RGPD · Cómo cumplimos
Cómo Clybo’ cumple el Reglamento General de Protección de Datos (RGPD), incluyendo el rol de Encargado del Tratamiento que asumimos frente a cada club.
Esta página resume cómo Clybo’ cumple el Reglamento (UE) 2016/679 (RGPD) y la legislación maltesa que lo complementa (Data Protection Act, capítulo 586), y aclara los roles entre el club (Responsable) y Clybo’ (Encargado del Tratamiento).
1. Roles RGPD
| Rol | Quién lo asume | Qué decide |
|---|---|---|
| Responsable del Tratamiento | El club deportivo | Las finalidades del tratamiento de los datos de deportistas, tutores y staff. |
| Encargado del Tratamiento | FlamaTech Consulting LTD (Clybo’) | Tratar los datos en nombre del club siguiendo sus instrucciones, según el DPA firmado. |
| Sub-encargados | Los proveedores listados en la política de privacidad (alojamiento, autenticación, pagos, email, analítica y facturación) | Servicios concretos con contrato de encargo conforme al artículo 28 RGPD. La AEAT no es sub-encargada: recibe registros fiscales por obligación legal. |
2. Acuerdo de Encargo de Tratamiento (DPA)
Antes de crear el club, su administrador debe aceptar electrónicamente los Términos y el DPA vigentes. El sistema registra el usuario, la fecha, las versiones aceptadas y evidencia técnica de la aceptación. El DPA debe incluir los requisitos del artículo 28 RGPD:
- Objeto, duración, naturaleza y finalidad del tratamiento.
- Tipo de datos personales y categorías de interesados.
- Obligaciones del Encargado: confidencialidad, seguridad, asistencia al Responsable, notificación de brechas.
- Régimen de sub-encargados con autorización general previa.
- Devolución o supresión de los datos al final del contrato.
Si necesitas una copia del DPA antes de contratar, escribe a dpo@clybo.app.
3. Medidas técnicas y organizativas
- Cifrado: AES-256 en reposo, TLS 1.3 en tránsito.
- Control de acceso: autenticación por proveedor (Supabase Auth), control por roles, claims firmados.
- Segregación multi-tenant: aislamiento por
club_id+ Row-Level Security en PostgreSQL. - Trazabilidad: registro de actividad de operaciones sensibles.
- Backups: copias diarias cifradas con retención de 30 días.
- Revisión de proveedores: evaluación previa y reevaluación anual de cada sub-encargado.
4. Notificación de brechas de seguridad
En caso de brecha de seguridad que afecte a datos personales, notificaremos al club Responsable en un plazo máximo de 72 horas desde que tengamos conocimiento, conforme al artículo 33.2 RGPD. La notificación incluirá naturaleza, categorías y volumen de datos afectados, medidas adoptadas y persona de contacto.
5. Derechos de los interesados
Cuando un tutor, deportista o miembro del staff ejerza un derecho ARCO+ (Acceso, Rectificación, Supresión, Oposición, Limitación, Portabilidad) debe dirigirse al club Responsable. Clybo’ asistirá al club con las herramientas técnicas necesarias para responder al interesado en el plazo legal.
6. Transferencias internacionales
Los datos se almacenan principalmente en infraestructura ubicada en la Unión Europea. Algunos sub-encargados podrían procesar datos fuera del EEE; en esos casos aplicamos cláusulas contractuales tipo aprobadas por la Comisión Europea o decisión de adecuación, garantizando un nivel de protección equivalente al del RGPD.
7. Contacto y reclamaciones
Delegado de Protección de Datos: dpo@clybo.app.
La autoridad de control principal de Clybo’ es el Information and Data Protection Commissioner (IDPC) de Malta. Cualquier interesado puede reclamar también ante la autoridad de su Estado miembro (en España, la AEPD).