Política de privacitat

Aquí expliquem quines dades personals tractem quan visiteu validpass.app, quan ens escriviu i quan la vostra associació contracta ValidPass; per a què les fem servir, i quins drets hi teniu. Les dades dels socis de cada associació són un cas a part: les tractem per encàrrec de l’associació (punt 8).

1. Qui és el responsable

• Responsable: Treserras Multimèdia SL
• NIF: B66358680
• Domicili: Mas el Garet Nou s/n, 08550 Els Hostalets de Balenyà (Barcelona)
• Correu per a la protecció de dades: info@validpass.app

No hem designat cap delegat de protecció de dades, perquè no hi estem obligats. Per a qualsevol qüestió sobre les vostres dades, escriviu-nos al correu de dalt.

2. Quines dades tractem i per a què

Quan ens escriviu

• Dades: el nom, el correu, el telèfon si ens el doneu, l’associació i el que ens expliqueu, tant si ens escriviu per correu o amb un formulari del web com si ens feu una consulta des del web de la junta.
• Per a què: respondre-us i, si ho demaneu, preparar-vos una proposta.
• Base jurídica: aplicar, a petició vostra, mesures prèvies a un contracte (art. 6.1.b del Reglament general de protecció de dades, RGPD) o el nostre interès legítim a respondre les consultes que rebem (art. 6.1.f).
• Quant de temps: fins a un any després de l’última comunicació, si l’associació no es fa client. Les consultes fetes des del web de la junta es guarden mentre l’associació tingui el servei.

Quan l’associació es dona d’alta i fa servir el servei

• Dades de l’associació: nom, NIF, sector, nombre aproximat de socis, adreça a ValidPass, telèfon i correu. El telèfon surt a les fitxes dels carnets perquè qui comprova un carnet pugui trucar a la junta.
• Dades de qui contracta: nom i cognoms, càrrec a la junta, correu i telèfon.
• Registre de les acceptacions: qui va acceptar les condicions del servei i l’encàrrec del tractament, quan i quina versió; la declaració que podia contractar en nom de l’associació, i la petició de començar el servei de seguida.
• Per a què: crear i gestionar el compte, prestar el servei i donar-ne suport, avisar-vos de les renovacions, les factures i els canvis del servei, i poder demostrar què es va acceptar.
• Base jurídica: el contracte amb l’associació (art. 6.1.b del RGPD). Per a les dades de les persones que la representen o hi fan de contacte, el nostre interès legítim a mantenir la relació amb l’associació (art. 6.1.f del RGPD i art. 19 de la Llei orgànica 3/2018, LOPDGDD).
• Quant de temps: mentre l’associació tingui el servei. Després, les guardem bloquejades (sense fer-les servir) només el temps en què se’n puguin derivar responsabilitats, i les esborrem.

Facturació i pagaments

• Dades: raó social, NIF, adreça i correu de facturació, persona de contacte, les factures (número, data, període i imports) i els pagaments (data, import i mitjà de pagament). Si pagueu per transferència, el banc ens diu qui la fa i des de quin compte.
• Quan s’activin la domiciliació i el pagament amb targeta, les dades de la targeta o del compte les tractarà Stripe; nosaltres només en veurem una referència, com les últimes xifres.
• Per a què: fer les factures, cobrar-les i complir les obligacions fiscals i comptables.
• Base jurídica: el contracte (art. 6.1.b del RGPD) i les obligacions legals fiscals i mercantils (art. 6.1.c).
• Quant de temps: les factures i la comptabilitat, 6 anys (Codi de comerç, art. 30), o més si la normativa fiscal ho demana.

Membres de la junta que fan servir el web de la junta

• Dades: nom, correu, rol (administrador o gestor), idioma preferit, contrasenya (que desem només com una empremta criptogràfica, mai tal com l’escriviu), sessions i intents d’entrada fallits.
• Per a què: donar-vos un accés personal, protegir-lo (límits d’intents, tancament de sessions) i, quan s’activi el correu, enviar-vos els avisos del servei.
• Base jurídica: el contracte amb l’associació i el nostre interès legítim a donar un accés segur a les persones que l’associació designa (art. 6.1.b i 6.1.f del RGPD).
• Quant de temps: mentre l’associació tingui el servei. Quan algú deixa la junta, l’associació li treu l’accés, però el seu nom continua al registre d’activitat de l’associació durant 3 anys, perquè quedi constància de qui va fer cada canvi. Aquest registre el tractem per encàrrec de l’associació (punt 8).

Registres tècnics del web

• Dades: quan visiteu qualsevol pàgina de validpass.app, el navegador envia, com a qualsevol web, l’adreça IP, la data i l’hora, la pàgina demanada i el tipus de navegador.
• Per a què: servir les pàgines, protegir el web dels abusos i dels atacs (per exemple, limitant el nombre d’intents) i trobar i corregir errors.
• Base jurídica: el nostre interès legítim a mantenir el web segur i en funcionament (art. 6.1.f del RGPD).
• Quant de temps: els registres de peticions i d’errors, 7 dies com a molt. Per limitar els intents no desem l’adreça IP, sinó una empremta criptogràfica, i els comptadors vençuts s’esborren cada dia.

3. A qui comuniquem les dades

No venem les dades ni les cedim a ningú perquè les faci servir per a res seu. Només hi accedeixen:

• Cloudflare, Inc., com a encarregat del tractament: allotjament, xarxa, seguretat, base de dades i registres tècnics. Les bases de dades de ValidPass són a la Unió Europea.
• Stripe, quan s’activin la domiciliació i el pagament amb targeta: el cobrament. Hi intervé Stripe Payments Europe, Ltd. (Irlanda), que per a la prevenció del frau i les seves obligacions legals actua com a responsable independent.
• El servei de correu electrònic, quan s’activi: per enviar els correus del servei (confirmacions, accessos, avisos i factures). Abans de fer-lo servir, n’indicarem aquí el nom.
• Els bancs que intervenen en els pagaments, i l’Agència Tributària, altres administracions o els jutjats quan la llei ho demana.
• Els nostres assessors (gestoria, advocats), quan calgui i amb deure de confidencialitat.

4. Transferències internacionals

Cloudflare i Stripe són empreses dels Estats Units o hi tenen empreses del grup. Les bases de dades de ValidPass són a la Unió Europea, però la xarxa de Cloudflare atén cada visita des del centre de dades més proper, que pot ser fora de la UE, i el personal d’aquestes empreses hi pot accedir per donar suport o per seguretat. Quan les dades surten de l’Espai Econòmic Europeu, les protegeixen:

• el Marc de Privacitat de Dades UE-EUA (Data Privacy Framework), en què totes dues empreses estan certificades; i
• les clàusules contractuals tipus aprovades per la Comissió Europea, incloses als seus contractes d’encàrrec del tractament.

Podeu consultar el contracte d’encàrrec de Cloudflare i la llista d’empreses certificades.

5. Els vostres drets

Podeu demanar-nos en qualsevol moment:

• accés: saber quines dades vostres tenim;
• rectificació: corregir-les si no són exactes;
• supressió: esborrar-les quan ja no calguin o no hi hagi cap motiu per conservar-les;
• oposició: que deixem de tractar-les per al nostre interès legítim, per motius relacionats amb la vostra situació;
• limitació: que les conservem sense fer-les servir, per exemple mentre es resol una reclamació;
• portabilitat: rebre les que ens heu donat en un format d’ús comú, per endur-vos-les.

Escriviu-nos a info@validpass.app, o per carta a Mas el Garet Nou s/n, 08550 Els Hostalets de Balenyà (Barcelona), i digueu-nos quin dret voleu exercir. Si tenim dubtes raonables sobre qui sou, us podem demanar alguna dada per comprovar-ho. És gratuït, i us respondrem en un mes com a molt (en casos complexos, es pot allargar dos mesos més, i us ho direm).

Si creieu que no hem tractat bé les vostres dades, podeu presentar una reclamació a l’Agència Espanyola de Protecció de Dades (aepd.es). Us agrairem que primer ens ho digueu a nosaltres, per intentar resoldre-ho.

6. Sense perfils ni publicitat

No prenem decisions automatitzades que us afectin ni fem perfils, i no fem servir les dades per a publicitat. Si mai us volem enviar comunicacions comercials, serà amb el vostre consentiment o, si ja sou clients, sobre serveis nostres semblants als que teniu, i podreu dir que no en cada missatge (LSSI-CE, art. 21).

7. Seguretat

Les protegim amb connexions xifrades, bases de dades a la UE, contrasenyes desades com a empremtes criptogràfiques, límits d’intents i un accés del nostre personal amb doble factor i registrat a l’activitat de l’associació; i el DNI dels socis no es desa complet. Cap sistema no és infal·lible: si mai hi hagués una bretxa de seguretat que us afectés, us n’informaríem com demana la llei.

8. Les dades dels socis de les associacions

• Responsable: cada associació és la responsable de les dades dels seus socis. Treserras Multimèdia SL les tracta per encàrrec seu, com a encarregat del tractament (art. 28 del RGPD): només per prestar el servei i seguint les seves instruccions.
• El contracte: les condicions són a l’encàrrec del tractament, que un administrador de la junta accepta al compte de l’associació (web de la junta → Compte → Protecció de dades). Els administradors el poden llegir al web de la junta.
• Què surt a la fitxa del carnet: el nom, el número de soci, les tres últimes xifres i la lletra del DNI, les zones autoritzades, les matrícules i si el soci està al corrent de la quota. És el que cal perquè qualsevol persona pugui comprovar el carnet. La verificació manual demana el DNI complet, que es compara amb una empremta criptogràfica i no es desa.
• Si comproveu un carnet: la consulta queda registrada per a l’associació (quin carnet, com s’ha comprovat, el resultat, el país i l’hora), sense la vostra adreça IP. Es conserva 13 mesos; després, només en queden els totals per dia.
• Si sou soci: per exercir els vostres drets, adreceu-vos a la vostra associació. Si ens escriviu a nosaltres, li passarem la petició i l’ajudarem a respondre-la.

9. Canvis d’aquesta política

Si canviem aquesta política, ho direm en aquesta pàgina. Si el canvi és important, ho avisarem a les juntes abans que s’apliqui.