Política de privacitat
A Clybo’ tractem les dades personals d'acord amb el Reglament (UE) 2016/679 del Parlament Europeu i del Consell (Reglament general de protecció de dades, RGPD) i amb la legislació maltesa que el complementa (Data Protection Act, capítol 586 de les Lleis de Malta), ja que el responsable està establit a Malta, així com amb les lleis estatals de privacitat dels Estats Units que siguen aplicables. Esta política t'explica quines dades recollim, per a què les utilitzem, durant quant de temps i quins són els teus drets.
1. Responsable del tractament
El responsable del tractament de les teues dades personals és FlamaTech Consulting LTD, societat inscrita en el C99332, amb domicili en The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.
- Identitat: FlamaTech Consulting LTD (Clybo’)
- NIF / VAT: MT28308119
- Dades registrals: C99332
- Domicili: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
- Contacte general: hola@clybo.app
- Delegat de protecció de dades: dpo@clybo.app
2. Dades que recollim
En funció de la teua relació amb Clybo’, tractem les categories de dades següents:
- Gestors de club: nom, email, telèfon, dades del club (CIF, adreça fiscal), dades bancàries per a cobrar la subscripció.
- Tutors: nom, email, telèfon, document d'identitat, referència de pagament i adreça postal.
- Esportistes: nom, data de naixement, document, dades mèdiques (quan les aporta el tutor), consentiments firmats.
- Dades tècniques: adreça IP, user agent, registres d'auditoria i, amb el teu consentiment, email d'accés com a identificador analític del compte, pàgines visitades, accessos, funcions utilitzades, navegador, dispositiu, ubicació aproximada i mètriques de rendiment LCP, INP, CLS i FCP.
3. Finalitat i base jurídica
Tractem les teues dades per a les finalitats següents:
| Finalitat | Dades tractades | Base jurídica |
|---|---|---|
| Gestionar l'alta d'un club i l'accés a la plataforma | Email, contrasenya amb hash, nom, dades fiscals del club (NIF, raó social, domicili fiscal) | Execució d'un contracte (art. 6.1.b RGPD) |
| Processar quotes i emetre factures electròniques (VeriFactu) | Dades del tutor pagador, referència de targeta tokenitzada i dades de l'esportista | Execució d'un contracte + obligació legal (arts. 6.1.b i 6.1.c RGPD) |
| Atenció al client | Email, contingut del missatge, historial de la conversa | Interés legítim (art. 6.1.f RGPD) |
| Prevenció del frau i seguretat de la plataforma | Registres d'accés, IP, user agent i errors tècnics del servidor amb context minimitzat | Interés legítim (art. 6.1.f RGPD) |
| Diagnòstic i correcció d'errors del panell de gestió del club | Identificador intern del compte (no l'email), club i rol, pantalla i moment de l'error, tipus i traça tècnica de l'error i l'operació que va fallar. No inclou dades introduïdes en formularis ni el contingut de les respostes. S'envia a través de la nostra API, sense cookies ni gravació de sessió, i sense crear un perfil de persona en PostHog. | Interés legítim (art. 6.1.f RGPD): prestar i mantindre el servici contractat. No depén del consentiment d'analítica; pots oposar-t'hi escrivint a l'adreça de contacte. |
| Analítica de producte i millora de la plataforma | Email d'accés normalitzat com a identificador del compte en PostHog, pàgines visitades, mètode i resultat de l'accés, funcions utilitzades, navegador, dispositiu, ubicació aproximada i mètriques de rendiment LCP, INP, CLS i FCP. En l'app de famílies i en els formularis d'inscripció, gravació de la sessió per a detectar fallades: estructura de la pantalla, clics, desplaçaments i temps. El text, el que escrius, les imatges i els enllaços s'oculten en el navegador abans d'enviar-se, de manera que la gravació no conté noms, documents ni dades de contacte. Google Analytics 4 es limita a la landing pública i no rep l'identificador del compte. | Consentiment (art. 6.1.a RGPD), revocable en qualsevol moment |
| Comunicacions comercials | Email, nom, nom del club | Consentiment (art. 6.1.a RGPD), revocable en qualsevol moment |
4. Inici de sessió amb Google
Clybo’ oferix Google com a mètode opcional de registre i d'inici de sessió. L'autenticació es fa mitjançant Google OAuth 2.0 i Supabase Auth. Elsscopes utilitzats són email i profile:
emailpermet rebre l'email principal del teu Compte de Google i saber si Google l'ha verificat.profilepermet rebre les dades bàsiques de perfil disponibles, com ara el nom, els cognoms o la imatge. És possible que Google no facilite tots estos camps.
Accedim a eixes dades únicament per a crear o vincular el teu compte, autenticar-te, mantindre la teua sessió i inicialitzar les dades bàsiques del teu perfil. Esta integració no sol·licita permisos per a llegir Gmail, Google Drive, Google Calendar, els teus contactes ni altres continguts del teu Compte de Google.
Google entrega les dades a través de Supabase Auth, que les processa com a proveïdor d'autenticació de Clybo’. L'identificador d'identitat, l'email i les metadades de perfil rebudes s'emmagatzemen en el registre d'autenticació associat al teu compte. Es conserven durant els terminis aplicables a les dades del compte indicats en la secció «Terminis de conservació» i no es compartixen fora dels proveïdors necessaris descrits en esta política. No venem estes dades ni les utilitzem per a publicitat.
Pots retirar la connexió des de les connexions de tercers del teu Compte de Google. Retirar la connexió evita futures autoritzacions mitjançant Google, però no elimina per si sola el teu compte de Clybo’ ni les dades que ja s'hi han incorporat. Per a sol·licitar-ne l'accés, la rectificació o la supressió, utilitza els canals de la secció «Els teus drets».
L'ús i la transferència d'informació rebuda des de les API de Google s'ajusten a la Google API Services User Data Policy, inclosos els seus requisits d'ús limitat.
5. Destinataris de les dades
Només compartim les teues dades amb els proveïdors estrictament necessaris per a prestar el servici, sempre amb un contracte d'encarregat del tractament conforme a l'article 28 RGPD:
- Amazon Web Services (Frankfurt, UE): allotjament de la plataforma.
- Supabase (Supabase Auth): autenticació, vinculació d'identitats i gestió de sessions.
- Stripe Payments Europe Ltd. (Dublín, UE): processament de cobraments.
- Resend (Alemanya, UE): enviament d'email transaccional.
- Cloudflare (xarxa global): DNS, seguretat perimetral i trànsit tècnic del proxy gestionat de PostHog.
- PostHog (infraestructura UE): analítica de producte i de rendiment consentida en el navegador, que utilitza l'email d'accés normalitzat per a associar l'activitat d'un compte entre sessions i inclou, en l'app de famílies i en els formularis d'inscripció, gravacions de sessió amb tot el contingut ocult, i diagnòstic d'errors del servidor i del panell de gestió del club basat en l'interés legítim, amb minimització i sanejament previs. També allotja el suport de Clybo’ del tauler, del web, de l'app de staff i de l'app de famílies (atenció al client, interés legítim): missatges, la versió de l'app, el tipus de dispositiu i l'idioma que s'afigen al primer missatge des de l'app de staff o la de famílies i, si els facilites, nom i email. En el tauler de gestió el xat està sempre disponible; en el web i en les apps de staff i de famílies només es carrega quan l'obris. En cap cas no registra la teua activitat.
- Google Ireland Limited (Google Analytics 4): analítica consentida només en la landing pública. L'etiqueta no es descarrega abans d'acceptar; no rep identificadors de compte, formularis ni dades de contacte, i els senyals i les finalitats publicitàries continuen desactivats.
- B2Brouter (Espanya, UE): emissió i remissió de factures quan el club activa l'add-on de Fiscalitat.
- Agencia Tributaria Española (AEAT), l'agència tributària espanyola: no és un proveïdor; rep els registres de facturació remesos via VeriFactu quan la llei ho exigix (obligació legal).
No venem ni cedim les dades a tercers amb finalitats publicitàries.
6. Transferències internacionals
Els servidors principals i la ingestió final de PostHog estan a la Unió Europea. El trànsit de xarxa es pot resoldre en infraestructura global de proveïdors com Cloudflare. Google Analytics pot implicar un tractament per part d'entitats del grup Google fora de l'EEE. Per a estes transferències s'apliquen les garanties previstes en les condicions de mesurament de Google, com ara una decisió d'adequació vigent o clàusules contractuals tipus aprovades per la Comissió Europea.
7. Terminis de conservació
- Compte actiu: mentres el club mantinga la subscripció.
- Identitat de Google: l'identificador, l'email i el perfil incorporats al compte seguixen els mateixos terminis que les dades del compte. Retirar la connexió en Google no els elimina de Clybo’; pots sol·licitar-ne la supressió pels canals indicats més avall.
- Dades fiscals i factures: 6 anys des del tancament de l'exercici (art. 30 del Código de Comercio, el Codi de comerç espanyol) i 7 anys des de l'emissió per als registres VeriFactu.
- Dades de prospecció comercial: fins que retires el consentiment.
- PostHog: màxim 12 mesos; les gravacions de sessió, 30 dies.
- Google Analytics 4: 2 mesos per a les dades d'usuari i d'esdeveniment; els informes estàndard agregats no estan subjectes a eixe control de retenció. Les seues cookies vencen com a màxim als 12 mesos i no renoven eixe termini en cada visita.
- Preferència analítica: fins que la canvies o esborres l'emmagatzematge local del lloc corresponent.
8. Els teus drets · RGPD
Com a persona interessada tens dret a:
- Accés a les teues dades personals.
- Rectificació de les dades inexactes.
- Supressió quan ja no siguen necessàries.
- Oposició al tractament basat en l'interés legítim.
- Limitació del tractament.
- Portabilitat en un format estructurat i llegible.
- Retirada del consentiment en qualsevol moment, sense efectes retroactius.
Per a exercir-los, escriu a dpo@clybo.app indicant el teu nom i el dret que vols exercir. Respondrem en un termini màxim d'un mes.
Si consideres que el tractament no s'ajusta a la normativa, pots presentar una reclamació davant de l'autoritat de control principal del responsable, l'Information and Data Protection Commissioner (IDPC) de Malta, o davant de l'autoritat de l'estat membre en què residisques, treballes o s'haja produït la presumpta infracció (art. 77 RGPD). A Espanya és l'Agencia Española de Protección de Datos (AEPD), l'autoritat espanyola de protecció de dades.
9. Drets de privacitat als Estats Units
Quan siga aplicable una llei estatal dels Estats Units, els seus residents poden tindre dret a conéixer les seues dades personals o accedir-hi, corregir-les, sol·licitar-ne la supressió, obtindre'n una còpia portable i oposar-se a la seua venda, a l'intercanvi per a publicitat comportamental, a la publicitat dirigida o a l'elaboració de perfils amb efectes jurídics significatius. També poden exercir eixos drets sense rebre un tracte discriminatori.
A Clybo’ no venem ni compartim dades personals en el sentit de la California Consumer Privacy Act (CCPA), ni utilitzem Google Analytics per a publicitat dirigida. Tot i això, la landing reconeix Global Privacy Control (GPC) com una sol·licitud d'exclusió de l'analítica opcional. També pots utilitzar Configurar cookies en el peu de pàgina o escriure a dpo@clybo.app. Si es denega una sol·licitud i la llei del teu estat reconeix un dret de recurs, pots apel·lar responent a la nostra decisió pel mateix canal.
10. Dades de menors
Clybo’ està dissenyat perquè el club esportiu siga el Responsable del Tractament de les dades dels esportistes menors i dels seus tutors. Clybo’ actua com a Encarregat del Tractament d'acord amb un DPA firmat entre les dos parts. La política específica del club aplicable als menors la facilita el mateix club als seus tutors en el moment de la inscripció.
11. Seguretat
Apliquem les mesures tècniques i organitzatives raonables per a protegir les dades: xifratge AES-256 en repòs, TLS 1.3 en trànsit, control d'accés per rols, registre d'activitat, còpies de seguretat xifrades i revisió periòdica dels proveïdors.
12. Canvis en esta política
Esta política es pot actualitzar per a reflectir canvis legals o operatius. La data de l'última revisió apareix al principi del document. Si els canvis són substancials, t'avisarem per email abans que entren en vigor.
13. Com contactar amb nosaltres
DPO: dpo@clybo.app. Atenció general: hola@clybo.app.