Política de Privacidad
Cómo tratamos tus datos, quién accede a ellos y qué derechos tienes. En cumplimiento del RGPD, la LOPDGDD y la LSSI-CE.
Resumen rápido
En cumplimiento de los artículos 13 y 14 del RGPD, el responsable del tratamiento de los datos personales recogidos a través de esta plataforma es:
DPD: no resulta obligatoria su designación (art. 37 RGPD). Cualquier consulta en materia de protección de datos puede dirigirse al correo del responsable.
Aplicamos el principio de minimización (art. 5.1.c RGPD). Solo tratamos lo estrictamente necesario:
Identificación y contacto
Nombre, email, teléfono, ciudad/país.
Perfil profesional
Bio, credenciales, foto, especialidades, idiomas, ubicación de clases.
Relación contractual
Reservas, asistencias, bonos, mensajes y preferencias de notificación.
Facturación
Importes, estados de pago, IDs de Stripe, NIF/CIF y dirección fiscal.
Datos técnicos
Sesión, URL, dispositivo, SO, idioma. Pseudonimizados en lo posible.
Gestión de cuentas
Crear, mantener y autenticar tu perfil.
Reservas y clases
Programación, inscripción, lista de espera y asistencia.
Pagos y facturación
Procesar pagos vía Stripe, recibos y obligaciones fiscales.
Comunicaciones del servicio
Confirmaciones, recordatorios, cambios de clases.
Soporte
Atender consultas, incidencias y solicitudes de derechos.
Seguridad
Detectar usos abusivos, intrusiones o accesos no autorizados.
Mejora del producto
Análisis estadístico agregado y métricas de calidad.
Comunicaciones comerciales
Solo con tu consentimiento y con derecho de baja.
Tratamos tus datos conforme al artículo 6 del RGPD:
Ejecución de contrato (art. 6.1.b)
Gestión de clases, reservas, mensajería y pagos que has contratado al registrarte.
Consentimiento (art. 6.1.a)
Comunicaciones comerciales, cookies no necesarias y datos opcionales. Revocable en cualquier momento.
Obligación legal (art. 6.1.c)
Conservación contable, fiscal y mercantil (Código de Comercio, LGT, RD 1619/2012).
Interés legítimo (art. 6.1.f)
Prevención de fraude, seguridad de la red, análisis agregado y comunicaciones a clientes existentes (art. 21.2 LSSI).
| Categoría | Plazo | Base |
|---|---|---|
| Cuenta activa | Mientras dure la relación contractual | Art. 6.1.b RGPD |
| Cuenta cancelada | 3 años en bloqueo (prescripción civil) | Art. 6.1.c RGPD |
| Datos contables | 6 años (art. 30 C. Comercio) | Obligación legal |
| Datos fiscales | 4 años (art. 66 LGT), ampliable a 10 | Obligación legal |
| Comunicaciones comerciales | Hasta retirada del consentimiento | Art. 6.1.a RGPD |
| Cookies analíticas | Máximo 13 meses (guía AEPD) | Consentimiento |
| Logs de seguridad | 12 meses | Interés legítimo |
| Reclamaciones | Hasta resolución firme + prescripción | Obligación legal |
Transcurridos los plazos, los datos se suprimen o se anonimizan de forma irreversible para fines estadísticos.
| Encargado | Finalidad | Ubicación | Garantía |
|---|---|---|---|
| Stripe | Pagos y facturación | Irlanda / EE.UU. | EU-US DPF · PCI-DSS L1 |
| Appwrite Cloud | Base de datos, auth, almacenamiento | EEE (Frankfurt) | AES-256 · CCT |
| PostHog | Analítica y telemetría de errores | EEE (eu.posthog.com) | Servidores UE · DPA |
| Meta Platforms | Píxel de conversión (con consentimiento) | Irlanda / EE.UU. | EU-US DPF · CCT |
| Calendly | Reserva de demos comerciales | EE.UU. | EU-US DPF · CCT |
| Anthropic | Asistencia IA (lado admin) | EE.UU. | CCT · sin entrenamiento |
| SMTP transaccional | Emails (verificación, recibos, recordatorios) | EEE | DPA firmado |
| WhatsApp Business API | Notificaciones opcionales | EE.UU. | EU-US DPF · CCT |
También podemos comunicar datos a la Agencia Tributaria, FCSE o tribunales cuando exista obligación legal. CCT: Cláusulas Contractuales Tipo. DPA: Acuerdo de Tratamiento de Datos.
El almacenamiento principal se realiza en el Espacio Económico Europeo (EEE). Cuando hay proveedores en EE.UU., las transferencias se amparan en:
- EU-US Data Privacy Framework (Decisión 2023/1795) cuando el proveedor está certificado.
- Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión (Decisión 2021/914) con medidas suplementarias.
- Evaluación de impacto (TIA) caso a caso para verificar la equivalencia de protección.
Puedes solicitar copia de las garantías aplicables en [email protected].
Medidas técnicas y organizativas conforme al artículo 32 del RGPD:
Cifrado en tránsito
TLS 1.3 obligatorio, HSTS y certificados auditados.
Cifrado en reposo
AES-256. Datos fiscales cifrados a nivel de campo (AES-256-GCM).
Control de accesos
MFA para cuentas admin, principio de mínimo privilegio.
Backups
Automáticos, cifrados, en ubicación separada de la primaria.
Seguridad perimetral
WAF, firewalls de aplicación, monitorización 24/7.
Pseudonimización
IDs opacos, separación lógica de datos personales y operacionales.
Registro de actividades
RAT conforme al art. 30 RGPD.
Confidencialidad
Acuerdos con todo el personal con acceso a datos.
Gestión de incidentes
Notificación a la AEPD en menos de 72 h (art. 33 RGPD).
Auditoría
Revisión regular de permisos, dependencias y vulnerabilidades.
Cifrado a nivel de campo
Los datos sensibles de facturación (NIF, nombre fiscal, dirección) se cifran con AES-256-GCM antes de almacenarse. Las claves viven en Cloudflare Workers, separadas de la base de datos: un acceso no autorizado a la BD solo expondría texto cifrado. Cada centro tiene sus datos completamente aislados.
Artículos 15-22 del RGPD y 11-18 de la LOPDGDD. Puedes ejercerlos gratis en cualquier momento:
Acceso (art. 15)
Obtener copia de tus datos y confirmar si los tratamos.
Rectificación (art. 16)
Corregir datos inexactos o incompletos.
Supresión (art. 17)
Borrar tus datos cuando ya no sean necesarios.
Limitación (art. 18)
Suspender el tratamiento mientras se verifica una incidencia.
Portabilidad (art. 20)
Recibir tus datos en formato estructurado y legible.
Oposición (art. 21)
Oponerte al tratamiento, especialmente marketing directo.
Retirada del consentimiento
Revocarlo sin afectar a la licitud del tratamiento previo.
Decisiones automatizadas (art. 22)
No ser objeto de decisiones con efectos jurídicos basadas solo en automatización.
Cómo ejercerlos: escribe a [email protected] indicando (i) el derecho, (ii) tus datos identificativos y (iii) copia de tu documento de identidad si procede. Respondemos en máximo 1 mes, prorrogable 2 meses en casos complejos.
Si consideras que el tratamiento infringe la normativa, puedes reclamar ante:
Agencia Española de Protección de Datos (AEPD)
C/ Jorge Juan, 6 · 28001 Madrid
Tel: 901 100 099 / 912 663 517
Te recomendamos contactarnos primero para resolver la cuestión de forma amistosa y rápida.
El servicio está dirigido a mayores de 14 años (art. 7 LOPDGDD). Para menores de 14, el consentimiento debe darlo el titular de la patria potestad o tutela.
No recogemos conscientemente datos de menores de 14 sin autorización. Si tienes constancia de que esto ha ocurrido, escríbenos a [email protected] y procederemos a su eliminación inmediata.
No tomamos decisiones con efectos jurídicos basadas únicamente en tratamiento automatizado (art. 22 RGPD).
Algunas funciones usan modelos automatizados (sugerencias de horarios, detección de fraude, asistencia con IA). En todos los casos hay revisión humana previa y tienes derecho a obtener una explicación, expresar tu punto de vista e impugnarla.
Podemos actualizar esta política por cambios legislativos, organizativos o de la plataforma. Los cambios sustanciales se comunican con al menos 30 días de antelación por email o aviso en la plataforma.
La fecha de actualización siempre figura en la cabecera. Versiones anteriores disponibles bajo solicitud.
Martí Mestre Faus · NIF 23920212M
[email protected] · +34 684 709 920
Barcelona, España
Asunto recomendado: [Privacidad] — tu consulta
Plazo máximo en materia de privacidad: 30 días naturales (prorrogables a 90 en casos complejos). Soporte general: menos de 24 horas.
Esta política se rige por la legislación española y comunitaria. En caso de discrepancia entre traducciones, prevalece la versión en español.
© 2026 Lorari · Martí Mestre Faus · NIF 23920212M · Barcelona, España · v2.1