Privacidad de la app EnaJoin

Cuando inscribís a un menor en una actividad en app.enajoin.enacast.com, el responsable del tratamiento es el ayuntamiento que organiza la actividad (su nombre aparece en la página del catálogo). Si hacéis inscripciones en actividades de más de un ayuntamiento, cada uno es responsable de las suyas.

En Antena Produccions SL (NIF B62608229), la empresa que ofrece EnaJoin, es la encargada del tratamiento (art. 28 RGPD): gestiona la aplicación por cuenta del ayuntamiento, de acuerdo con un contrato de encargo, y no usa los datos para nada más. Contacto: hola@enacast.com.

Del tutor o tutora: nombre, correo electrónico, teléfono (si lo dais), idioma preferido y la contraseña (guardada solo como resumen bcrypt, nunca en claro).

De cada menor: nombre, fecha de nacimiento, necesidades de apoyo y el consentimiento de derechos de imagen (sí o no).

Datos de salud del menor: la información médica y las alergias que los monitores deben conocer. Es una categoría especial de datos (art. 9 RGPD): solo se guardan si marcáis la casilla de consentimiento explícito, que está aparte del resto, y solo hace falta escribir lo que los monitores necesitan saber.

De la inscripción: actividad y turno, hora exacta de la solicitud (para el orden de llegada), estado, posición en la lista de espera, bonificación solicitada y el documento justificativo que subís (volante de empadronamiento o título de familia numerosa).

Del pago: importe, referencia de la operación y estado. El pago se hace en la página de Redsys del banco del ayuntamiento: EnaJoin no ve ni guarda ningún dato de tarjeta.

Datos técnicos: la dirección IP de conexión, para limitar los intentos de inicio de sesión y para proteger el alta contra robots (por ejemplo, comprobando si es un nodo de salida de Tor), y los registros técnicos del servidor.

Verificación contra robots (Cloudflare Turnstile): para distinguir a las personas de los robots y evitar envíos automatizados y abusos, los formularios de alta, de inicio de sesión y de restablecimiento de contraseña (y el inicio de sesión del personal municipal) usan Cloudflare Turnstile, un servicio de seguridad de Cloudflare, Inc. Cuando abrís uno de esos formularios, Cloudflare trata la dirección IP y datos técnicos del navegador y del dispositivo (como el agente de usuario y la huella TLS). No guarda ninguna cookie en nuestros dominios.

Gestionar la inscripción, la lista de espera, las bonificaciones y el pago, y enviaros los correos del servicio (confirmaciones, promociones de la lista de espera, restablecimiento de contraseña). Base legal: el ejercicio de las competencias municipales en la prestación del servicio (art. 6.1.e RGPD) y la relación que establecéis al inscribiros (art. 6.1.b RGPD).

Informar a los monitores de la salud y las alergias del menor, para atenderlo con seguridad. Base legal: vuestro consentimiento explícito (art. 9.2.a RGPD), que podéis retirar en cualquier momento editando la ficha del menor.

Derechos de imagen: vuestra decisión consta en la lista de los monitores. Base legal: vuestro consentimiento (art. 6.1.a RGPD).

Seguridad del servicio (limitación de intentos, verificación contra robots con Cloudflare Turnstile, registros técnicos). Base legal: son medidas de seguridad necesarias para prestar el servicio y proteger los datos (art. 32 RGPD), dentro de la misma base que el servicio (art. 6.1.e RGPD).

No se toma ninguna decisión automatizada sobre las personas: la asignación de plazas sigue el orden de llegada, y las bonificaciones las revisa el personal municipal.

Vosotros, en vuestra cuenta, y el personal autenticado del ayuntamiento que organiza la actividad. Los monitores reciben la lista impresa del turno, no acceso a la aplicación.

Proveedores de En Antena (subencargados), que tratan los datos solo para prestar el servicio:

· OVH (alojamiento de la aplicación, de la base de datos y de los documentos), en un centro de datos en Fráncfort (Alemania).

· Resend, Inc. (envío de los correos del servicio), empresa de Estados Unidos adherida al Marco de privacidad de datos UE-EE. UU.

· Backblaze, Inc. (copias de seguridad diarias de la base de datos), en una región de Estados Unidos. Es una transferencia internacional de datos: la estamos revisando, junto con el mecanismo que la ampara (cláusulas contractuales tipo de la Comisión Europea o el Marco de privacidad de datos UE-EE. UU.), y nuestro objetivo es guardar estas copias dentro de la UE.

· Cloudflare, Inc. (verificación Turnstile contra robots en los formularios de alta, de inicio de sesión y de restablecimiento de contraseña): trata la dirección IP y datos técnicos del navegador. Actúa como encargado y, cuando usa esas señales para mejorar su detección de robots, como responsable independiente; puede tratar los datos fuera de la Unión Europea de acuerdo con sus condiciones de tratamiento de datos. Más información: anexo de privacidad de Turnstile.

También contamos las visitas a la aplicación con Umami, una herramienta de analítica sin cookies que alojamos nosotros mismos en un servidor en Austria y que solo nos da cifras agregadas.

Las páginas públicas del catálogo no ponen ninguna cookie: el idioma elegido se guarda en la dirección o en el almacenamiento del navegador. Cuando iniciáis sesión, la aplicación pone una única cookie de sesión, estrictamente necesaria para manteneros identificados, que se borra cuando cerráis la sesión o caduca. La verificación contra robots de Cloudflare Turnstile de los formularios de alta, de inicio de sesión y de restablecimiento de contraseña no guarda ninguna cookie en nuestros dominios. No usamos cookies de publicidad ni de seguimiento.

Cuenta y menores: hasta que los borréis vosotros desde la aplicación (podéis borrar a cada menor o la cuenta entera).

Inscripciones pagadas: cuando borráis la cuenta, las inscripciones ya pagadas se conservan anonimizadas, sin vuestro nombre ni el del menor, para que el ayuntamiento pueda justificar los cobros en su contabilidad.

Documentos de bonificación: hoy se conservan en el servidor hasta que se pide su supresión; el borrado automático al acabar la temporada está en la hoja de ruta. Podéis pedir su supresión al ayuntamiento o a nosotros.

Copias de seguridad: se hace una copia diaria de la base de datos y se guardan las 14 más recientes, de modo que un dato borrado puede permanecer en esas copias hasta unas dos semanas.

Podéis consultar y corregir vuestros datos y los de los menores desde la aplicación, y también borrarlos: cada menor por separado o la cuenta entera.

Para ejercer cualquier otro derecho (acceso, rectificación, supresión, limitación, portabilidad, oposición o retirada del consentimiento), dirigíos al ayuntamiento que organiza la actividad. También podéis escribirnos a hola@enacast.com: os ayudaremos y, si hace falta, pasaremos la solicitud al ayuntamiento.

Si consideráis que no se han tratado bien vuestros datos, podéis reclamar ante la Autoritat Catalana de Protecció de Dades (apdcat.gencat.cat), si el ayuntamiento es de Cataluña, o ante la Agencia Española de Protección de Datos (aepd.es).

La cuenta familiar la debe crear una persona adulta que sea tutora legal de los menores que añade. Los menores no tienen cuenta propia.