Política de privacidad

1. Responsable

El servicio lo presta Stanislav Mashyn (persona física, España) — «nosotros». Contacto sobre datos personales: privacy@stanio.app.

Los datos de jugadores, familias, personal, solicitudes y pagos los introduce y utiliza el club deportivo. Para estos datos el responsable del tratamiento es el club y nosotros somos encargados del tratamiento, que los almacenamos y tratamos por cuenta del club (art. 28 RGPD). Para consultas sobre estos datos (por ejemplo, suprimir los datos de un menor) dirígete primero al club; ayudamos al club a atender tu solicitud.

Para las cuentas de usuario (correo, contraseña, ajustes), las notificaciones, el registro de cambios y las copias de seguridad, el responsable somos nosotros.

2. Qué datos se tratan

• Cuenta: correo electrónico, contraseña (solo como hash protegido), idioma, formato de fecha, consentimientos a los documentos.
• Personal del club: nombre, rol, teléfono y mensajería, campos adicionales que define el club, quién marcó la asistencia o recibió un pago; si el club los registra — tarifas y pagos a entrenadores y la fecha de caducidad del certificado de delitos sexuales exigido para trabajar con menores (solo la fecha, no el certificado).
• Familias y otros contactos: nombre, teléfono, mensajería, correo, relación con el menor, notas del club.
• Jugadores (en su mayoría menores): nombre, fecha de nacimiento, contactos (teléfono, correo, dirección), equipo, asistencia y motivos de ausencia, convocatorias, abonos, pagos y cargos puntuales, altura y peso, fechas del certificado médico y del seguro, número y caducidad de la licencia federativa, resultados de competiciones, entrenamientos, pedidos en la tienda del club y material prestado, notas y campos adicionales del club.
• Desarrollo deportivo (si el club lo activa): resultados de pruebas físicas, marcas personales, cinturones y exámenes de grado, participación en torneos (plantilla, dorsal).
• Pagos en línea (si el club los activa): importe, a quién corresponde, correo de quien paga, estado del pago. Los datos de la tarjeta se introducen en la página de Stripe y nunca llegan a nosotros.
• Solicitudes del formulario en la web del club: apellidos, nombre, teléfono, mensajería y correo del padre o la madre (o del adulto que se inscribe), nombre y año de nacimiento del menor, comentario, y el historial del trabajo del club con la solicitud (quién cambió su estado o sus datos y cuándo). Si el club activó los mensajes tras la sesión de prueba y la solicitud tiene correo, se envían a él.
• Enlaces de calendario (si te suscribes al horario en tu calendario): el enlace contiene una clave secreta y el horario (incluidos los nombres de los menores) llega al servicio de calendario que elijas. Puedes revocar el enlace en los ajustes.
• Mensajes del formulario de stanio.app: nombre, correo, club y texto, además de la dirección IP y el país de quien escribe (contra el spam) — solo para responder; nos llegan por correo y se guardan en el buzón mientras lo requiera la conversación.
• Inicio de sesión con Google o Apple (si lo eliges): el correo y el nombre de esa cuenta, guardados con tu cuenta.
• Datos de facturación del club (para un plan de pago): razón social, NIF, dirección y correo de facturación, y los pagos del plan.
• Datos técnicos: cookies para iniciar sesión y para los ajustes (consulta la política de cookies), registros de servidor (dirección IP, hora de la petición) — hasta 7 días; sesiones iniciadas (dirección IP y navegador) — mientras no cierres la sesión.

Los datos de salud (certificado médico, seguro, altura y peso, motivos de ausencia, campos como «alergias») son una categoría especial. El club solo los trata con el consentimiento explícito de las familias, que estas dan al club y confirman en el portal de familias.

3. Finalidad y base jurídica

• Prestar el servicio al club y a sus usuarios — ejecución de un contrato (las condiciones de uso), art. 6.1.b RGPD.
• Datos de jugadores y familias en el club — según la base propia del club: su acuerdo con las familias sobre los entrenamientos, su interés legítimo o el consentimiento de las familias.
• Datos de salud — consentimiento explícito de las familias, art. 9.2.a RGPD.
• Indicios de que un jugador puede abandonar (varias ausencias seguidas, una deuda de más de una semana, una caída fuerte de la asistencia) — interés legítimo del club en conservar al jugador, art. 6.1.f RGPD. Es una evaluación automatizada, es decir, elaboración de perfiles, pero no decide nada por sí misma: un gestor del club solo recibe una tarea para contactar con la familia. Puedes oponerte dirigiéndote al club.
• Seguridad, prevención de abusos, copias de seguridad — nuestro interés legítimo, art. 6.1.f RGPD.
• Obligaciones legales (por ejemplo, atender un requerimiento legítimo de una autoridad) — art. 6.1.c RGPD.

No vendemos datos, no mostramos publicidad, no usamos analítica de visitantes y no cedemos datos a terceros para sus propios fines. La única elaboración de perfiles son los indicios de riesgo anteriores; el sistema no toma decisiones automatizadas con efectos jurídicos o similares para las personas (art. 22 RGPD).

4. Menores

Los menores no tienen cuenta propia: sus datos los introducen el club y las familias. Solo pueden registrarse personas mayores de edad. Las familias ven los datos de su hijo o hija en el portal, pueden corregir el nombre y la fecha de nacimiento y pedir al club que suprima o anonimice los datos.

5. Quién ve los datos

• El personal del club — según su rol (propietario, soporte, gestor, entrenador). El club puede limitar a los entrenadores a los jugadores de sus propios equipos.
• Las familias — solo los datos de sus hijos.
• El administrador de la plataforma — solo para soporte y resolución de incidencias; sus cambios quedan en el registro de cambios.
• Los encargados que nos ayudan a prestar el servicio (abajo).

6. Encargados y transferencias fuera de la UE

• Supabase — base de datos e inicio de sesión; los datos se guardan en la UE (Irlanda).
• Cloudflare — servidores de la aplicación y protección; el tratamiento se realiza en la región de la UE, la red de Cloudflare es global.
• GitHub (Microsoft) — copias de seguridad cifradas de la base de datos durante un máximo de 30 días; EE. UU.
• Telegram — solo si una familia conecta el bot de recordatorios: nombre del menor, club, hora y lugar de la sesión, entrenador, deuda, fechas del certificado y del seguro, fin del abono, convocatorias, felicitaciones de cumpleaños e hitos de asistencia, anuncios del club.
• Resend — envía correos: recuperación de contraseña y confirmación, mensajes tras la sesión de prueba en nombre del club (si el club los activó y la solicitud tiene correo) y recordatorios del plan a los propietarios de clubes; recibe la dirección de correo y el mensaje; se envían desde la UE (Irlanda), la empresa está en EE. UU.; sin seguimiento de aperturas ni clics.
• Google y Apple — solo si inicias sesión con ellos: confirman quién eres y nos facilitan tu correo y nombre; respecto del propio inicio de sesión actúan como responsables independientes según sus políticas de privacidad; EE. UU.
• Google (Gmail) — el buzón donde llegan los mensajes a support@ y privacy@stanio.app y los del formulario de stanio.app; EE. UU.
• Sentry (Functional Software) — informes de errores de la aplicación: qué falló, la dirección de la página, la versión y el navegador; sin direcciones IP, cookies ni datos introducidos. Se almacenan en la UE (Alemania), hasta 30 días.
• Cloudflare Turnstile — comprueba que el formulario de stanio.app lo rellena una persona y no un bot; no se usa para publicidad ni seguimiento.
• Stripe — solo si el club activa los pagos en línea: el pago llega a la cuenta de Stripe del club; Stripe recibe el importe, el concepto (el nombre del menor y el club), el correo de quien paga y los datos de la tarjeta (nosotros no vemos ni guardamos la tarjeta); cuando un club conecta su cuenta, el correo del propietario y el nombre del club. Respecto del propio pago, Stripe actúa como responsable independiente según su política de privacidad; puede haber transferencias a EE. UU.

Las transferencias a EE. UU. se basan en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea. Avisamos a los clubes con antelación de los cambios de encargados.

7. Plazos de conservación

• Cuenta — hasta que la elimines.
• Datos del club — hasta que el club los suprima o se elimine el club.
• Jugadores archivados — se propone al club anonimizarlos a los 3 años.
• Solicitudes cerradas — 12 meses.
• Notificaciones leídas, invitaciones usadas y caducadas — 90 días.
• Respuestas «voy / no voy» y marcas de recordatorios — 90 días; anuncios del club y quién los leyó — 180 días.
• Registro de cambios — 30 días; copias de seguridad — 30 días; registros de servidor — hasta 7 días.
• Registros de consentimiento — mientras sea necesario acreditar que se dio el consentimiento.

8. Tus derechos

Tienes derecho de acceso y copia, rectificación, supresión, limitación y oposición al tratamiento, portabilidad, y a retirar el consentimiento en cualquier momento (sin afectar a la licitud del tratamiento anterior).

• Puedes descargar tus datos y eliminar tu cuenta tú mismo en los ajustes (cómo eliminar la cuenta).
• Para los datos que guarda un club (incluidos los de un menor), contacta con el club o con nosotros: privacy@stanio.app.
• Respondemos en el plazo de un mes.

También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de tu país.

9. Seguridad

Las conexiones están cifradas (HTTPS), la base de datos está cifrada en reposo, los datos de cada club están separados por reglas aplicadas en la propia base de datos, las copias de seguridad están cifradas y los cambios quedan registrados. Si una brecha pone en riesgo tus derechos, informamos al club sin dilación indebida y a la autoridad de control en un plazo de 72 horas.

10. Cookies

Solo usamos cookies necesarias: para mantener la sesión iniciada y para tus ajustes (idioma, formato de fecha, tema). No hay cookies de analítica ni de publicidad, por lo que no se necesita un consentimiento aparte ni un banner. La lista de cookies con sus plazos está en la política de cookies.

11. Cambios

Si cambiamos esta política de forma sustancial, verás la nueva versión y la confirmarás la próxima vez que inicies sesión. La fecha de la versión aparece arriba.