Documentación legal

Política de privacidad

Última actualización: 17 de octubre de 2026

Esta política explica quién trata los datos personales que circulan por Gyrava, con qué finalidad y con qué base jurídica, quién puede verlos, cuánto tiempo se conservan y cómo ejercer los derechos reconocidos por el Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

Es necesario distinguir dos situaciones, porque la responsabilidad no recae siempre en la misma parte:

a) Datos de las cuentas de la plataforma y del sitio web

Respecto de los datos de las personas que crean una cuenta en Gyrava, de quienes contactan con el servicio y de quienes navegan por el sitio web corporativo, el responsable del tratamiento es:

Responsable: Francisco Palomares Alabarce
NIF / CIF: 75940353B
Domicilio fiscal: Calle Nueva 7, Motril (Granada), España
Correo electrónico de protección de datos: gyravapp@gmail.com
Teléfono: 678 035 273
Delegado de protección de datos: No se ha designado. Si la designación resulta obligatoria conforme al artículo 37.1.c del RGPD es una cuestión que está pendiente de la revisión jurídica anunciada arriba y que se resolverá antes del lanzamiento comercial; entretanto, las solicitudes se atienden en la dirección de correo indicada.

b) Datos de deportistas, familias y personal del club

Respecto de los datos que cada club introduce en la plataforma —deportistas, personas tutoras, entrenadoras y entrenadores, cuotas, asistencia o documentación—, el responsable del tratamiento es el propio club, que decide qué datos recoge y para qué. Gyrava actúa como encargado del tratamiento, tratando esos datos únicamente conforme a las instrucciones del club y a lo pactado en el contrato de encargo del tratamiento previsto en el artículo 28 del RGPD.

Si usted es una familia o una persona deportista y desea ejercer sus derechos sobre esos datos, su interlocutor natural es su club. Aun así, Gyrava trasladará al club cualquier solicitud que reciba y le prestará la asistencia necesaria para atenderla.

2. Datos que se tratan

Datos de la cuenta y del uso del servicio

Nombre y apellidos, dirección de correo electrónico y contraseña cifrada.
Club al que pertenece la cuenta y rol asignado dentro de él.
Datos técnicos mínimos derivados del uso: dirección IP, marca de tiempo de inicio de sesión y registros de actividad necesarios para la seguridad del servicio.
Plan contratado por el club, la fecha desde la que lo tiene y, en su caso, la solicitud de cambio de plan. No se recogen datos de facturación ni de pago del club: la plataforma no almacena razón social, domicilio fiscal ni ningún dato bancario, y el cobro del servicio, cuando lo haya, se tramitará fuera de ella.
Avisos push, solo si la persona los activa: cuando alguien acepta recibir avisos del club en su navegador o en su móvil, se guarda la suscripción que emite su propio navegador —una dirección de entrega, dos claves de cifrado y la identificación del navegador—, para poder mandarle el aviso. Esa dirección la genera y la atiende el servicio de notificaciones del fabricante del navegador (Google, Apple o Mozilla), como se explica en el apartado 5. El contenido del aviso viaja cifrado de extremo a extremo y ese servicio no puede leerlo, pero sí sabe que hay un envío. Se borra al desactivar los avisos o cuando el navegador la invalida.

Datos de deportistas, incluidos menores de edad

Gyrava está pensado para clubes deportivos de base, de modo que una parte muy relevante de las personas cuyos datos se tratan son menores de edad. Los datos que Gyrava prevé de forma explícita para una persona deportista son los siguientes; el club puede añadir además campos propios, en los términos y con los límites que se describen justo después de esta lista:

Datos identificativos: nombre y apellidos, fecha de nacimiento, documento de identidad cuando la federación lo exija y fotografía de ficha si el club la utiliza. La fotografía se guarda en almacenamiento privado, igual que la documentación: no tiene dirección pública, y las pantallas del club la piden a una ruta que comprueba la sesión y el permiso en cada petición. Las medidas concretas están en el apartado 10.
Datos federativos: federación, número de licencia, categoría con la que compite y fecha de caducidad de la licencia.
Datos de contacto: domicilio, teléfono y correo electrónico, normalmente los de la persona tutora. La ficha guarda además el teléfono y el domicilio de la propia persona deportista —calle, código postal y municipio—, que son suyos y no los de su familia: existen porque una persona mayor de edad es su propia interlocutora, y porque el teléfono al que se llama en una urgencia (el del contacto de emergencia) es el de un tercero y no sirve para avisarla a ella. Son opcionales en la ficha, y en la de una menor lo habitual es que estén vacíos; en la preinscripción de quien se inscribe a sí misma el teléfono puede ser obligatorio, si el club así lo configura. La ficha admite también un correo electrónico de la propia persona deportista, sea mayor o menor de edad, para que los avisos del club y los recordatorios de cuota le lleguen también a ella además de a su familia, y no en su lugar. Ese correo se utiliza exclusivamente para esas comunicaciones informativas: no da acceso a la plataforma, no permite consultar documentación ni firmar autorizaciones, y el club puede borrarlo de la ficha en cualquier momento. Al tratarse de una dirección que introduce el club, Gyrava no la verifica.
Contacto de emergencia: nombre, parentesco y teléfono de la persona a la que avisar durante un entrenamiento o una competición.
Información médica relevante para la práctica deportiva: alergias, intolerancias, medicación, lesiones y cualquier condición que el club deba conocer para atender a la persona menor con seguridad. Se trata de datos de la categoría especial del artículo 9 del RGPD y reciben la protección reforzada descrita más abajo.
Datos deportivos y administrativos: grupo, categoría, temporada, asistencia a entrenamientos, avisos de falta —cuyo motivo lo escribe la familia—, resultados —tanto los suyos como los del conjunto o equipo con el que compita, con el nombre que el club le dé a esa composición—, evaluaciones, tallas de equipación (camiseta, chaqueta y calzado), cuotas, recibos y documentación con fecha de caducidad (licencias, autorizaciones, certificados médicos).
Pedidos a la tienda del club: qué artículos, en qué talla y por cuánto. Se registran a nombre de la cuenta que hace el pedido —normalmente la de la persona tutora— y no dentro de la ficha de la persona deportista, de modo que no forman parte de la copia de datos de una deportista descrita en el apartado 9; se piden al club, que es quien los conserva por su obligación contable.
Pedidos de material: si el club activa esta función, qué prendas de la equipación se piden para cada persona deportista y en qué talla, quién hizo el pedido —normalmente la persona tutora, desde su cuenta—, si el club lo aceptó, quién lo revisó y la fecha en que se le entregó. A diferencia de los pedidos a la tienda, se registran a nombre de la persona deportista: forman parte de su copia de datos del apartado 9 y se borran al suprimir su ficha. No se pagan a través de la plataforma. Al entregarlos, el club puede imprimir un albarán con su nombre, sus grupos y lo entregado, sin ningún importe; y la lista que el club copia para encargar el material a su proveedor lleva sólo prendas, tallas y cantidades, sin ningún nombre.
Anotaciones del club: la ficha, la asistencia y los cobros tienen casillas de texto libre donde el personal del club escribe observaciones. Su contenido lo decide quien escribe, y por eso queda sujeto a las mismas condiciones y a los mismos derechos que el resto de la ficha. El club, como responsable, debe abstenerse de anotar ahí información de salud, que tiene su propio campo, y datos de terceros.
Prueba de las autorizaciones firmadas: cuando una persona tutora firma una autorización desde la plataforma se conserva, además del texto firmado y de la fecha, su nombre, su correo electrónico, la dirección IP desde la que firmó y la identificación de su navegador. Se guardan como prueba de que el consentimiento se prestó y de quién lo prestó —es lo que el club necesita para acreditarlo conforme al artículo 7.1 del RGPD— y no se utilizan para ninguna otra finalidad. Base jurídica: interés legítimo en acreditar el consentimiento obtenido (art. 6.1.f RGPD).
Archivos de documentación aportados por el club o por la familia: el club, o la propia persona tutora, puede adjuntar a cada documento el archivo correspondiente —un PDF o una fotografía— de la licencia federativa, el documento de identidad, la autorización firmada o el certificado médico. El contenido de esos archivos lo decide quien los sube, por lo que pueden incluir datos relativos a la salud de una persona menor de edad, y en ese caso reciben la misma protección reforzada que la información médica del apartado anterior. Se guardan en un almacenamiento privado, nunca en una dirección pública, y sólo son accesibles con la sesión iniciada por el personal del club con permiso de documentación y por las personas tutoras vinculadas a esa deportista; las medidas concretas se describen en el apartado 10.
Datos de las personas tutoras: nombre y apellidos, documento de identidad, parentesco, teléfono, correo electrónico, domicilio, código postal y municipio. El club puede añadir además un número limitado de campos propios sobre la persona tutora, en los mismos términos y con los mismos límites que se describen más abajo.
Datos de pago: ninguno. Gyrava no almacena datos bancarios de nadie —ni número de cuenta, ni IBAN, ni tarjeta, ni mandato de domiciliación—. De cada cuota se registra el importe, la fecha, el concepto y si se cobró en efectivo, por transferencia o por otro medio, que es lo que teclea el club al anotar el cobro; y, si la familia pulsa «Ya lo he pagado» en su pantalla, la fecha en la que comunicó al club haber pagado esa cuota. Esa comunicación no acredita ningún cobro: es un aviso que el club comprueba.
Personas autorizadas a recoger a la persona deportista: cuando la familia designa a alguien distinto de las personas tutoras —una abuela, un vecino, la madre de una compañera— el club registra su nombre y apellidos y su documento de identidad, que es lo que el personal comprueba en la puerta de la instalación, y, si la familia lo facilita, su parentesco, su teléfono y una instrucción breve («solo los martes»). No se recoge ningún otro dato de esas personas: ni domicilio, ni fecha de nacimiento, ni documentación adjunta. Son datos de terceros aportados por la familia, se conservan mientras la persona deportista siga dada de alta y se eliminan de forma inmediata y definitiva —sin papelera ni archivado— cuando la familia retira la autorización o cuando se suprime la ficha de la persona deportista.
Imagen: fotografías de la actividad del club —el producto no admite vídeo—, únicamente si el club activa esa funcionalidad y con el consentimiento específico descrito en el apartado 8. La respuesta de la familia a esa pregunta —autoriza, no autoriza o no consta— se guarda en la ficha de la persona deportista, y también en el apartado 8 se explica cómo se cambia.

Datos del personal del club

Del cuerpo técnico y del personal de administración —contratado o voluntario— el club puede registrar en Gyrava:

Datos identificativos y de contacto: nombre y apellidos, correo electrónico, documento de identidad y teléfono.
Datos profesionales: titulación deportiva, número de licencia de la federación, rol dentro del club, grupos asignados y fechas de alta y de baja.
Registro diario de jornada: únicamente de las personas a las que el club marca expresamente como personal con control horario. De cada turno se registran la fecha trabajada, la hora de entrada, la hora de salida, una nota opcional escrita por la propia persona y si el fichaje lo hizo ella en el momento, lo anotó ella misma después como olvido, o lo anotó a mano la administración del club. Cuando un fichaje se corrige o se anula, se conserva además lo que decía antes, quién lo cambió, cuándo y el motivo escrito, porque sin ese rastro el registro no acreditaría nada. Si el club fija dónde están sus instalaciones, al fichar se comprueba la ubicación del teléfono en ese momento y solo en ese: no se guardan las coordenadas, sino únicamente si la persona estaba dentro del radio fijado o, si no, a qué distancia aproximada, junto con si la hora encaja con el horario de los grupos que tiene asignados. Si el club no ha fijado ningún lugar, no se pide ni se trata la ubicación. No hay seguimiento continuo, ni datos biométricos, ni identificador del dispositivo, y la hora la fija el servidor, no el teléfono. Esa comprobación se basa en la facultad de control del empleador (art. 20.3 del Estatuto de los Trabajadores), y el club, como responsable, debe informar de ella a su personal antes de activarla (art. 90 LOPDGDD). Base jurídica: cumplimiento de una obligación legal del club (art. 6.1.c RGPD), en concreto el artículo 34.9 del Estatuto de los Trabajadores. Mientras la persona trabaja en el club con el registro de jornada activado, lo consulta en el producto sin intermediación del club. Si causa baja, el club le retira el registro o deja de usar el control horario, deja de verlo en el producto, pero el registro se conserva y el club, que es quien está obligado a tenerlo a su disposición (ese mismo artículo), se lo facilita cuando lo pida.
Acreditación de los requisitos legales para trabajar con menores: la constancia de que la persona ha aportado la certificación negativa del Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos exigida por el artículo 57.1 de la Ley Orgánica 8/2015, y de que ha realizado la formación en protección de la infancia y la adolescencia prevista en la Ley Orgánica 8/2021 (LOPIVI), con la fecha de cada una, su código de verificación y, si el club lo adjunta, el archivo del certificado o del diploma.

Sobre este último punto conviene ser explícito. Gyrava registra únicamente que el club comprobó la certificación y en qué fecha; no registra en ningún campo el resultado de la consulta al Registro. La certificación que la ley exige es negativa por definición, de modo que no existe ni puede existir en el producto un campo que anote antecedentes penales de una persona trabajadora, dato que corresponde al artículo 10 del RGPD y que Gyrava no trata. El archivo adjunto, cuando lo hay, se guarda en almacenamiento privado y solo es accesible para quien administra el club: ni para el resto del personal técnico o de secretaría, ni para ninguna familia. Las medidas concretas se describen en el apartado 10. Base jurídica: cumplimiento de una obligación legal por parte del club (art. 6.1.c RGPD).

Datos de proveedores y facturas del club

El club puede llevar en Gyrava sus gastos: un catálogo de proveedores —el pabellón, la tienda de material, la empresa del autobús— con su nombre, su NIF o CIF si lo anota, un teléfono o correo de contacto y una nota; y las facturas recibidas de cada uno, con su fecha, su número, su concepto, su importe y si están pendientes o pagadas. Puede además adjuntar el PDF o la fotografía de la factura, que se guarda en almacenamiento privado y solo se sirve a quien tiene el permiso de gestión económica del club.

Cuando el proveedor es una persona física o un profesional autónomo, esos datos son datos personales suyos. Base jurídica: ejecución del contrato con el proveedor y cumplimiento de las obligaciones contables y fiscales del club (arts. 6.1.b y 6.1.c RGPD). Se conservan con el plazo de los datos económicos indicado en el apartado 6.

Reservas de instalaciones

Si el club lleva en Gyrava sus instalaciones —la pista, la sala, el pabellón—, de cada reserva se guarda para qué es, cuándo empieza y termina, quién la pidió y una nota opcional. Quien reserva es siempre personal del club con permiso para ello, nunca una familia, y el único dato personal de la reserva es el nombre de esa persona. Base jurídica: ejecución del contrato de servicio entre el club y Gyrava, en interés de la organización interna del club (arts. 6.1.b y 6.1.f RGPD).

Campos propios que añade el club

Además de las categorías enumeradas arriba, el club puede añadir al formulario de preinscripción, a la ficha de la persona deportista y a los datos de la persona tutora un número limitado de campos propios —por ejemplo, el centro escolar, la posición de juego, la talla de calzado o la fecha de un reconocimiento médico deportivo—. Esos campos los decide, los redacta y los controla el club como responsable del tratamiento: Gyrava ni los exige, ni los predefine, ni accede a su contenido salvo por encargo del club en los términos del apartado 6.

El número de campos propios está limitado por el producto, y el límite aplicable a la persona tutora es deliberadamente menor que el aplicable a la persona deportista, en aplicación del principio de minimización del artículo 5.1.c del RGPD: la persona adulta no es la destinataria de la actividad deportiva. Un campo propio de la persona tutora se asocia a su perfil y no a la ficha de ninguna persona menor, y su contenido solo es visible para el personal del club con permiso de gestión de deportistas, en las mismas condiciones que su documento de identidad y su domicilio. Si una misma persona tutora lo es en varios clubes que usan Gyrava, un club no ve ni modifica los datos que ella facilitó a otro mientras no haya aceptado su invitación a ese club.

Los datos recogidos en esos campos quedan sujetos exactamente a las mismas condiciones que el resto: los mismos plazos de conservación del apartado 5, el mismo control de acceso por rol del apartado 4, y los mismos derechos del apartado 9, incluidos el de acceso y el de supresión. El club dispone en su panel de una acción específica para eliminar un campo propio junto con todas las respuestas que se hubieran registrado en él; cuando el campo es de la persona tutora, esa eliminación alcanza únicamente a los perfiles de las personas tutoras vinculadas a ese club.

Estos campos no son aptos para datos de categorías especiales del artículo 9 del RGPD. La información de salud tiene su propio campo, descrito arriba, con la protección reforzada correspondiente; y las autorizaciones y consentimientos se recogen únicamente por el mecanismo específico del apartado 8, que registra la prueba del consentimiento y permite retirarlo. El producto advierte de ello al crear un campo propio e impide crear campos que funcionen como consentimiento.

Gyrava no solicita ni requiere datos de categorías especiales distintos de la información médica indicada, no los predefine en ningún campo propio del club, y no realiza decisiones automatizadas ni elaboración de perfiles con efectos jurídicos sobre las personas interesadas.

3. Finalidades y base jurídica

Prestación del servicio contratado por el club: Gestión de altas, grupos, calendario, asistencia, cuotas, documentación, competiciones y web pública. Base jurídica: ejecución del contrato entre el club y la persona socia o su tutora (art. 6.1.b RGPD) y ejecución del contrato de servicio entre el club y Gyrava (art. 28 RGPD).
Creación y mantenimiento de la cuenta de usuario: Ejecución del contrato con la persona usuaria (art. 6.1.b RGPD).
Tratamiento de la información médica y del contacto de emergencia: Protección de intereses vitales de la persona interesada (art. 6.1.d y art. 9.2.c RGPD) y, con carácter general, consentimiento explícito de la persona tutora (art. 9.2.a RGPD), recabado por el club en el momento de la inscripción.
Cumplimiento de obligaciones legales: Obligaciones fiscales y contables, tramitación de licencias federativas y, cuando proceda, acreditación de requisitos legales del personal que trabaja con menores. Base jurídica: cumplimiento de una obligación legal (art. 6.1.c RGPD).
Registro diario de la jornada del personal contratado: Anotación de la hora de entrada y de salida de cada día trabajado, y del rastro de las correcciones que se hagan sobre ella, para poder acreditarlo ante la persona trabajadora, ante su representación legal y ante la Inspección de Trabajo. Base jurídica: cumplimiento de una obligación legal del club (art. 6.1.c RGPD), en concreto el artículo 34.9 del Estatuto de los Trabajadores. Solo alcanza a las personas que el club marca expresamente como personal con control horario; el voluntariado queda fuera.
Seguridad del servicio y prevención del fraude: Registros de acceso, copias de seguridad y medidas antiabuso. Base jurídica: interés legítimo del responsable (art. 6.1.f RGPD).
Publicación de imágenes en la web o redes del club: Consentimiento específico, informado y revocable de la persona tutora o de la persona interesada mayor de catorce años (art. 6.1.a RGPD).
Avisos push en el navegador o en el móvil: Envío de los avisos del club a quien los ha activado expresamente desde su panel. Base jurídica: consentimiento de la persona usuaria (art. 6.1.a RGPD), que puede retirarlo desde el mismo interruptor, en cuyo caso la suscripción se borra.
Comunicaciones sobre el servicio: Avisos operativos imprescindibles: ejecución del contrato. Comunicaciones comerciales: consentimiento previo o interés legítimo en clientes, con derecho de oposición en todo momento.

4. Quién accede a los datos dentro del club

El acceso dentro de la plataforma está delimitado por roles y no es global: cada persona ve únicamente lo que necesita para su función.

Administración del club: acceso completo a los datos del club, incluida la información médica, la documentación y las cuotas. Es quien configura el club y quien asigna los roles. Es también la única función que accede al expediente legal del personal descrito en el apartado 2 —documento de identidad, teléfono, certificación del Registro Central de Delincuentes Sexuales y formación LOPIVI—, porque es quien responde ante la ley de haberlo comprobado. Lo mismo ocurre con el registro de jornada: lo ve entero y lo corrige la administración del club y, solo si esta se lo concede expresamente a una persona concreta del personal, esa persona, que aun así no puede corregir sus propias horas. Cada persona trabajadora, en cambio, ve el suyo propio —y solo el suyo— sin que nadie tenga que concederle un permiso, mientras siga en el club con el registro de jornada activado; fuera de esos casos se lo pide al club, que es quien debe tenérselo a disposición.
Personal técnico (entrenadoras y entrenadores): qué ve y qué puede hacer cada persona lo decide el club en su ficha, persona a persona. De partida accede a las personas deportistas de todo el club, y el club puede acotarlo a los grupos que entrena o, si tiene varias sedes, a la suya. Dentro de ese ámbito ve su asistencia, sus evaluaciones y la información médica y el contacto de emergencia necesarios para atender una incidencia en pista, y la lista de personas autorizadas a recoger a cada deportista, porque es quien debe comprobarla en la puerta de la instalación. Reservar instalaciones y crear eventos de sus grupos los tiene de partida, y el club se los puede quitar. Y el club puede concederle además, también persona a persona, crear y modificar fichas —sólo si ve a todas las personas deportistas de su ámbito—, editar los grupos que entrena o todos, ver la asistencia de otros grupos y gestionar el material. Sin esos permisos, modificar una ficha o la lista de recogida es de la administración, la dirección deportiva y la secretaría.
Secretaría y administración: acceso a las fichas, las cuotas, la documentación de las personas deportistas, las inscripciones, los pedidos de la tienda y los gastos del club —proveedores y facturas recibidas, con sus archivos—. No accede al expediente legal del personal ni al registro de jornada de sus compañeras.
Familias y personas tutoras: acceso exclusivamente a las personas deportistas vinculadas a su cuenta: su ficha, su calendario, su asistencia, sus cuotas, sus recibos y, si el club tiene la función activa, sus pedidos de material. No pueden ver datos de otras familias.
Personas deportistas mayores de edad con cuenta propia: cuando el club se la habilita (ver el apartado 7), acceden únicamente a su propia ficha —su calendario, su asistencia, sus cuotas, sus recibos y sus autorizaciones—. Tener cuenta propia no les otorga las facultades de una persona tutora: no pueden ver ni firmar nada de ninguna otra persona deportista del club, aunque sea de su misma familia.
Personal de Gyrava: acceso limitado, nominativo y registrado, únicamente cuando resulte imprescindible para prestar soporte técnico o resolver una incidencia, bajo deber de confidencialidad y siguiendo instrucciones del club.

Sacar los datos de la plataforma en un fichero

Además de consultarlos en pantalla, el panel del club permite descargar ficheros con esos datos dentro: unos de una sola persona —la copia del apartado 9, el recibo de una cuota— y otros del club entero, como la lista de cuotas pendientes, el libro de caja o los gastos. Los del club entero no son resúmenes anónimos: relacionan nombres de personas con importes, porque una lista de impagados sin nombres no sirve para lo único que sirve. Cuáles existen exactamente, qué lleva cada uno dentro y quién puede pedirlo está en la tabla del aviso legal, que es el único sitio donde se describen: dos listas en dos documentos es la forma segura de que una de las dos se quede vieja.

Lo que sí conviene decir aquí, porque es lo que gobierna a todas. El permiso se comprueba en el servidor en cada descarga, no al abrir la pantalla, de modo que conocer la dirección no basta; los ficheros del club entero exigen el permiso de gestión económica —hoy, la administración y la secretaría—, y los que puede pedir una familia se limitan a los suyos y solo cuando la cuota o el pedido ya están cobrados. Cada descarga queda anotada en el registro de actividad del club, con quién y cuándo; las del club entero anotan además qué periodo se pidió y cuánto salió sin ningún nombre dentro de la anotación, para no crear una segunda copia del dato fuera del alcance del derecho de supresión, mientras que el recibo suelto de una cuota sí nombra en su línea a la persona deportista y el importe, igual que el resto del registro. Y un fichero descargado ya no está en la plataforma: desde ese momento no lo alcanzan ni los permisos por rol, ni los plazos del apartado 6, ni una supresión posterior, y su custodia corresponde al club como responsable del tratamiento. El documento PDF del libro de caja lo advierte en su primera página.

5. Encargados del tratamiento y proveedores

Para prestar el servicio, Gyrava se apoya en los siguientes proveedores, que actúan como subencargados del tratamiento con contrato firmado conforme al artículo 28 del RGPD y con obligación de confidencialidad y de aplicar medidas técnicas y organizativas apropiadas:

Vercel — alojamiento y ejecución de la aplicación: Infraestructura de despliegue y entrega de la aplicación web, y alta de los dominios propios de las webs públicas de los clubes. Vercel Inc. es una empresa estadounidense con regiones de tratamiento en la Unión Europea. La región concreta en la que hoy se ejecuta el servicio no está confirmada por escrito a fecha de esta versión, de modo que no puede afirmarse aquí que el tratamiento se realice exclusivamente dentro del Espacio Económico Europeo: debe asumirse que puede haber acceso desde fuera. Ese tratamiento se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y en el marco de adecuación UE-EE. UU., y la región efectiva se hará constar en esta página y en el registro de actividades de tratamiento en cuanto quede confirmada con el proveedor.
Neon — base de datos y almacenamiento de archivos: Base de datos PostgreSQL gestionada donde se almacena la información del club, incluida la información médica. Neon ofrece regiones en la Unión Europea, pero, como en el punto anterior, la región de la base de datos no está confirmada por escrito a fecha de esta versión y se declarará aquí en cuanto lo esté. Se aplican las mismas garantías de transferencia descritas arriba. Las copias de seguridad de la base de datos las realiza y conserva este proveedor.; Neon guarda también los archivos que se suben a la plataforma, en la región de Fráncfort (Alemania). Se utilizan dos ámbitos separados: uno público, para el escudo del club, la galería y las imágenes de la web pública y de la tienda del club, y otro privado, donde se guardan la fotografía de ficha y los archivos de documentación de las personas deportistas —licencias, autorizaciones, documentos de identidad y certificados médicos—, los del expediente legal del personal —certificación del Registro Central de Delincuentes Sexuales, diplomas de formación y titulaciones— y las facturas recibidas de proveedores descritas en el apartado 2, cada uno en su propia carpeta y con su propio control de acceso. Los archivos del ámbito privado no son accesibles por su dirección: sólo pueden leerse a través de la aplicación, que comprueba la sesión y el permiso en cada petición.
Brevo (Sendinblue SAS, Francia) — correo electrónico: Envío de los correos del servicio: verificación de la dirección, invitación, confirmación del vínculo con un club y restablecimiento de contraseña, cambio de la dirección de acceso —el enlace de confirmación a la dirección nueva y el aviso a la anterior, según el apartado 9—, avisos del club, recordatorios de cuota, solicitudes de datos pendientes y, si el club lo activa, el recibo de una cuota cobrada. Recibe la dirección de destino, el nombre y el contenido del mensaje y, en el caso del recibo, el PDF adjunto, que lleva dentro el nombre de la persona deportista, el concepto y el importe. Los correos no llevan nunca información médica; cuando el club reclama datos que faltan se envía el nombre de lo que falta, no su contenido. Los asuntos que redacta Gyrava no contienen el nombre de ninguna persona menor; el de un aviso que escribe el club lo redacta el club. El proveedor es francés y trata los datos en la Unión Europea.
Servicios de notificaciones push del navegador (Google, Apple, Mozilla): Cuando alguien activa los avisos push, el envío pasa necesariamente por el servicio de notificaciones del fabricante de su navegador o de su sistema operativo, que es quien lo entrega en el dispositivo. Recibe la dirección de entrega de la suscripción y el aviso cifrado de extremo a extremo, que no puede leer; sí conoce, en cambio, que ha habido un envío y a qué dispositivo. Estos servicios están fuera del control de Gyrava y del club, y quien no quiera que intervengan tiene simplemente que no activar los avisos push.

No hay pasarela de pago. A fecha de esta versión, Gyrava no tiene contratada ni integrada ninguna pasarela y no comunica datos a ninguna: las cuotas se cobran fuera de la plataforma —en efectivo, por transferencia o por otro medio— y en ella solo se anota que se cobraron. Si en el futuro se integra una, se nombrará en esta lista, se explicará qué datos recibe y se actualizará también la política de cookies, todo ello antes de que la funcionalidad se active.

La lista actualizada de subencargados se facilitará a los clubes usuarios, que serán informados con antelación razonable de cualquier incorporación o sustitución, pudiendo oponerse por motivos fundados.

Además de estos proveedores, los datos pueden comunicarse a federaciones deportivas, administraciones públicas, entidades aseguradoras y entidades bancarias cuando el club deba hacerlo para tramitar licencias, subvenciones, seguros o cobros. Esa comunicación la decide el club como responsable del tratamiento.

6. Plazos de conservación

Datos de la persona deportista: mientras permanezca dada de alta en el club y, tras la baja, durante el tiempo necesario para atender responsabilidades derivadas de la relación, con un máximo orientativo de cinco años, salvo obligación legal distinta.
Información médica y contacto de emergencia: mientras dure el alta deportiva. Se suprimen o se bloquean tras la baja, salvo que exista una reclamación en curso.
Pedidos de material: mientras la persona deportista siga en el club, como el resto de su ficha. No se borran por temporada: lo de temporadas pasadas sirve para acreditar qué se le entregó y cuándo. Desaparecen al suprimir su ficha.
Personas autorizadas a recoger: mientras la persona deportista siga dada de alta y la familia mantenga la autorización. Al retirarla, la información se elimina de inmediato y de forma definitiva; no se archiva ni se conserva ninguna copia.
Expediente del personal: mientras dure la relación con el club y, tras la baja, durante el tiempo necesario para poder acreditar ante la autoridad competente que los requisitos legales para trabajar con menores se comprobaron en su momento, con un máximo orientativo de cinco años.
Registro de jornada del personal: cuatro años, que es el plazo que fija el artículo 34.9 del Estatuto de los Trabajadores, contados desde el día trabajado. Cumplido el plazo, el registro se elimina automáticamente, junto con el rastro de sus correcciones: pasado ese tiempo, conservar el horario diario de una persona que puede haber dejado el club ya no responde a ninguna finalidad. Es un plazo distinto —y más largo— que el del registro de actividad, porque responde a una obligación legal distinta; no se ha unificado con él precisamente para no conservar de más los datos que aquel contiene.
Datos económicos, cuotas, recibos y facturación: seis años, conforme al artículo 30 del Código de Comercio, y cuatro años a efectos fiscales según la Ley General Tributaria, aplicándose el plazo más amplio.
Datos de la cuenta de usuario: mientras la cuenta permanezca activa. La plataforma no dispone todavía de un botón de borrado de cuenta: la eliminación se solicita a la dirección indicada en el apartado 9 y se ejecuta a mano dentro del plazo de un mes del artículo 12.3 del RGPD. Cuando se suprimen los datos de una deportista y su tutora no queda vinculada a ninguna otra, sí se eliminan de inmediato el documento de identidad, el teléfono y el domicilio de esa persona y su pertenencia al club; lo que subsiste hasta el borrado de cuenta es el nombre y el correo con los que inicia sesión.
Qué no se lleva por delante el borrado de una cuenta. Una cuenta de Gyrava no es una persona en un club: es la misma persona en todos los clubes en los que esté, y de ella cuelgan datos cuyo responsable es el club y no Gyrava (apartado 1). Por eso el borrado de la cuenta no elimina, y no puede eliminar, los registros que el club conserva por obligación propia: las cuotas y los cobros, los pedidos de la tienda, las listas de asistencia, las solicitudes de inscripción que el club resolvió, las fichas de las personas deportistas —incluida la de quien tuviera cuenta propia, que deja de estar enlazada con ella— y el expediente del personal, que el club debe poder acreditar ante la autoridad competente. Todo eso se solicita al club por el camino del apartado 9.
Cuándo el borrado de una cuenta tiene que esperar. Una solicitud no se deniega, pero puede requerir un paso previo del club antes de ejecutarse, y son dos casos concretos: que la persona sea la única tutora registrada de una persona menor de edad dada de alta —borrar la cuenta dejaría a esa menor sin ningún contacto responsable ni contacto de emergencia en el club—, y que sea la única cuenta con permiso de administración de un club en activo, que dejaría al club sin nadie que pueda atender ninguna otra solicitud de derechos. En ambos casos se avisa al club para que designe sustituto, y se informa a la persona solicitante del motivo y de la prórroga prevista en el artículo 12.3.
Qué subsiste tras borrar una cuenta, y en qué forma. Dos rastros, los dos seudonimizados, es decir sin el nombre ni el correo de la persona: las líneas del registro de actividad que dicen quién hizo qué dentro del panel de un club, que se conservan hasta el plazo de veinticuatro meses del punto anterior porque son la única forma de que un club pueda responder después a quién accedió a la ficha de una menor; y la prueba de las autorizaciones firmadas, de la que se conserva qué se firmó y cuándo y se destruyen el nombre, el correo, la dirección IP y el navegador de quien firmó. Una firma no se borra porque es la prueba de que el club obtuvo un consentimiento que puede tener que acreditar; lo que se borra es quién la dio.
Registro de actividad del club: veinticuatro meses. Es el histórico de quién hizo qué dentro del panel, y sus frases nombran a las personas deportistas afectadas. Transcurrido el plazo se elimina automáticamente. Al atender una solicitud de supresión, las líneas anteriores relativas a esa persona se seudonimizan de inmediato: se conserva qué se hizo y cuándo, y deja de constar sobre quién.
Registros técnicos de la infraestructura: los registros de servidor y de entrega los genera y conserva el proveedor de alojamiento conforme a sus propios plazos, que Gyrava no fija. Dentro de la plataforma, el histórico que sí gobierna Gyrava es el registro de actividad del punto anterior.
Suscripciones a avisos push: mientras la persona los mantenga activados. Se borran al desactivarlos y también en cuanto el servicio del navegador comunica que la suscripción ya no vale.
Prueba de las autorizaciones firmadas: mientras la autorización esté vigente y, después, durante el plazo en que el club pueda tener que acreditar que la obtuvo. Al atender una solicitud de supresión se destruyen el nombre, el correo, la IP y el navegador de quien firmó, y se conserva únicamente qué se firmó y cuándo.
Imágenes publicadas en la web del club: hasta la revocación del consentimiento o hasta que pierdan su finalidad informativa, momento en que el club debe retirarlas desde su panel. Estas imágenes viven en un almacenamiento público, en el que la dirección del fichero es la única credencial y no caduca mientras la imagen está publicada; quien haya guardado esa dirección puede seguir viéndola hasta que se retire. Retirar una imagen desde el panel elimina la fila que la publicaba y también el fichero del almacenamiento —galería, portada, escudo del club e imágenes de la tienda—, salvo que esa misma imagen siga publicada en otro sitio del club, en cuyo caso se conserva el fichero y se retira solo la publicación. Si el almacenamiento no responde, no se retira ninguna de las dos cosas y se pide reintentar, para que no pueda quedar un fichero sin ninguna publicación que lo mencione. La supresión de una ficha, descrita en el apartado 9, sigue sin alcanzar a estas imágenes: no existe ninguna relación entre una fotografía de la galería y la persona que aparece en ella, y por eso la pantalla desde la que se publica advierte de quién no ha autorizado el uso de su imagen.
Copias de seguridad: las realiza y las conserva el proveedor de la base de datos conforme a su propia política de retención, que Gyrava no ha confirmado por escrito a fecha de esta versión y que hará constar aquí en cuanto la tenga. Mientras una supresión no se haya propagado a esas copias, los datos permanecen únicamente en ellas y no se tratan.

Finalizados los plazos, los datos se suprimen o se anonimizan de forma irreversible. Terminado el contrato con un club, Gyrava devuelve o elimina los datos según la instrucción que el club indique.

Quién ejecuta cada plazo, dicho con precisión. El único que corre solo, dentro de la plataforma y sin que nadie lo pida, es el de veinticuatro meses del registro de actividad. Los demás plazos los aplica el club, que es el responsable del tratamiento y el único que sabe si una deportista ha causado baja de verdad o vuelve la temporada que viene, usando para ello la supresión descrita en el apartado 9. Decirlo así no es una excusa: un plazo que se publica y no ejecuta nadie es peor que no publicarlo, y por eso aquí se distingue.

7. Menores de edad y consentimiento de las personas tutoras

Conforme al artículo 7 de la LOPDGDD, el tratamiento de datos de menores de catorce años basado en el consentimiento requiere el consentimiento de quien ostente la patria potestad o la tutela. A partir de los catorce años, la persona menor puede consentir por sí misma, salvo en los casos en que la ley exija asistencia de sus representantes legales.

Mientras la persona deportista es menor de edad, las cuentas de acceso a la plataforma se crean a nombre de la persona tutora, no de la persona menor. Es la persona tutora quien rellena la ficha y quien autoriza el tratamiento. Gyrava no habilita cuentas de acceso a personas menores de edad, y no es solo una declaración de intenciones: la plataforma comprueba la fecha de nacimiento en el servidor y rechaza la operación si la persona no ha cumplido los dieciocho, aunque quien lo intente sea quien administra el club.
El correo propio de una menor no es una cuenta. La ficha admite una dirección de correo de la propia deportista, tenga la edad que tenga, para que los avisos del club le lleguen también a ella además de a su familia. Esa dirección no abre sesión, no descarga documentación y no firma nada: es solo un destinatario más de un aviso informativo. La teclea el club en la ficha, de modo que Gyrava no la verifica, y el club puede borrarla en cualquier momento.
Cuando la persona deportista es mayor de edad, el club puede habilitarle una cuenta propia con la que acceder a sus propios datos. Es una decisión del club, que se adopta de forma expresa y queda registrada en su historial de actividad: alcanzar la mayoría de edad no modifica por sí solo ningún acceso ni ningún permiso. De forma simétrica, habilitarle una cuenta propia tampoco desvincula automáticamente a sus personas tutoras, que pueden seguir vinculadas —por ejemplo, cuando continúan haciéndose cargo de la cuota— hasta que el club las desvincule. El club puede retirar ese acceso en cualquier momento.
Una persona mayor de edad puede inscribirse a sí misma. El formulario de preinscripción permite indicarlo, y en ese caso no se recogen datos de ninguna persona tutora: los datos personales son los de la propia persona deportista y, al admitirse la solicitud, su cuenta queda vinculada a su ficha sin crear ninguna relación de tutela. En ese caso el formulario recoge además su propio teléfono, necesario para que el club pueda localizarla —el club puede desactivarlo—, y, si el club los activa, su domicilio, código postal y municipio. Esos datos se guardan en su ficha al admitirse la solicitud. La plataforma comprueba en el servidor la fecha de nacimiento declarada: una persona menor de edad no puede inscribirse por sí misma, y la solicitud se rechaza indicando que debe presentarla quien ostente la patria potestad o la tutela.
El formulario de preinscripción recoge de forma expresa y separada el consentimiento para el tratamiento de la información médica y, si el club la activa, el consentimiento para el uso de la imagen.
El club, como responsable, debe conservar prueba del consentimiento obtenido y verificar de forma razonable la condición de tutor o tutora de quien lo presta.
El consentimiento es revocable en cualquier momento, sin efectos retroactivos sobre los tratamientos ya realizados.

Dónde consta el consentimiento de salud, y cómo se retira. Si en el formulario se rellena información médica o alergias, la solicitud no se puede enviar sin ese consentimiento; si no se rellena, queda como «no consta». Al admitir la solicitud, la respuesta se copia a la ficha de la persona deportista, con las mismas tres situaciones que la imagen: autoriza, no autoriza y no consta. El club puede cambiarla desde la ficha en cualquier momento, que es como se atiende la retirada (art. 7.3 RGPD): la familia se lo pide al club, porque no hay un botón para hacerlo desde su propia cuenta. Cada cambio queda en el historial de actividad del club con quién lo hizo y la fecha. Retirarlo no borra la información médica ya guardada: la retirada no afecta a lo tratado antes, y borrarla de forma automática podría dejar sin una alergia relevante a quien atiende una urgencia. Desde ese momento el club ya no tiene base para usarla, y si la familia quiere que desaparezca puede pedir la supresión del apartado 9.

8. Uso de la imagen

La publicación de fotografías de personas deportistas —la plataforma no admite vídeo— en la web pública del club, en sus redes sociales o en sus comunicaciones es una funcionalidad opcional, desactivada por defecto. Solo puede utilizarse si el club la activa y si dispone del consentimiento específico e informado de la persona tutora o de la persona interesada mayor de catorce años, recabado de forma separada del resto de autorizaciones, conforme a la Ley Orgánica 1/1982, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

La negativa a autorizar el uso de la imagen no puede condicionar la inscripción ni la participación en la actividad. Revocado el consentimiento, el club debe retirar las imágenes publicadas en un plazo razonable; Gyrava facilita las herramientas para hacerlo desde el panel del club, y retirarlas desde ahí borra también el fichero del almacenamiento.

La plataforma no registra quién aparece en cada fotografía y por tanto no puede impedir por sí sola que se publique la imagen de quien no lo ha autorizado: crear ese dato supondría tratar información adicional sobre personas menores que hoy no se trata. Lo que sí hace es advertir a quien publica: la pantalla desde la que se sube la portada y se gestiona la galería indica cuántas personas deportistas del club han denegado el uso de su imagen y quiénes son, en el momento de publicar. La decisión, y la responsabilidad, siguen siendo del club como responsable del tratamiento.

Dónde consta la respuesta. Lo que la familia contesta a esta pregunta en el formulario de preinscripción se conserva en la ficha de la persona deportista, y no únicamente en la solicitud: al admitirla, la autorización se copia a la ficha y ahí queda visible junto a su fotografía. La ficha distingue tres situaciones —autoriza, no autoriza y no consta— y esa tercera no equivale a un sí: significa que nadie ha contestado por esa persona, y el club debe preguntar antes de publicar nada. Las fichas anteriores a la existencia de este registro figuran como «no consta».

Revocación. El club puede modificar esa respuesta en cualquier momento desde la propia ficha, sin necesidad de una nueva solicitud, que es lo que hace efectivo el derecho a retirar el consentimiento (art. 7.3 RGPD). Cada cambio queda registrado en el historial de actividad del club con la persona que lo realizó y la fecha, de modo que el club, como responsable, pueda acreditar el consentimiento vigente en cada momento.

9. Derechos de las personas interesadas

Puede ejercer en cualquier momento, de forma gratuita, los siguientes derechos —conocidos conjuntamente como derechos ARCO-POL—:

Acceso: conocer qué datos se tratan y obtener una copia de ellos.
Rectificación: corregir los datos inexactos o completar los incompletos.
Cancelación o supresión: solicitar la eliminación de los datos cuando ya no sean necesarios para la finalidad que los originó. Este derecho no es absoluto: el artículo 17.3.b del RGPD lo exceptúa cuando el tratamiento es necesario para cumplir una obligación legal, y el club tiene la de conservar sus registros contables (artículo 30 del Código de Comercio y artículo 66 de la Ley General Tributaria). Cómo se resuelve esa tensión en la práctica se explica más abajo.
Oposición: oponerse a un tratamiento basado en el interés legítimo o con fines de comunicaciones comerciales.
Portabilidad: recibir los datos en un formato estructurado y de uso común o solicitar su transmisión a otro responsable.
Limitación del tratamiento: solicitar que los datos se conserven pero no se traten mientras se resuelve una impugnación.
Revocación del consentimiento: retirar en cualquier momento el consentimiento prestado.

Cómo ejercerlos

Si los datos son de una persona deportista o de su familia, diríjase en primer lugar a su club, que es el responsable del tratamiento y quien puede resolver la solicitud con mayor rapidez.

Gyrava pone a disposición del club, en su panel de administración, las herramientas necesarias para atenderle, conforme al artículo 28.3.e del RGPD:

Acceso y portabilidad. El club puede descargar, en el momento, una copia completa de los datos de una persona deportista y su familia, en PDF —legible— y en JSON —formato estructurado, de uso común y lectura mecánica, apto para entregarlo a otro club—. Incluye la ficha, los campos propios del club, las personas tutoras, los grupos o clases a los que ha pertenecido, las cuotas y cobros, la asistencia, los avisos de falta, la documentación, las evaluaciones con sus puntuaciones y comentarios, las autorizaciones firmadas, las personas autorizadas a la recogida, las competiciones y resultados, y la solicitud de inscripción de origen. Si la ficha se unió con otra duplicada de la misma persona, la copia incluye también la ficha unida. Los archivos adjuntos —documentos escaneados y fotografía— se enumeran en la copia con su nombre, tipo y fecha, y se descargan por separado desde la plataforma.
Supresión. El club puede suprimir los datos personales asociados a una ficha. Se eliminan de forma irreversible el nombre y los apellidos, el documento de identidad, el correo de contacto, su teléfono y su domicilio, la información médica, las alergias, las anotaciones, los contactos de emergencia, los campos propios del club, las personas autorizadas a la recogida, las evaluaciones, la fotografía y todos los archivos, también del almacenamiento; la fecha de nacimiento se generaliza al año. Se conservan, ya sin ninguna referencia a la persona, los registros de cobro —importe, fecha y concepto—, la asistencia y los resultados deportivos, por la obligación contable descrita arriba, y el hecho de que existió una autorización firmada, con su texto y su fecha pero sin los datos de quien la firmó. Si la ficha se unió con otra duplicada de la misma persona, la supresión alcanza también a la ficha unida.
Rectificación. Cada persona tutora puede corregir sus propios datos —nombre, documento de identidad, teléfono, domicilio, código postal y municipio— desde la pantalla «Mis datos» de su panel, sin pedírselo a nadie y con efecto inmediato. Una persona deportista mayor de edad con cuenta propia dispone de esa misma pantalla para lo que declara sobre sí misma: su teléfono, su domicilio, su código postal y su municipio; su correo de avisos; el nombre y el teléfono de su contacto de emergencia; sus alergias, su información médica y su talla, y nada más. Su teléfono y su domicilio son suyos y no los de su familia: el teléfono de una persona tutora se guarda aparte, y el del contacto de emergencia es el de un tercero al que solo se llama si pasa algo. Cada corrección, en las dos pantallas, deja constancia de qué campos se cambiaron, nunca de su contenido ni anterior ni nuevo.
La dirección de acceso también la cambia usted. Desde esa misma pantalla «Mis datos», cualquier persona con cuenta —familia, personal técnico o administración— puede cambiar el correo con el que entra, sin pedírselo al club. El cambio no ocurre al pulsar: se envía un enlace de confirmación a la dirección nueva, con una hora de validez, y la cuenta no se mueve hasta que ese enlace se abre desde allí; así una dirección mal tecleada no deja a nadie fuera de su propia cuenta. A la vez se manda un aviso a la dirección anterior, sin ningún botón que pulsar, para que un cambio que usted no haya pedido no pase desapercibido. En el registro de actividad del club queda que se pidió el cambio, sin la dirección nueva dentro de la anotación.
Lo que se rectifica pidiéndoselo al club. El nombre, los apellidos, la fecha de nacimiento y el documento de identidad —que es con lo que el club tramita la licencia federativa y emite los recibos—, y todo lo que el club decide o anota: el estado de alta, la categoría, los grupos, las evaluaciones, los datos federativos, las anotaciones internas y la documentación. Se solicitan al club, que es quien responde de ellos y quien los edita desde su panel. Tampoco se retira desde «Mis datos» el consentimiento de imagen: es revocable en cualquier momento (art. 7.3 RGPD), pero hoy la respuesta se modifica en la ficha y lo hace el club, según se explica en el apartado 8.

Tres límites que conviene conocer: la supresión de una ficha no retira las fotografías publicadas en la web pública del club o en sus noticias, que el club debe retirar por separado; no elimina la cuenta de acceso de la persona tutora, que puede tener vínculos con otros clubes; y no alcanza a los ficheros que el club ya se haya descargado —una lista de impagados, un libro de caja— porque están fuera de la plataforma, según se explica en el apartado 4. Retirarlos de donde estén es cosa del club.

Borrar la cuenta de la plataforma

La cuenta con la que inicia sesión —su nombre, su dirección de correo y su contraseña— no es del club: su responsable es Gyrava, según el apartado 1. Por eso la baja de la cuenta se solicita a Gyrava en la dirección indicada más abajo, y no al club, mientras que los datos de una persona deportista se siguen solicitando al club. Es la única asimetría de este apartado y viene de que la responsabilidad está repartida.

No existe todavía un botón para darse de baja desde el panel. La solicitud se atiende a mano dentro del plazo del artículo 12.3, y antes de ejecutarse se comprueban los dos casos descritos en el apartado 6 —ser la única persona tutora de una menor dada de alta, o la única administradora de un club en activo—, que obligan a pedir al club que designe sustituto antes de continuar. Al ejecutarse se cierran todas las sesiones abiertas, se eliminan la cuenta, la contraseña, las suscripciones a avisos push y la pertenencia a todos los clubes, y se seudonimizan los dos rastros descritos en el apartado 6. Lo que sigue siendo del club se le solicita al club.

Para los datos de la cuenta de la plataforma, o si su club no atiende la solicitud, escriba a gyravapp@gmail.com o al domicilio Calle Nueva 7, Motril (Granada), España, indicando el derecho que ejerce, sus datos identificativos y una copia de un documento que acredite su identidad y, en el caso de personas menores, su condición de tutor o tutora. La solicitud se resolverá en el plazo máximo de un mes, prorrogable por dos meses adicionales cuando su complejidad lo justifique, informándole de la prórroga.

Si considera que sus derechos no han sido debidamente atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es).

10. Medidas de seguridad

Gyrava aplica medidas técnicas y organizativas apropiadas al riesgo, entre ellas: cifrado en tránsito mediante TLS, almacenamiento de contraseñas mediante funciones de derivación de clave, control de acceso por roles con separación estricta entre clubes comprobada en el servidor en cada petición, registro de la actividad realizada dentro de cada club, y el cifrado en reposo y las copias de seguridad que aplica el proveedor de la base de datos.

Conviene decir también lo que no hay, para que nadie lo dé por supuesto: Gyrava no dispone de ninguna certificación de seguridad —ni Esquema Nacional de Seguridad, ni ISO 27001, ni auditoría externa— y no la invoca en ninguna parte.

En particular, los archivos de documentación descritos en el apartado 2 se almacenan en un ámbito privado y no tienen ninguna dirección pública: no existe un enlace que permita abrirlos sin haber iniciado sesión, de modo que compartir la dirección de un archivo no da acceso a su contenido. Cada descarga o visualización pasa por una comprobación de identidad y de permiso en el momento de la petición, y sólo la superan el personal del club con permiso de gestión documental y las personas tutoras vinculadas a esa deportista concreta. El nombre con el que el archivo se guarda es un identificador sin significado, para que ni la ruta ni los registros técnicos revelen de quién es el documento ni de qué trata. Estos archivos se sirven además con instrucciones de no almacenamiento en caché, y al eliminar un documento o un archivo se borra también su copia del almacenamiento.

Los archivos del expediente del personal se guardan con las mismas medidas y con una diferencia deliberada: se almacenan en una carpeta separada de la documentación de las personas deportistas, se emiten por un canal de subida distinto y la comprobación que hay que superar para abrirlos es una sola —tener el permiso de administración del club—, sin la vía alternativa de acceso familiar que sí existe para la documentación de una deportista. Que sean dos caminos técnicos separados y no uno con dos condiciones es lo que impide que una modificación futura en uno relaje el otro.

En caso de violación de la seguridad de los datos personales, Gyrava lo notificará al club afectado sin dilación indebida para que este pueda cumplir con sus obligaciones de notificación previstas en los artículos 33 y 34 del RGPD.

11. Cambios en esta política

Esta política puede actualizarse para reflejar cambios en el servicio o en la normativa aplicable. La versión vigente será siempre la publicada en esta página, con su fecha de última actualización. Los cambios sustanciales se comunicarán a los clubes usuarios con antelación razonable.

Consulte también el aviso legal y la política de cookies.