Política de privacidad

1. Responsable del tratamiento

• Identidad: Luis Barba Martínez
• NIF: 02713602Q
• Domicilio: C. Hilados, 17, 28850 Torrejón de Ardoz, Madrid
• Email de contacto: luis.itziar.casa@gmail.com
• Teléfono: +34 633 474 105

La academia («Grappling Zone») actúa como responsable del tratamiento de los datos personales de las personas usuarias de la Plataforma. Para cualquier consulta o ejercicio de derechos, puedes dirigirte a la dirección de correo electrónico indicada.

2. Encargado del tratamiento

• Identidad: Francisco Lucas Ruiz
• NIF: 47541979J
• Condición: trabajador autónomo

El desarrollo y mantenimiento técnico de la Plataforma corre a cargo de la persona indicada, que actúa como encargado del tratamiento por cuenta del responsable conforme al artículo 28 RGPD y al contrato de encargo del tratamiento suscrito a tal efecto. El encargado gestiona, por instrucciones del responsable, la infraestructura de hosting, los servicios en la nube (autenticación, base de datos, analítica, notificaciones push) y la publicación en tiendas de aplicaciones.

3. Datos que tratamos

Tratamos las siguientes categorías de datos personales, según el uso que hagas de la Plataforma:

• Datos identificativos y de contacto: nombre, email, avatar, redes sociales (Instagram, TikTok, Facebook) que decidas añadir voluntariamente.
• Datos de cuenta: identificador único, contraseña cifrada (no accedemos a ella en claro), cuentas vinculadas (Google mediante OAuth), preferencias.
• Datos académicos y deportivos: cinturón, grados, rol (alumno, instructor, maestro), tags de juego, competiciones, medallas.
• Datos de actividad: reservas, asistencias a clase, racha de constancia, métricas de uso de secciones, valoraciones.
• Contenidos generados por el usuario: publicaciones en comunidad, mensajes en el chat de clase, comentarios, reacciones, fotos y vídeos que decidas subir.
• Datos relativos a la práctica deportiva: notas personales de feedback tras la clase, sensaciones (incluyendo indicadores de cansancio o lesión) y notas de sparring. Estos datos podrían incluir información relativa a la salud (lesiones). Su tratamiento se basa en tu consentimiento explícito al cumplimentar el feedback y son confidenciales: solo tú y la administración de la academia tienen acceso para fines de seguimiento del entrenamiento.
• Datos técnicos y de dispositivo: tokens de notificaciones push (Firebase Cloud Messaging), preferencias de tema, idioma, y, si aceptas el banner de cookies, métricas anónimas de uso recogidas mediante Firebase Analytics.
• Foto de sesión: tras cerrar el check-in de una clase, la academia puede publicar internamente una foto grupal de esa sesión, en la que pueden aparecer las personas asistentes.

4. Finalidades y base legal del tratamiento

• Gestión del acceso a la Plataforma y de la relación con la academia: base legal en la ejecución del contrato o relación precontractual entre la persona usuaria y la academia (art. 6.1.b RGPD).
• Cumplimiento de obligaciones legales (contables, tributarias, de prevención del fraude): art. 6.1.c RGPD.
• Gestión de clases, reservas, asistencias, comunidad y comunicación interna: ejecución del contrato (art. 6.1.b RGPD) y, en su caso, interés legítimo de la academia en mantener una plataforma funcional y segura (art. 6.1.f RGPD).
• Tratamiento de datos relativos a la salud (lesiones, cansancio en feedback): consentimiento explícito (art. 9.2.a RGPD), que se otorga al cumplimentar el feedback. Puedes no cumplimentar este campo o retirar el consentimiento en cualquier momento.
• Envío de notificaciones push sobre clases, mensajes, comunidad o avisos: ejecución del contrato y/o consentimiento, según el caso. Puedes desactivarlas en cualquier momento desde tu perfil.
• Métricas anónimas de uso (Firebase Analytics): consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI-CE), solicitado mediante banner. Si no aceptas, no se cargan estos identificadores.
• Vinculación con servicios de terceros (Google OAuth): consentimiento al iniciar sesión con Google.

5. Plazos de conservación

Los datos se conservarán mientras la cuenta esté activa o mientras sean necesarios para la finalidad para la que se recogieron. Tras la baja, conservaremos únicamente los datos imprescindibles para cumplir obligaciones legales (contables, fiscales, de prescripción de acciones) durante los plazos legalmente exigidos. Los contenidos publicados (mensajes en chat de clase, comentarios y posts en comunidad) pueden conservarse de forma anonimizada como Usuario eliminado para no romper hilos colectivos en los que participaron otras personas.

6. Destinatarios y encargados del tratamiento

No vendemos datos personales. Para prestar el servicio recurrimos a encargados o subencargados del tratamiento que actúan bajo nuestras instrucciones y han firmado el correspondiente contrato de encargo del tratamiento (art. 28 RGPD):

• Supabase Inc. (EE. UU. / Irlanda): infraestructura de base de datos, autenticación y almacenamiento. Mecanismo de transferencia: cláusulas contractuales tipo (SCC) y/o EU-US Data Privacy Framework.
• Cloudinary Ltd. (Israel / EE. UU.): almacenamiento y entrega de imágenes y vídeos (avatares, fotos de comunidad, chats de clase y fotos de sesión). País con decisión de adecuación (Israel) y/o SCC.
• Cloudflare, Inc. (EE. UU.): almacenamiento de objetos en R2 (datos heredados de versiones anteriores) y red de distribución. SCC y/o EU-US Data Privacy Framework.
• Google Ireland Limited / Google LLC (Irlanda / EE. UU.): identidad federada (Google OAuth), notificaciones push (Firebase Cloud Messaging) y, si aceptas el banner, métricas de uso (Firebase Analytics). EU-US Data Privacy Framework.
• Vercel Inc. (EE. UU.): hosting de la aplicación web y logs operativos de servidor. SCC y/o EU-US Data Privacy Framework.

Adicionalmente, podrán comunicarse datos a las administraciones públicas y a los órganos judiciales cuando exista una obligación legal.

7. Transferencias internacionales

Algunos de los encargados anteriores están ubicados fuera del Espacio Económico Europeo. En tales casos las transferencias se realizan al amparo de mecanismos válidos previstos en los artículos 45 a 49 RGPD: decisiones de adecuación, cláusulas contractuales tipo aprobadas por la Comisión Europea (SCC) y/o adhesión al EU-US Data Privacy Framework. Puedes solicitar una copia de las garantías aplicadas escribiendo a luis.itziar.casa@gmail.com.

8. Tus derechos

De acuerdo con los artículos 15 a 22 RGPD y la LOPDGDD, puedes ejercer los siguientes derechos:

• Acceso a los datos que tratamos sobre ti.
• Rectificación de datos inexactos o incompletos.
• Supresión («derecho al olvido»). Además del envío de una solicitud por correo, puedes ejercer este derecho directamente desde tu perfil, sección «Eliminar cuenta», que borra de forma permanente la cuenta y los datos personales asociados (los contenidos publicados se conservan anonimizados).
• Oposición al tratamiento por motivos relacionados con tu situación.
• Limitación del tratamiento en los supuestos legalmente previstos.
• Portabilidad de los datos en formato estructurado y legible.
• Revocación del consentimiento prestado para usos no obligatorios (analítica, push, notas de salud), sin que ello afecte a la licitud del tratamiento previo a la revocación.
• No ser objeto de decisiones individuales automatizadas. La Plataforma no toma decisiones de este tipo.

Para ejercer cualquiera de estos derechos puedes escribir a luis.itziar.casa@gmail.com aportando un documento que acredite tu identidad. Responderemos en el plazo máximo de un mes.

Si consideras que el tratamiento no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Menores de edad

Conforme al artículo 7 LOPDGDD, en España el tratamiento de datos de menores de catorce (14) años requiere el consentimiento de las personas titulares de la patria potestad o tutela. Si eres menor de 14 años, no puedes utilizar la Plataforma sin la autorización previa de tus padres o tutores legales, que deberán contactar directamente con la academia.

10. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos frente a accesos no autorizados, alteración o pérdida (cifrado en tránsito mediante HTTPS, almacenamiento cifrado en proveedores reconocidos, control de acceso por roles, registros mínimos necesarios, copias de seguridad y revisión periódica de permisos).

11. Cambios en esta política

Esta política puede actualizarse cuando cambien los tratamientos, los proveedores o la normativa aplicable. La versión vigente será la publicada en esta página con su fecha de última actualización. Si los cambios afectaran sustancialmente a tus derechos, te informaremos por los medios habituales antes de aplicarlos.