Política de privacidad

1. Quién trata los datos

2. Datos y tratamientos

• Formulario de solicitud (POST /api/inscripcio y /api/inscripcio/verify): nombre y apellidos de la persona adulta, teléfono móvil, consentimientos, idioma, fecha de recepción, resumen criptográfico del código MFA (nunca el código en claro) y, si se valida, fecha de aprobación. Finalidad: verificar el número y enviar el enlace de la comunidad de WhatsApp. No recogemos etapa ni curso.
• País o prefijo internacional seleccionado, para normalizar y enviar el código de verificación al número indicado.
• Alojamiento, CDN, registros de acceso y de ejecución: cada visita o llamada a la API genera tratamiento técnico habitual (dirección IP, fecha y hora, URL o ruta, agente de usuario, código de respuesta). Finalidad: prestar la web, seguridad y diagnóstico. Proveedor: Vercel, Inc., como encargado del tratamiento.
• Analítica de visitas: Vercel Web Analytics mide páginas vistas de forma agregada, sin cookies. Identifica visitas con un resumen (hash) de la petición, que se descarta a las 24 horas. Puede registrar URL, referrer, país/región aproximados, sistema operativo, navegador y tipo de dispositivo. No hay eventos personalizados, píxeles, CAPTCHA, herramientas de sesión ni incrustaciones de terceros. Las rutas de la web no contienen nombre ni teléfono. Documentación: https://vercel.com/docs/analytics/privacy-policy
• Almacén de solicitudes: el POST del formulario guarda un archivo JSON privado en Vercel Blob (el «almacén restringido»). En local de desarrollo puede guardarse en disco; en producción el proveedor es Vercel. Documentación: https://vercel.com/docs/storage/vercel-blob
• WhatsApp / Meta: envío del código MFA y del enlace de invitación, y prestación de la comunidad una vez entras, como se explica en el apartado 4.

3. Base jurídica

4. Comunidad de WhatsApp (antes de enviar la invitación)

5. Conservación

• Solicitud pendiente (MFA no validado): 30 días desde la fecha de recepción; después se suprime del almacén.
• Solicitud rechazada: esta web no tiene estado de rechazo. Si el código no se valida, la petición permanece pendiente y se suprime a los 30 días.
• Solicitud aceptada (MFA validado): 30 días desde la fecha y hora de aprobación, o hasta una solicitud de supresión, lo que llegue antes. Un cron diario (cron-job.org) suprime los registros caducados.
• Resumen del código MFA: 10 minutos (caducidad del código) o hasta que se valida; no se guarda el código en claro.
• Lista de personas administradoras (identificador, resumen de contraseña y secreto MFA en las variables de entorno): mientras ejercen esa función. Si una persona deja de administrar, se elimina su entrada y sus sesiones quedan revocadas.
• Mensajes de WhatsApp (código, invitación y chat de la comunidad): esta web no archiva su contenido. WhatsApp los conserva de acuerdo con su política. Los administradores no exportan el historial a un sistema propio.
• Registros de alojamiento y de ejecución de Vercel: los conserva Vercel según el plan del proyecto, habitualmente entre 1 hora y unos pocos días. No los copiamos a un almacén propio.
• Analítica: el hash de visita se descarta a las 24 horas; las métricas agregadas (páginas vistas) se consultan en el panel de Vercel sin identificar personas.

6. Encargos, proveedores y transferencias

• Vercel, Inc. (Estados Unidos): encargado del tratamiento para alojamiento, CDN, registros de acceso y de ejecución, Vercel Web Analytics y Vercel Blob (almacén privado de las solicitudes). El tratamiento se hace bajo la adenda de tratamiento (DPA) de Vercel, que el responsable debe haber aceptado en la cuenta de Vercel. Ubicación: infraestructura de Vercel, con posible tratamiento en Estados Unidos y en regiones donde Vercel o sus subencargados operan. Adenda: https://vercel.com/legal/dpa Privacidad: https://vercel.com/legal/privacy-policy Analítica: https://vercel.com/docs/analytics/privacy-policy Blob: https://vercel.com/docs/storage/vercel-blob
• Meta Platforms Ireland Limited (WhatsApp): responsable independiente del servicio de mensajería y de la comunidad. Opera a escala mundial y contempla tratamiento y transferencia fuera del EEE, incluidos los Estados Unidos. Mecanismo: cláusulas contractuales tipo (artículo 46.2.c del RGPD) y, cuando corresponda, el Marco de privacidad de datos UE–EE. UU. Política: https://www.whatsapp.com/legal/privacy-policy-eea
• Vercel y Meta indican que, para transferencias internacionales, aplican cláusulas contractuales tipo y, si procede, el Data Privacy Framework para entidades certificadas.

7. Derechos

8. Medidas de seguridad