Seguridad y protección de datos

Dónde están los datos

La base de datos y el inicio de sesión están en Supabase, en la Unión Europea (Irlanda).
La aplicación funciona en los servidores de Cloudflare en la región de la UE.
Las fotos y los documentos de los jugadores se guardan en un almacenamiento privado de Cloudflare R2 con jurisdicción de la UE.
Las conexiones están cifradas (HTTPS) y la base de datos está cifrada en reposo.
Cada día hacemos una copia de seguridad. Se cifra con AES-256 antes de salir del servidor y se guarda 30 días en GitHub (Microsoft, EE. UU.), con las garantías de la UE para transferencias (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo). Sin la clave, la copia no se puede leer.

Cada club ve solo sus propios datos. Esta separación la aplica la propia base de datos, y pruebas automáticas comprueban en cada parte de la aplicación que un club no puede ver los datos de otro.
Dentro del club, cada persona ve lo que permite su rol: el propietario lo ve todo, los gestores llevan el día a día y los entrenadores trabajan con sus equipos. El club puede limitar a los entrenadores a los jugadores de sus propios equipos.
Las familias, en su portal, ven solo los datos de sus hijos.
La foto de un jugador solo se añade con el consentimiento de la familia, que puede retirarlo cuando quiera. Las fotos y los documentos de los jugadores nunca son públicos: solo los ven el personal que ve a ese jugador y su familia.

A los datos solo se llega a través de la aplicación, que comprueba en cada petición quién eres y qué puedes ver. El acceso directo a la base de datos desde fuera está desactivado.
Cualquier usuario puede activar la verificación en dos pasos (un código de una app de autenticación). La aplicación se la recuerda a los propietarios que aún no la tienen.
Las claves de pago en línea del club (monobank, LiqPay) se guardan cifradas. Los datos de las tarjetas se introducen en la página de Stripe o del banco y nunca llegan a nosotros.
El registro de cambios muestra quién cambió qué y cuándo (30 días).
Si el administrador de la plataforma entra en un club para dar soporte, la entrada queda en el registro del club y el propietario ve quién entró y cuándo. Sin entrar, el administrador solo ve cifras del club, sin nombres ni contactos.
Si hubiera una brecha de seguridad, avisaríamos a los clubes afectados sin dilación indebida; nuestro procedimiento fija como objetivo hacerlo en 24 horas.

Los datos del club se guardan mientras el club los usa. Si el club se elimina, sus datos desaparecen de la base de datos al momento y de las copias de seguridad en 30 días. Antes, el club puede exportarlo todo (Excel y archivos ZIP con fotos y documentos).
Un club inactivo (con el plan gratuito, o con un plan de pago que terminó hace más de 30 días) se archiva tras 120 días sin actividad de su equipo y se elimina con sus datos a los 180 días. Antes avisamos al propietario por correo a los 90, 120 y 173 días.
Una cuenta que no pertenece a ningún club y en la que nadie ha entrado en 12 meses se elimina, con un aviso por correo 30 días antes. Para conservarla, basta con entrar.
Los jugadores archivados: a los 3 años proponemos al club anonimizarlos.

El club es el responsable del tratamiento de los datos de sus deportistas, familias, menores y personal: decide qué datos guarda y para qué. Stanio Sport es el encargado del tratamiento: guarda y trata esos datos por cuenta del club, según cómo el club usa el servicio, y nunca para fines propios.
Los datos de salud (certificado médico, seguro, campos como «alergias») son una categoría especial: el club los trata con el consentimiento explícito de las familias, que queda registrado.
Las condiciones de uso ya incluyen un apartado de encargo del tratamiento (art. 28 RGPD). El contrato de encargo del tratamiento (DPA) completo para clubes se está preparando con nuestro abogado.
De las cuentas de usuario, las notificaciones, el registro de cambios y las copias de seguridad el responsable somos nosotros.

Las familias ven los datos de sus hijos en el portal y pueden corregir el nombre y la fecha de nacimiento. Cualquier usuario puede descargar sus datos y eliminar su cuenta en los ajustes.
Para los datos que guarda un club (también los de un menor), dirígete al club o escríbenos a privacy@stanio.app. Respondemos en el plazo de un mes.
También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de tu país.
Todos los detalles, con la lista de proveedores: política de privacidad.