Política de privacidad

Versión privacy-2026-10-10 · vigente desde el 10 de octubre de 2026

En Clybo’ tratamos los datos personales conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD) y a la legislación maltesa que lo complementa (Data Protection Act, capítulo 586 de las Leyes de Malta), ya que el responsable está establecido en Malta, así como a las leyes estatales de privacidad de Estados Unidos que resulten aplicables. Esta política te explica qué datos recogemos, para qué los usamos, durante cuánto tiempo y cuáles son tus derechos.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es FlamaTech Consulting LTD, sociedad inscrita con el número C99332 en el Malta Business Registry, con domicilio en The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.

Identidad: FlamaTech Consulting LTD (Clybo’)
NIF / VAT: MT28308119
Datos registrales: C99332
Domicilio: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Contacto general: hola@clybo.app
Delegado de Protección de Datos: dpo@clybo.app

2. Datos que recogemos

En función de tu relación con Clybo’, tratamos las siguientes categorías de datos:

Gestores de club: nombre, email, teléfono, datos del club (CIF, dirección fiscal), datos bancarios para cobrar la suscripción.
Tutores: nombre, email, teléfono, documento de identidad, referencia de pago y dirección postal.
Deportistas: nombre, fecha de nacimiento, documento, datos médicos (cuando los aporta el tutor), consentimientos firmados.
Datos técnicos: dirección IP, user agent, registros de auditoría y, con tu consentimiento, email de acceso como identificador analítico de cuenta, páginas visitadas, accesos, funciones utilizadas, navegador, dispositivo, ubicación aproximada y métricas de rendimiento LCP, INP, CLS y FCP.

Datos sensibles. Los datos médicos de menores se cifran en reposo con AES-256 y solo son accesibles para las personas autorizadas del club. Se borran automáticamente cuando el deportista abandona el club.

3. Finalidad y base legal

Tratamos tus datos para las siguientes finalidades:

Finalidad	Datos tratados	Base legal
Gestionar el alta de un club y el acceso a la plataforma	Email, contraseña hasheada, nombre, datos fiscales del club (NIF, razón social, domicilio fiscal)	Ejecución de contrato (art. 6.1.b RGPD)
Procesar cuotas y emitir facturas electrónicas (VeriFactu)	Datos del tutor pagador, referencia de tarjeta tokenizada y datos del deportista	Ejecución de contrato + obligación legal (arts. 6.1.b y 6.1.c RGPD)
Atención al cliente	Email, contenido del mensaje, historial de la conversación	Interés legítimo (art. 6.1.f RGPD)
Prevención del fraude y seguridad de la plataforma	Logs de acceso, IP, user agent y errores técnicos del servidor con contexto minimizado	Interés legítimo (art. 6.1.f RGPD)
Diagnóstico y corrección de errores del panel de gestión del club	Identificador interno de la cuenta (no el email), club y rol, pantalla y momento del error, tipo y traza técnica del error y la operación que falló. No incluye datos introducidos en formularios ni contenido de las respuestas. Se envía a través de nuestra API, sin cookies ni grabación de sesión, y sin crear un perfil de persona en PostHog.	Interés legítimo (art. 6.1.f RGPD): prestar y mantener el servicio contratado. No depende del consentimiento de analítica; puedes oponerte escribiendo a la dirección de contacto.
Analítica de producto y mejora de la plataforma	Email de acceso normalizado como identificador de cuenta en PostHog, páginas visitadas, método y resultado del acceso, funciones utilizadas, navegador, dispositivo, ubicación aproximada y métricas de rendimiento LCP, INP, CLS y FCP. En la app de familias y en los formularios de inscripción, grabación de la sesión para detectar fallos: estructura de la pantalla, clics, desplazamientos y tiempos. El texto, lo que escribes, las imágenes y los enlaces se ocultan en el navegador antes de enviarse, por lo que la grabación no contiene nombres, documentos ni datos de contacto. Google Analytics 4 se limita a la landing pública y no recibe el identificador de cuenta.	Consentimiento (art. 6.1.a RGPD), revocable en cualquier momento
Comunicaciones comerciales	Email, nombre, nombre del club	Consentimiento (art. 6.1.a RGPD), revocable en cualquier momento

4. Inicio de sesión con Google

Clybo’ ofrece Google como método opcional de registro e inicio de sesión. La autenticación se realiza mediante Google OAuth 2.0 y Supabase Auth. Losscopes utilizados son email y profile:

email permite recibir el email principal de tu Cuenta de Google y saber si Google lo ha verificado.
profile permite recibir los datos básicos de perfil disponibles, como nombre, apellidos o imagen. Google puede no facilitar todos estos campos.

Accedemos a esos datos únicamente para crear o vincular tu cuenta, autenticarte, mantener tu sesión e inicializar los datos básicos de tu perfil. Esta integración no solicita permisos para leer Gmail, Google Drive, Google Calendar, tus contactos ni otros contenidos de tu Cuenta de Google.

Google entrega los datos a través de Supabase Auth, que los procesa como proveedor de autenticación de Clybo’. El identificador de identidad, el email y los metadatos de perfil recibidos se almacenan en el registro de autenticación asociado a tu cuenta. Se conservan durante los plazos aplicables a los datos de cuenta indicados en la sección «Plazos de conservación» y no se comparten fuera de los proveedores necesarios descritos en esta política. No vendemos estos datos ni los usamos para publicidad.

Puedes retirar la conexión desde las conexiones de terceros de tu Cuenta de Google. Retirar la conexión evita futuras autorizaciones mediante Google, pero no elimina por sí solo tu cuenta de Clybo’ ni los datos ya incorporados a ella. Para solicitar su acceso, rectificación o supresión, utiliza los canales de la sección «Tus derechos».

El uso y la transferencia de información recibida desde las APIs de Google se ajustan a la Google API Services User Data Policy, incluidos sus requisitos de uso limitado.

5. Destinatarios de los datos

Solo compartimos tus datos con los proveedores estrictamente necesarios para prestar el servicio, siempre bajo contrato de encargado del tratamiento conforme al artículo 28 RGPD:

Amazon Web Services (Frankfurt, UE) — alojamiento de la plataforma.
Supabase (Supabase Auth) — autenticación, vinculación de identidades y gestión de sesiones.
Stripe Payments Europe Ltd. (Dublín, UE) — procesamiento de cobros.
Resend (Alemania, UE) — envío de email transaccional.
Cloudflare (red global) — DNS, seguridad perimetral y tránsito técnico del proxy gestionado de PostHog.
PostHog (infraestructura UE) — analítica de producto y rendimiento consentida en el navegador, que usa el email de acceso normalizado para asociar la actividad de una cuenta entre sesiones e incluye, en la app de familias y en los formularios de inscripción, grabaciones de sesión con todo el contenido oculto, y diagnóstico de errores del servidor y del panel de gestión del club bajo interés legítimo, con minimización y saneado previos. También aloja el soporte de Clybo’ del panel, de la landing, de la app de staff y de la app de familias (atención al cliente, interés legítimo): mensajes, la versión de la app, el tipo de dispositivo y el idioma que se añaden al primer mensaje desde la app de staff o la de familias y, si los facilitas, nombre y email. En el panel de gestión el chat está siempre disponible; en la web y en las apps de staff y de familias solo se carga cuando lo abres. En ningún caso registra tu actividad.
Google Ireland Limited (Google Analytics 4) — analítica consentida solo en la landing pública. La etiqueta no se descarga antes de aceptar; no recibe identificadores de cuenta, formularios ni datos de contacto, y las señales y finalidades publicitarias permanecen desactivadas.
B2Brouter (España, UE) — emisión y remisión de facturas cuando el club activa el add-on de Fiscalidad.
Agencia Tributaria Española (AEAT) — no es un proveedor: recibe los registros de facturación remitidos vía VeriFactu cuando la ley lo exige (obligación legal).

No vendemos ni cedemos los datos a terceros con fines publicitarios.

6. Transferencias internacionales

Los servidores principales y la ingestión final de PostHog están en la Unión Europea. El tránsito de red puede resolverse en infraestructura global de proveedores como Cloudflare. Google Analytics puede implicar tratamiento por entidades del grupo Google fuera del EEE. Para estas transferencias se aplican las garantías previstas en las condiciones de medición de Google, como una decisión de adecuación vigente o cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Plazos de conservación

Cuenta activa: mientras el club mantenga la suscripción.
Identidad de Google: el identificador, email y perfil incorporados a la cuenta siguen los mismos plazos que los datos de cuenta. Retirar la conexión en Google no los elimina de Clybo’; puedes solicitar su supresión mediante los canales indicados abajo.
Datos fiscales y facturas: 6 años desde el cierre del ejercicio (art. 30 del Código de Comercio) y 7 años desde la emisión para los registros VeriFactu.
Datos de prospección comercial: hasta que retires el consentimiento.
PostHog: máximo 12 meses; las grabaciones de sesión, 30 días.
Google Analytics 4: 2 meses para datos de usuario y evento; los informes estándar agregados no están sujetos a ese control de retención. Sus cookies vencen como máximo a los 12 meses y no renuevan ese plazo en cada visita.
Preferencia analítica: hasta que la cambies o borres el almacenamiento local del sitio correspondiente.

8. Tus derechos · RGPD

Como interesado tienes derecho a:

Acceso a tus datos personales.
Rectificación de datos inexactos.
Supresión cuando ya no sean necesarios.
Oposición al tratamiento por interés legítimo.
Limitación del tratamiento.
Portabilidad en formato estructurado y legible.
Retirada del consentimiento en cualquier momento, sin efectos retroactivos.

Para ejercerlos escribe a dpo@clybo.app indicando tu nombre y el derecho que quieres ejercer. Responderemos en un plazo máximo de un mes.

Si crees que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la autoridad de control principal del responsable, el Information and Data Protection Commissioner (IDPC) de Malta, o ante la autoridad del Estado miembro en el que residas, trabajes o se haya producido la supuesta infracción (art. 77 RGPD). En España es la Agencia Española de Protección de Datos (AEPD).

9. Derechos de privacidad en Estados Unidos

Cuando una ley estatal de Estados Unidos resulte aplicable, sus residentes pueden tener derecho a conocer o acceder a sus datos personales, corregirlos, solicitar su supresión, obtener una copia portable y oponerse a su venta, intercambio para publicidad comportamental, publicidad dirigida o perfiles con efectos jurídicos significativos. También pueden ejercer esos derechos sin recibir un trato discriminatorio.

En Clybo’ no vendemos ni compartimos datos personales en el sentido de la California Consumer Privacy Act (CCPA), ni utilizamos Google Analytics para publicidad dirigida. Aun así, la landing reconoce Global Privacy Control (GPC) como una solicitud de exclusión de la analítica opcional. Puedes usar también Configurar cookies en el pie o escribir a dpo@clybo.app. Si una solicitud es denegada y la ley de tu estado reconoce un derecho de recurso, puedes apelar respondiendo a nuestra decisión por el mismo canal.

10. Datos de menores

Clybo’ está diseñado para que el club deportivo sea el Responsable del Tratamiento de los datos de los menores deportistas y sus tutores. Clybo’ actúa como Encargado del Tratamiento conforme a un DPA firmado entre ambas partes. La política específica del club aplicable a los menores la facilita el propio club a sus tutores en el momento de la inscripción.

11. Seguridad

Aplicamos las medidas técnicas y organizativas razonables para proteger los datos: cifrado AES-256 en reposo, TLS 1.3 en tránsito, control de acceso por roles, registro de actividad, copias de seguridad cifradas y revisión periódica de proveedores.

12. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales u operativos. La fecha de la última revisión aparece al inicio del documento. Si los cambios son sustanciales te avisaremos por email antes de que entren en vigor.

13. Cómo contactarnos

DPO: dpo@clybo.app. Atención general: hola@clybo.app.