Política de privacitat

Última actualització: Agost de 2026

1. Responsable del tractament

• Titular: Carlos Joaquín Navarro Torren (Cereus.dev)
• NIF: 73205447N
• Contacte de privacitat: aloha@ohanapp.es

2. Un doble paper: web i plataforma

D’acord amb el Reglament (UE) 2016/679 (RGPD) i amb la Llei orgànica 3/2018 (LOPDGDD), Ohana intervé en dues posicions diferents que convé entendre:

• Com a responsable del tractament, respecte de les dades que ens facilites a través d’aquest lloc web o per correu electrònic (per exemple, quan demanes informació o una demo).
• Com a encarregat del tractament (art. 28 RGPD), respecte de les dades gestionades dins la plataforma Ohana. En aquest cas, l’entitat (el club, AMPA, associació, fundació o centre) és la responsable de les dades dels seus socis i famílies, i Ohana les tracta exclusivament per compte seu, seguint les seves instruccions i sota un contracte d’encàrrec de tractament.

3. Quines dades tractem

A través d’aquest web

• Dades de contacte que ens enviïs per correu electrònic: nom, correu i el contingut del teu missatge.

A l’app i al portal (per compte de cada entitat)

• Identificatives i de contacte: nom i cognoms, data de naixement, correu electrònic, telèfons, fotografia (opcional) i document d’identitat (DNI/NIF) quan l’entitat el requereix.
• Familiars: composició de la unitat familiar, qui és l’adult responsable de cada menor i la vinculació de cada membre amb l’entitat.
• Adreça postal de la família.
• Dades de salut: les notes mèdiques, al·lèrgies o medicació que decideixis incloure. Són dades de categoria especial (art. 9 RGPD): emplenar-les és voluntari, es guarden xifrades i només es comparteixen amb l’entitat si actives expressament aquest permís, que pots revocar quan vulguis.
• Econòmiques: quotes, rebuts i forma de pagament triada. Si tries domiciliació, l’IBAN i el titular del compte, que es guarden xifrats. Els pagaments amb targeta es processen directament a la passarel·la bancària Redsys: Ohana no emmagatzema en cap cas els números de targeta.
• Camps propis de l’entitat: cada entitat pot definir camps addicionals (per exemple, talla de samarreta o curs escolar). El seu contingut el decideix l’entitat, a la qual prohibim contractualment introduir-hi dades de categories especials.
• D’activitat: inscripcions, assistència, observacions d’inscripció, missatges del xat d’activitats i comunicacions de l’entitat.
• Tècniques i de seguretat: identificador de dispositiu i token de notificacions, sessions obertes, adreça IP i registres d’auditoria de les accions rellevants, i la data, versió i IP amb què vas acceptar les condicions d’ús.

Les dades de menors les aporten i gestionen sempre els seus pares, mares o tutors legals dins l’espai de la seva família. Els menors no creen compte propi ni accedeixen per si mateixos a l’app.

4. Finalitats i bases jurídiques

• Atendre les teves sol·licituds d’informació o demo — base jurídica: aplicació de mesures precontractuals a petició de la persona interessada (art. 6.1.b RGPD) i consentiment (art. 6.1.a).
• Prestar el servei Ohana a les entitats — base jurídica: execució del contracte amb l’entitat (art. 6.1.b) i, respecte de les dades de socis i famílies, l’encàrrec de tractament de l’art. 28 RGPD.
• Tractar dades de salut — base jurídica: el teu consentiment explícit (art. 9.2.a RGPD), que atorgues en activar el permís corresponent i pots retirar en qualsevol moment des de l’app.
• Gestionar cobraments i domiciliacions — base jurídica: execució del contracte entre la família i la seva entitat, i compliment d’obligacions legals comptables i fiscals (art. 6.1.b i 6.1.c).
• Complir obligacions legals (fiscals, comptables, de seguretat) — art. 6.1.c RGPD.
• Mantenir la seguretat de la plataforma i acreditar-ne l’ús correcte — interès legítim (art. 6.1.f RGPD), limitat a registres tècnics i d’auditoria imprescindibles.

5. A qui comuniquem les teves dades: a ningú

No venem, lloguem ni cedim dades personals a tercers. No les fem servir per a publicitat, ni pròpia ni aliena; no les compartim amb «partners comercials»; no elaborem perfils ni prenem decisions automatitzades amb efectes jurídics.

Només intervenen els proveïdors estrictament necessaris perquè el servei funcioni (subencarregats del tractament), sempre sota contracte, amb garanties de l’art. 28 RGPD i sense que puguin fer servir les dades per a finalitats pròpies:

• Plenit — allotjament de servidors, base de dades i arxius, en centres de dades de Madrid (Espanya).
• IONOS — enviament dels correus del servei (verificació, avisos), a la Unió Europea.
• Redsys — passarel·la de pagament bancària per als pagaments amb targeta, a Espanya.
• Google (Firebase Cloud Messaging) — enviament de notificacions push als dispositius.
• Google i Apple — verificació de l’inici de sessió, únicament si tries entrar amb els seus comptes.
• healthchecks.io — avís tècnic que les còpies de seguretat s’han executat, sense dades personals.

Fora d’aquests casos, només comunicarem dades quan una obligació legal ho exigeixi (per exemple, a autoritats competents). Si canviem de proveïdor, actualitzarem aquesta llista i informarem les entitats amb antelació raonable.

6. Transferències internacionals

Els servidors, la base de dades, els arxius i les còpies de seguretat estan allotjats a Espanya. Les úniques transferències fora de l’Espai Econòmic Europeu es poden produir amb Google (notificacions push i inici de sessió) i amb Apple (inici de sessió), i queden emparades en les garanties del capítol V de l’RGPD: el Marc de Privacitat de Dades UE-EUA i, subsidiàriament, les clàusules contractuals tipus aprovades per la Comissió Europea. A aquests serveis només hi viatja allò imprescindible: l’identificador del dispositiu i l’avís que es mostra, o la verificació de l’inici de sessió.

7. Terminis de conservació

Dins la plataforma, els terminis els determina cada entitat com a responsable. Amb caràcter general apliquem els següents:

• Consultes rebudes per aquest web: fins a 1 any des de l’últim contacte.
• Dades de la família: mentre l’entitat mantingui el servei i la família la seva alta. Si sol·licites la baixa del teu compte, l’eliminació es programa amb un termini de 15 dies (que pots revertir tornant a entrar) i, un cop transcorregut, les teves dades personals s’anonimitzen de manera irreversible.
• Rebuts i càrrecs: es conserven per les obligacions comptables i fiscals de l’entitat, amb caràcter general fins a 6 anys.
• Registres d’auditoria i adreces IP: el temps necessari per a la seguretat de la plataforma i per acreditar l’ús correcte del servei.
• Còpies de seguretat: es conserven xifrades durant 30 dies.

En finalitzar la relació amb una entitat, les seves dades se suprimeixen o se li retornen segons les seves instruccions, i es conserven bloquejades únicament les necessàries per atendre responsabilitats legals durant els terminis de prescripció.

8. Els teus drets

Pots exercir en qualsevol moment els teus drets d’accés, rectificació, supressió, oposició, limitació del tractament i portabilitat, així com retirar els consentiments que hagis donat, escrivint a aloha@ohanapp.es i identificant-te degudament. Respondrem en el termini d’un mes, prorrogable dos mesos més si la sol·licitud és complexa, cas en què t’avisarem.

Molts d’aquests drets els pots exercir tu mateix, a l’instant, des de l’app: corregir les dades de la teva família, revocar els permisos de foto, DNI, telèfon o dades de salut, i eliminar el teu compte. Si les dades es tracten dins l’espai d’una entitat, adreçarem la teva sol·licitud a l’entitat responsable o et facilitarem el seu contacte, i col·laborarem amb ella per atendre-la.

També tens dret a presentar una reclamació davant l’Agència Espanyola de Protecció de Dades (www.aepd.es).

9. Seguretat

Apliquem mesures tècniques i organitzatives apropiades (art. 32 RGPD), entre d’altres:

• Xifratge de totes les comunicacions mitjançant TLS.
• Xifratge a la mateixa base de dades (AES-256-GCM) de les dades més sensibles: DNI/NIF, IBAN i titular, dades de salut i textos lliures com les observacions d’inscripció.
• Control d’accés per rols i permisos, autenticació segura i verificació en dos passos disponible.
• Aïllament de les dades de cada entitat i registre d’auditoria de les accions rellevants.
• Eliminació automàtica de les metadades EXIF de les fotografies, inclosa la geolocalització.
• Còpies de seguretat diàries xifrades i pla de recuperació.

Pots llegir-ne més al nostre Compromís de protecció de dades (RGPD).

10. Canvis en aquesta política

Qualsevol modificació d’aquesta política es publicarà en aquesta mateixa pàgina amb indicació de la data d’actualització. Si el canvi fos substancial, ho comunicarem pels canals habituals de la plataforma.

Traducció de cortesia. En cas de discrepància preval la versió en espanyol.