Política de Privacidad

Esta plataforma es operada por Adjunto Tech, Lda., sociedad de responsabilidad limitada de derecho portugués (sociedade por quotas), con domicilio social en Rua General António César de Vasconcelos Correia, en Torres Novas (parroquia de Torres Novas: Santa Maria, Salvador e Santiago; municipio de Torres Novas), titular del número único de matrícula y de persona colectiva (NIPC) 519470036, con un capital social de 1.000 €, constituida a través del servicio Empresa Online del Instituto de los Registros y del Notariado portugués (en adelante, "Adjunto"). Contactos: • Cuestiones generales y atención al cliente: suporte@adjunto.pt • Protección de datos y ejercicio de derechos (RGPD): privacidade@adjunto.pt Adjunto no está legalmente obligado a designar un Delegado de Protección de Datos (artículo 37 del RGPD), ya que su actividad principal no consiste en el tratamiento a gran escala de categorías especiales de datos ni en la observación habitual y sistemática de los interesados. Todas las solicitudes relativas a protección de datos se gestionan a través del canal privacidade@adjunto.pt.

Adjunto desempeña dos papeles distintos según la categoría de datos de que se trate: A) RESPONSABLE DEL TRATAMIENTO Cuando recopilamos datos directamente, decidiendo sus finalidades y medios. Incluye: • Datos de cuenta (nombre, email, contraseña, perfil profesional) • Comunicaciones con la atención al cliente • Datos técnicos y de uso (registros de acceso, estadísticas agregadas) • Datos de facturación • Comunicaciones comerciales, cuando estén autorizadas B) ENCARGADO DEL TRATAMIENTO, en los términos del artículo 28 del RGPD Cuando un CLIENTE (el club o cualquier usuario que introduce datos de terceros, incluidos entrenadores o equipos técnicos en los planes Adjunto One y Adjunto Base) introduce en la plataforma datos sobre atletas, socios, equipos, partidos, lesiones, finanzas o cualquier otra información. En estos casos: • El CLIENTE es el Responsable del Tratamiento de los datos que introduce • ADJUNTO trata los datos únicamente siguiendo las instrucciones del cliente y para prestar el servicio • El cliente es responsable de la base legal, los consentimientos, la información a los interesados y el cumplimiento de los derechos RGPD de los respectivos atletas, socios u otros terceros • Adjunto proporciona herramientas para que el cliente cumpla con estas obligaciones Un Acuerdo de Encargo del Tratamiento (Data Processing Agreement) está disponible bajo petición en privacidade@adjunto.pt.

Como RESPONSABLE (datos que tratamos directamente): • Datos de cuenta (nombre, email, contraseña, perfil): ejecución del contrato (art. 6.1.b) • Comunicaciones con la atención al cliente: ejecución del contrato e interés legítimo (art. 6.1.b y f) • Registros técnicos y de seguridad: interés legítimo (art. 6.1.f) • Estadísticas de uso (Google Analytics con IP anonimizada): consentimiento, recogido en el banner de cookies (art. 6.1.a) • Facturación: cumplimiento de una obligación legal (art. 6.1.c) • Comunicaciones comerciales opcionales: consentimiento (art. 6.1.a) Como ENCARGADO (datos introducidos por el club en la plataforma): • Datos deportivos: equipos, asistencias, partidos, estadísticas • Datos de socios: registros, cuotas, contactos • Datos de menores: el club asegura la base legal aplicable (normalmente la ejecución del contrato con el atleta o su representante legal). La Ley n.º 58/2019 fija en 13 años la edad mínima para el consentimiento directo en Portugal • Datos de salud (cuando el club utiliza el módulo Clínico): tratados únicamente en el contexto de la práctica deportiva, con acceso restringido al perfil de Médico, cuya asignación es responsabilidad del club. Base legal típica: art. 9.2.h (asistencia sanitaria por un profesional sujeto a secreto) o consentimiento explícito (art. 9.2.a). La base aplicable la determina el club

Adjunto NUNCA vende, comercializa ni cede datos personales a terceros para fines de marketing, publicidad o cualquier otro fin comercial. Recurrimos a los siguientes encargados del tratamiento para prestar el servicio, todos sujetos a obligaciones contractuales de confidencialidad y de conformidad con el RGPD: Supabase, Vercel, Railway, Stripe, Resend, Google Workspace y Google Analytics. La lista detallada y actualizada (finalidad de cada uno, ubicación de la infraestructura y salvaguardas DPF/CCT aplicables) está disponible en la página de Seguridad y puede solicitarse en privacidade@adjunto.pt. Comunicamos con antelación cualquier cambio material. También podemos divulgar datos cuando sea exigido por ley o por una autoridad competente.

Los datos primarios de los clubes y atletas se almacenan en servidores ubicados en la Unión Europea (Supabase, Fráncfort). Cuando los encargados del tratamiento tienen presencia fuera del Espacio Económico Europeo (esencialmente matrices con sede en EE. UU.), se aplican las salvaguardas previstas en el Capítulo V del RGPD: adhesión al EU-US Data Privacy Framework (DPF), Cláusulas Contractuales Tipo (CCT) y medidas técnicas adicionales, como el cifrado en tránsito y en reposo.

Conservamos los datos personales durante los siguientes plazos: Datos que tratamos como RESPONSABLE: • Cuenta de usuario: mientras la cuenta esté activa y hasta 30 días después de su eliminación • Facturación: 10 años, por imposición fiscal (art. 123 del Código del Impuesto sobre Sociedades portugués) • Registros técnicos y de seguridad: 12 meses • Estadísticas de uso: 14 meses (límite de Google Analytics 4) • Comunicaciones de atención al cliente: 24 meses tras la resolución Datos que tratamos como ENCARGADO (por instrucción del club): • Durante la vigencia del contrato con el club • Tras la finalización: 10 días para que el club exporte los datos, seguidos de su eliminación definitiva (ver Términos de Uso, sección 5) Los plazos legales aplicables (en particular obligaciones fiscales y contables) prevalecen sobre los plazos indicados anteriormente.

Implementamos medidas técnicas y organizativas adecuadas, entre ellas: cifrado TLS en tránsito, cifrado en reposo, control de accesos por perfil, autenticación reforzada para perfiles sensibles (por ejemplo, el perfil de Médico), copias de seguridad regulares y monitorización continua. Notificación de violación de datos: si se produce una violación que afecte a datos tratados por cuenta de un cliente, notificamos al cliente (responsable del tratamiento) sin dilación indebida, en un plazo máximo de 72 horas tras tener conocimiento de ella, en los términos del artículo 33.2 del RGPD.

Los interesados tienen los siguientes derechos: • Acceso a los datos personales • Rectificación de datos inexactos • Supresión ("derecho al olvido"), cuando corresponda • Limitación del tratamiento • Oposición al tratamiento • Portabilidad (en formato estructurado y de lectura mecánica, como CSV o JSON) • Retirada del consentimiento en cualquier momento, cuando esta sea la base legal Cómo ejercerlos: • Para datos que tratamos como RESPONSABLE (cuenta, comunicaciones, facturación): contacte privacidade@adjunto.pt • Para datos sobre usted introducidos por un CLIENTE de la plataforma (por ejemplo, por su club o por un entrenador o equipo técnico en los planes Adjunto One o Adjunto Base, como atleta, socio, tutor, etc.): contacte primero con ese cliente, que es el responsable del tratamiento. Adjunto reenviará cualquier solicitud recibida al cliente competente, en los términos del art. 28.3.e del RGPD No se toman decisiones individuales automatizadas con efectos jurídicos sobre los interesados (art. 22 del RGPD). También tiene derecho a presentar una reclamación ante la autoridad de control: la Comisión Nacional de Protección de Datos portuguesa (CNPD, www.cnpd.pt).

Esta Política puede actualizarse. Comunicaremos los cambios materiales con al menos 30 días de antelación, por email a los usuarios registrados. La versión en vigor es la publicada en esta página, con la fecha de última actualización visible en la parte superior. Contactos: • Cuestiones generales: suporte@adjunto.pt • Solicitudes relativas a protección de datos (RGPD): privacidade@adjunto.pt