Política de privacidad

Esta política desarrolla la información exigida por el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

• Identidad: Federación Estatal de Organizaciones Empresariales de Ocio Educativo y Animación Sociocultural (FOESC).
• CIF: G85878627.
• Domicilio: Av. Felipe II, núm. 18, 28009 Madrid, España.
• Email de privacidad: gerencia@foesc.org y secretaria@foesc.org.

2. Qué canales existen y qué datos se obtienen

La web incluye un boletín de suscripción voluntaria, un área privada para entidades federadas y un backoffice para personas autorizadas por FOESC. No utiliza analítica ni publicidad comportamental. El contacto general se realiza por correo electrónico; abrir un enlace mailto no remite información hasta que la persona envía el mensaje.

• Contactos y solicitudes: nombre, datos profesionales o de representación, email, teléfono y contenido de la comunicación que la persona decida facilitar.
• Admisión y relación asociativa: datos identificativos y de contacto de representantes, información de la entidad, acreditación de facultades y documentación necesaria para tramitar el alta y gestionar la relación.
• Cuentas de entidades federadas: nombre, correo profesional, organización representada, estado de la cuenta y nivel de acceso nominal —estándar o Junta Directiva—. Una entidad puede tener varias personas usuarias, cada una con credenciales propias.
• Repositorio privado: documento consultado, persona y entidad que acceden, tipo de acceso y fecha y hora. FOESC no incorpora la dirección IP a este registro funcional de entrega.
• Boletín: nombre, correo electrónico, entidad opcional, segmento de suscripción, idioma, estado de confirmación y evidencias de solicitud, confirmación y baja. La suscripción solo se activa después de confirmar el enlace de doble opt-in.
• Personas usuarias internas: nombre, correo profesional, permisos, estado, accesos administrativos y factores de autenticación. Las claves TOTP y contraseñas no son visibles para FOESC.
• Navegación: la infraestructura de alojamiento puede generar registros técnicos de petición, como dirección IP, fecha, recurso solicitado, agente de usuario e información de seguridad. Estos registros no se utilizan para crear perfiles publicitarios.
• Consultas sobre el convenio: el texto preparado en la herramienta permanece en el navegador y FOESC no lo recibe, almacena ni transmite. Al pulsar el acceso externo puede copiarse al portapapeles y se abre NotebookLM; solo se comunica a Google si la persona lo pega y lo envía dentro de ese servicio.

Los datos proceden directamente de la persona interesada, de la entidad a la que representa o, en el caso de los registros técnicos, del dispositivo y la conexión utilizados para acceder al sitio.

3. Finalidades y bases jurídicas

• Responder consultas y mantener comunicaciones institucionales: interés legítimo de FOESC en atender a las personas y entidades que se dirigen a la Federación, ponderado con sus expectativas razonables (art. 6.1.f RGPD).
• Gestionar una solicitud de adhesión y la relación con una entidad miembro: aplicación de medidas precontractuales a petición de la entidad y ejecución de la relación asociativa (art. 6.1.b RGPD).
• Prestar el área privada y administrar sus cuentas: ejecución de la relación con la entidad federada e interés legítimo de ambas partes en identificar a sus representantes autorizados (arts. 6.1.b y 6.1.f RGPD).
• Acreditar el acceso a circulares y documentos internos: interés legítimo de FOESC y de sus miembros en resolver incidencias de entrega, mantener la trazabilidad mínima y defender posibles reclamaciones (art. 6.1.f RGPD). No se emplea para perfilar ni evaluar el rendimiento de las personas.
• Gestionar gobierno, contabilidad, fiscalidad, archivo y requerimientos públicos: cumplimiento de obligaciones legales aplicables a FOESC (art. 6.1.c RGPD).
• Prevenir abusos y proteger la web: interés legítimo en garantizar la disponibilidad, integridad y seguridad del servicio (art. 6.1.f RGPD).
• Enviar el boletín sectorial solicitado: consentimiento expreso, separable y acreditable (art. 6.1.a RGPD). La casilla no está premarcada, se exige confirmación por correo y cada envío incluye una baja directa. Retirar el consentimiento no afecta a la licitud del tratamiento anterior.

4. Datos necesarios y principio de minimización

FOESC solicita únicamente la información adecuada para cada gestión. No deben enviarse por email datos especialmente sensibles ni documentos de identidad salvo que sean imprescindibles y se soliciten expresamente por un canal adecuado. La falta de los datos estrictamente necesarios puede impedir responder o tramitar una solicitud, pero no afecta a la navegación pública.

5. Conservación

• Las consultas se conservan mientras se atienden y, después, durante el tiempo necesario para acreditar la comunicación o atender posibles responsabilidades.
• La documentación de admisión se conserva durante la tramitación. Si se establece la relación, se mantiene mientras esta continúe y, posteriormente, bloqueada durante los plazos legales exigibles.
• Las cuentas y concesiones de acceso se mantienen mientras la persona represente a una entidad federada o tenga una función interna. Al revocarse, la cuenta se bloquea y los datos se suprimen o quedan limitados cuando termina el plazo necesario para responsabilidades.
• Los registros de acceso a documentos se conservan mientras la entidad siga federada, conforme a la regla de archivo interno acordada por FOESC. Al finalizar la relación se revisan, bloquean y suprimen o anonimizan cuando ya no sean necesarios para obligaciones o reclamaciones.
• Los datos del boletín se tratan hasta la baja. Después se conserva una evidencia mínima de consentimiento y revocación durante el plazo en que puedan exigirse responsabilidades, sin seguir enviando comunicaciones.
• Los registros técnicos se mantienen durante el periodo mínimo configurado para seguridad, diagnóstico y defensa frente a abusos, y se eliminan o agregan cuando dejan de ser necesarios.
• Los datos tratados por obligación legal se conservan durante los plazos previstos en la normativa aplicable.

6. Destinatarios y encargados

Acceden a los datos las personas autorizadas por FOESC que necesitan conocerlos para la gestión correspondiente. Intervienen como encargados los proveedores contratados de alojamiento, base de datos y autenticación, almacenamiento, soporte y envío de correo. FOESC debe formalizar con cada uno las condiciones del artículo 28 RGPD y limitar sus accesos a la finalidad contratada. Los datos se comunicarán a administraciones, juzgados u otras autoridades únicamente cuando exista obligación o habilitación legal. FOESC no vende datos personales ni usa los contactos del área privada para el boletín sin una base independiente.

7. Alojamiento, registros técnicos y transferencias

La web se aloja en Vercel y las funciones con datos de cuentas se conectan a un proyecto de Supabase configurado por FOESC en una región de la Unión Europea. Ambos proveedores publican anexos de tratamiento y medidas de seguridad. FOESC mantiene separados los entornos de desarrollo y producción y no incorpora claves administrativas al navegador.

La herramienta de consultas sobre el convenio no incrusta NotebookLM ni carga contenido, cookies o rastreadores de Google dentro de foesc.org. El acceso se realiza mediante un enlace voluntario a un servicio externo, que puede exigir una cuenta de Google y se rige por sus propias condiciones y política de privacidad. No deben introducirse datos personales, confidenciales o especialmente protegidos en la consulta.

Algunos proveedores o subencargados pueden tratar datos desde fuera del Espacio Económico Europeo. Antes de activarlos, FOESC debe verificar la garantía aplicable del capítulo V RGPD —como una decisión de adecuación o cláusulas contractuales tipo— y documentar la evaluación correspondiente. La traducción automática se limita a contenido editorial público y no debe recibir datos de suscriptores, cuentas o documentos privados.

8. Derechos de las personas

Cualquier persona puede solicitar acceso, rectificación, supresión, oposición, limitación o portabilidad, así como retirar un consentimiento sin que ello afecte a tratamientos anteriores. Para ejercer un derecho, basta con escribir a gerencia@foesc.org o secretaria@foesc.org, describir la solicitud e indicar un medio de respuesta.

No se exige una copia del DNI de forma general. Solo si existen dudas razonables sobre la identidad, FOESC solicitará la información adicional estrictamente necesaria para confirmarla, de forma proporcionada. Puede ocultarse cualquier dato del documento que no sea necesario.

9. Reclamaciones

Si una persona considera que sus datos no se han tratado correctamente, puede contactar primero con FOESC y, en todo caso, presentar una reclamación ante la Agencia Española de Protección de Datos, autoridad de control competente en España.

10. Seguridad y decisiones automatizadas

FOESC aplica medidas técnicas y organizativas proporcionadas al riesgo, entre ellas transmisión cifrada mediante HTTPS, control de accesos, actualización de dependencias y minimización de la información publicada. No se adoptan decisiones con efectos jurídicos basadas únicamente en tratamientos automatizados ni se elaboran perfiles de quienes visitan la web.

11. Cambios en esta política

La política se revisa cuando cambian los tratamientos, proveedores o requisitos legales. La fecha que figura al inicio permite identificar la versión aplicable.

12. Referencias normativas y técnicas

• Reglamento (UE) 2016/679 — texto oficial en EUR-Lex
• AEPD — protección de datos por defecto
• Vercel — anexo de tratamiento de datos
• Supabase — anexo de tratamiento de datos