Política de privacidad

En Competiciones Rítmica tratamos los datos personales conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD) y a la legislación maltesa que lo complementa (Data Protection Act, capítulo 586 de las Leyes de Malta), ya que FlamaTech Consulting LTD está establecida en Malta, así como a las leyes estatales de privacidad de Estados Unidos que resulten aplicables. Esta política explica qué datos tratamos, para qué, durante cuánto tiempo y cuáles son tus derechos. El servicio se rige además por lascondiciones de uso, que incluyen el encargo de tratamiento.

1. Responsable y encargada del tratamiento

FlamaTech Consulting LTD actúa en dos calidades distintas, según de quién sean los datos:

• Como responsable, de los datos de las personas que usan el servicio en nombre de un club (cuenta, acceso y contacto), de las consultas que nos envías y de los datos técnicos y de analítica de esta web y de la aplicación.
• Como encargada del tratamiento, de los datos de gimnastas, entrenadoras, personas de contacto y demás información que cada club introduce en la plataforma. Cada club decide para qué usa esos datos y es responsable de ese tratamiento; el club organizador, de los datos de las inscripciones que recibe de los clubes participantes. FlamaTech Consulting LTD los trata solo para prestar el servicio y según las instrucciones del club, conforme a las condiciones de uso.

FlamaTech Consulting LTD es una sociedad inscrita con el número C99332 en el Malta Business Registry, con domicilio en The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema (Malta), VAT MT28308119.

• Identidad: FlamaTech Consulting LTD (Competiciones Rítmica)
• NIF / VAT: MT28308119
• Datos registrales: C99332
• Domicilio: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
• Contacto general: soporte@clybo.app
• Delegado de Protección de Datos: dpo@clybo.app

2. Datos que tratamos

Según tu relación con Competiciones Rítmica, tratamos estas categorías de datos:

• Personas de los clubes: nombre, email con el que accedes (se entra con un código de un solo uso, sin contraseña) y teléfono de contacto.
• Perfil del club: nombre, localidad, región y país, dirección postal y federación o número de club (opcionales) y, si el club lo aporta, su NIF, que se guarda cifrado.
• Gimnastas: nombre y apellidos, fecha de nacimiento, sexo y número de licencia, los que el club introduce en su plantilla o al inscribirlas; y los datos de su participación: categoría, nivel, modalidad, aparatos, dorsal, orden de paso, puntuaciones y resultados. La plataforma no pide datos médicos ni datos de sus familias.
• Entrenadoras y personas de contacto del club: nombre, apellidos y teléfono (cifrado).
• Músicas de los ejercicios: el archivo de audio subido para cada ejercicio, su duración, códec y huella de verificación, con un nombre de archivo que incluye el dorsal, el club, la gimnasta o conjunto y el aparato.
• Documentos y pagos: los documentos que el organizador pide y el club aporta o acepta; el importe y estado de cada pago y, si se paga por transferencia, los justificantes (PDF o imagen) que sube el club. Los datos de la tarjeta los recoge el proveedor de pagos, no FlamaTech Consulting LTD.
• Datos técnicos: dirección IP, user agent, registros de auditoría y, con tu consentimiento, páginas visitadas, funciones utilizadas, navegador, dispositivo, ubicación aproximada y métricas de rendimiento. En la aplicación no se graba la sesión.

3. Finalidad y base legal

Tratamos los datos para estas finalidades:

4. Destinatarios de los datos

Dentro de la competición, el club organizador recibe los datos de inscripción, las músicas, los documentos y los pagos de los clubes participantes, y cada club participante ve el orden de paso y los resultados de sus gimnastas. El orden y los resultados publicados son visibles para cualquier persona con el enlace, con las restricciones sobre nombres de menores indicadas arriba.

Además, compartimos datos con los proveedores estrictamente necesarios, bajo contrato de encargado del tratamiento conforme al artículo 28 RGPD:

• Amazon Web Services (Frankfurt, UE) — alojamiento de la plataforma.
• Supabase (Supabase Auth) — autenticación, envío del código de acceso y gestión de sesiones.
• Cloudflare (red global) — DNS, seguridad perimetral, protección anti-bots (Turnstile) en la petición del código y almacenamiento de las músicas, y tránsito técnico del proxy gestionado de PostHog.
• Resend (Alemania, UE) — envío de email transaccional.
• Stripe Payments Europe Ltd. (Dublín, UE) — cobros con tarjeta. Cada cobro se realiza en la cuenta Stripe del club organizador, que es quien contrata con Stripe; FlamaTech Consulting LTD no recibe esos fondos.
• PostHog (infraestructura UE) — analítica consentida en el navegador, sin grabación de sesión en la aplicación.

No vendemos ni cedemos los datos a terceros con fines publicitarios.

5. Transferencias internacionales

Los servidores principales y la ingestión final de PostHog están en la Unión Europea. El tránsito de red puede resolverse en infraestructura global de proveedores como Cloudflare, y proveedores como Stripe pueden tratar datos fuera del EEE. Para estas transferencias se aplican las garantías previstas en el RGPD, como una decisión de adecuación vigente o cláusulas contractuales tipo aprobadas por la Comisión Europea.

6. Plazos de conservación

• Cuenta del club: mientras el club mantenga su cuenta.
• Plantilla de gimnastas de un club: mientras el club la mantenga; el club puede borrar una gimnasta en cualquier momento, lo que no afecta a las copias ya hechas en competiciones. Está pendiente de definir un plazo de inactividad tras el que avisaremos al club y borraremos la plantilla.
• Copias de gimnastas en una competición: se conservan mientras dure la competición y su archivo. Está previsto seudonimizarlas a los 12 meses desde su fin; el plazo definitivo está pendiente de confirmación.
• Músicas: hasta 7 días después del cierre de la competición, plazo que se prolonga si el organizador la reabre. Después se eliminan.
• PDF de la rotación: se eliminan 14 días después de la competición, porque contienen nombres de menores.
• Pagos y justificantes: mientras el club organizador los necesite para la conciliación y la contabilidad de su competición.
• PostHog: máximo 12 meses.
• Preferencia analítica: hasta que la cambies o borres el almacenamiento local del sitio.

7. Tus derechos · RGPD

Como interesado tienes derecho a:

• Acceso a tus datos personales.
• Rectificación de datos inexactos.
• Supresión cuando ya no sean necesarios.
• Oposición al tratamiento por interés legítimo.
• Limitación del tratamiento.
• Portabilidad en formato estructurado y legible.
• Retirada del consentimiento en cualquier momento, sin efectos retroactivos.

Para ejercerlos escribe a dpo@clybo.app indicando tu nombre y el derecho que quieres ejercer. Responderemos en un plazo máximo de un mes.

Si crees que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la autoridad de control principal del responsable, el Information and Data Protection Commissioner (IDPC) de Malta, o ante la autoridad del Estado miembro en el que residas, trabajes o se haya producido la supuesta infracción (art. 77 RGPD). En España es la Agencia Española de Protección de Datos (AEPD).

8. Derechos de privacidad en Estados Unidos

Cuando una ley estatal de Estados Unidos resulte aplicable, sus residentes pueden tener derecho a conocer o acceder a sus datos personales, corregirlos, solicitar su supresión, obtener una copia portable y oponerse a su venta, intercambio para publicidad comportamental, publicidad dirigida o perfiles con efectos jurídicos significativos. También pueden ejercer esos derechos sin recibir un trato discriminatorio.

En Competiciones Rítmica no vendemos ni compartimos datos personales en el sentido de la California Consumer Privacy Act (CCPA). Aun así, esta web reconoce Global Privacy Control (GPC) como una solicitud de exclusión de la analítica opcional. Puedes usar también Configurar cookiesen el pie o escribir a dpo@clybo.app. Si una solicitud es denegada y la ley de tu estado reconoce un derecho de recurso, puedes apelar respondiendo a nuestra decisión por el mismo canal.

9. Datos de menores

Competiciones Rítmica trata datos de gimnastas menores de edad que introducen los clubes. Elclub es el responsable de esos datos y FlamaTech Consulting LTD actúa como encargada, conforme a lascondiciones de uso. Antes de inscribir a una gimnasta, el club participante declara que cuenta con la autorización de su familia o tutores para compartir con el club organizador los datos necesarios para la competición.

La plataforma no pide datos médicos ni de las familias, no graba la sesión de la aplicación y oculta por defecto los nombres de menores en la web pública. Si eres gimnasta, familiar o tutor y quieres ejercer tus derechos sobre datos introducidos por un club, dirígete primero a ese club; si nos escribes a dpo@clybo.app, trasladaremos tu solicitud al club responsable.

10. Seguridad

Aplicamos las medidas técnicas y organizativas razonables para proteger los datos: cifrado AES-256 en reposo, TLS 1.3 en tránsito, control de acceso por roles, registro de actividad, copias de seguridad cifradas y revisión periódica de proveedores.

11. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales u operativos. La fecha de la última revisión aparece al inicio del documento. Si los cambios son sustanciales te avisaremos por email antes de que entren en vigor.

12. Cómo contactarnos

DPO: dpo@clybo.app. Atención general: soporte@clybo.app.