Documentación legal

Política de privacidad

Última actualización: [FECHA DE PUBLICACIÓN]

Esta política explica quién trata los datos personales que circulan por Gyrava, con qué finalidad y con qué base jurídica, quién puede verlos, cuánto tiempo se conservan y cómo ejercer los derechos reconocidos por el Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

Es necesario distinguir dos situaciones, porque la responsabilidad no recae siempre en la misma parte:

a) Datos de las cuentas de la plataforma y del sitio web

Respecto de los datos de las personas que crean una cuenta en Gyrava, de quienes contactan con el servicio y de quienes navegan por el sitio web corporativo, el responsable del tratamiento es:

Responsable: [RAZÓN SOCIAL]
NIF / CIF: [NIF]
Domicilio fiscal: [DOMICILIO FISCAL]
Correo electrónico de protección de datos: [EMAIL DE CONTACTO]
Teléfono: [TELÉFONO DE CONTACTO]
Delegado de protección de datos: [DPD, si procede designarlo; en caso contrario, indicar «no designado»]

b) Datos de deportistas, familias y personal del club

Respecto de los datos que cada club introduce en la plataforma —deportistas, personas tutoras, entrenadoras y entrenadores, cuotas, asistencia o documentación—, el responsable del tratamiento es el propio club, que decide qué datos recoge y para qué. Gyrava actúa como encargado del tratamiento, tratando esos datos únicamente conforme a las instrucciones del club y a lo pactado en el contrato de encargo del tratamiento previsto en el artículo 28 del RGPD.

Si usted es una familia o una persona deportista y desea ejercer sus derechos sobre esos datos, su interlocutor natural es su club. Aun así, Gyrava trasladará al club cualquier solicitud que reciba y le prestará la asistencia necesaria para atenderla.

2. Datos que se tratan

Datos de la cuenta y del uso del servicio

Nombre y apellidos, dirección de correo electrónico y contraseña cifrada.
Club al que pertenece la cuenta y rol asignado dentro de él.
Datos técnicos mínimos derivados del uso: dirección IP, marca de tiempo de inicio de sesión y registros de actividad necesarios para la seguridad del servicio.
Datos de facturación del club, cuando el plan contratado sea de pago.

Datos de deportistas, incluidos menores de edad

Gyrava está pensado para clubes deportivos de base, de modo que una parte muy relevante de las personas cuyos datos se tratan son menores de edad. Los datos que un club puede registrar sobre una persona deportista son, de forma explícita:

Datos identificativos: nombre y apellidos, fecha de nacimiento, sexo, documento de identidad cuando la federación lo exija y fotografía de ficha si el club la utiliza.
Datos de contacto: domicilio, teléfono y correo electrónico, normalmente los de la persona tutora.
Contacto de emergencia: nombre, parentesco y teléfono de la persona a la que avisar durante un entrenamiento o una competición.
Información médica relevante para la práctica deportiva: alergias, intolerancias, medicación, lesiones y cualquier condición que el club deba conocer para atender a la persona menor con seguridad. Se trata de datos de la categoría especial del artículo 9 del RGPD y reciben la protección reforzada descrita más abajo.
Datos deportivos y administrativos: grupo, categoría, temporada, asistencia a entrenamientos, resultados, evaluaciones, talla de equipación, cuotas, recibos y documentación con fecha de caducidad (licencias, autorizaciones, certificados médicos).
Datos de las personas tutoras: nombre y apellidos, documento de identidad, parentesco, teléfono, correo electrónico y datos de pago cuando el club los registre.
Imagen: fotografías y vídeos de la actividad del club, únicamente si el club activa esa funcionalidad y con el consentimiento específico descrito en el apartado 8.

Gyrava no solicita ni requiere datos de categorías especiales distintos de la información médica indicada, y no realiza decisiones automatizadas ni elaboración de perfiles con efectos jurídicos sobre las personas interesadas.

3. Finalidades y base jurídica

Prestación del servicio contratado por el club: Gestión de altas, grupos, calendario, asistencia, cuotas, documentación, competiciones y web pública. Base jurídica: ejecución del contrato entre el club y la persona socia o su tutora (art. 6.1.b RGPD) y ejecución del contrato de servicio entre el club y Gyrava (art. 28 RGPD).
Creación y mantenimiento de la cuenta de usuario: Ejecución del contrato con la persona usuaria (art. 6.1.b RGPD).
Tratamiento de la información médica y del contacto de emergencia: Protección de intereses vitales de la persona interesada (art. 6.1.d y art. 9.2.c RGPD) y, con carácter general, consentimiento explícito de la persona tutora (art. 9.2.a RGPD), recabado por el club en el momento de la inscripción.
Cumplimiento de obligaciones legales: Obligaciones fiscales y contables, tramitación de licencias federativas y, cuando proceda, acreditación de requisitos legales del personal que trabaja con menores. Base jurídica: cumplimiento de una obligación legal (art. 6.1.c RGPD).
Seguridad del servicio y prevención del fraude: Registros de acceso, copias de seguridad y medidas antiabuso. Base jurídica: interés legítimo del responsable (art. 6.1.f RGPD).
Publicación de imágenes en la web o redes del club: Consentimiento específico, informado y revocable de la persona tutora o de la persona interesada mayor de catorce años (art. 6.1.a RGPD).
Comunicaciones sobre el servicio: Avisos operativos imprescindibles: ejecución del contrato. Comunicaciones comerciales: consentimiento previo o interés legítimo en clientes, con derecho de oposición en todo momento.

4. Quién accede a los datos dentro del club

El acceso dentro de la plataforma está delimitado por roles y no es global: cada persona ve únicamente lo que necesita para su función.

Administración del club: acceso completo a los datos del club, incluida la información médica, la documentación y las cuotas. Es quien configura el club y quien asigna los roles.
Personal técnico (entrenadoras y entrenadores): acceso a las personas deportistas de los grupos que tienen asignados, a su asistencia, a sus evaluaciones y a la información médica y el contacto de emergencia estrictamente necesarios para atender una incidencia en pista.
Familias y personas tutoras: acceso exclusivamente a las personas deportistas vinculadas a su cuenta: su ficha, su calendario, su asistencia, sus cuotas y sus recibos. No pueden ver datos de otras familias.
Personal de Gyrava: acceso limitado, nominativo y registrado, únicamente cuando resulte imprescindible para prestar soporte técnico o resolver una incidencia, bajo deber de confidencialidad y siguiendo instrucciones del club.

5. Encargados del tratamiento y proveedores

Para prestar el servicio, Gyrava se apoya en los siguientes proveedores, que actúan como subencargados del tratamiento con contrato firmado conforme al artículo 28 del RGPD y con obligación de confidencialidad y de aplicar medidas técnicas y organizativas apropiadas:

Vercel — alojamiento y ejecución de la aplicación: Infraestructura de despliegue y entrega de la aplicación web. La región de despliegue utilizada está situada en la Unión Europea. Para cualquier flujo que pudiera implicar acceso desde fuera del Espacio Económico Europeo, el tratamiento se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y en las garantías adicionales que el proveedor acredita.
Neon — base de datos: Base de datos PostgreSQL gestionada donde se almacena la información del club. El proyecto está alojado en una región de la Unión Europea. Se aplican las mismas garantías de transferencia descritas en el punto anterior cuando resulten necesarias.
[PROVEEDOR DE CORREO TRANSACCIONAL]: Envío de correos de verificación, recuperación de contraseña y avisos del servicio. Completar cuando se contrate el proveedor definitivo.
[PASARELA DE PAGO]: Tramitación de cobros online, cuando esta funcionalidad esté activa. Gyrava no almacena números completos de tarjeta: los datos de pago son tratados directamente por la pasarela.

La lista actualizada de subencargados se facilitará a los clubes usuarios, que serán informados con antelación razonable de cualquier incorporación o sustitución, pudiendo oponerse por motivos fundados.

Además de estos proveedores, los datos pueden comunicarse a federaciones deportivas, administraciones públicas, entidades aseguradoras y entidades bancarias cuando el club deba hacerlo para tramitar licencias, subvenciones, seguros o cobros. Esa comunicación la decide el club como responsable del tratamiento.

6. Plazos de conservación

Datos de la persona deportista: mientras permanezca dada de alta en el club y, tras la baja, durante el tiempo necesario para atender responsabilidades derivadas de la relación, con un máximo orientativo de cinco años, salvo obligación legal distinta.
Información médica y contacto de emergencia: mientras dure el alta deportiva. Se suprimen o se bloquean tras la baja, salvo que exista una reclamación en curso.
Datos económicos, cuotas, recibos y facturación: seis años, conforme al artículo 30 del Código de Comercio, y cuatro años a efectos fiscales según la Ley General Tributaria, aplicándose el plazo más amplio.
Datos de la cuenta de usuario: mientras la cuenta permanezca activa. Tras su cierre se eliminan en un plazo máximo de treinta días, salvo los datos que deban conservarse por obligación legal.
Registros técnicos de seguridad: doce meses como máximo.
Imágenes publicadas: hasta la revocación del consentimiento o hasta que pierdan su finalidad informativa, momento en que se retiran de la web del club.
Copias de seguridad: las supresiones se propagan a las copias en un plazo máximo de treinta y cinco días, tiempo durante el cual los datos permanecen bloqueados.

Finalizados los plazos, los datos se suprimen o se anonimizan de forma irreversible. Terminado el contrato con un club, Gyrava devuelve o elimina los datos según la instrucción que el club indique.

7. Menores de edad y consentimiento de las personas tutoras

Conforme al artículo 7 de la LOPDGDD, el tratamiento de datos de menores de catorce años basado en el consentimiento requiere el consentimiento de quien ostente la patria potestad o la tutela. A partir de los catorce años, la persona menor puede consentir por sí misma, salvo en los casos en que la ley exija asistencia de sus representantes legales.

Las cuentas de acceso a la plataforma se crean a nombre de la persona tutora, no de la persona menor. Es la persona tutora quien rellena la ficha y quien autoriza el tratamiento.
El formulario de preinscripción recoge de forma expresa y separada el consentimiento para el tratamiento de la información médica y, si el club la activa, el consentimiento para el uso de la imagen.
El club, como responsable, debe conservar prueba del consentimiento obtenido y verificar de forma razonable la condición de tutor o tutora de quien lo presta.
El consentimiento es revocable en cualquier momento, sin efectos retroactivos sobre los tratamientos ya realizados.

8. Uso de la imagen

La publicación de fotografías o vídeos de personas deportistas en la web pública del club, en sus redes sociales o en sus comunicaciones es una funcionalidad opcional, desactivada por defecto. Solo puede utilizarse si el club la activa y si dispone del consentimiento específico e informado de la persona tutora o de la persona interesada mayor de catorce años, recabado de forma separada del resto de autorizaciones, conforme a la Ley Orgánica 1/1982, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

La negativa a autorizar el uso de la imagen no puede condicionar la inscripción ni la participación en la actividad. Revocado el consentimiento, el club debe retirar las imágenes publicadas en un plazo razonable; Gyrava facilita las herramientas para hacerlo desde el panel del club.

9. Derechos de las personas interesadas

Puede ejercer en cualquier momento, de forma gratuita, los siguientes derechos —conocidos conjuntamente como derechos ARCO-POL—:

Acceso: conocer qué datos se tratan y obtener una copia de ellos.
Rectificación: corregir los datos inexactos o completar los incompletos.
Cancelación o supresión: solicitar la eliminación de los datos cuando ya no sean necesarios para la finalidad que los originó.
Oposición: oponerse a un tratamiento basado en el interés legítimo o con fines de comunicaciones comerciales.
Portabilidad: recibir los datos en un formato estructurado y de uso común o solicitar su transmisión a otro responsable.
Limitación del tratamiento: solicitar que los datos se conserven pero no se traten mientras se resuelve una impugnación.
Revocación del consentimiento: retirar en cualquier momento el consentimiento prestado.

Cómo ejercerlos

Si los datos son de una persona deportista o de su familia, diríjase en primer lugar a su club, que es el responsable del tratamiento y quien puede resolver la solicitud con mayor rapidez.

Para los datos de la cuenta de la plataforma, o si su club no atiende la solicitud, escriba a [EMAIL DE CONTACTO] o al domicilio [DOMICILIO FISCAL], indicando el derecho que ejerce, sus datos identificativos y una copia de un documento que acredite su identidad y, en el caso de personas menores, su condición de tutor o tutora. La solicitud se resolverá en el plazo máximo de un mes, prorrogable por dos meses adicionales cuando su complejidad lo justifique, informándole de la prórroga.

Si considera que sus derechos no han sido debidamente atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es).

10. Medidas de seguridad

Gyrava aplica medidas técnicas y organizativas apropiadas al riesgo, entre ellas: cifrado en tránsito mediante TLS, cifrado en reposo de la base de datos, almacenamiento de contraseñas mediante funciones de derivación de clave, control de acceso por roles con separación estricta entre clubes, registro de accesos, copias de seguridad periódicas y revisión de dependencias.

En caso de violación de la seguridad de los datos personales, Gyrava lo notificará al club afectado sin dilación indebida para que este pueda cumplir con sus obligaciones de notificación previstas en los artículos 33 y 34 del RGPD.

11. Cambios en esta política

Esta política puede actualizarse para reflejar cambios en el servicio o en la normativa aplicable. La versión vigente será siempre la publicada en esta página, con su fecha de última actualización. Los cambios sustanciales se comunicarán a los clubes usuarios con antelación razonable.

Consulte también el aviso legal y la política de cookies.