RGPD · Com el complim
Com complix Clybo’ el Reglament general de protecció de dades (RGPD), inclòs el rol d'Encarregat del Tractament que assumim davant de cada club.
Esta pàgina resumix com complix Clybo’ el Reglament (UE) 2016/679 (RGPD) i la legislació maltesa que el complementa (Data Protection Act, capítol 586), i aclarix els rols entre el club (Responsable) i Clybo’ (Encarregat del Tractament).
1. Rols RGPD
| Rol | Qui l'assumix | Què decidix |
|---|---|---|
| Responsable del Tractament | El club esportiu | Les finalitats del tractament de les dades d'esportistes, tutors i staff. |
| Encarregat del Tractament | FlamaTech Consulting LTD (Clybo’) | Tractar les dades en nom del club seguint les seues instruccions, segons el DPA firmat. |
| Subencarregats | Els proveïdors enumerats en la política de privacitat (allotjament, autenticació, pagaments, email, analítica i facturació) | Servicis concrets amb un contracte d'encàrrec conforme a l'article 28 RGPD. L'AEAT no és subencarregada: rep registres fiscals per obligació legal. |
2. Contracte d'encàrrec del tractament (DPA)
Abans de crear el club, el seu administrador ha d'acceptar electrònicament els Termes i el DPA vigents. El sistema registra l'usuari, la data, les versions acceptades i evidència tècnica de l'acceptació. El DPA ha d'incloure els requisits de l'article 28 RGPD:
- Objecte, durada, naturalesa i finalitat del tractament.
- Tipus de dades personals i categories d'interessats.
- Obligacions de l'Encarregat: confidencialitat, seguretat, assistència al Responsable, notificació de bretxes.
- Règim de subencarregats amb autorització general prèvia.
- Devolució o supressió de les dades al final del contracte.
Si necessites una còpia del DPA abans de contractar, escriu a dpo@clybo.app.
3. Mesures tècniques i organitzatives
- Xifratge: AES-256 en repòs, TLS 1.3 en trànsit.
- Control d'accés: autenticació per proveïdor (Supabase Auth), control per rols, claims firmats.
- Segregació multitenant: aïllament per
club_id+ Row-Level Security en PostgreSQL. - Traçabilitat: registre d'activitat de les operacions sensibles.
- Còpies de seguretat: còpies diàries xifrades amb una retenció de 30 dies.
- Revisió de proveïdors: avaluació prèvia i reavaluació anual de cada subencarregat.
4. Notificació de bretxes de seguretat
En cas de bretxa de seguretat que afecte dades personals, ho notificarem al club Responsable en un termini màxim de 72 hores des que en tinguem coneixement, d'acord amb l'article 33.2 RGPD. La notificació inclourà la naturalesa, les categories i el volum de dades afectades, les mesures adoptades i una persona de contacte.
5. Drets dels interessats
Quan un tutor, un esportista o un membre del staff exercisca un dret ARCO+ (accés, rectificació, supressió, oposició, limitació, portabilitat), s'ha d'adreçar al club Responsable. Clybo’ assistirà el club amb les eines tècniques necessàries per a respondre a la persona interessada dins del termini legal.
6. Transferències internacionals
Les dades s'emmagatzemen principalment en infraestructura ubicada a la Unió Europea. Alguns subencarregats podrien processar dades fora de l'EEE; en eixos casos apliquem clàusules contractuals tipus aprovades per la Comissió Europea o una decisió d'adequació, i garantim un nivell de protecció equivalent al del RGPD.
7. Contacte i reclamacions
Delegat de protecció de dades: dpo@clybo.app.
L'autoritat de control principal de Clybo’ és l'Information and Data Protection Commissioner (IDPC) de Malta. Qualsevol persona interessada també pot reclamar davant de l'autoritat del seu estat membre (a Espanya, l'AEPD, l'Agencia Española de Protección de Datos).