Privacitat de l’app EnaJoin

Quan inscriviu un infant a una activitat a app.enajoin.enacast.com, el responsable del tractament és l’ajuntament que organitza l’activitat (el nom apareix a la pàgina del catàleg). Si feu inscripcions a activitats de més d’un ajuntament, cadascun és responsable de les seves.

En Antena Produccions SL (NIF B62608229), l’empresa que ofereix EnaJoin, és l’encarregada del tractament (art. 28 RGPD): gestiona l’aplicació per compte de l’ajuntament, d’acord amb un contracte d’encàrrec, i no fa servir les dades per a res més. Contacte: hola@enacast.com.

Del tutor o tutora: nom, correu electrònic, telèfon (si el doneu), llengua preferida i la contrasenya (desada només com a resum bcrypt, mai en clar).

De cada infant: nom, data de naixement, necessitats de suport i el consentiment de drets d’imatge (sí o no).

Dades de salut de l’infant: la informació mèdica i les al·lèrgies que els monitors han de conèixer. És una categoria especial de dades (art. 9 RGPD): només es desen si marqueu la casella de consentiment explícit, que és a part de la resta, i només cal escriure-hi el que els monitors necessiten saber.

De la inscripció: activitat i torn, hora exacta de la sol·licitud (per a l’ordre d’arribada), estat, posició a la llista d’espera, bonificació demanada i el document justificatiu que pugeu (volant d’empadronament o títol de família nombrosa).

Del pagament: import, referència de l’operació i estat. El pagament es fa a la pàgina de Redsys del banc de l’ajuntament: EnaJoin no veu ni desa cap dada de targeta.

Dades tècniques: l’adreça IP de connexió, per limitar els intents d’inici de sessió i per protegir l’alta contra robots (per exemple, comprovant si és un node de sortida de Tor), i els registres tècnics del servidor.

Verificació contra robots (Cloudflare Turnstile): per distingir les persones dels robots i evitar enviaments automatitzats i abusos, els formularis d’alta, d’inici de sessió i de restabliment de contrasenya (i l’inici de sessió del personal municipal) fan servir Cloudflare Turnstile, un servei de seguretat de Cloudflare, Inc. Quan obriu un d’aquests formularis, Cloudflare tracta l’adreça IP i dades tècniques del navegador i del dispositiu (com l’agent d’usuari i l’empremta TLS). No desa cap galeta als nostres dominis.

Gestionar la inscripció, la llista d’espera, les bonificacions i el pagament, i enviar-vos els correus del servei (confirmacions, promocions de la llista d’espera, restabliment de contrasenya). Base legal: l’exercici de les competències municipals en la prestació del servei (art. 6.1.e RGPD) i la relació que establiu en inscriure-us (art. 6.1.b RGPD).

Informar els monitors de la salut i les al·lèrgies de l’infant, per atendre’l amb seguretat. Base legal: el vostre consentiment explícit (art. 9.2.a RGPD), que podeu retirar en qualsevol moment editant la fitxa de l’infant.

Drets d’imatge: la vostra decisió consta a la llista dels monitors. Base legal: el vostre consentiment (art. 6.1.a RGPD).

Seguretat del servei (limitació d’intents, verificació contra robots amb Cloudflare Turnstile, registres tècnics). Base legal: són mesures de seguretat necessàries per prestar el servei i protegir les dades (art. 32 RGPD), dins la mateixa base que el servei (art. 6.1.e RGPD).

No es pren cap decisió automatitzada sobre les persones: l’assignació de places segueix l’ordre d’arribada, i les bonificacions les revisa el personal municipal.

Vosaltres, al vostre compte, i el personal autenticat de l’ajuntament que organitza l’activitat. Els monitors reben la llista impresa del torn, no accés a l’aplicació.

Proveïdors d’En Antena (subencarregats), que tracten les dades només per prestar el servei:

· OVH (allotjament de l’aplicació, de la base de dades i dels documents), en un centre de dades a Frankfurt (Alemanya).

· Resend, Inc. (enviament dels correus del servei), empresa dels Estats Units adherida al Marc de privacitat de dades UE-EUA.

· Backblaze, Inc. (còpies de seguretat diàries de la base de dades), en una regió dels Estats Units. És una transferència internacional de dades: l’estem revisant, amb el mecanisme que l’empara (clàusules contractuals tipus de la Comissió Europea o el Marc de privacitat de dades UE-EUA), i el nostre objectiu és guardar aquestes còpies dins de la UE.

· Cloudflare, Inc. (verificació Turnstile contra robots als formularis d’alta, d’inici de sessió i de restabliment de contrasenya): tracta l’adreça IP i dades tècniques del navegador. Hi actua com a encarregat i, quan fa servir aquests senyals per millorar la seva detecció de robots, com a responsable independent; pot tractar les dades fora de la Unió Europea d’acord amb les seves condicions de tractament de dades. Més informació: annex de privacitat de Turnstile.

També comptem les visites a l’aplicació amb Umami, una eina d’analítica sense galetes que allotgem nosaltres mateixos en un servidor a Àustria i que només ens dona xifres agregades.

Les pàgines públiques del catàleg no posen cap galeta: la llengua triada es desa a l’adreça o a l’emmagatzematge del navegador. Quan inicieu sessió, l’aplicació posa una única galeta de sessió, estrictament necessària per mantenir-vos identificats, que s’esborra quan tanqueu la sessió o caduca. La verificació contra robots de Cloudflare Turnstile dels formularis d’alta, d’inici de sessió i de restabliment de contrasenya no desa cap galeta als nostres dominis. No fem servir galetes de publicitat ni de seguiment.

Compte i infants: fins que els esborreu vosaltres des de l’aplicació (podeu esborrar cada infant o el compte sencer).

Inscripcions pagades: quan esborreu el compte, les inscripcions ja pagades es conserven anonimitzades, sense el vostre nom ni el de l’infant, perquè l’ajuntament pugui justificar els cobraments a la seva comptabilitat.

Documents de bonificació: avui es conserven al servidor fins que se’n demana la supressió; l’esborrat automàtic en acabar la temporada és al full de ruta. Podeu demanar-ne la supressió a l’ajuntament o a nosaltres.

Còpies de seguretat: es fa una còpia diària de la base de dades i se’n guarden les 14 més recents, de manera que una dada esborrada pot romandre en aquestes còpies fins a unes dues setmanes.

Podeu consultar i corregir les vostres dades i les dels infants des de l’aplicació, i també esborrar-les: cada infant per separat o el compte sencer.

Per exercir qualsevol altre dret (accés, rectificació, supressió, limitació, portabilitat, oposició o retirada del consentiment), adreceu-vos a l’ajuntament que organitza l’activitat. També ens podeu escriure a hola@enacast.com: us ajudarem i, si cal, passarem la sol·licitud a l’ajuntament.

Si considereu que no s’han tractat bé les vostres dades, podeu reclamar a l’Autoritat Catalana de Protecció de Dades (apdcat.gencat.cat), si l’ajuntament és de Catalunya, o a l’Agència Espanyola de Protecció de Dades (aepd.es).

El compte familiar l’ha de crear una persona adulta que sigui tutora legal dels infants que hi afegeix. Els infants no tenen compte propi.