Política de privacidade

Versión privacy-2026-10-10 · vixente desde o 10 de outubro de 2026

Esta tradución ofrécese por cortesía. En caso de discrepancia, prevalece a versión en castelán.

En Clybo’ tratamos os datos persoais conforme ao Regulamento (UE) 2016/679 do Parlamento Europeo e do Consello (Regulamento xeral de protección de datos, RXPD) e á lexislación maltesa que o complementa (Data Protection Act, capítulo 586 das Leis de Malta), xa que o responsable está establecido en Malta, así como ás leis estatais de privacidade dos Estados Unidos que resulten aplicables. Esta política explícache que datos recollemos, para que os usamos, durante canto tempo e cales son os teus dereitos.

1. Responsable do tratamento

O responsable do tratamento dos teus datos persoais é FlamaTech Consulting LTD, sociedade inscrita no C99332, con domicilio en The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.

Identidade: FlamaTech Consulting LTD (Clybo’)
NIF / VAT: MT28308119
Datos rexistrais: C99332
Domicilio: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Contacto xeral: hola@clybo.app
Delegado de Protección de Datos: dpo@clybo.app

2. Datos que recollemos

En función da túa relación con Clybo’, tratamos as seguintes categorías de datos:

Xestores de club: nome, correo electrónico, teléfono, datos do club (CIF, enderezo fiscal), datos bancarios para cobrar a subscrición.
Titores: nome, correo electrónico, teléfono, documento de identidade, referencia de pagamento e enderezo postal.
Deportistas: nome, data de nacemento, documento, datos médicos (cando os achega o titor), consentimentos asinados.
Datos técnicos: enderezo IP, user agent, rexistros de auditoría e, co teu consentimento, correo de acceso como identificador analítico de conta, páxinas visitadas, accesos, funcións utilizadas, navegador, dispositivo, localización aproximada e métricas de rendemento LCP, INP, CLS e FCP.

Datos sensibles. Os datos médicos de menores cífranse en repouso con AES-256 e só son accesibles para as persoas autorizadas do club. Bórranse automaticamente cando o deportista abandona o club.

3. Finalidade e base legal

Tratamos os teus datos para as seguintes finalidades:

Finalidade	Datos tratados	Base legal
Xestionar a alta dun club e o acceso á plataforma	Correo electrónico, contrasinal con hash, nome, datos fiscais do club (NIF, razón social, domicilio fiscal)	Execución dun contrato (art. 6.1.b RXPD)
Procesar cotas e emitir facturas electrónicas (VeriFactu)	Datos do titor pagador, referencia de tarxeta tokenizada e datos do deportista	Execución dun contrato + obriga legal (arts. 6.1.b e 6.1.c RXPD)
Atención ao cliente	Correo electrónico, contido da mensaxe, historial da conversa	Interese lexítimo (art. 6.1.f RXPD)
Prevención da fraude e seguridade da plataforma	Logs de acceso, IP, user agent e erros técnicos do servidor con contexto minimizado	Interese lexítimo (art. 6.1.f RXPD)
Diagnóstico e corrección de erros do panel de xestión do club	Identificador interno da conta (non o correo electrónico), club e rol, pantalla e momento do erro, tipo e traza técnica do erro e a operación que fallou. Non inclúe datos introducidos en formularios nin contido das respostas. Envíase a través da nosa API, sen cookies nin gravación de sesión, e sen crear un perfil de persoa en PostHog.	Interese lexítimo (art. 6.1.f RXPD): prestar e manter o servizo contratado. Non depende do consentimento de analítica; podes opoñerte escribindo ao enderezo de contacto.
Analítica de produto e mellora da plataforma	Correo de acceso normalizado como identificador de conta en PostHog, páxinas visitadas, método e resultado do acceso, funcións utilizadas, navegador, dispositivo, localización aproximada e métricas de rendemento LCP, INP, CLS e FCP. Na app de familias e nos formularios de inscrición, gravación da sesión para detectar fallos: estrutura da pantalla, clics, desprazamentos e tempos. O texto, o que escribes, as imaxes e as ligazóns ocúltanse no navegador antes de enviarse, polo que a gravación non contén nomes, documentos nin datos de contacto. Google Analytics 4 limítase á web pública e non recibe o identificador de conta.	Consentimento (art. 6.1.a RXPD), revogable en calquera momento
Comunicacións comerciais	Correo electrónico, nome, nome do club	Consentimento (art. 6.1.a RXPD), revogable en calquera momento

4. Inicio de sesión con Google

Clybo’ ofrece Google como método opcional de rexistro e inicio de sesión. A autenticación realízase mediante Google OAuth 2.0 e Supabase Auth. Osscopes utilizados son email e profile:

email permite recibir o correo electrónico principal da túa Conta de Google e saber se Google o verificou.
profile permite recibir os datos básicos de perfil dispoñibles, como nome, apelidos ou imaxe. Pode que Google non facilite todos estes campos.

Accedemos a eses datos unicamente para crear ou vincular a túa conta, autenticarte, manter a túa sesión e inicializar os datos básicos do teu perfil. Esta integración non solicita permisos para ler Gmail, Google Drive, Google Calendar, os teus contactos nin outros contidos da túa Conta de Google.

Google entrega os datos a través de Supabase Auth, que os procesa como provedor de autenticación de Clybo’. O identificador de identidade, o correo electrónico e os metadatos de perfil recibidos almacénanse no rexistro de autenticación asociado á túa conta. Consérvanse durante os prazos aplicables aos datos de conta indicados na sección «Prazos de conservación» e non se comparten fóra dos provedores necesarios descritos nesta política. Non vendemos estes datos nin os usamos para publicidade.

Podes retirar a conexión desde as conexións de terceiros da túa Conta de Google. Retirar a conexión evita futuras autorizacións mediante Google, pero non elimina por si só a túa conta de Clybo’ nin os datos xa incorporados a ela. Para solicitar o seu acceso, rectificación ou supresión, utiliza as canles da sección «Os teus dereitos».

O uso e a transferencia de información recibida desde as API de Google axústanse á Google API Services User Data Policy, incluídos os seus requisitos de uso limitado.

5. Destinatarios dos datos

Só compartimos os teus datos cos provedores estritamente necesarios para prestar o servizo, sempre baixo contrato de encargado do tratamento conforme ao artigo 28 RXPD:

Amazon Web Services (Frankfurt, UE): aloxamento da plataforma.
Supabase (Supabase Auth): autenticación, vinculación de identidades e xestión de sesións.
Stripe Payments Europe Ltd. (Dublín, UE): procesamento de cobros.
Resend (Alemaña, UE): envío de correo electrónico transaccional.
Cloudflare (rede global): DNS, seguridade perimetral e tránsito técnico do proxy xestionado de PostHog.
PostHog (infraestrutura UE): analítica de produto e rendemento consentida no navegador, que usa o correo de acceso normalizado para asociar a actividade dunha conta entre sesións e inclúe, na app de familias e nos formularios de inscrición, gravacións de sesión con todo o contido oculto, e diagnóstico de erros do servidor e do panel de xestión do club baixo interese lexítimo, con minimización e saneamento previos. Tamén aloxa o soporte de Clybo’ do panel, da web, da app de staff e da app de familias (atención ao cliente, interese lexítimo): mensaxes, a versión da app, o tipo de dispositivo e o idioma que se engaden á primeira mensaxe desde a app de staff ou a de familias e, se os facilitas, nome e correo. No panel de xestión o chat está sempre dispoñible; na web e nas apps de staff e de familias só se carga cando o abres. En ningún caso rexistra a túa actividade.
Google Ireland Limited (Google Analytics 4): analítica consentida só na web pública. A etiqueta non se descarga antes de aceptar; non recibe identificadores de conta, formularios nin datos de contacto, e os sinais e as finalidades publicitarias permanecen desactivados.
B2Brouter (España, UE): emisión e remisión de facturas cando o club activa o complemento de Fiscalidade.
Agencia Tributaria Española (AEAT): non é un provedor; recibe os rexistros de facturación remitidos vía VeriFactu cando a lei o esixe (obriga legal).

Non vendemos nin cedemos os datos a terceiros con fins publicitarios.

6. Transferencias internacionais

Os servidores principais e a inxestión final de PostHog están na Unión Europea. O tránsito de rede pode resolverse en infraestrutura global de provedores como Cloudflare. Google Analytics pode implicar tratamento por entidades do grupo Google fóra do EEE. Para estas transferencias aplícanse as garantías previstas nas condicións de medición de Google, como unha decisión de adecuación vixente ou cláusulas contractuais tipo aprobadas pola Comisión Europea.

7. Prazos de conservación

Conta activa: mentres o club manteña a subscrición.
Identidade de Google: o identificador, o correo electrónico e o perfil incorporados á conta seguen os mesmos prazos que os datos de conta. Retirar a conexión en Google non os elimina de Clybo’; podes solicitar a súa supresión mediante as canles indicadas abaixo.
Datos fiscais e facturas: 6 anos desde o peche do exercicio (art. 30 do Código de Comercio) e 7 anos desde a emisión para os rexistros VeriFactu.
Datos de prospección comercial: ata que retires o consentimento.
PostHog: máximo 12 meses; as gravacións de sesión, 30 días.
Google Analytics 4: 2 meses para datos de usuario e evento; os informes estándar agregados non están suxeitos a ese control de retención. As súas cookies caducan como máximo aos 12 meses e non renovan ese prazo en cada visita.
Preferencia analítica: ata que a cambies ou borres o almacenamento local do sitio correspondente.

8. Os teus dereitos · RXPD

Como persoa interesada tes dereito a:

Acceso aos teus datos persoais.
Rectificación de datos inexactos.
Supresión cando xa non sexan necesarios.
Oposición ao tratamento por interese lexítimo.
Limitación do tratamento.
Portabilidade en formato estruturado e lexible.
Retirada do consentimento en calquera momento, sen efectos retroactivos.

Para exercelos escribe a dpo@clybo.app indicando o teu nome e o dereito que queres exercer. Responderemos nun prazo máximo dun mes.

Se cres que o tratamento non se axusta á normativa, podes presentar unha reclamación ante a autoridade de control principal do responsable, o Information and Data Protection Commissioner (IDPC) de Malta, ou ante a autoridade do Estado membro no que residas, traballes ou se producise a suposta infracción (art. 77 RXPD). En España é a Agencia Española de Protección de Datos (AEPD).

9. Dereitos de privacidade nos Estados Unidos

Cando unha lei estatal dos Estados Unidos resulte aplicable, os seus residentes poden ter dereito a coñecer os seus datos persoais ou acceder a eles, corrixilos, solicitar a súa supresión, obter unha copia portable e opoñerse á súa venda, ao seu intercambio para publicidade comportamental, á publicidade dirixida ou a perfís con efectos xurídicos significativos. Tamén poden exercer eses dereitos sen recibir un trato discriminatorio.

En Clybo’ non vendemos nin compartimos datos persoais no sentido da California Consumer Privacy Act (CCPA), nin utilizamos Google Analytics para publicidade dirixida. Aínda así, a web pública recoñece Global Privacy Control (GPC) como unha solicitude de exclusión da analítica opcional. Podes usar tamén Configurar cookies no pé da páxina ou escribir a dpo@clybo.app. Se unha solicitude é denegada e a lei do teu estado recoñece un dereito de recurso, podes apelar respondendo á nosa decisión pola mesma canle.

10. Datos de menores

Clybo’ está deseñado para que o club deportivo sexa o Responsable do Tratamento dos datos dos menores deportistas e dos seus titores. Clybo’ actúa como Encargado do Tratamento conforme a un DPA asinado entre ambas as partes. A política específica do club aplicable aos menores facilítaa o propio club aos seus titores no momento da inscrición.

11. Seguridade

Aplicamos as medidas técnicas e organizativas razoables para protexer os datos: cifrado AES-256 en repouso, TLS 1.3 en tránsito, control de acceso por roles, rexistro de actividade, copias de seguridade cifradas e revisión periódica de provedores.

12. Cambios nesta política

Esta política pode actualizarse para reflectir cambios legais ou operativos. A data da última revisión aparece ao comezo do documento. Se os cambios son substanciais avisarémoste por correo electrónico antes de que entren en vigor.

13. Como contactar connosco

DPO: dpo@clybo.app. Atención xeral: hola@clybo.app.