat del tractament d'acord amb l'article 28 RGPD:

Amazon Web Services (Frankfurt, UE): allotjament de la plataforma.
Supabase (Supabase Auth): autenticació, vinculació d'identitats i gestió de sessions.
Stripe Payments Europe Ltd. (Dublín, UE): processament de cobraments.
Resend (Alemanya, UE): enviament de correu electrònic transaccional.
Cloudflare (xarxa global): DNS, seguretat perimetral i trànsit tècnic del proxy gestionat de PostHog.
PostHog (infraestructura a la UE): analítica de producte i rendiment consentida al navegador, que fa servir el correu d'accés normalitzat per associar l'activitat d'un compte entre sessions i inclou, a l'app de famílies i als formularis d'inscripció, gravacions de sessió amb tot el contingut ocult, i diagnòstic d'errors del servidor i del tauler de gestió del club sobre la base de l'interès legítim, amb minimització i sanejament previs. També allotja el suport de Clybo’ del tauler, del web, de l'app de staff i de l'app de famílies (atenció al client, interès legítim): missatges, la versió de l'app, el tipus de dispositiu i l'idioma que s'afegeixen al primer missatge des de l'app de staff o la de famílies i, si els facilites, nom i correu. Al tauler de gestió el xat està sempre disponible; al web i a les apps de staff i de famílies només es carrega quan l'obres. En cap cas no registra la teva activitat.
Google Ireland Limited (Google Analytics 4): analítica consentida només a la landing pública. L'etiqueta no es descarrega abans d'acceptar; no rep identificadors de compte, formularis ni dades de contacte, i els senyals i les finalitats publicitàries es mantenen desactivats.
B2Brouter (Espanya, UE): emissió i remissió de factures quan el club activa el complement de Fiscalitat.
Agencia Tributaria Española (AEAT), l'agència tributària espanyola: no és un proveïdor; rep els registres de facturació remesos via VeriFactu quan la llei ho exigeix (obligació legal).

No venem ni cedim les dades a tercers amb finalitats publicitàries.

6. Transferències internacionals

Els servidors principals i la ingestió final de PostHog són a la Unió Europea. El trànsit de xarxa es pot resoldre en infraestructura global de proveïdors com Cloudflare. Google Analytics pot implicar el tractament per part d'entitats del grup Google fora de l'EEE. Per a aquestes transferències s'apliquen les garanties previstes a les condicions de mesurament de Google, com ara una decisió d'adequació vigent o clàusules contractuals tipus aprovades per la Comissió Europea.

7. Terminis de conservació

Compte actiu: mentre el club mantingui la subscripció.
Identitat de Google: l'identificador, el correu i el perfil incorporats al compte segueixen els mateixos terminis que les dades del compte. Retirar la connexió a Google no els elimina de Clybo’; en pots sol·licitar la supressió pels canals indicats més avall.
Dades fiscals i factures: 6 anys des del tancament de l'exercici (art. 30 del Código de Comercio, el Codi de comerç espanyol) i 7 anys des de l'emissió per als registres VeriFactu.
Dades de prospecció comercial: fins que retiris el consentiment.
PostHog: màxim 12 mesos; les gravacions de sessió, 30 dies.
Google Analytics 4: 2 mesos per a les dades d'usuari i d'esdeveniment; els informes estàndard agregats no estan subjectes a aquest control de retenció. Les seves galetes vencen com a màxim als 12 mesos i no renoven aquest termini a cada visita.
Preferència analítica: fins que la canviïs o esborris l'emmagatzematge local del lloc corresponent.

8. Els teus drets · RGPD

Com a persona interessada tens dret a:

Accés a les teves dades personals.
Rectificació de dades inexactes.
Supressió quan ja no siguin necessàries.
Oposició al tractament basat en l'interès legítim.
Limitació del tractament.
Portabilitat en un format estructurat i llegible.
Retirada del consentiment en qualsevol moment, sense efectes retroactius.

Per exercir-los, escriu a dpo@clybo.app indicant el teu nom i el dret que vols exercir. Respondrem en un termini màxim d'un mes.

Si creus que el tractament no s'ajusta a la normativa, pots presentar una reclamació davant l'autoritat de control principal del responsable, l'Information and Data Protection Commissioner (IDPC) de Malta, o davant l'autoritat de l'Estat membre on resideixis, treballis o s'hagi produït la suposada infracció (art. 77 RGPD). A Espanya és l'Agencia Española de Protección de Datos (AEPD).

9. Drets de privadesa als Estats Units

Quan una llei estatal dels Estats Units sigui aplicable, els seus residents poden tenir dret a conèixer les seves dades personals o accedir-hi, corregir-les, sol·licitar-ne la supressió, obtenir-ne una còpia portable i oposar-se a la seva venda, a l'intercanvi per a publicitat comportamental, a la publicitat dirigida o a perfils amb efectes jurídics significatius. També poden exercir aquests drets sense rebre un tracte discriminatori.

A Clybo’ no venem ni compartim dades personals en el sentit de la California Consumer Privacy Act (CCPA), ni fem servir Google Analytics per a publicitat dirigida. Tot i així, la landing reconeix Global Privacy Control (GPC) com una sol·licitud d'exclusió de l'analítica opcional. També pots fer servirConfigura les galetes al peu de pàgina o escriure a dpo@clybo.app. Si es denega una sol·licitud i la llei del teu estat reconeix un dret de recurs, pots apel·lar responent a la nostra decisió pel mateix canal.

10. Dades de menors

Clybo’ està dissenyat perquè el club esportiu sigui el responsable del tractament de les dades dels esportistes menors i dels seus tutors. Clybo’ actua com a encarregat del tractament d'acord amb un DPA signat entre ambdues parts. La política específica del club aplicable als menors la facilita el mateix club als seus tutors en el moment de la inscripció.

11. Seguretat

Apliquem les mesures tècniques i organitzatives raonables per protegir les dades: xifratge AES-256 en repòs, TLS 1.3 en trànsit, control d'accés per rols, registre d'activitat, còpies de seguretat xifrades i revisió periòdica dels proveïdors.

12. Canvis en aquesta política

Aquesta política es pot actualitzar per reflectir canvis legals o operatius. La data de la darrera revisió apareix a l'inici del document. Si els canvis són substancials, t'avisarem per correu electrònic abans que entrin en vigor.

13. Com contactar-nos

DPD: dpo@clybo.app. Atenció general: hola@clybo.app.