Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Alberto Luque Bermejo (en adelante, Gesta), con domicilio a efectos de notificaciones en España y correo de contacto legal@gesta.app. Tan pronto como Gesta se constituya como sociedad mercantil, esta política se actualizará con su razón social, NIF y domicilio fiscal.

2. Datos que tratamos

Tratamos las siguientes categorías de datos según el contexto:

• Visitantes de la web: dirección IP, identificador de sesión, datos de navegación agregados a través de Plausible Analytics (sin cookies y sin perfilado individual).
• Usuarios registrados (administradores de clubes): nombre, email, teléfono, club al que pertenecen, rol dentro del club, datos de facturación.
• Socios gestionados en la plataforma: datos que los clubes introducen sobre sus socios (nombre, fecha de nacimiento, datos de contacto, datos de pago, datos médicos relevantes, etc.). Sobre estos datos Gesta actúa como encargado del tratamiento; el responsable es el club. Ver DPA.
• Formularios de contacto y demo: nombre, email, teléfono, club, tamaño, mensaje y franja horaria solicitada.

3. Finalidad y base jurídica

• Prestación del servicio (ejecución del contrato, art. 6.1.b RGPD).
• Atención de solicitudes de demo y soporte (interés legítimo y consentimiento).
• Facturación y obligaciones fiscales (cumplimiento legal, art. 6.1.c).
• Mejora del producto a partir de analítica agregada (interés legítimo).
• Envío de newsletter de producto (consentimiento expreso, revocable en cualquier momento desde el enlace de baja del email).

4. Plazos de conservación

• Datos de cliente activo: durante la vigencia del contrato.
• Datos contables y fiscales: 6 años (art. 30 Código de Comercio) tras la baja.
• Datos de marketing: hasta que retires el consentimiento.
• Logs técnicos y de seguridad: máximo 12 meses.

5. Destinatarios y transferencias

Para prestar el servicio, contamos con los siguientes proveedores (lista detallada de subencargados):

• Supabase (PostgreSQL, autenticación, storage) — UE.
• Vercel (hosting) — UE / EEUU con cláusulas contractuales tipo.
• Stripe (pagos) — EEUU con cláusulas contractuales tipo.
• Resend (envío de email transaccional) — EEUU con cláusulas contractuales tipo.
• Cloudflare (CDN y protección anti-bot) — UE.
• Plausible Analytics (analítica web sin cookies) — UE (Alemania).

No vendemos datos personales a terceros bajo ningún concepto.

6. Tus derechos

Tienes derecho a:

• Acceder a tus datos personales.
• Solicitar la rectificación o supresión.
• Solicitar la limitación u oposición al tratamiento.
• Portabilidad: recibir tus datos en formato estructurado y legible.
• Retirar el consentimiento en cualquier momento.
• Presentar una reclamación ante la Agencia Española de Protección de Datos.

Para ejercerlos, envía un email a legal@gesta.appadjuntando copia de un documento que acredite tu identidad. Responderemos en un plazo máximo de 30 días.

7. Medidas de seguridad

Aplicamos las medidas técnicas y organizativas adecuadas al riesgo según el art. 32 RGPD: cifrado en tránsito (TLS 1.3) y en reposo, control de accesos por roles (RLS de Supabase), auditoría de actividad, backups diarios cifrados, autenticación multifactor para administradores.

8. Cambios en esta política

Notificaremos cualquier cambio relevante por email a los usuarios activos y mostraremos un aviso destacado en la plataforma con al menos 30 días de antelación.