Política de privacidad

Versión privacy-2026-08-17 · vigente desde el 17 de agosto de 2026

En Clybo tratamos los datos personales conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD) y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Esta política te explica qué datos recogemos, para qué los usamos, durante cuánto tiempo y cuáles son tus derechos.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es FlamaTech Consulting LTD, sociedad inscrita en el C99332, domicilio en The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.

Identidad: FlamaTech Consulting LTD (Clybo)
NIF / VAT: MT28308119
Datos registrales: C99332
Domicilio: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Contacto general: hola@clybo.app
Delegado de Protección de Datos: dpo@clybo.app

2. Datos que recogemos

En función de tu relación con Clybo, tratamos las siguientes categorías de datos:

Gestores de club: nombre, email, teléfono, datos del club (CIF, dirección fiscal), datos bancarios para cobrar la suscripción.
Tutores: nombre, email, teléfono, documento de identidad, referencia de pago y dirección postal.
Deportistas: nombre, fecha de nacimiento, documento, datos médicos (cuando los aporta el tutor), consentimientos firmados.
Datos técnicos: dirección IP, user agent, registros de auditoría y, con tu consentimiento, identificador seudónimo, páginas visitadas, accesos, funciones utilizadas, navegador, dispositivo, ubicación aproximada y métricas de rendimiento LCP, INP, CLS y FCP.

Datos sensibles. Los datos médicos de menores se cifran en reposo con AES-256 y solo son accesibles para las personas autorizadas del club. Se borran automáticamente cuando el deportista abandona el club.

3. Finalidad y base legal

Tratamos tus datos para las siguientes finalidades:

Finalidad	Datos tratados	Base legal
Gestionar el alta de un club y el acceso a la plataforma	Email, contraseña hasheada, nombre, datos fiscales del club (NIF, razón social, domicilio fiscal)	Ejecución de contrato (art. 6.1.b RGPD)
Procesar cuotas y emitir facturas electrónicas (VeriFactu)	Datos del tutor pagador, referencia de tarjeta tokenizada y datos del deportista	Ejecución de contrato + obligación legal (arts. 6.1.b y 6.1.c RGPD)
Atención al cliente	Email, contenido del mensaje, historial de la conversación	Interés legítimo (art. 6.1.f RGPD)
Prevención del fraude y seguridad de la plataforma	Logs de acceso, IP, user agent y errores técnicos del servidor con contexto minimizado	Interés legítimo (art. 6.1.f RGPD)
Analítica de producto y mejora de la plataforma	Identificador seudónimo, páginas visitadas, método y resultado del acceso, funciones utilizadas, navegador, dispositivo, ubicación aproximada y métricas de rendimiento LCP, INP, CLS y FCP. Google Analytics 4 se limita a la landing pública y no recibe el identificador de cuenta.	Consentimiento (art. 6.1.a RGPD), revocable en cualquier momento
Comunicaciones comerciales	Email, nombre, nombre del club	Consentimiento (art. 6.1.a RGPD), revocable en cualquier momento

4. Inicio de sesión con Google

Clybo ofrece Google como método opcional de registro e inicio de sesión. La autenticación se realiza mediante Google OAuth 2.0 y Supabase Auth. Losscopes utilizados son email y profile:

email permite recibir el email principal de tu Cuenta de Google y saber si Google lo ha verificado.
profile permite recibir los datos básicos de perfil disponibles, como nombre, apellidos o imagen. Google puede no facilitar todos estos campos.

Accedemos a esos datos únicamente para crear o vincular tu cuenta, autenticarte, mantener tu sesión e inicializar los datos básicos de tu perfil. Esta integración no solicita permisos para leer Gmail, Google Drive, Google Calendar, tus contactos ni otros contenidos de tu Cuenta de Google.

Google entrega los datos a través de Supabase Auth, que los procesa como proveedor de autenticación de Clybo. El identificador de identidad, el email y los metadatos de perfil recibidos se almacenan en el registro de autenticación asociado a tu cuenta. Se conservan durante los plazos aplicables a los datos de cuenta indicados en la sección «Plazos de conservación» y no se comparten fuera de los proveedores necesarios descritos en esta política. No vendemos estos datos ni los usamos para publicidad.

Puedes retirar la conexión desde las conexiones de terceros de tu Cuenta de Google. Retirar la conexión evita futuras autorizaciones mediante Google, pero no elimina por sí solo tu cuenta de Clybo ni los datos ya incorporados a ella. Para solicitar su acceso, rectificación o supresión, utiliza los canales de la sección «Tus derechos».

El uso y la transferencia de información recibida desde las APIs de Google se ajustan a la Google API Services User Data Policy, incluidos sus requisitos de uso limitado.

5. Destinatarios de los datos

Solo compartimos tus datos con los proveedores estrictamente necesarios para prestar el servicio, siempre bajo contrato de encargado del tratamiento conforme al artículo 28 RGPD:

Amazon Web Services (Frankfurt, UE) — alojamiento de la plataforma.
Supabase (Supabase Auth) — autenticación, vinculación de identidades y gestión de sesiones.
Stripe Payments Europe Ltd. (Dublín, UE) — procesamiento de cobros.
Resend (Alemania, UE) — envío de email transaccional.
Cloudflare (red global) — DNS, seguridad perimetral y tránsito técnico del proxy gestionado de PostHog.
PostHog (infraestructura UE) — analítica de producto y rendimiento consentida en el navegador y diagnóstico de errores del servidor bajo interés legítimo, con minimización y saneado previos.
Google Ireland Limited (Google Analytics 4) — analítica consentida solo en la landing pública. La etiqueta no se descarga antes de aceptar; no recibe identificadores de cuenta, formularios ni datos de contacto, y las señales y finalidades publicitarias permanecen desactivadas.
Agencia Tributaria Española (AEAT) — envío obligatorio de facturas vía VeriFactu (obligación legal).

No vendemos ni cedemos los datos a terceros con fines publicitarios.

6. Transferencias internacionales

Los servidores principales y la ingestión final de PostHog están en la Unión Europea. El tránsito de red puede resolverse en infraestructura global de proveedores como Cloudflare. Google Analytics puede implicar tratamiento por entidades del grupo Google fuera del EEE. Para estas transferencias se aplican las garantías previstas en las condiciones de medición de Google, como una decisión de adecuación vigente o cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Plazos de conservación

Cuenta activa: mientras el club mantenga la suscripción.
Identidad de Google: el identificador, email y perfil incorporados a la cuenta siguen los mismos plazos que los datos de cuenta. Retirar la conexión en Google no los elimina de Clybo; puedes solicitar su supresión mediante los canales indicados abajo.
Datos fiscales y facturas: 6 años desde el cierre del ejercicio (art. 30 del Código de Comercio) y 7 años desde la emisión para los registros VeriFactu.
Datos de prospección comercial: hasta que retires el consentimiento.
PostHog: máximo 12 meses.
Google Analytics 4: 2 meses para datos de usuario y evento; los informes estándar agregados no están sujetos a ese control de retención. Sus cookies vencen como máximo a los 12 meses y no renuevan ese plazo en cada visita.
Preferencia analítica: hasta que la cambies o borres el almacenamiento local del sitio correspondiente.

8. Tus derechos · RGPD

Como interesado tienes derecho a:

Acceso a tus datos personales.
Rectificación de datos inexactos.
Supresión cuando ya no sean necesarios.
Oposición al tratamiento por interés legítimo.
Limitación del tratamiento.
Portabilidad en formato estructurado y legible.
Retirada del consentimiento en cualquier momento, sin efectos retroactivos.

Para ejercerlos escribe a dpo@clybo.app indicando tu nombre y el derecho que quieres ejercer. Responderemos en un plazo máximo de un mes.

Si crees que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid.

9. Datos de menores

Clybo está diseñado para que el club deportivo sea el Responsable del Tratamiento de los datos de los menores deportistas y sus tutores. Clybo actúa como Encargado del Tratamiento conforme a un DPA firmado entre ambas partes. La política específica del club aplicable a los menores la facilita el propio club a sus tutores en el momento de la inscripción.

10. Seguridad

Aplicamos las medidas técnicas y organizativas razonables para proteger los datos: cifrado AES-256 en reposo, TLS 1.3 en tránsito, control de acceso por roles, registro de actividad, copias de seguridad cifradas y revisión periódica de proveedores.

11. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales u operativos. La fecha de la última revisión aparece al inicio del documento. Si los cambios son sustanciales te avisaremos por email antes de que entren en vigor.

12. Cómo contactarnos

DPO: dpo@clybo.app. Atención general: hola@clybo.app.