Política de privacidad

Última actualización: Agosto de 2026

1. Responsable del tratamiento

• Titular: Carlos Joaquín Navarro Torren (Cereus.dev)
• NIF: 73205447N
• Contacto de privacidad: aloha@ohanapp.es

2. Un doble papel: web y plataforma

Conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), Ohana interviene en dos posiciones distintas que conviene entender:

• Como responsable del tratamiento, respecto de los datos que nos facilitas a través de este sitio web o por correo electrónico (por ejemplo, al solicitar información o una demo).
• Como encargado del tratamiento (art. 28 RGPD), respecto de los datos gestionados dentro de la plataforma Ohana. En este caso, la entidad (el club, AMPA, asociación, fundación o centro) es la responsable de los datos de sus socios y familias, y Ohana los trata exclusivamente por cuenta de ella, siguiendo sus instrucciones y bajo un contrato de encargo de tratamiento.

3. Qué datos tratamos

A través de esta web

• Datos de contacto que nos envíes por correo electrónico: nombre, email y el contenido de tu mensaje.

En la app y el portal (por cuenta de cada entidad)

• Identificativos y de contacto: nombre y apellidos, fecha de nacimiento, correo electrónico, teléfonos, fotografía (opcional) y documento de identidad (DNI/NIF) cuando la entidad lo requiere.
• Familiares: composición de la unidad familiar, quién es el adulto responsable de cada menor y la vinculación de cada miembro con la entidad.
• Dirección postal de la familia.
• Datos de salud: las notas médicas, alergias o medicación que decidas incluir. Son datos de categoría especial (art. 9 RGPD): su cumplimentación es voluntaria, se guardan cifrados y solo se comparten con la entidad si activas expresamente ese permiso, que puedes revocar cuando quieras.
• Económicos: cuotas, recibos y forma de pago elegida. Si eliges domiciliación, el IBAN y el titular de la cuenta, que se guardan cifrados. Los pagos con tarjeta se procesan directamente en la pasarela bancaria Redsys: Ohana no almacena en ningún caso los números de tarjeta.
• Campos propios de la entidad: cada entidad puede definir campos adicionales (por ejemplo, talla de camiseta o curso escolar). Su contenido lo decide la entidad, a la que prohibimos contractualmente introducir ahí datos de categorías especiales.
• De actividad: inscripciones, asistencia, observaciones de inscripción, mensajes del chat de actividades y comunicaciones de la entidad.
• Técnicos y de seguridad: identificador de dispositivo y token de notificaciones, sesiones abiertas, dirección IP y registros de auditoría de las acciones relevantes, y la fecha, versión e IP con que aceptaste las condiciones de uso.

Los datos de menores los aportan y gestionan siempre sus padres, madres o tutores legales dentro del espacio de su familia. Los menores no crean cuenta propia ni acceden por sí mismos a la app.

4. Finalidades y bases jurídicas

• Atender tus solicitudes de información o demo — base jurídica: aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD) y consentimiento (art. 6.1.a).
• Prestar el servicio Ohana a las entidades — base jurídica: ejecución del contrato con la entidad (art. 6.1.b) y, respecto de los datos de socios y familias, el encargo de tratamiento del art. 28 RGPD.
• Tratar datos de salud — base jurídica: tu consentimiento explícito (art. 9.2.a RGPD), que otorgas al activar el permiso correspondiente y puedes retirar en cualquier momento desde la app.
• Gestionar cobros y domiciliaciones — base jurídica: ejecución del contrato entre la familia y su entidad, y cumplimiento de obligaciones legales contables y fiscales (art. 6.1.b y 6.1.c).
• Cumplir obligaciones legales (fiscales, contables, de seguridad) — art. 6.1.c RGPD.
• Mantener la seguridad de la plataforma y acreditar el uso correcto — interés legítimo (art. 6.1.f RGPD), limitado a registros técnicos y de auditoría imprescindibles.

5. A quién comunicamos tus datos: a nadie

No vendemos, alquilamos ni cedemos datos personales a terceros. No los usamos para publicidad, ni propia ni ajena; no los compartimos con «partners comerciales»; no elaboramos perfiles ni tomamos decisiones automatizadas con efectos jurídicos.

Únicamente intervienen los proveedores estrictamente necesarios para que el servicio funcione (subencargados del tratamiento), siempre bajo contrato, con garantías del art. 28 RGPD y sin que puedan usar los datos para fines propios:

• Plenit — alojamiento de servidores, base de datos y archivos, en centros de datos de Madrid (España).
• IONOS — envío de los correos del servicio (verificación, avisos), en la Unión Europea.
• Redsys — pasarela de pago bancaria para los pagos con tarjeta, en España.
• Google (Firebase Cloud Messaging) — envío de notificaciones push a los dispositivos.
• Google y Apple — verificación del inicio de sesión, únicamente si eliges entrar con sus cuentas.
• healthchecks.io — aviso técnico de que las copias de seguridad se han ejecutado, sin datos personales.

Fuera de estos casos, solo comunicaremos datos cuando una obligación legal lo exija (por ejemplo, a autoridades competentes). Si cambiamos de proveedor, actualizaremos esta lista e informaremos a las entidades con antelación razonable.

6. Transferencias internacionales

Los servidores, la base de datos, los archivos y las copias de seguridad están alojados en España. Las únicas transferencias fuera del Espacio Económico Europeo pueden producirse con Google (notificaciones push e inicio de sesión) y con Apple (inicio de sesión), y quedan amparadas en las garantías del Capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU. y, subsidiariamente, las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. A esos servicios solo viaja lo imprescindible: el identificador del dispositivo y el aviso que se muestra, o la verificación del inicio de sesión.

7. Plazos de conservación

Dentro de la plataforma, los plazos los determina cada entidad como responsable. Con carácter general aplicamos los siguientes:

• Consultas recibidas por esta web: hasta 1 año desde el último contacto.
• Datos de la familia: mientras la entidad mantenga el servicio y la familia su alta. Si solicitas la baja de tu cuenta, se programa la eliminación con un plazo de 15 días (que puedes revertir volviendo a entrar) y, transcurrido, tus datos personales se anonimizan de forma irreversible.
• Recibos y cargos: se conservan por las obligaciones contables y fiscales de la entidad, con carácter general hasta 6 años.
• Registros de auditoría y direcciones IP: el tiempo necesario para la seguridad de la plataforma y para acreditar el uso correcto del servicio.
• Copias de seguridad: se conservan cifradas durante 30 días.

Al finalizar la relación con una entidad, sus datos se suprimen o se le devuelven según sus instrucciones, conservándose bloqueados únicamente los necesarios para atender responsabilidades legales durante los plazos de prescripción.

8. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar los consentimientos que hayas dado, escribiendo a aloha@ohanapp.es e identificándote debidamente. Responderemos en el plazo de un mes, prorrogable por dos meses más si la solicitud es compleja, en cuyo caso te avisaremos.

Muchos de estos derechos puedes ejercerlos tú mismo, al instante, desde la app: corregir los datos de tu familia, revocar los permisos de foto, DNI, teléfono o datos de salud, y eliminar tu cuenta. Si los datos se tratan dentro del espacio de una entidad, dirigiremos tu solicitud a la entidad responsable o te facilitaremos su contacto, y colaboraremos con ella para atenderla.

También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas (art. 32 RGPD), entre otras:

• Cifrado de todas las comunicaciones mediante TLS.
• Cifrado en la propia base de datos (AES-256-GCM) de los datos más sensibles: DNI/NIF, IBAN y titular, datos de salud y textos libres como las observaciones de inscripción.
• Control de acceso por roles y permisos, autenticación segura y verificación en dos pasos disponible.
• Aislamiento de los datos de cada entidad y registro de auditoría de las acciones relevantes.
• Eliminación automática de los metadatos EXIF de las fotografías, incluida la geolocalización.
• Copias de seguridad diarias cifradas y plan de recuperación.

Puedes leer más en nuestro Compromiso de protección de datos (RGPD).

10. Cambios en esta política

Cualquier modificación de esta política se publicará en esta misma página con indicación de la fecha de actualización. Si el cambio fuera sustancial, lo comunicaremos por los canales habituales de la plataforma.