Política de privacidad

2. Política de Privacidad

2.1 Marco legal y alcance

Esta Política describe el tratamiento de datos personales realizado a través de CoachFlow y se estructura con referencia a la Ley 81 de 26 de marzo de 2019 sobre Protección de Datos Personales y al Decreto Ejecutivo 285 de 28 de mayo de 2021 que la reglamenta, sin perjuicio de otras normas aplicables.

2.2 Roles de privacidad

Respecto de los datos de alumnos, familias y demás personas que la Academia incorpora para administrar su operación, la Academia determina las finalidades y actúa como responsable del tratamiento. Sportzapp/CoachFlow actúa como proveedor que procesa esos datos por cuenta de la Academia dentro de las funcionalidades contratadas.

Respecto de los datos necesarios para administrar la relación comercial con la Academia —por ejemplo, cuenta, facturación, soporte, seguridad y comunicaciones contractuales— el Proveedor podrá actuar como responsable del tratamiento para esas finalidades propias.

2.3 Categorías de datos

Academia y usuarios autorizados: nombre, correo, teléfono cuando corresponda, rol, academia asociada, datos de cuenta, actividad y registros de seguridad.

Representantes/familias: nombre, teléfono, relación con el estudiante y datos de contacto necesarios.

Estudiantes: nombre, fecha de nacimiento, deporte, grupo, datos de inscripción, contacto de emergencia, asistencia y demás datos necesarios definidos lícitamente por la Academia.

Pagos declarados: monto, fecha, método, referencia y estado administrativo, y la imagen del comprobante cuando una familia decide adjuntarla (es opcional). CoachFlow no debe almacenar credenciales bancarias cuando no procesa el pago.

Datos sensibles de salud: alergias, condiciones o información similar únicamente cuando sea necesaria, opcional y exista autorización expresa y separada.

Preguntas personalizadas: información solicitada por la Academia en su formulario, cuya necesidad y licitud debe evaluar la propia Academia.

Datos técnicos: fecha y hora de accesos, registros de seguridad, dispositivo/navegador y otros datos técnicos razonablemente necesarios para seguridad y funcionamiento. Al aceptar los términos y la política se guarda como prueba la fecha, la versión del texto y la dirección IP desde la que se aceptó. Para limitar el abuso de los formularios públicos se guarda un identificador cifrado (hash) de la dirección IP por un máximo de 2 días.

2.4 Finalidades y bases de licitud

Los datos serán tratados para finalidades determinadas y compatibles con la operación de la Academia y el servicio CoachFlow, incluyendo inscripción, administración de grupos, asistencia, cobros, comunicaciones, soporte, seguridad, prevención de abuso, cumplimiento legal y generación de reportes internos.

La base jurídica aplicable dependerá del tratamiento concreto y puede incluir consentimiento, ejecución de una relación contractual, cumplimiento de una obligación legal u otra condición permitida por la normativa. Cuando el tratamiento dependa del consentimiento, este deberá ser informado, demostrable y revocable sin efecto retroactivo.

2.5 Menores de edad y verificación de autorización

Cuando un estudiante sea menor de edad, la Academia deberá obtener autorización previa de su padre, madre, tutor, acudiente o persona que ejerza legalmente la guarda, crianza o tutela, según corresponda. La Academia y CoachFlow implementarán esfuerzos razonables, considerando la tecnología disponible y el riesgo del tratamiento, para poder acreditar que la autorización fue otorgada por una persona facultada.

CoachFlow registrará evidencia del consentimiento, que podrá incluir: academia, formulario, identidad declarada del representante, relación con el menor, fecha y hora, tipo de consentimiento, versión del texto/política aceptada, método de aceptación y estado de revocación. La Academia no deberá exigir copia o fotografía de un documento de identidad salvo que exista una base jurídica y necesidad proporcional para ello.

2.6 Datos de salud y otros datos sensibles

La información de salud será opcional salvo que exista una razón legítima y necesaria para solicitarla. Cuando se recolecte, se mostrará un consentimiento separado, específico y no premarcado. El acceso deberá limitarse a usuarios que necesiten conocerla para la seguridad del estudiante y no podrá utilizarse para publicidad u otras finalidades incompatibles.

2.7 Destinatarios, proveedores y subencargados

Los datos podrán ser tratados por proveedores tecnológicos estrictamente necesarios para prestar el servicio, tales como alojamiento de base de datos, infraestructura, correo, monitoreo, analítica, soporte y comunicaciones. Actualmente son: Supabase (base de datos, autenticación y almacenamiento de archivos, alojada en Estados Unidos), Vercel (hosting de la aplicación web), Resend (envío de los correos de la cuenta, como confirmación y recuperación de contraseña), Lemon Squeezy (cobro de suscripciones, cuando esté activo), PostHog (analítica de uso del panel de administración, alojada en Estados Unidos) y WhatsApp (solo cuando el administrador de la Academia decide iniciar manualmente un envío).

Actualmente la arquitectura prevista utiliza Supabase como proveedor de infraestructura/base de datos. La región de alojamiento (Estados Unidos, este) ya está definida en la arquitectura técnica del producto.

2.8 Transferencias internacionales

Algunos proveedores pueden procesar o almacenar datos fuera de Panamá. Antes de efectuar una transferencia extrafronteriza, el responsable deberá asegurarse de que exista una condición permitida por la Ley 81 de 2019 y su reglamentación, incluyendo, según corresponda, un nivel de protección equivalente o superior, garantías adecuadas, consentimiento del titular u otra condición legal aplicable.

Cuando la transferencia internacional sea relevante para el consentimiento o deber de información, se informará al titular de manera clara sobre la existencia de la transferencia, sus finalidades y las categorías de destinatarios.

2.9 Conservación, exportación, eliminación y anonimización

Los datos se conservarán únicamente durante el tiempo necesario para las finalidades informadas, la relación con la Academia y las obligaciones legales aplicables. La Academia podrá exportar los datos que le correspondan en formatos disponibles en la plataforma.

Al cancelar una cuenta, se aplicará el período de exportación indicado en los Términos. Después, los datos de producción serán eliminados o anonimizados, salvo obligación legal de conservación. Los datos anonimizados de forma irreversible podrán conservarse para estadísticas y mejora del servicio cuando ya no permitan identificar a una persona. Los respaldos seguirán su ciclo técnico de eliminación de 90 días.

2.10 Derechos de los titulares

Los titulares podrán ejercer los derechos reconocidos por la normativa panameña, incluyendo acceso, rectificación, cancelación y oposición (ARCO), así como revocar el consentimiento cuando corresponda. En los datos administrados por una Academia, la solicitud se presentará inicialmente ante dicha Academia o mediante el canal que CoachFlow habilite para dirigirla al responsable.

CoachFlow facilitará a la Academia herramientas o asistencia razonable para localizar, corregir, exportar, bloquear, anonimizar o eliminar información cuando corresponda. Las solicitudes se documentarán y atenderán dentro de los plazos legales aplicables. El administrador de la Academia puede, además, eliminar un alumno (y, si no quedan más alumnos, su familia) desde la ficha del alumno, o la academia completa y todos sus datos desde Ajustes → «Eliminar mi academia», por sí mismo. Canal de privacidad: sportzapp.soporte@gmail.com.

2.11 Seguridad y confidencialidad

Controles de acceso y permisos según roles.

Aislamiento lógico de los datos entre Academias a nivel de aplicación y/o base de datos.

Cifrado en tránsito mediante protocolos seguros y uso de las capacidades de cifrado del proveedor de infraestructura.

Registro y monitoreo razonable de eventos de seguridad.

Protección de enlaces o tokens privados mediante valores aleatorios, validación del lado servidor, expiración o revocación cuando sea técnicamente aplicable y controles contra abuso.

Principio de mínimo privilegio para personal y usuarios autorizados.

Procedimientos de respaldo, recuperación, gestión de vulnerabilidades e incidentes adecuados al riesgo.

Deber de confidencialidad para personas que intervengan en el tratamiento.

2.12 Incidentes de seguridad

El Proveedor mantendrá un procedimiento interno para identificar, contener, investigar y documentar incidentes de seguridad. Cuando un incidente confirmado afecte datos tratados por cuenta de una Academia, el Proveedor informará a la Academia sin demora indebida y facilitará la información disponible para que cada parte cumpla las obligaciones de notificación que le correspondan conforme a la ley y a las instrucciones de la autoridad competente.

2.13 Comunicaciones y WhatsApp

CoachFlow puede preparar mensajes o facilitar acciones de comunicación. Cuando el administrador inicia un envío a través de WhatsApp u otro servicio externo, el destinatario y determinados datos necesarios para la comunicación pueden ser tratados por ese proveedor. La Academia deberá utilizar estos canales únicamente para finalidades compatibles con la relación existente y respetar las preferencias y consentimientos aplicables.

2.14 Analítica de uso del panel

Para mejorar CoachFlow, medimos de forma agregada cómo se usan las pantallas del panel de administración (por ejemplo, qué secciones se visitan y qué funciones se usan). Para ello usamos PostHog, un proveedor de analítica cuyos servidores están en Estados Unidos. Esta medición se aplica únicamente a las personas que usan el panel de administración (administradores y entrenadores), y no a las páginas públicas que ven las familias. No grabamos la pantalla ni las sesiones, no registramos el contenido que se escribe, ni los nombres, correos o datos de alumnos y familias, ni guardamos la dirección IP. Registramos únicamente el nombre de la página visitada (sin datos personales) y eventos puntuales de uso, asociados a un identificador interno que no revela el nombre ni el correo de la persona. Estos datos se guardan en el navegador (almacenamiento local) para reconocer una misma sesión de uso. La persona puede desactivar la medición activando la opción «No rastrear» de su navegador, o escribiendo a sportzapp.soporte@gmail.com.

2.15 Cambios y contacto

Los cambios materiales de esta Política se comunicarán de forma razonable. Si un cambio implica una nueva finalidad incompatible o requiere un nuevo consentimiento, este se solicitará antes de realizar el tratamiento. Contacto de privacidad: sportzapp.soporte@gmail.com.