RXPD · Como o cumprimos
Como cumpre Clybo’ o Regulamento xeral de protección de datos (RXPD), incluído o papel de Encargado do Tratamento que asumimos fronte a cada club.
Esta páxina resume como cumpre Clybo’ o Regulamento (UE) 2016/679 (Regulamento xeral de protección de datos, RXPD) e a lexislación maltesa que o complementa (Data Protection Act, capítulo 586), e aclara os roles entre o club (Responsable) e Clybo’ (Encargado do Tratamento).
1. Roles no RXPD
| Rol | Quen o asume | Que decide |
|---|---|---|
| Responsable do Tratamento | O club deportivo | As finalidades do tratamento dos datos de deportistas, titores e persoal. |
| Encargado do Tratamento | FlamaTech Consulting LTD (Clybo’) | Tratar os datos en nome do club seguindo as súas instrucións, segundo o DPA asinado. |
| Subencargados | Os provedores listados na política de privacidade (aloxamento, autenticación, pagamentos, correo electrónico, analítica e facturación) | Servizos concretos con contrato de encargo conforme ao artigo 28 RXPD. A AEAT non é subencargada: recibe rexistros fiscais por obriga legal. |
2. Acordo de Encargo do Tratamento (DPA)
Antes de crear o club, o seu administrador debe aceptar electronicamente os Termos e o DPA vixentes. O sistema rexistra o usuario, a data, as versións aceptadas e evidencia técnica da aceptación. O DPA debe incluír os requisitos do artigo 28 RXPD:
- Obxecto, duración, natureza e finalidade do tratamento.
- Tipo de datos persoais e categorías de persoas interesadas.
- Obrigas do Encargado: confidencialidade, seguridade, asistencia ao Responsable, notificación de violacións de seguridade.
- Réxime de subencargados con autorización xeral previa.
- Devolución ou supresión dos datos ao final do contrato.
Se necesitas unha copia do DPA antes de contratar, escribe a dpo@clybo.app.
3. Medidas técnicas e organizativas
- Cifrado: AES-256 en repouso, TLS 1.3 en tránsito.
- Control de acceso: autenticación por provedor (Supabase Auth), control por roles, claims asinados.
- Segregación multi-tenant: illamento por
club_id+ Row-Level Security en PostgreSQL. - Trazabilidade: rexistro de actividade das operacións sensibles.
- Copias de seguridade: copias diarias cifradas con retención de 30 días.
- Revisión de provedores: avaliación previa e reavaliación anual de cada subencargado.
4. Notificación de violacións de seguridade
En caso de violación de seguridade que afecte a datos persoais, notificarémolo ao club Responsable nun prazo máximo de 72 horas desde que teñamos coñecemento, conforme ao artigo 33.2 RXPD. A notificación incluirá a natureza, as categorías e o volume de datos afectados, as medidas adoptadas e a persoa de contacto.
5. Dereitos das persoas interesadas
Cando un titor, deportista ou membro do persoal exerza un dereito ARCO+ (acceso, rectificación, supresión, oposición, limitación, portabilidade) debe dirixirse ao club Responsable. Clybo’ asistirá o club coas ferramentas técnicas necesarias para responder á persoa interesada no prazo legal.
6. Transferencias internacionais
Os datos almacénanse principalmente en infraestrutura situada na Unión Europea. Algúns subencargados poderían procesar datos fóra do EEE; nese caso aplicamos cláusulas contractuais tipo aprobadas pola Comisión Europea ou unha decisión de adecuación, garantindo un nivel de protección equivalente ao do RXPD.
7. Contacto e reclamacións
Delegado de Protección de Datos: dpo@clybo.app.
A autoridade de control principal de Clybo’ é o Information and Data Protection Commissioner (IDPC) de Malta. Calquera persoa interesada pode reclamar tamén ante a autoridade do seu Estado membro (en España, a AEPD).