Menores, ley y seguridad · el detalle entero
Lo que la ley te pide. Y dónde acaban los datos.
Esto es lo que no cambia por no estar federado. Quien trabaja con menores en España tiene dos obligaciones que no se resuelven con una hoja de cálculo: acreditar que todo el que está con ellos tiene su certificación negativa de delitos sexuales, y atender los derechos sobre los datos de cada niña. Un club de fútbol y una academia de danza responden exactamente de lo mismo. Las dos cosas están dentro, y funcionan igual en los dos casos: la pantalla se abre por permiso, no por el tipo de organización.
Y antes de dejarle a nadie los datos de sesenta niñas hay otra pregunta: dónde acaban. Lo que sigue la contesta con lo que hace el código, y con lo que Gyrava todavía no tiene.
Protección del menor (LOPIVI)
El expediente de cada entrenadora o de cada profesora: su certificación negativa del Registro Central de Delincuentes Sexuales y su formación en protección del menor, con la fecha, el código de verificación y el documento adjunto. Una pantalla te dice a quién le falta, a quién le ha caducado y a quién le caduca en los próximos treinta días.
Lo ve solo administración, y el dato ni se lee de la base de datos si no tienes el permiso.
Lo que no hace, dicho aquí y no en la letra pequeña: no consulta ningún registro oficial —el certificado lo pide cada persona y te lo entrega a ti—, no guarda el resultado —que la ficha exista significa que lo comprobaste; anotar un resultado sería registrar una condena— y no manda correos: el aviso está dentro, en Personal, o en Profesorado si eres academia.
Los datos de las familias
Cuando una familia pide sus datos, los exportas en PDF y en JSON con todo lo que hay de esa deportista o de esa alumna: ficha, tutores, cuotas, asistencia, evaluaciones, autorizaciones firmadas y personas autorizadas a recoger. Cuando pide que se borren —el derecho de supresión del artículo 17—, la ficha se vacía de verdad: DNI, teléfono, domicilio, contacto de emergencia, información médica, alergias, notas, foto y documentos se destruyen, y solo quedan los cobros, porque llevar la contabilidad es otra obligación legal.
El reparto de papeles, que es lo primero que pregunta quien sabe del tema: el responsable del tratamiento de esos datos eres tú, y Gyrava es el encargado. Los tratamos para prestarte el servicio y para nada más.
Hasta dónde llega ese borrado, dicho antes de que lo descubras: no alcanza a las fotos que hayáis publicado vosotros en la galería o en una noticia de la web —esas se quitan a mano— y no borra la cuenta de acceso, que todavía no tiene botón y se pide por correo.
Dónde acaba la foto de tu hija
Las fotos de ficha y los documentos —autorizaciones, certificados médicos, licencias— se guardan en almacenamiento privado. Su dirección real no llega nunca al navegador: se piden a una ruta nuestra que comprueba, en cada petición y en el servidor, que hay sesión y que esa persona tiene permiso o es tutora de esa niña concreta. Un enlace copiado y pegado en un WhatsApp no abre nada.
El acceso es por rol y se comprueba también en el servidor: una familia solo ve a los suyos, y quien entrena o da clase solo sus grupos o sus clases. Contraseñas guardadas derivadas, nunca en claro; tráfico por TLS; y ni un solo rastreador de terceros, ni en la portada ni dentro del panel —las únicas cookies son las de mantener la sesión abierta.
Del registro de actividad conviene saber las dos cosas: apunta qué se tocó y quién lo tocó, nunca el contenido —que se abrió una ficha médica, jamás lo que ponía dentro—, pero sí nombra a la persona, así que se borra solo a los veinticuatro meses, todas las noches y sin que nadie tenga que acordarse.
Fuera de juego
Lo que no tenemos
Gyrava no tiene ninguna certificación de seguridad: ni ENS, ni ISO 27001, ni auditoría externa. La base de datos y los archivos están en proveedores conocidos —Vercel y Neon— y su cifrado en reposo y sus copias de seguridad son de ellos, no nuestros; la región exacta del proyecto todavía no la tenemos confirmada por escrito, y hasta que la tengamos no vamos a escribir aquí «alojado en la Unión Europea». Tampoco hay todavía una declaración de accesibilidad publicada. Está todo detallado, con cada proveedor y cada plazo de conservación, en la política de privacidad; y si algo de esto te frena, dilo antes de dar de alta a nadie y te contamos exactamente cómo está.
Lo que preguntan sobre esto.
Soy una academia de danza, ¿me afecta lo de la LOPIVI?
No depende de estar federada, sino de que trabajes con menores, así que el expediente del profesorado funciona exactamente igual que en un club: la certificación negativa de delitos sexuales y la formación en protección del menor de cada profesora, con su fecha, su código de verificación y el documento adjunto en almacenamiento privado, y una pantalla que te dice a quién le falta y a quién le caduca en treinta días. No hay ninguna comprobación de tipo de organización en medio: la pantalla se abre por permiso. Dicho esto, aquí describimos lo que hace el software, no te damos asesoramiento legal: quién tiene que tener el certificado en tu caso concreto te lo confirma tu asesoría.
¿Y el certificado de delitos sexuales de quien da la clase?
Cada entrenadora y cada profesora tiene su expediente: la certificación negativa del Registro Central de Delincuentes Sexuales y la formación en protección del menor, con su fecha, su código de verificación y el documento adjunto en almacenamiento privado. Una pantalla te dice a quién le falta, a quién le ha caducado y a quién le caduca en treinta días, y solo la ve administración. Lo que Gyrava no hace: no consulta ningún registro oficial —el certificado lo pide cada persona y te lo entrega—, no guarda el resultado, y el aviso es en pantalla, no por correo.
¿Qué pasa con los datos de los menores?
El acceso es por rol y se comprueba en el servidor, en cada petición: una familia solo ve a los suyos, y quien entrena o da clase solo sus grupos o sus clases. La información médica, los contactos de emergencia y las personas autorizadas a recoger viven dentro de la ficha, no en un grupo de WhatsApp, y las fotos y los documentos se guardan en almacenamiento privado: su dirección real no llega al navegador y se sirven por una ruta que comprueba sesión y permiso, así que un enlace pegado en un WhatsApp no abre nada. Puedes exportar en PDF y JSON todos los datos de una deportista o de una alumna, y suprimirlos cuando toque —la ficha se vacía de verdad: DNI, salud, alergias, contactos, notas, foto y documentos se destruyen, y solo se conservan los cobros, porque llevar la contabilidad es otra obligación legal—. Dos límites de ese borrado, dichos aquí y no cuando los descubras: no alcanza a las fotos que hayáis publicado vosotros en la galería o en una noticia, y no borra la cuenta de acceso, que todavía no tiene botón y se pide por correo. El registro de quién hizo qué apunta qué se tocó y quién, nunca el contenido de la ficha, pero sí nombra a la persona: por eso se borra solo a los veinticuatro meses. El responsable del tratamiento eres tú; Gyrava es el encargado.
¿Puedo sacar mis datos si me voy?
Sí. Desde el panel exportas los datos de cualquier deportista o alumna y su familia en PDF y en JSON —ficha, tutores, cuotas, asistencia, documentación, evaluaciones, autorizaciones firmadas y personas autorizadas a recoger—, el listado de pendientes en CSV y los recibos en PDF. Los archivos adjuntos se enumeran y se descargan aparte. Para una copia del club entero, se pide por correo y se entrega en un formato de lectura mecánica.
Aquí describimos lo que hace el software, no te damos asesoramiento legal. Si algo de esto te frena, escríbenos a gyravapp@gmail.com antes de dar de alta a nadie.