Política de Privacidad

La figura del responsable del tratamiento varía según el dato concreto:

• Responsable para los datos aportados en el contexto de un torneo específico (nombre, correo electrónico, teléfono opcional, disponibilidad horaria y resultados del torneo): el administrador del club que creó ese torneo (en adelante, "Club Organizador"). PadelCortex actúa en este caso como encargado del tratamiento conforme al artículo 28 del RGPD, procesando los datos en nombre y por cuenta del Club Organizador.
• Responsable para los datos tratados por iniciativa propia de la plataforma (ranking ELO cross-torneo agregado por email, seguridad de la plataforma, mejora del servicio, facturación): Alejandro Sanchez Ferrer, titular de PadelCortex. Los datos identificativos completos del titular figuran en el Aviso Legal.

Para cualquier consulta de privacidad relacionada con PadelCortex como plataforma puedes escribir a info@padelcortex.app. Para consultas sobre los datos de un torneo concreto, contacta con el Club Organizador a través del correo indicado en la página pública del torneo.

En el marco de la organización de torneos de padel, PadelCortex puede tratar las siguientes categorías de datos personales:

• Nombre y apellidos del jugador.
• Dirección de correo electrónico.
• Disponibilidad horaria declarada por el propio jugador para la asignación de partidos.
• Resultados de partidos disputados y clasificaciones (ranking ELO interno).

No se recogen datos especialmente sensibles en el sentido del artículo 9 del RGPD.

El tratamiento de tus datos descansa en las siguientes bases legales contempladas en el artículo 6 del RGPD:

• Ejecución de un contrato o medidas precontractuales (art. 6.1.b): necesario para gestionar tu participación en el torneo, asignar partidos y comunicarte los resultados. Esta base cubre también la gestión de la cuenta de administrador y el funcionamiento de la plataforma SaaS.
• Consentimiento (art. 6.1.a): para el envío de comunicaciones de marketing o notificaciones opcionales. Puedes retirar tu consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo.
• Interés legítimo (art. 6.1.f): para el mantenimiento del ranking ELO cross-torneo, la seguridad de la plataforma y la mejora del servicio, siempre que no prevalezcan los intereses o derechos fundamentales del interesado.

Los datos se utilizan exclusivamente para:

• Gestionar la participación en torneos de padel organizados a través de PadelCortex.
• Asignar partidos según disponibilidad y generar el cuadro de competición.
• Enviar notificaciones sobre el torneo (horarios, resultados, convocatorias).
• Mantener un histórico de ELO cross-torneo para participaciones futuras.

Tus datos pueden ser accedidos por los siguientes proveedores de servicios en calidad de encargados del tratamiento o subencargados:

• Vercel Inc. (alojamiento y CDN, EEUU): la aplicación web se sirve desde la infraestructura de Vercel, que ofrece garantías adecuadas para la transferencia internacional mediante Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea y certificación en el EU-US Data Privacy Framework (DPF). Política de privacidad: https://vercel.com/legal/privacy-policy
• Neon Inc. (base de datos PostgreSQL): Neon aloja la base de datos en la Unión Europea (región eu-central-1) con cifrado en reposo y en tránsito, por lo que no se produce transferencia internacional. Política de privacidad: https://neon.tech/privacy
• Resend Inc. (envío de correo transaccional, EEUU): se utiliza para enviar confirmaciones de inscripción y notificaciones a jugadores y organizadores. Las transferencias a EEUU están cubiertas por SCCs y por la certificación de Resend en el EU-US Data Privacy Framework. Política de privacidad: https://resend.com/legal/privacy-policy

Las tipografías se sirven desde nuestro propio dominio (self-hosted mediante next/font), por lo que no se realizan peticiones en tiempo de ejecución a servidores de Google Fonts.

No se realizan cesiones a terceros con fines comerciales ni transferencias internacionales fuera de las garantías exigidas por los artículos 44-49 del RGPD. Con cada encargado se formaliza el correspondiente Acuerdo de Encargado del Tratamiento (DPA) conforme al artículo 28 del RGPD a través de los portales o consolas del proveedor.

Los datos personales se conservan durante el tiempo necesario para cumplir con la finalidad para la que fueron recogidos:

• Datos del torneo y de participación: durante la duración activa del torneo y hasta 12 meses adicionales tras su finalización (mantenimiento del ranking ELO y facilitación de futuras participaciones).
• Registros de actividad (logs): hasta 30 días desde su generación, salvo requerimiento legal que obligue a su conservación por un plazo superior.
• Copias de seguridad (backups): hasta 90 días adicionales tras la eliminación de los datos en producción.
• Consultas del formulario de contacto: hasta 24 meses desde el último intercambio, salvo que derive en una relación contractual o exista deber legal de conservación superior.
• Datos de facturación y fiscales: el tiempo que exija la normativa fiscal y mercantil aplicable (mínimo 5 años conforme al art. 30 del Código de Comercio y 4 años conforme a la Ley General Tributaria).

Transcurridos los plazos aplicables, los datos serán anonimizados o suprimidos de forma segura.

En virtud del RGPD tienes derecho a:

• Acceso (art. 15): obtener confirmación sobre si tratamos tus datos y acceder a ellos.
• Rectificación (art. 16): corregir datos inexactos o incompletos.
• Supresión, "derecho al olvido" (art. 17): solicitar la eliminación de tus datos cuando ya no sean necesarios o retires tu consentimiento.
• Oposición (art. 21): oponerte al tratamiento basado en interés legítimo o para marketing directo.
• Limitación del tratamiento (art. 18): solicitar que restrinjamos el tratamiento mientras se resuelve una impugnación sobre exactitud o licitud.
• Portabilidad (art. 20): recibir tus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados.
• No ser objeto de decisiones automatizadas (art. 22): no ser sometido a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o te afecten significativamente. El cálculo del ranking ELO interno y la generación automática de calendarios de partidos son procesos algorítmicos, pero NO constituyen decisiones del art. 22 RGPD porque no producen efectos jurídicos ni te afectan significativamente: son meros resultados deportivos y logísticos revisables por el organizador. Si en el futuro PadelCortex implementa sistemas de IA que tomen decisiones automatizadas con efectos significativos, se te informará con carácter previo y se habilitará la posibilidad de intervención humana.

PadelCortex no dirige sus servicios a menores de 14 años. Conforme al artículo 8 del RGPD y al artículo 7 de la LOPDGDD (LO 3/2018), en España la edad mínima para prestar consentimiento al tratamiento de datos personales en servicios de la sociedad de la información es de 14 años.

Cuando un jugador sea menor de 14 años, el organizador del torneo (Club Organizador) deberá recabar y conservar el consentimiento verificable del titular de la patria potestad o tutela antes de facilitar los datos del menor a través de la plataforma. PadelCortex no solicita la fecha de nacimiento en el formulario público de inscripción; es responsabilidad del Admin Organizador verificar la edad de los participantes cuando el torneo admita categorías infantiles.

Si detectamos que se han recogido datos de un menor de 14 años sin el consentimiento adecuado, procederemos a su supresión a la mayor brevedad. Puedes solicitar la supresión escribiendo a info@padelcortex.app.

Puedes ejercer cualquiera de los derechos anteriores enviando un correo a info@padelcortex.app con el asunto "Protección de datos" e indicando el derecho que deseas ejercer y los datos necesarios para identificarte.

Asimismo, todos los correos de notificación incluyen un enlace de baja (unsubscribe) para que puedas cancelar las comunicaciones de forma inmediata.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Se aplican medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre ellas:

• Cifrado en tránsito (TLS 1.2 o superior) para todas las comunicaciones con la plataforma y con los proveedores de infraestructura.
• Cifrado en reposo de la base de datos gestionado por el proveedor de alojamiento (Neon).
• Contraseñas de administrador almacenadas en la base de datos como hash bcrypt (factor de coste 12), nunca en texto claro.
• Sesiones autenticadas mediante JWT firmado con HS256 y cookie HttpOnly, Secure y SameSite=Lax.
• Cabeceras de seguridad HTTP: HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
• Control de acceso por club: cada administrador solo accede a los datos de los clubs a los que está vinculado.
• Rate limiting en formularios públicos (contacto, inscripción, baja) para mitigar abuso automatizado.
• Copias de seguridad cifradas con retención de hasta 90 días gestionadas por el proveedor de base de datos.
• Revisión periódica de dependencias y auditoría de seguridad del código.

En caso de brecha de seguridad que pueda suponer un riesgo para los derechos y libertades de los interesados, PadelCortex notificará a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas conforme al artículo 33 del RGPD, y comunicará a los afectados cuando la brecha conlleve un alto riesgo (art. 34 RGPD).