RGPD · Com el complim
Com compleix Clybo’ el Reglament general de protecció de dades (RGPD), inclòs el rol d'encarregat del tractament que assumim davant de cada club.
Aquesta pàgina resumeix com compleix Clybo’ el Reglament (UE) 2016/679 (RGPD) i la legislació maltesa que el complementa (Data Protection Act, capítol 586), i aclareix els rols entre el club (responsable) i Clybo’ (encarregat del tractament).
1. Rols RGPD
| Rol | Qui l'assumeix | Què decideix |
|---|---|---|
| Responsable del tractament | El club esportiu | Les finalitats del tractament de les dades d'esportistes, tutors i staff. |
| Encarregat del tractament | FlamaTech Consulting LTD (Clybo’) | Tractar les dades en nom del club seguint les seves instruccions, segons el DPA signat. |
| Subencarregats | Els proveïdors que figuren a la política de privadesa (allotjament, autenticació, pagaments, correu electrònic, analítica i facturació) | Serveis concrets amb contracte d'encàrrec d'acord amb l'article 28 RGPD. L'AEAT (l'agència tributària espanyola) no és subencarregada: rep registres fiscals per obligació legal. |
2. Contracte d'encàrrec del tractament (DPA)
Abans de crear el club, el seu administrador ha d'acceptar electrònicament les Condicions i el DPA vigents. El sistema registra l'usuari, la data, les versions acceptades i una evidència tècnica de l'acceptació. El DPA ha d'incloure els requisits de l'article 28 RGPD:
- Objecte, durada, naturalesa i finalitat del tractament.
- Tipus de dades personals i categories d'interessats.
- Obligacions de l'encarregat: confidencialitat, seguretat, assistència al responsable, notificació de bretxes.
- Règim de subencarregats amb autorització general prèvia.
- Devolució o supressió de les dades al final del contracte.
Si necessites una còpia del DPA abans de contractar, escriu a dpo@clybo.app.
3. Mesures tècniques i organitzatives
- Xifratge: AES-256 en repòs, TLS 1.3 en trànsit.
- Control d'accés: autenticació per proveïdor (Supabase Auth), control per rols, claims signats.
- Segregació multiinquilí: aïllament per
club_id+ Row-Level Security a PostgreSQL. - Traçabilitat: registre d'activitat de les operacions sensibles.
- Còpies de seguretat: còpies diàries xifrades amb retenció de 30 dies.
- Revisió de proveïdors: avaluació prèvia i reavaluació anual de cada subencarregat.
4. Notificació de bretxes de seguretat
En cas d'una bretxa de seguretat que afecti dades personals, ho notificarem al club responsable en un termini màxim de 72 hores des que en tinguem coneixement, d'acord amb l'article 33.2 RGPD. La notificació inclourà la naturalesa, les categories i el volum de dades afectades, les mesures adoptades i la persona de contacte.
5. Drets dels interessats
Quan un tutor, esportista o membre de l'staff exerceixi un dret ARCO+ (accés, rectificació, supressió, oposició, limitació, portabilitat), s'ha d'adreçar al club responsable. Clybo’ assistirà el club amb les eines tècniques necessàries per respondre a l'interessat dins del termini legal.
6. Transferències internacionals
Les dades s'emmagatzemen principalment en infraestructura ubicada a la Unió Europea. Alguns subencarregats podrien processar dades fora de l'EEE; en aquests casos apliquem clàusules contractuals tipus aprovades per la Comissió Europea o una decisió d'adequació, que garanteixen un nivell de protecció equivalent al del RGPD.
7. Contacte i reclamacions
Delegat de protecció de dades: dpo@clybo.app.
L'autoritat de control principal de Clybo’ és l'Information and Data Protection Commissioner (IDPC) de Malta. Qualsevol interessat també pot reclamar davant l'autoritat del seu Estat membre (a Espanya, l'AEPD, Agencia Española de Protección de Datos).