Política de Privacidad

Esta es la distinción más importante del documento, y de ella depende todo lo demás — incluido a quién corresponde responder a la solicitud de un titular. Cantera desempeña dos papeles diferentes, según los datos de que se trate:

• Responsable del tratamiento, respecto de los datos que recogemos directamente y cuyos fines y medios determinamos: la cuenta y la autenticación, la facturación de la suscripción, las comunicaciones de atención al cliente y los registros técnicos y de seguridad.
• Encargado del tratamiento, conforme al artículo 28 del RGPD, respecto de toda la información que el club introduce en la plataforma — deportistas, tutores legales, socios, personal técnico, datos clínicos, datos escolares, información financiera, entrenamientos, partidos y observaciones. En esos casos el responsable del tratamiento es el club: le corresponde asegurar la base jurídica, recabar los consentimientos necesarios, informar a los titulares y responder a sus solicitudes. Nosotros tratamos esos datos únicamente según las instrucciones del club y en la medida necesaria para prestarle el servicio.

Dicho de otro modo: Cantera construye y opera la herramienta; es el club quien decide qué información registra en ella y durante cuánto tiempo. Los términos de este tratamiento forman parte del contrato celebrado con el club.

Cada tratamiento se apoya en una base de licitud del artículo 6 del RGPD. Se distinguen los dos papeles de la sección anterior:

En todos los tratamientos de la segunda columna, la base de licitud la determina el club, no nosotros — habitualmente la ejecución del contrato de inscripción celebrado con el deportista o con su representante legal.

La mayoría de los titulares cuyos datos pasan por esta plataforma son niños y jóvenes, y parte de la información es sensible. Conviene decirlo con claridad:

• Menores. La inscripción de un deportista menor de edad la realiza el club, con intervención del tutor legal, que queda asociado a la ficha. En Portugal, la Ley portuguesa 58/2019 fija en 13 años la edad mínima para el consentimiento directo del titular; por debajo de esa edad corresponde a quienes ejercen la patria potestad. Corresponde al club asegurar ese encuadre.
• Salud. Si el club activa el módulo clínico, se registran lesiones, tratamientos, reconocimientos médicos y la disponibilidad deportiva del deportista. Son datos de categoría especial (art. 9 del RGPD) y solo pueden tratarse al amparo del art. 9.2.h — medicina deportiva y asistencia sanitaria por profesional sujeto a secreto — o de consentimiento explícito (art. 9.2.a). La base aplicable la determina el club. Dentro de la plataforma, el acceso a esta información se limita a quienes el club conceda expresamente el permiso correspondiente; ese control recae sobre el registro en la plataforma y puede no alcanzar la dirección directa de un archivo cargado.
• Escuela. Si el club activa el módulo escolar, pueden registrarse el centro educativo y las evaluaciones del deportista. La información detallada queda bloqueada tras un consentimiento registrado en la ficha: mientras este no exista, la plataforma ni siquiera la consulta. El club puede además eliminar de forma definitiva todos los datos escolares detallados de un deportista, en cualquier momento.
• Fotografías. La ficha de un deportista, de un socio o de un miembro del personal técnico puede incluir una fotografía, cargada por el club. Corresponde al club obtener las autorizaciones necesarias, con el cuidado adicional que exige la imagen de un menor.

El tutor legal que desee saber qué información existe sobre su representado, o que esta deje de existir, debe dirigirse al club — es él el responsable del tratamiento. Véase la sección 10.

No todo ocurre dentro de la pantalla de quien ha iniciado sesión. Estas son las principales situaciones en las que la información sale de la plataforma, y conviene conocerlas:

• Enlaces accesibles sin contraseña. Para que un tutor legal pueda confirmar una convocatoria, o una familia pagar una nota, sin tener que crear una cuenta, se generan enlaces con un código largo e imprevisible específico de esa convocatoria, de ese documento o de ese carné de socio. No dan acceso a nada más — pero quien tenga el enlace lo abre. Debe tratarse, por tanto, como un código de acceso, y no reenviarse a quien no deba ver esa información.
• Emails enviados por el club. Convocatorias, notas de pago, avisos de cobro, agradecimientos y felicitaciones de cumpleaños salen de la plataforma en nombre del club, a los contactos que el club ha registrado.
• Notificaciones en el dispositivo. Cuando se autorizan en el navegador, la entrega pasa por el servicio de notificaciones del fabricante de ese navegador (por ejemplo Google, Mozilla o Apple). Ese servicio recibe lo necesario para entregar la notificación; nosotros no lo hemos contratado ni lo controlamos. La autorización puede revocarse en cualquier momento en los ajustes del navegador.
• Documentos federativos. La plataforma genera formularios oficiales precumplimentados con los datos del deportista — en concreto los Modelos 1 y 2 de la federación y el Modelo 9 del IPDJ, el instituto portugués del deporte y la juventud — destinados a ser entregados a esas entidades. La entrega la realiza el club y por decisión suya.

En todo caso, la información de un club no es visible para otro club: cada consulta se filtra por el club del usuario.

Para prestar el servicio recurrimos a los proveedores indicados a continuación, todos vinculados por contrato a obligaciones de confidencialidad y de cumplimiento del RGPD:

• Supabase — base de datos, almacenamiento de archivos y sincronización en tiempo real. Infraestructura en la Unión Europea (Fráncfort).
• Vercel — alojamiento de la aplicación y ejecución de las tareas automáticas. Infraestructura en la Unión Europea (Fráncfort).
• Stripe Payments Europe (Irlanda) — suscripción del club y pagos de las familias. No almacenamos números de tarjeta.
• EasyPay (Portugal) — pagos de las familias mediante MB WAY y Multibanco.
• Resend (Estados Unidos) — entrega de los correos transaccionales.
• Google (Estados Unidos) — exclusivamente la autenticación opcional «Continuar con Google». Cuando esa opción no se utiliza, no se le comunica ningún dato.

Nunca vendemos, cedemos ni compartimos datos personales con fines de publicidad o marketing, propios o de terceros. Y no utilizamos analytics de terceros: no hay Google Analytics ni ninguna otra herramienta de medición de audiencias en esta aplicación. Podemos comunicar datos cuando la ley o una autoridad competente lo exijan, y comunicamos previamente cualquier cambio material en esta lista.

Los plazos legalmente imperativos — en particular las obligaciones fiscales y contables — prevalecen sobre los indicados anteriormente.

Se aplican medidas técnicas y organizativas adecuadas al riesgo:

• Cifrado en tránsito (TLS) y en reposo.
• Aislamiento entre clubes: cada consulta a la base de datos se filtra por el club del usuario que la realiza, de modo que la información de un club no sea alcanzable desde otro.
• Control de accesos por grupo y permiso: dentro del club, cada usuario ve únicamente las áreas y los equipos que el club le ha asignado, exigiendo las áreas sensibles — como la información clínica y la escolar — un permiso propio.
• Registro de las operaciones sensibles y monitorización continua de la plataforma.

Violación de datos. Si se produce una violación que afecte a datos tratados por cuenta de un club, notificamos a ese club — en su condición de responsable del tratamiento — sin dilación indebida y en un plazo máximo de 72 horas desde que tenemos conocimiento de ella, conforme al artículo 33.2 del RGPD.

Al titular de los datos le asisten los derechos previstos en los artículos 15 a 22 del RGPD:

• Acceso — saber qué datos existen y obtener una copia.
• Rectificación — corregir datos inexactos o desactualizados.
• Supresión — el «derecho al olvido», cuando proceda.
• Limitación del tratamiento.
• Oposición al tratamiento.
• Portabilidad — recibir los datos en un formato estructurado y de lectura mecánica.
• Retirada del consentimiento en cualquier momento, cuando sea esa la base del tratamiento, sin afectar a la licitud de lo tratado con anterioridad.

El destinatario de la solicitud depende del papel de que se trate (sección 2). En cuanto a los datos de cuenta, facturación y atención al cliente, el contacto es geral@canterasports.com. En cuanto a los datos que un club ha introducido en la plataforma — relativos a deportistas, tutores legales, socios o miembros del personal técnico —, la solicitud debe dirigirse primero a ese club, que es el responsable del tratamiento y el único que puede decidir sobre ellos; cualquier solicitud de ese tipo que nos llegue se remite al club competente, conforme al artículo 28.3.e del RGPD. No adoptamos decisiones individuales automatizadas con efectos jurídicos sobre los titulares (art. 22). Asiste además el derecho a presentar una reclamación ante la autoridad de control: la CNPD en Portugal, la AEPD en España o el ICO en el Reino Unido.