Seguretat i protecció de dades

On són les dades

La base de dades i l’inici de sessió són a Supabase, a la Unió Europea (Irlanda).
L’aplicació funciona als servidors de Cloudflare a la regió de la UE.
Les fotos i els documents dels jugadors es guarden en un emmagatzematge privat de Cloudflare R2 amb jurisdicció de la UE.
Les connexions estan xifrades (HTTPS) i la base de dades està xifrada en repòs.
Cada dia fem una còpia de seguretat. Es xifra amb AES-256 abans de sortir del servidor i es guarda 30 dies a GitHub (Microsoft, EUA), amb les garanties de la UE per a transferències (Marc de Privacitat de Dades UE-EUA o clàusules contractuals tipus). Sense la clau, la còpia no es pot llegir.

Cada club veu només les seves dades. Aquesta separació l’aplica la mateixa base de dades, i proves automàtiques comproven a cada part de l’aplicació que un club no pot veure les dades d’un altre.
Dins del club, cada persona veu el que permet el seu rol: el propietari ho veu tot, els gestors porten el dia a dia i els entrenadors treballen amb els seus equips. El club pot limitar els entrenadors als jugadors dels seus equips.
Les famílies, al seu portal, veuen només les dades dels seus fills.
La foto d’un jugador només s’afegeix amb el consentiment de la família, que el pot retirar quan vulgui. Les fotos i els documents dels jugadors no són mai públics: només els veuen el personal que veu aquell jugador i la seva família.

A les dades només s’hi arriba a través de l’aplicació, que comprova a cada petició qui ets i què pots veure. L’accés directe a la base de dades des de fora està desactivat.
Qualsevol usuari pot activar la verificació en dos passos (un codi d’una app d’autenticació). L’aplicació ho recorda als propietaris que encara no la tenen.
Les claus de pagament en línia del club (monobank, LiqPay) es guarden xifrades. Les dades de les targetes s’introdueixen a la pàgina de Stripe o del banc i no ens arriben mai.
El registre de canvis mostra qui va canviar què i quan (30 dies).
Si l’administrador de la plataforma entra en un club per donar suport, l’entrada queda al registre del club i el propietari veu qui va entrar i quan. Sense entrar, l’administrador només veu xifres del club, sense noms ni contactes.
Si hi hagués una bretxa de seguretat, avisaríem els clubs afectats sense dilació indeguda; el nostre procediment fixa com a objectiu fer-ho en 24 hores.

Les dades del club es guarden mentre el club les fa servir. Si el club s’elimina, les seves dades desapareixen de la base de dades al moment i de les còpies de seguretat en 30 dies. Abans, el club pot exportar-ho tot (Excel i arxius ZIP amb fotos i documents).
Un club inactiu (amb el pla gratuït, o amb un pla de pagament que va acabar fa més de 30 dies) s’arxiva després de 120 dies sense activitat del seu equip i s’elimina amb les seves dades als 180 dies. Abans avisem el propietari per correu als 90, 120 i 173 dies.
Un compte que no pertany a cap club i on ningú no ha entrat en 12 mesos s’elimina, amb un avís per correu 30 dies abans. Per conservar-lo, n’hi ha prou d’entrar-hi.
Els jugadors arxivats: als 3 anys proposem al club anonimitzar-los.

El club és el responsable del tractament de les dades dels seus esportistes, famílies, menors i personal: decideix quines dades guarda i per a què. Stanio Sport és l’encarregat del tractament: guarda i tracta aquestes dades per compte del club, segons com el club fa servir el servei, i mai per a finalitats pròpies.
Les dades de salut (certificat mèdic, assegurança, camps com «al·lèrgies») són una categoria especial: el club les tracta amb el consentiment explícit de les famílies, que queda registrat.
Les condicions d’ús ja inclouen un apartat d’encàrrec del tractament (art. 28 RGPD). El contracte d’encàrrec del tractament (DPA) complet per als clubs s’està preparant amb el nostre advocat.
Dels comptes d’usuari, les notificacions, el registre de canvis i les còpies de seguretat el responsable som nosaltres.

Les famílies veuen les dades dels seus fills al portal i poden corregir el nom i la data de naixement. Qualsevol usuari pot descarregar les seves dades i eliminar el seu compte a la configuració.
Per a les dades que guarda un club (també les d’un menor), adreça’t al club o escriu-nos a privacy@stanio.app. Responem en el termini d’un mes.
També pots reclamar davant l’Agència Espanyola de Protecció de Dades (aepd.es) o davant l’autoritat del teu país.
Tots els detalls, amb la llista de proveïdors: política de privacitat.