Política de privacidad

⚠️ Pendiente de revisión legal. Este texto es el andamiaje técnico de la política de privacidad (Fase 32, docs/PLAN_MEJORA_PRODUCTO_COMERCIAL.md): describe con exactitud qué datos trata Call-Up y para qué, pero su redacción no ha sido validada todavía por un profesional del derecho. No lo consideres asesoramiento legal ni definitivo hasta que se retire este aviso.

1. Responsable del tratamiento

Call-Up es, a día de hoy, un proyecto sin una entidad jurídica propia constituida (sociedad, autónomo con actividad registrada, etc.) — se identifica el hueco explícitamente porque publicar esta página sin resolverlo primero sería inexacto. Hasta que exista esa entidad y un dominio propio (ver Fase 35 del plan de mejora), el responsable del tratamiento es la persona titular del proyecto, identificable a través de la propia aplicación y del repositorio público del código.

2. Finalidad del tratamiento

Los datos se tratan exclusivamente para organizar viajes y eventos deportivos de grupo:

• Gestionar la convocatoria de un evento y quién confirma asistencia.
• Coordinar propuestas de alojamiento, restauración, sitios de interés y coches, y las votaciones/comentarios sobre ellas.
• Enviar notificaciones relacionadas con el evento (nueva convocatoria, decisión cerrada, recordatorios) cuando la persona tiene una cuenta vinculada.
• Medir el uso agregado del producto (Fase 20) para saber si funciona, sin fines publicitarios ni de perfilado individual.

No se usan los datos para ningún fin distinto de estos, ni se ceden a terceros con fines comerciales.

3. Base jurídica

• Consentimiento: al crear una cuenta se acepta expresamente esta política (tabla consentimientos, con fecha e IP, nunca se sobrescribe — Fase 18).
• Interés legítimo: para los datos de un convocado que no ha creado cuenta propia (nombre, y opcionalmente observaciones libres), tratados por quien organiza el evento con la finalidad exclusiva de coordinarlo.
• Declaración de quien aporta datos de un tercero: cuando una persona da de alta a quien le acompaña (a otro convocado, o a quienes vienen con ella al confirmar su asistencia), el formulario le exige declarar expresamente que tiene autorización de esa persona para aportar sus datos con esta finalidad — la plataforma no puede verificar esa autorización por sí misma, así que la responsabilidad de que sea cierta recae en quien la declara (Fase 32).

4. Datos tratados

• Identificación: nombre, email (obligatorio para quien crea una cuenta; opcional para un convocado dado de alta por otra persona).
• Credenciales: contraseña, nunca en claro (se guarda un hash con sal, PBKDF2-SHA256).
• Datos del evento: asistencia, propuestas, votos, comentarios, valoraciones, coches ofrecidos, partidos.
• Observaciones libres: texto opcional que cada persona escribe sobre sí misma (hora de llegada, alergias, restricciones de coche...), máximo 280 caracteres, editable y borrable por ella misma.
• Datos técnicos mínimos: IP en el momento de aceptar esta política (constancia de la aceptación, no se usa para nada más) y las fechas de las acciones sensibles registradas en el histórico de auditoría (ver punto 6).

No se distingue edad ni se trata ningún dato específico de menores como tal (Fase 31): todo convocado es, a efectos del modelo de datos, un asistente igual a cualquier otro.

5. Destinatarios y encargados del tratamiento

Los datos se almacenan y procesan en la infraestructura de Cloudflare (Workers, D1 y Pages) y, cuando el envío de email esté activo con dominio propio, en Resend para el envío de correos transaccionales (recuperación de contraseña, invitaciones). Ninguno de los dos trata los datos con fines propios: actúan como encargados del tratamiento, bajo las condiciones de sus respectivos contratos de procesamiento de datos. No hay más cesiones a terceros.

6. Conservación

Los datos se conservan mientras la cuenta y los eventos asociados sigan activos. Eliminar la propia cuenta (ver punto 7) la anonimiza en vez de borrarla físicamente, para no romper el historial de eventos compartidos con otras personas; el histórico de auditoría (auditoria) y de consentimientos (consentimientos) se conserva de forma separada como registro de que ciertas acciones sensibles tuvieron lugar y cuándo.

7. Derechos de las personas interesadas

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad sobre tus propios datos:

• Acceso y rectificación: directamente desde tu cuenta y desde las observaciones libres de cada evento.
• Supresión: "Eliminar mi cuenta" anonimiza tu cuenta de inmediato (DELETE /api/usuarios/yo, ya en funcionamiento).
• Datos que otra persona aportó sobre ti (p. ej. quien te dio de alta como convocado): puedes pedir su corrección o supresión directamente a esa persona, que es quien los dio de alta, o a quien gestiona el evento.

Mientras no exista un canal de contacto dedicado con dominio propio (Fase 35), cualquier solicitud que no puedas resolver tú misma desde la aplicación puede plantearse a través del repositorio público del proyecto.

8. Cambios en esta política

Si el contenido de esta política cambia de forma sustancial, se pedirá de nuevo el consentimiento explícito (cada aceptación queda registrada con su propia versión de política, sin sobrescribir la anterior).

← Volver a Call-Up