Dato o cláusula pendiente — no es información definitivaBorrador para revisión jurídica y lingüística. No es la versión definitiva. Se han incorporado el nombre, el NIF y el domicilio facilitados. Este texto no constituye un dictamen ni una declaración de conformidad con el RGPD o la LOPDGDD.
Política de privacidad
Esta política describe los tratamientos que el código del sitio realiza hoy. Donde un dato, una base jurídica o un plazo no está confirmado, se indica como pendiente. Publicar esta política no equivale a afirmar que el RGPD o la LOPDGDD se cumplen íntegramente.
Responsable
El responsable del tratamiento es JUAN JOSE MENA CASANOCA, persona física, NIF 46754258L.
Domicilio: Bajada de Gomis número 1, 08023 Barcelona, España.
Contacto: hola@adoptaunebiker.com.
Qué datos se recogen en el alta
El formulario de solicitud pide: nombre, apellidos, correo, país, ciudad, si eres veterano o principiante por modalidad, disciplinas de interés, bici, cómo sales y qué buscas, e idioma de la solicitud.
Un borrador se guarda solo en tu navegador (sessionStorage), en esta pestaña, hasta que envías o cierras. No se envía al servidor hasta pulsar enviar.
Solicitudes, miembros y autenticación
La solicitud se guarda para que la organización la revise. Si se rechaza o se elimina, el código no envía correo a la persona solicitante. La fila de la solicitud permanece en la base de datos hasta un borrado manual.
Si se acepta, se crea una cuenta y un perfil, y se envía un correo operativo con el acceso. La solicitud aceptada no se borra: queda marcada como aceptada. La primera entrada exige cambiar la clave.
La organización puede actualizar la ficha, dar de alta o de baja, restablecer la clave y dejar comentarios internos de gestión. La baja inactiva la plaza e impide el acceso a la intranet; no elimina por sí sola el perfil.
Correos
Hoy se envían solo correos operativos: bienvenida al aceptar una solicitud y aviso si se restablece la clave. Esos mensajes son necesarios para gestionar solicitudes, cuentas y el funcionamiento de la comunidad.
No hay boletín, newsletter ni promociones comerciales. No se pide consentimiento para marketing porque esa finalidad no está activa. Si en el futuro se ofrece un boletín, se revisará esta política y el mecanismo de consentimiento.
Strava
Conectar Strava es voluntario y opcional, y solo está disponible para miembros con sesión. El sitio pide permisos de lectura de perfil y actividades. Esa autorización de acceso se concede en Strava; no es, por sí sola, la base jurídica del tratamiento posterior de los datos en Adopta un eBiker.
Se guardan identificador de atleta, nombre, tokens de acceso y de renovación, y hasta cuarenta salidas de bici (nombre, tipo, distancia, desnivel, tiempo, fecha, trazado resumido, enlace y si es privada).
Las salidas no privadas pueden verse en la ficha del pelotón. Al desconectar se borra la cuenta local y las actividades guardadas, y se intenta revocar el acceso en Strava.
Proveedores que intervienen hoy
Dato o cláusula pendiente — no es información definitiva
Los siguientes servicios aparecen en el código o en el despliegue actual. Cada uno interviene para una finalidad distinta y no todos tratan los mismos datos. La ubicación exacta, el encargo de tratamiento y las transferencias internacionales deben confirmarse con sus contratos y con la configuración real del proyecto.
- Alojamiento del sitio: Vercel. Puede tratar datos técnicos de la visita (por ejemplo, dirección IP y registros de petición) para servir las páginas.
- Base de datos y autenticación: Supabase. Guarda solicitudes, perfiles, notas internas, cuentas de Strava y la sesión de miembros.
- Envío de correo operativo: Resend. Recibe el correo y el nombre cuando se acepta una solicitud o se restablece la clave.
- Strava, solo si el miembro conecta la cuenta. Recibe la autorización de acceso y puede tratar datos del atleta según sus propias condiciones.
- Mapas de salidas: teselas de OpenStreetMap a través de Leaflet, solo en la intranet cuando hay un trazado que mostrar. El navegador pide las teselas al prestador del mapa; este sitio no les envía tu ficha de miembro.
Analítica
Google Analytics está previsto para el futuro, pero no está configurado ni se carga. No hay identificador de medición. Aceptar cookies no activa analítica mientras no exista ese identificador.
Si se activa más adelante, se pedirá consentimiento previo cuando sea necesario y se actualizará esta política. Hoy no hay tratamiento analítico activo.
Seguridad y registros
El acceso a la intranet exige autenticación. Los registros de error del servidor se recortan para no dejar correos, contraseñas ni tokens en claro.
Esos registros técnicos se distinguen de los datos operativos de solicitudes y perfiles, y de las copias de seguridad que pueda hacer el proveedor de base de datos. Ningún registro de este código es una prueba jurídica completa por sí solo.
Conservación
Dato o cláusula pendiente — no es información definitiva
La intención del titular es no conservar solicitudes ni datos personales más de seis meses cuando eso sea compatible con la finalidad y con las obligaciones aplicables.
Ese plazo de seis meses no se aplica a los datos indispensables para mantener una cuenta activa, prestar el servicio o atender una obligación o reclamación. El código aplica esas reglas: una tarea semanal recorre los candidatos. El primer ciclo es de simulación hasta que se confirme un borrado. Las filas ya rechazadas o inactivas empiezan el plazo al aplicar la migración, no en la fecha de alta.
La tabla siguiente distingue lo que hace el código y el criterio. No afirma que ya se haya ejecutado un borrado masivo irreversible.
| Categoría | Qué ocurre hoy | Criterio propuesto | Evento que inicia el plazo | Borrado automático |
|---|---|---|---|---|
| Solicitudes rechazadas | La fila permanece. El rechazo se fecha en rejected_at | Seis meses desde el rechazo | Fecha en que la solicitud se marca como rechazada (rejected_at) | Sí, si no hay hold y la tarea semanal confirma el borrado |
| Solicitudes abandonadas | No hay una categoría «abandonada». Una solicitud pendiente permanece | No se clasifica como abandono. Se conserva hasta una decisión humana | No aplica. Sin regla operativa verificable de abandono | No. Las pendientes no se borran |
| Solicitudes pendientes de resolución | Se conservan para revisarlas | Mientras se tramitan. Si no hay resolución, el plazo de seis meses propuesto | Envío de la solicitud o última actuación de la organización | No |
| Solicitudes aceptadas | La fila se marca como aceptada. Los datos útiles se copian al perfil | Mientras exista la plaza, la solicitud puede conservar el texto original. Al eliminar la plaza inactiva, o si queda huérfana más de seis meses, se anonimiza: nombre, correo y texto se sustituyen. La fila queda como constancia sin datos de contacto, salvo hold | Aceptación de la solicitud. La anonimización sigue a la baja del miembro o a la orfandad | No se borra la fila. Se anonimiza cuando cae el miembro o queda huérfana |
| Miembros con cuenta activa | Perfil, autenticación y, si procede, notas internas | Mientras la plaza esté activa y sea necesario prestar el servicio. No se aplica el plazo de seis meses | Alta de la plaza. El plazo de eliminación no empieza mientras la cuenta esté activa | No. Borrar estos datos impediría el servicio |
| Cuentas dadas de baja | El perfil permanece con estado inactivo; se bloquea el acceso | Seis meses desde la baja, si no hay obligación o reclamación en curso | Cambio a inactivo (deactivated_at). No se usa created_at | Sí, si no hay hold y la tarea semanal confirma el borrado |
| Datos de conexión y actividades de Strava | Se guardan mientras la conexión está activa | Mientras el miembro mantenga la conexión. Al desconectar se borran en este sitio | Conexión o desconexión por el miembro | Sí al desconectar: se eliminan cuenta local y actividades y se intenta revocar el acceso en Strava. No hay caducidad por meses |
| Registros técnicos y de seguridad | Registros de error recortados en el servidor o en el alojamiento | El tiempo mínimo necesario para diagnosticar y proteger el servicio. Pendiente de fijar | Cada incidencia o petición | No lo controla este código |
| Copias de seguridad | Fuera de este código; dependen del proveedor de base de datos o del alojamiento | Pendiente de confirmar con el proveedor. Pueden sobrevivir a un borrado operativo | Ciclo de copias del proveedor | No lo controla esta aplicación |
| Obligaciones legales o reclamaciones | Se puede marcar retention_hold en la solicitud o en el perfil. El usuario no puede quitarlo | El tiempo necesario para esa obligación o reclamación, aunque supere seis meses | Hecho que origina la obligación o la reclamación | No se promete el borrado a los seis meses |
Cómo se aplican los seis meses
Dato o cláusula pendiente — no es información definitiva
El código distingue solicitudes rechazadas, pendientes y aceptadas, y no borra cuentas activas ni administradores. Una tarea semanal lista los candidatos. Un borrado real exige confirmación en la API y en SQL. El primer ciclo no borra en masa sin revisar el listado.
Las copias de seguridad del proveedor pueden sobrevivir al borrado operativo. Un hold legal detiene tanto el borrado como la anonimización.
Derechos
Puedes pedir acceso, rectificación, supresión, oposición, limitación y portabilidad, cuando procedan, en hola@adoptaunebiker.com.
También puedes reclamar ante la autoridad de control competente. En España, la Agencia Española de Protección de Datos. Este párrafo no sustituye el análisis de qué autoridad corresponde en cada caso.
Menores
Dato o cláusula pendiente — no es información definitiva
La edad mínima prevista para usar el sitio es de 18 años. El formulario no comprueba la edad. Esta previsión debe revisarse jurídicamente antes de considerarse cláusula definitiva.
Matriz de tratamientos (propuesta, no confirmada)
Dato o cláusula pendiente — no es información definitiva
La tabla siguiente es una propuesta para revisión jurídica. No usa una sola base para todos los tratamientos. No afirma que esas bases estén validadas ni que el modelo de la comunidad sea, en todos los casos, un contrato.
| Finalidad | Base propuesta | Justificación | Qué se informa | Decisión jurídica pendiente |
|---|---|---|---|---|
| Gestionar solicitudes de ingreso | Medidas precontractuales a petición de la persona | La persona envía el formulario para que se examine su alta. Sin esos datos no se puede valorar la solicitud | Responsable, finalidad, que no hay marketing, y enlace a esta política | Confirmar que la solicitud de alta puede tratarse como medida precontractual y no como consentimiento genérico |
| Prestar el servicio y gestionar cuentas activas | Ejecución de la relación con el miembro y medidas necesarias para prestar el servicio | Tras la aceptación hacen falta perfil, autenticación y estado de la plaza para usar la intranet | Que la plaza implica una cuenta, ficha visible en la intranet y correos operativos | Confirmar si esa relación es un contrato del artículo 6.1.b del RGPD o otra base, según el modelo real del servicio |
| Correos operativos de acceso o clave | Necesarios para esa misma relación | Sin el correo de bienvenida o de restablecimiento no se puede entregar o recuperar el acceso. No son promociones | Que solo se envían mensajes operativos y que no hay boletín | Confirmar que no se exige un consentimiento de marketing para estos envíos |
| Seguridad, prevención de abuso y protección de cuentas | Interés legítimo, pendiente de documentar | Finalidad: proteger el acceso. Necesidad: sesión autenticada y registros de error recortados. Ponderación: se espera seguridad; no se usan para marketing; los registros se recortan | Que hay sesión y registros técnicos limitados | Redactar y conservar el análisis de interés legítimo. Confirmar plazos de esos registros |
| Obligaciones fiscales, contables u otras obligaciones legales | Obligación legal, solo si resulta pertinente | El sitio no factura altas ni vende plazas. Esta base no se da por activa | Solo se mencionará si existe una obligación concreta | Confirmar si hay alguna obligación legal real que imponga conservar datos |
| Strava opcional | Propuesta: consentimiento para el tratamiento en este sitio al conectar, distinta de la autorización de acceso en Strava | La conexión es voluntaria. Strava concede el acceso; Adopta un eBiker trata después tokens y actividades para mostrarlas en la intranet | Que es opcional, qué permisos se piden, qué se guarda, quién ve las salidas no privadas y cómo desconectar | Confirmar si la base es el consentimiento, la ejecución de una función opcional del servicio, o ambas, y el régimen de Strava como destinatario |
| Analítica futura (hoy apagada) | Consentimiento, cuando se active y sea necesario | Hoy no hay identificador ni script. Aceptar cookies no carga analítica | Que la analítica no está activa y que, si se enciende, se pedirá consentimiento previo | No activar ni documentar como tratamiento real hasta que exista la herramienta |
Estado: borrador actualizado con los datos identificativos del titular. Sigue pendiente la revisión jurídica de bases, plazos y transferencias. Los plazos de seis meses son un criterio previsto, no un borrado automático ya implementado. El correo de contacto operativo es hola@adoptaunebiker.com.