1. Responsable
- Responsable: Carai Melilla SL
- CIF: B52021052
- Domicilio: Avda. Cándido Lobera 5, Local 2, 52001 Melilla (España)
- Contacto y ejercicio de derechos: mister@lucrapp.com
2. Qué datos cubre esta política
En Mister Lucrapp hay dos tipos de datos, con responsables distintos:
- Datos de los que Carai Melilla SL es responsable: las cuentas de las personas que usan la plataforma, los datos de contratación y facturación de la suscripción del club, los datos técnicos y de seguridad y las comunicaciones con nosotros. Esta política explica su tratamiento.
- Datos que cada club introduce en la plataforma sobre sus jugadores, sus familias y su personal, así como la asistencia, los partidos, los entrenamientos, las sesiones y las lesiones de los jugadores con los archivos que el club adjunte. El responsable es el club, que decide qué datos se registran y para qué; Carai Melilla SL los trata solo por su cuenta, como encargado del tratamiento, según el Contrato de encargo del tratamiento. Si eres jugador, familiar o miembro de un club y quieres ejercer tus derechos sobre esos datos, dirígete a tu club; si nos escribes a nosotros, trasladaremos tu solicitud al club sin demora.
3. Datos que tratamos como responsables
| Categoría | Datos | Origen |
|---|---|---|
| Cuenta de usuario | Nombre, correo electrónico, contraseña (guardada de forma cifrada e irreversible), papel en el club | La propia persona al registrarse o aceptar una invitación |
| Club registrado | Nombre y ciudad del club | El administrador al registrarlo |
| Invitaciones | Correo electrónico y papel de la persona invitada | El administrador del club que invita |
| Aceptación de condiciones | Documento aceptado, versión y fecha | La propia persona al aceptar |
| Contratación y facturación | Plan contratado, número de equipos, periodicidad, tipo de cliente (particular, autónomo, club o asociación, o empresa), nombre o razón social, identificación fiscal, domicilio fiscal, código postal y territorio, declaración de que se contrata para una actividad económica, identificadores de cliente y de suscripción en la pasarela de pago, fechas del periodo contratado y estado de la suscripción | El administrador del club al contratar, y la pasarela de pago |
| Incidencias de pago | Fecha del primer cobro fallido, avisos enviados y sus fechas, fecha de suspensión y fecha prevista de supresión de los datos del club | Generados por la plataforma a partir de los avisos de la pasarela de pago |
| Descargas de datos del club | Quién solicita la descarga, cuándo, dirección IP y navegador, y resumen de lo descargado (traza de seguridad, porque la descarga incluye datos de salud) | Generados al solicitar la descarga |
| Datos técnicos y de seguridad | Dirección IP, fecha y hora de acceso, navegador, registros de errores y de accesos | Generados al usar la plataforma |
| Comunicaciones | Datos de contacto y contenido de los mensajes que nos envías | La propia persona |
No tratamos datos con fines publicitarios ni elaboramos perfiles comerciales. No tratamos ni almacenamos datos de tarjetas bancarias: se introducen directamente en el entorno de la pasarela de pago, como se explica en el apartado 7.
4. Finalidades y bases jurídicas
| Finalidad | Base jurídica (RGPD) |
|---|---|
| Crear y gestionar la cuenta y prestar el servicio al club | Ejecución del contrato (art. 6.1.b) |
| Enviar los correos del servicio: confirmación de cuenta, invitaciones y recuperación de contraseña | Ejecución del contrato (art. 6.1.b) |
| Gestionar la suscripción: contratación, cobro, renovación, cambios de plan, baja y avisos de renovación | Ejecución del contrato (art. 6.1.b) |
| Calcular el impuesto aplicable, emitir las facturas y conservarlas, y llevar la contabilidad | Obligación legal (art. 6.1.c): normativa tributaria y mercantil, en particular la Ley 37/1992, la Ley 58/2003 y el artículo 30 del Código de Comercio |
| Gestionar los impagos: avisar del cobro fallido, suspender el servicio y, en su caso, suprimir los datos del club en los plazos informados | Ejecución del contrato (art. 6.1.b) e interés legítimo en el cobro de lo debido y en la conservación ordenada de los datos (art. 6.1.f) |
| Prevenir el fraude en los pagos y comprobar que quien contrata puede hacerlo en nombre del club | Interés legítimo en la seguridad de las operaciones (art. 6.1.f) y ejecución del contrato (art. 6.1.b) |
| Avisar del consumo de espacio y de la antigüedad de los vídeos y las fotos de los ejercicios, y aplicar los límites informados | Ejecución del contrato (art. 6.1.b) |
| Dejar traza de las descargas completas de datos de un club, que incluyen datos de salud | Interés legítimo en la seguridad y responsabilidad proactiva (arts. 6.1.f, 5.2 y 32) |
| Proteger la plataforma, prevenir accesos no autorizados y usos automatizados (incluido Cloudflare Turnstile en el alta de club) y resolver incidencias técnicas | Interés legítimo en la seguridad del servicio y de los datos de los clubes (art. 6.1.f) |
| Guardar la prueba de aceptación de las condiciones | Cumplimiento de obligaciones legales y responsabilidad proactiva (arts. 6.1.c y 5.2) |
| Atender consultas y solicitudes de ejercicio de derechos | Obligación legal (art. 6.1.c) y, en consultas, ejecución de medidas precontractuales o del contrato (art. 6.1.b) |
No se toman decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos.
5. Menores de edad
Las cuentas de usuario no están dirigidas a menores de 14 años. Los datos de jugadores menores que registra un club son responsabilidad del club, que debe contar con el consentimiento de sus padres o tutores cuando el menor tenga menos de 14 años (artículo 7 de la LOPDGDD) e informarles del tratamiento. Si detectamos que se han facilitado datos de un menor sin legitimación, lo comunicaremos al club para que adopte las medidas oportunas.
6. Datos de salud y lesiones
La ficha del jugador incluye una sección de lesiones en la que el club puede registrar las fechas de inicio y de alta, el diagnóstico, el tratamiento y notas de seguimiento, y adjuntar archivos como informes médicos o pruebas de imagen. Son datos relativos a la salud, una categoría especial de datos (artículo 9.1 del RGPD), y en el fútbol base corresponden con frecuencia a menores de edad.
- Quién es responsable: el club. Carai Melilla SL solo los aloja y los trata por cuenta del club, como encargado del tratamiento, según el Contrato de encargo del tratamiento.
- Base jurídica: la determina el club. Al tratarse de una categoría especial, necesita que se levante la prohibición del artículo 9.1 del RGPD, normalmente mediante el consentimiento explícito del jugador o, si es menor de 14 años, de sus padres o tutores (artículo 9.2.a del RGPD y artículo 7 de la LOPDGDD). No es un tratamiento necesario para usar la plataforma: el club decide libremente si utiliza esta sección.
- Quién accede: únicamente los usuarios del club con acceso al equipo del jugador, según el papel que les haya asignado el administrador. Ningún usuario de otro club puede verlos. El personal técnico de Carai Melilla SL solo accede cuando es imprescindible para mantener el servicio o resolver una incidencia, bajo compromiso de confidencialidad.
- Archivos adjuntos: se guardan en un almacén privado alojado en la Unión Europea, separado de la web pública. No se publican, no se indexan en buscadores y no son accesibles mediante una dirección pública: solo se muestran a quien ha iniciado sesión y tiene permiso sobre ese jugador.
- Conservación: la decide el club. Los datos y los archivos se eliminan cuando el club borra la lesión, el jugador o su cuenta, en los términos del contrato de encargo. Recomendamos al club conservarlos solo mientras sean necesarios para el seguimiento deportivo.
- Derechos: para acceder, rectificar o suprimir esta información, el interesado o sus padres o tutores deben dirigirse al club. Si nos escriben a nosotros, trasladaremos la solicitud al club sin demora.
Carai Melilla SL no utiliza esta información para ninguna finalidad propia, no la cede a terceros y no elabora con ella perfiles ni predicciones.
7. Pagos y facturación
Los pagos de las suscripciones se gestionan con Stripe (Stripe Payments Europe, Ltd., Irlanda, y Stripe, Inc., Estados Unidos). El cobro se realiza en una pasarela alojada por Stripe: los datos de la tarjeta se introducen allí y no pasan por nuestros servidores, que no los reciben ni los almacenan. Nosotros conservamos el plan contratado, los datos fiscales, los importes, el estado de la suscripción y los identificadores que nos devuelve Stripe.
Stripe tiene un doble papel, y conviene distinguirlo:
- Como encargado del tratamiento en lo que hace por nuestra cuenta y según nuestras instrucciones: crear el cliente, cobrar la suscripción, emitir las facturas y ofrecer el portal donde el administrador cambia su forma de pago o se da de baja.
- Como responsable independiente en lo que hace por obligación propia como proveedor de servicios de pago: verificación de identidad de los comercios, prevención del fraude, gestión del riesgo y cumplimiento de la normativa de servicios de pago y de prevención del blanqueo de capitales. Para esos tratamientos, Stripe decide por sí mismo y se aplica su propia política de privacidad, disponible en stripe.com/es/privacy.
A la pasarela de pago no se le envían datos de jugadores, familias ni personal del club: solo los datos de contratación y facturación del club y el correo electrónico de la persona que contrata.
Las facturas y los datos fiscales se conservan durante los plazos legales indicados en el apartado 10. El impuesto aplicado a una factura se conserva tal y como se calculó en su momento, aunque el cliente cambie después de domicilio, porque forma parte del dato histórico de la operación.
8. Destinatarios y proveedores
No cedemos datos a terceros salvo obligación legal. Para prestar el servicio contamos con proveedores que tratan los datos por nuestra cuenta, con contrato de encargo y solo según nuestras instrucciones. La única excepción es la pasarela de pago, que además trata datos como responsable independiente para sus propias obligaciones legales, según se explica en el apartado 7:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| Supabase, Inc. | Base de datos, autenticación de usuarios y almacenamiento de los archivos que sube el club (incluidos los adjuntos de lesiones) | Datos alojados en la Unión Europea (Irlanda) |
| Vercel, Inc. | Alojamiento de la aplicación web y funciones de servidor | Estados Unidos y red de distribución global |
| IPZ Marketing, S.L. (Mailrelay) | Envío de correos electrónicos del servicio | España |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. | Asistente de sesiones: propone entrenamientos a partir del tema que escribe el entrenador. No se le envían datos de jugadores, familias ni personal del club, ni se usan sus datos para entrenar modelos | Irlanda y Estados Unidos |
| Cloudflare, Inc. | Red de distribución y seguridad del dominio, y Turnstile: comprobación de que quien se da de alta no es un programa automático. Turnstile no rastrea al visitante ni lo perfila | Red mundial, con tratamiento en la Unión Europea y Estados Unidos |
| Stripe Payments Europe, Ltd. y Stripe, Inc. | Pasarela de pago de las suscripciones: cobro con tarjeta, facturas y portal donde el club cambia su forma de pago o se da de baja. Los datos de la tarjeta se introducen en el entorno de Stripe y no pasan por nuestros servidores. No recibe datos de jugadores, familias ni personal del club | Irlanda, con tratamiento también en Estados Unidos |
Dentro de cada club, los datos son visibles para los usuarios del club según su papel y los equipos que tienen asignados.
9. Transferencias internacionales
La base de datos está alojada en la Unión Europea. Algunos proveedores tienen su sede en Estados Unidos o pueden acceder a los datos desde allí. En esos casos la transferencia se ampara en la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023) y, en su caso, en las cláusulas contractuales tipo aprobadas por la Comisión Europea.
| Proveedor | Garantía |
|---|---|
| Supabase, Inc. | Contrato de encargo y cláusulas contractuales tipo de la Comisión Europea |
| Vercel, Inc. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| IPZ Marketing, S.L. (Mailrelay) | Contrato de encargo del tratamiento |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Cloudflare, Inc. | Contrato de encargo y cláusulas contractuales tipo de la Comisión Europea |
| Stripe Payments Europe, Ltd. y Stripe, Inc. | Contrato de tratamiento de datos de Stripe y cláusulas contractuales tipo de la Comisión Europea |
10. Conservación
- Cuenta de usuario y datos del club: mientras la cuenta esté activa. Tras la baja, se conservan bloqueados solo durante los plazos en que puedan exigirse responsabilidades (con carácter general, hasta cinco años) y después se suprimen, conforme al artículo 32 de la LOPDGDD.
- Datos de la suscripción (plan, equipos, periodicidad, estado): mientras la suscripción esté vigente y, después, bloqueados durante los plazos de prescripción de las acciones derivadas del contrato.
- Facturas y datos fiscales: seis años desde el último asiento (artículo 30 del Código de Comercio) y, a efectos tributarios, al menos los cuatro años de prescripción de la Ley 58/2003. Durante ese tiempo se conservan bloqueados y solo se usan para atender a la Administración o a un tribunal.
- Incidencias de pago y avisos enviados: mientras dure el episodio de impago y después con la documentación de la relación contractual, durante los plazos de prescripción, como prueba de que se avisó antes de suspender o suprimir.
- Traza de las descargas de datos del club: junto con los registros de seguridad, con el mismo plazo máximo.
- Invitaciones: el enlace caduca a los 7 días. El registro de la invitación se conserva con los datos del club mientras este mantenga su cuenta, y el administrador puede retirarla en cualquier momento.
- Prueba de aceptación de las condiciones: mientras exista la cuenta y, después, durante los plazos de prescripción de las acciones derivadas.
- Registros técnicos y de seguridad: un máximo de 12 meses.
- Consultas: el tiempo necesario para atenderlas y, como máximo, 12 meses después.
- Datos que introduce el club (jugadores, asistencia, partidos, entrenamientos, lesiones y sus archivos adjuntos): los conserva el club, que decide cuándo borrarlos. Se suprimen cuando el club los elimina y, en todo caso, al terminar el encargo del tratamiento en los plazos previstos en el Contrato de encargo del tratamiento. Si la suscripción del club queda impagada, se suprimen en el plazo y con los avisos previos que detalla el apartado 15 de los Términos y condiciones.
- Vídeos y fotos de los ejercicios de las sesiones: un máximo de 24 meses, y solo se eliminan por antigüedad si el club supera su cuota de espacio y no la libera en los 30 días siguientes al aviso, según el apartado 16 de los Términos y condiciones. Los archivos adjuntos de las lesiones y los informes guardados quedan fuera de esa limpieza.
11. Tus derechos
Puedes ejercer en cualquier momento, sin coste, los derechos de:
- Acceso a tus datos.
- Rectificación de los datos inexactos.
- Supresión cuando ya no sean necesarios, entre otros motivos.
- Oposición al tratamiento basado en interés legítimo.
- Limitación del tratamiento.
- Portabilidad de los datos que nos facilitaste.
- No ser objeto de decisiones individuales automatizadas.
Escribe a mister@lucrapp.com indicando «Protección de datos» y el derecho que ejerces. Si no podemos comprobar tu identidad por el correo desde el que escribes, te pediremos lo mínimo necesario para verificarla. Responderemos en el plazo de un mes, ampliable en dos meses más en casos complejos, de lo que te informaríamos.
Si consideras que no se han atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es).
12. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD), entre ellas: conexión cifrada (HTTPS), contraseñas almacenadas con funciones de cifrado irreversible, control de acceso por papeles y aislamiento de los datos de cada club en la propia base de datos, credenciales del servidor de correo cifradas, y acceso a los sistemas limitado a quien lo necesita. Los archivos que sube el club, incluidos los informes médicos asociados a una lesión y los vídeos o fotos de los ejercicios, se guardan en un almacén privado sin acceso público: solo se entregan a quien ha iniciado sesión y tiene permiso sobre el equipo del jugador. Si se produjera una brecha de seguridad, actuaremos según los artículos 33 y 34 del RGPD.
13. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o del servicio. La fecha de la última actualización figura al principio. Si los cambios son relevantes, lo comunicaremos a los usuarios por correo o en la plataforma.