Política de privacidad y protección de datos

Quién trata sus datos

My Team Manager es una aplicación de gestión de plantilla y cuerpo técnico para entrenadores de fútbol base, disponible en https://myteammanager.pt y en https://app.myteammanager.pt.

• Nombre: João Carlos Neves Leonardo
• Número fiscal (NIF): 269514686
• Localidad: Odivelas
• Forma jurídica: Empresario individual (empresário em nome individual)
• Correo electrónico para asuntos de datos personales: geral@myteammanager.pt

Delegado de Protección de Datos: no se ha designado. El artículo 37 del RGPD no lo exige con la dimensión actual del servicio; revisaremos esa decisión a medida que crezca el número de cuentas y de jugadores. Hasta entonces, las cuestiones de datos personales las trata directamente el prestador, en el correo indicado arriba.

Esta política se aplica al sitio web y a la aplicación. No describe lo que hacen terceros en sus propios sitios: si sigue un enlace hacia fuera, pasa a aplicarse la política de ese sitio.

Dos papeles distintos: responsable y encargado del tratamiento

Esta es la parte más importante del documento, y es más sencilla de lo que parece. En esta aplicación hay dos conjuntos de datos y nuestro papel es distinto en cada uno.

1. Los datos de su cuenta: aquí el responsable somos nosotros

Su correo electrónico, su nombre, su foto de perfil, el plan que contrató, las facturas. Estos datos existen porque tiene una relación con nosotros. Decidimos nosotros para qué sirven y cómo se tratan, y por eso somos el responsable del tratamiento.

2. Los datos de los jugadores: aquí el responsable es usted

La plantilla, las fichas de los jugadores, las fotografías, los datos de contacto de los padres, madres o tutores. Estos datos no son nuestros y no fuimos nosotros quienes decidimos recogerlos: lo hizo el entrenador, o el club en cuyo nombre trabaja. Quien decide qué datos se recogen, de quién y para qué es el responsable del tratamiento. Nosotros somos solo el encargado del tratamiento: guardamos y tratamos esos datos por cuenta de usted, siguiendo sus instrucciones.

Lo que esto significa en la práctica, para usted

• Le corresponde garantizar que existe una base jurídica para tratar los datos de cada jugador: normalmente el consentimiento del padre, madre o tutor, la ejecución de un contrato con el club o el cumplimiento de obligaciones federativas.
• Le corresponde informar a los jugadores y a sus padres, madres o tutores de que los datos están en esta aplicación y para qué sirven.
• Le corresponde obtener un consentimiento específico para la fotografía. En Portugal, el derecho a la propia imagen de un menor exige la autorización de sus representantes legales.
• Si un padre, madre o tutor ejerce un derecho (acceso, rectificación, supresión) la solicitud se dirige a usted. Si nos llega a nosotros, se la remitimos y le avisamos.

Lo que nos comprometemos a hacer, como encargado del tratamiento

• Tratar los datos solo según sus instrucciones y para prestarle el servicio;
• No usar datos de jugadores para publicidad, perfiles comerciales ni entrenamiento de modelos;
• No vender ni ceder esos datos a terceros;
• Mantener las medidas de seguridad descritas en la sección «Seguridad»;
• Recurrir a otros encargados solo si los mantenemos enumerados en esta política, avisando con 30 días de antelación cuando se incorpore uno nuevo;
• Avisarle en un plazo de 24 horas desde que tengamos conocimiento de una violación de datos que le afecte, para que pueda notificarla a la CNPD en las 72 horas que la ley le da;
• Suprimir o devolver los datos al final del contrato, según lo que nos pida.

Qué datos se tratan

La lista que sigue es la lista real de los campos que guarda la aplicación. No es una enumeración genérica.

De su cuenta y del cuerpo técnico

• Correo electrónico y, si elige uno, nombre de usuario;
• Contraseña guardada en forma de hash: nunca en texto plano. Si entra con Google, no guardamos ninguna contraseña, solo el identificador estable que nos da Google;
• Nombre completo;
• Rol en la cuenta: Gestor del club, Entrenador principal, Entrenador ayudante o Delegado;
• Cargo descriptivo, si lo rellena (por ejemplo, «delegado de campo»);
• Fecha de nacimiento, si la rellena;
• Teléfono, si lo rellena;
• De dónde llegó al registro (por ejemplo, «Instagram» o «la web») y la respuesta a «¿Cómo nos conoció?», si la da: solo sirven para saber qué canales traen a quien se registra, y nunca para seguirle en otros sitios;
• Foto de perfil, si sube una;
• Fechas de creación y de última modificación del registro;
• Tokens técnicos de sesión y de recuperación de contraseña.

De sus equipos

• Nombre y abreviatura del equipo, categoría y temporada;
• Nombre del club, campo local y color identificativo;
• Escudo, si sube uno;
• Observaciones que escriba.

De la plantilla: jugadores

En la gran mayoría de los casos, estos datos son datos de menores. Véase la sección siguiente.

• Nombre completo y nombre corto;
• Fecha de nacimiento;
• Fotografía, si sube una;
• Dorsal, posición y pie dominante;
• Altura y peso, si los rellena;
• Número del documento de identidad o pasaporte, si lo rellena, y número de licencia federativa;
• Teléfono y correo electrónico del jugador, si los rellena;
• Nombre, teléfono y correo electrónico del padre, madre o tutor;
• Observaciones que escriba en la ficha.

De los módulos del club

En una cuenta de club, y según el plan y los módulos que use el club, la aplicación guarda también:

• Mensualidades, cuotas y pagos de las familias, incluidos los descuentos por hermanos;
• Pedidos de la tienda del club y, en la tienda online, el nombre, el correo electrónico y el teléfono de quien compra;
• Inscripciones en los torneos del club.

Estos datos son del club: el club es el responsable del tratamiento y nosotros somos encargado del tratamiento, igual que con los datos de los jugadores.

De la suscripción y la facturación

• Plan contratado, estado de la suscripción y fecha de fin del periodo de prueba;
• Datos de facturación: nombre, dirección y número fiscal que indique;
• Historial de pagos. Los datos de la tarjeta los introduce y guarda Stripe: no tenemos acceso al número completo de la tarjeta ni lo guardamos.

Registro de auditoría y datos técnicos

Las acciones sensibles realizadas dentro de una cuenta quedan registradas: quién lo hizo, qué, sobre qué registro, cuándo, desde qué dirección IP y con qué navegador. Sirve para la seguridad y para poder entender lo que ocurrió en una cuenta: nunca para elaborar perfiles del usuario.

El servidor mantiene además registros técnicos de funcionamiento (logs), con información mínima sobre solicitudes y errores.

Documentos

La pestaña Documentos guarda archivos que sube el entrenador: reglamentos, comunicados, calendarios, fichas de inscripción. De cada uno se guarda el nombre, la categoría, las notas que escriba, el tipo y el tamaño del archivo, quién lo subió y cuándo, y una fecha de caducidad si la indica.

Un documento pertenece siempre a un equipo. Cuando se vincula a un jugador, pasa a ser visible solo para el Entrenador principal y el Delegado, por la razón explicada arriba. Los archivos se sirven solo con la sesión iniciada y siempre como descarga (nunca se abren dentro de la aplicación) y se borran del servidor cuando se elimina el documento, el jugador o el equipo.

Fotografías

Cuando sube una fotografía (suya, de un jugador o un escudo) se redimensiona y convierte en nuestro servidor antes de guardarse. En ese proceso se eliminan todos los metadatos EXIF, incluida la ubicación GPS que muchos teléfonos graban en la imagen. Solo queda la imagen.

Para qué sirven y con qué base jurídica

Datos de menores

Esta aplicación está pensada para el fútbol base. La categoría más joven, «Petizes» (prebenjamines), tiene niños a partir de los seis años. No tiene sentido tratar esto como una nota a pie de página, por eso tiene su propia sección.

Qué datos de menores se tratan

• Nombre completo y nombre corto;
• Fecha de nacimiento;
• Fotografía;
• Posición, dorsal, pie dominante, altura y peso;
• Número del documento de identidad o pasaporte y número de licencia federativa;
• Teléfono y correo electrónico, cuando existan;
• Nombre, teléfono y correo electrónico del padre, madre o tutor;
• Observaciones escritas por el entrenador.

Estos datos los introduce el entrenador. El niño no usa la aplicación, no crea una cuenta y no tiene acceso a nada.

Quién es responsable del consentimiento

Eso incluye, expresamente, el consentimiento para la fotografía. En Portugal, usar la imagen de un menor exige la autorización de quien ejerce la patria potestad, y esa autorización debe quedar documentada.

En Portugal, la edad a partir de la cual un menor puede consentir por sí solo el tratamiento de sus datos en servicios en línea es de 13 años (Ley portuguesa n.º 58/2019, artículo 16). La aplicación, sin embargo, no se ofrece a los niños: quien la usa es el entrenador. Por eso el consentimiento relevante es el del padre, madre o tutor, siempre por debajo de los 13 años y, por encima, junto con el propio jugador cuando el club así lo considere, y es el club, o el entrenador, quien lo recoge y conserva, por escrito, antes de introducir la ficha en la aplicación.

Cómo se pide la rectificación o la supresión

Un padre, madre o tutor que quiera ver, rectificar o suprimir los datos de su hijo debe dirigirse, en primer lugar, al entrenador o al club que introdujo esos datos. Es quien tiene la relación con la familia y es el responsable del tratamiento.

Si prefiere escribirnos directamente, escriba a geral@myteammanager.pt. En ese caso:

1. Confirmamos la recepción de la solicitud;
2. Identificamos la cuenta donde están los datos y remitimos la solicitud al responsable;
3. Le facilitamos el contacto que tengamos disponible y damos apoyo técnico a la ejecución, incluida la eliminación definitiva del registro y de la fotografía, si esa es la decisión del responsable;
4. Si el responsable no actúa, informamos al solicitante de su derecho a reclamar ante la CNPD.

El entrenador puede, en cualquier momento y sin pedirnos nada, rectificar una ficha o eliminar un jugador desde la propia aplicación.

Lo que nunca hacemos con datos de menores

Cada cuenta está aislada de las demás en la propia base de datos. Un entrenador no puede ver la plantilla de otro, aunque la aplicación tuviera un error de programación: el aislamiento lo garantiza el motor de la base de datos, no solo el código de la aplicación.

Con quién los compartimos

No vendemos datos. Compartimos solo lo necesario, y solo con quien nos presta servicios indispensables para el funcionamiento de la plataforma.

Ninguno de estos proveedores recibe datos sin que esté vigente un contrato de encargo del tratamiento conforme al artículo 28 del RGPD: en el caso de Stripe, de Moloni y de Google, las condiciones de tratamiento que ellos mismos ponen a disposición de sus clientes.

También podemos comunicar datos a las autoridades públicas cuando la ley lo exija, y a abogados o contables en el marco de la defensa de derechos o del cumplimiento de obligaciones legales.

Si cambiamos de encargado o incorporamos uno nuevo, esta lista se actualiza y se avisa por correo electrónico a los usuarios con cuenta con 30 días de antelación, pudiendo oponerse, lo que, en la práctica, significa cancelar antes de que el cambio surta efecto.

Dónde están los datos

Portugal está en la Unión Europea, por lo que el tratamiento principal se realiza íntegramente dentro del Espacio Económico Europeo, bajo el RGPD.

Transferencias fuera de la UE

Hay excepciones, limitadas a los servicios de apoyo indicados en la sección anterior. Stripe y Google son grupos internacionales y pueden transferir datos fuera del Espacio Económico Europeo. Cuando eso ocurre, la transferencia se basa en los mecanismos previstos en el capítulo V del RGPD: normalmente cláusulas contractuales tipo de la Comisión Europea y, cuando proceda, decisiones de adecuación.

En concreto: Stripe contrata con los clientes europeos a través de su entidad irlandesa y transfiere datos a su matriz en Estados Unidos al amparo de las cláusulas contractuales tipo de la Comisión Europea. Google, cuando usa el inicio de sesión con la cuenta de Google, trata los datos en los términos que publica para los usuarios europeos, también con cláusulas contractuales tipo como garantía.

Los datos de los jugadores no se transfieren fuera de la UE. Permanecen en la base de datos y en el almacenamiento de archivos alojados en Portugal. Stripe no recibe datos de la plantilla: solo recibe los datos de facturación del entrenador o del club.

Durante cuánto tiempo los conservamos

Una nota honesta sobre las copias de seguridad: cuando borramos un registro, desaparece de la aplicación de inmediato, pero puede subsistir en una copia de seguridad hasta que esa copia se rote. Las copias no se consultan con ningún otro fin que no sea la recuperación del servicio.

Hay un caso particular. Cuando se elimina un equipo, sus jugadores no se borran: quedan sin equipo asociado, para conservar el historial. Si quiere realmente eliminar las fichas de los jugadores, elimínelas de forma explícita: borrar el equipo no basta.

Seguridad

A continuación describimos lo que hace la plataforma. No afirmamos ser inviolables (ningún sistema lo es) ni invocamos certificaciones que no tenemos.

• Aislamiento por cuenta en la base de datos. Cada cuenta solo ve sus propias filas, mediante Row Level Security de PostgreSQL. No depende de que el programador se acuerde de filtrar: si falta un filtro en una consulta, el resultado son cero filas, no las filas de otro entrenador. La aplicación se conecta a la base de datos con un usuario sin privilegios especiales, precisamente para no poder saltarse esa regla.
• Cifrado en tránsito. Todo el tráfico entre su navegador y nuestros servidores usa HTTPS/TLS.
• Contraseñas en hash. Nunca guardamos contraseñas en texto plano y no podemos recuperarlas: solo permitirle definir una nueva.
• Metadatos eliminados de las fotografías. Las imágenes subidas se reprocesan en el servidor y pierden los metadatos EXIF, incluidas las coordenadas GPS.
• Permisos por rol, comprobados en el servidor. Cada persona solo hace lo que su rol permite: un Entrenador ayudante no ve los documentos de los jugadores, y un Delegado no entra en el trabajo técnico (modelo de juego, pizarra táctica, biblioteca, periodización, pruebas físicas) ni hace convocatorias.
• Registro de auditoría de las acciones sensibles, para poder reconstruir lo que ocurrió en una cuenta.
• Alojamiento en un servidor propio en Portugal, con acceso administrativo restringido.

Copias de seguridad diarias y cifradas. La base de datos se copia todas las noches. Una copia queda en el servidor durante 7 días; otra se cifra antes de salir de la máquina y se guarda fuera de ella, con una rotación de 7 copias diarias, 4 semanales y 6 mensuales. Quien aloja las copias remotas nunca ve datos en claro.

Si detectamos una violación de datos personales, avisamos a los responsables del tratamiento afectados en un plazo de 24 horas desde que tengamos conocimiento, para que puedan notificarla a la CNPD en las 72 horas que la ley les da. Cuando la violación afecte a datos de los que somos responsables, la notificamos a la CNPD y a los interesados conforme a los artículos 33 y 34 del RGPD.

Si encuentra una vulnerabilidad, le agradecemos que nos escriba a geral@myteammanager.pt antes de divulgarla.

Cookies y tecnologías similares

Esta sección describe lo que existe realmente. Nada más.

En este sitio web

El sitio https://myteammanager.pt es un conjunto de páginas estáticas y no usa cookies, y por eso no verá ninguna ventana pidiéndole que las acepte. No tenemos Google Analytics, ni píxeles de redes sociales, ni cookies publicitarias, ni hacemos seguimiento entre sitios. Las tipografías se sirven desde nuestro propio dominio, por lo que abrir una página no hace ninguna solicitud a terceros.

Estadísticas de visitas del sitio

Para saber qué páginas se leen y de dónde llegan las visitas, el sitio usa Umami, una herramienta de estadísticas que funciona en nuestro propio servidor, en la Unión Europea (el mismo de la aplicación). Ningún dato va a terceros, y Umami no usa cookies ni guarda nada en su navegador.

• Lo que se mide, siempre en cifras agregadas: las páginas vistas, el sitio desde el que llegó, el país, el tipo de dispositivo, el navegador y el sistema operativo.
• Lo que no se guarda: la dirección IP (sirve solo, en el momento de la solicitud, para saber el país, y se descarta), el nombre, el correo electrónico ni ningún otro dato que le identifique. Para contar visitantes sin conocerlos, Umami usa un identificador anónimo que cambia cada mes y que no permite llegar a una persona.
• No hacemos seguimiento entre sitios ni cruzamos estas estadísticas con los datos de la aplicación. Se mide el sitio público (https://myteammanager.pt) y las páginas públicas de la aplicación (la de un partido, la de un torneo y la tienda de un club), nunca las páginas de la aplicación que piden iniciar sesión. De la página de un partido no se guarda la dirección completa, que lleva el código de acceso.
• Se respeta «No rastrear»: si su navegador envía la señal Do Not Track, la visita no se registra.
• Conservación: las estadísticas se guardan durante 24 meses y después se borran.

La base jurídica es nuestro interés legítimo en entender cómo se usa el sitio para mejorarlo (artículo 6, apartado 1, letra f), del RGPD), con un tratamiento que no identifica a nadie.

En la aplicación

La aplicación en https://app.myteammanager.pt usa una única cookie, estrictamente necesaria: se llama mtm_refresh y sirve para mantener su sesión iniciada. Es una cookie de autenticación: httpOnly, para que ningún script pueda llegar a ella; enviada solo a nuestro servidor y solo para las solicitudes de autenticación; sin ningún seguimiento. Dura hasta 30 días y se borra cuando cierra la sesión. Al entrar con Google, existe además una segunda cookie técnica, de 10 minutos de duración, que protege ese inicio de sesión contra la falsificación.

Las cookies estrictamente necesarias para prestar un servicio solicitado por el usuario están exentas de consentimiento conforme al artículo 5, apartado 3, de la Ley portuguesa n.º 41/2004, y por eso no verá ninguna ventana pidiéndole que acepte cookies: no hay ninguna de análisis, de marketing ni de terceros que aceptar.

Además de la cookie, la aplicación guarda en el almacenamiento local del navegador (localStorage) su nombre y su rol en la cuenta (para que la primera carga de la página no parpadee) y su preferencia de equipo activo. Cerrar la sesión borra estos valores; borrar los datos del sitio en el navegador tiene el mismo efecto.

Sus derechos

Como interesado, tiene derecho a:

• Acceder a los datos que tenemos sobre usted;
• Rectificar datos inexactos o incompletos;
• Suprimir sus datos, cuando no haya motivo para conservarlos;
• Limitar el tratamiento en determinadas situaciones;
• Portabilidad: recibir sus datos en un formato estructurado y de lectura mecánica;
• Oponerse a tratamientos basados en el interés legítimo, por motivos relacionados con su situación particular;
• Retirar el consentimiento en cualquier momento, cuando el tratamiento se base en él. La retirada no afecta a lo realizado antes.

Cómo ejercerlos

Escriba a geral@myteammanager.pt. Respondemos en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses en solicitudes complejas: en ese caso le avisamos dentro del primer mes. Podemos pedirle información adicional para confirmar su identidad, sobre todo cuando la solicitud implica una supresión.

Ejercer estos derechos es gratuito. No cobramos nada por responder.

Reclamar ante la CNPD

Si considera que el tratamiento de sus datos infringe la ley, tiene derecho a presentar una reclamación ante la autoridad de control. En Portugal es la Comissão Nacional de Proteção de Dados (CNPD), la autoridad portuguesa de protección de datos: www.cnpd.pt.

Si reside en otro Estado miembro de la Unión Europea, puede dirigirse a la autoridad de control de ese país.

Le agradecemos que hable primero con nosotros (normalmente se resuelve antes) pero no es obligatorio, y el derecho a reclamar no depende de ello.

Modificaciones de esta política

Esta política puede cambiar, por la evolución del servicio, el cambio de proveedores o modificaciones legislativas. La versión vigente está siempre en esta página, con la fecha de la última actualización en la parte superior.

Los cambios relevantes (nuevas finalidades, nuevos encargados con impacto o cambios en el reparto de responsabilidades) se comunican por correo electrónico a los usuarios con cuenta activa, antes de que surtan efecto.

Contacto

Para cualquier cuestión sobre esta política o sobre el tratamiento de datos personales: geral@myteammanager.pt.

Para las condiciones comerciales del servicio, consulte los Términos y condiciones.