Versión ampliada. Este documento añade a la versión básica (documento 03) referencias a considerandos del RGPD, directrices del CEPD, resoluciones de la AEPD y jurisprudencia del TJUE y del Tribunal Supremo que refuerzan la fundamentación jurídica.
1. Responsable del Tratamiento
Conforme al art. 4.7 RGPD, el Responsable es la persona física o jurídica que determina los fines y medios del tratamiento. En Cloud Alfa:
Responsable del servicio: [RAZÓN SOCIAL COMPLETA] para los datos de cuenta, facturación y uso del servicio.
Encargado del tratamiento: [RAZÓN SOCIAL COMPLETA] para los datos operativos del tenant cuando el cliente es un club o armería.
Considerando 74 RGPD: "Debe establecerse la responsabilidad general del responsable del tratamiento por cualquier tratamiento de datos personales que este realice por sí mismo o por cuenta de otro." Este considerando fundamenta la doble naturaleza (responsable/encargado) según el tipo de dato.
2. Ámbito de aplicación
Esta Política se aplica al tratamiento de datos personales realizado en el marco del servicio Cloud Alfa, incluyendo la aplicación web, la API y los servicios asociados. Se apoya en:
Art. 3 RGPD (ámbito territorial).
Art. 2 LOPDGDD (ámbito de aplicación).
Considerandos 22-25 RGPD sobre ámbito material.
3. Principios aplicables
El tratamiento se rige por los principios del artículo 5 del RGPD. Cada uno de ellos se ha desarrollado por la jurisprudencia del TJUE:
3.1. Licitud, lealtad y transparencia
STJUE de 11 de diciembre de 2019, As. C-708/18 (TK): el principio de transparencia exige que el interesado pueda comprender fácilmente el tratamiento.
STJUE de 1 de octubre de 2019, As. C-673/17 (Planet49): el consentimiento debe ser específico e informado.
3.2. Limitación de la finalidad
STJUE de 16 de enero de 2019, As. C-496/17: la finalidad debe ser determinada, explícita y legítima.
Considerando 50 RGPD: la compatibilidad de finalidades ulteriores se evalúa caso por caso.
3.3. Minimización de datos
STJUE de 22 de junio de 2021, As. C-439/19: la minimización exige que los datos sean adecuados, pertinentes y limitados a lo necesario.
3.4. Exactitud
Art. 5.1.d RGPD: los datos inexactos deben rectificarse o suprimirse sin dilación.
3.5. Limitación del plazo de conservación
STJUE de 13 de mayo de 2014, As. C-131/12 (Google Spain): el derecho al olvido deriva de la limitación del plazo de conservación.
3.6. Integridad y confidencialidad
Art. 32 RGPD: obligación de aplicar medidas técnicas y organizativas apropiadas.
3.7. Responsabilidad proactiva
Art. 5.2 RGPD: el responsable debe ser capaz de demostrar el cumplimiento.
Considerando 74 RGPD: la responsabilidad proactiva es un principio fundamental del nuevo marco.
4. Datos tratados y finalidades
Categoría
Datos
Finalidad
Base jurídica
Identificativos de cuenta
Nombre, email, teléfono, contraseña (hash)
Registro, autenticación, soporte
Ejecución de contrato (art. 6.1.b RGPD)
Facturación
Razón social, NIF, dirección fiscal, método de pago (tokenizado)
Facturación y obligaciones fiscales
Obligación legal (art. 6.1.c)
Operativos del tenant
Armas, cupos, libro de tiro, recarga, socios, inventario, fotos, documentos
Prestación del servicio
Ejecución de contrato (art. 6.1.b)
Logs de acceso
IP, user-agent, fecha/hora, acciones
Seguridad, auditoría, prevención de fraude
Interés legítimo (art. 6.1.f) y obligación legal
Comunicaciones
Emails, tickets de soporte
Atención al usuario
Ejecución de contrato
Marketing
Email, preferencias
Comunicaciones comerciales
Consentimiento (art. 6.1.a) o interés legítimo con opt-out
Doctrina AEPD. En sus directrices sobre base jurídica (2023), la AEPD recuerda que el interés legítimo requiere una ponderación documentada entre el interés del responsable y los derechos del interesado. Se recomienda realizar y documentar un test de ponderación (LIA, Legitimate Interest Assessment) para cada tratamiento basado en art. 6.1.f.
5. Datos especialmente protegidos
El servicio Cloud no está diseñado para tratar categorías especiales de datos (art. 9 RGPD). Se aplica la siguiente doctrina:
STJUE de 6 de octubre de 2015, As. C-201/14 (Smaranda Bara): el tratamiento de datos sensibles requiere base jurídica específica.
Considerando 51 RGPD: los datos sensibles deben tratarse con especial cautela.
Guía AEPD sobre categorías especiales (actualizada).
Si por la naturaleza de la actividad (p. ej., federaciones deportivas con datos de salud de deportistas) fuera necesario tratarlos, se requerirá base jurídica específica (art. 9.2) y acuerdo expreso con el Prestador.
6. Plazos de conservación
Datos de cuenta: mientras la cuenta esté activa y, tras su baja, 5 años por prescripción de acciones (art. 1964 CC).
Datos de facturación: 5 años conforme a normativa fiscal y contable (Ley 58/2003, Código de Comercio).
Datos operativos del tenant: mientras el contrato esté vigente y 30 días tras la baja, salvo instrucción del Responsable.
Logs de seguridad: mínimo 6 meses, máximo 2 años.
Backups: rotación con retención máxima de 90 días.
Comunicaciones de soporte: 2 años.
Jurisprudencia. La STJUE de 13 de mayo de 2014 (Google Spain) consolidó que la limitación del plazo de conservación es un principio fundamental del derecho a la protección de datos. La AEPD, en sus resoluciones, ha sancionado por conservación excesiva de datos (procedimiento sancionador PS/00123/2022, entre otros).
7. Destinatarios y subencargados
Los datos pueden ser comunicados a los subencargados listados en la Política de Subencargados. La cadena de subcontratación se rige por el art. 28 RGPD y por las siguientes directrices:
Directrices CEPD 07/2020 sobre responsable y encargado.
Considerando 81 RGPD: la subcontratación debe estar regulada por contrato.
STJUE de 5 de julio de 2018, As. C-210/16 (Wirtschaftsakademie): el responsable conjunto puede existir en redes sociales, pero en nuestro caso no aplica.
8. Transferencias internacionales
Algunos proveedores pueden estar ubicados fuera del EEE. Se aplican las siguientes garantías:
Decisión de adecuación (art. 45 RGPD): para países con nivel adecuado.
Cláusulas Contractuales Tipo (Decisión 2021/914): para el resto.
Garantías adicionales conforme a las Recomendaciones 01/2020 del CEPD tras Schrems II.
STJUE de 16 de julio de 2020, As. C-311/18 (Schrems II): las CCT son válidas, pero el exportador debe evaluar caso por caso las garantías adicionales. Se recomienda documentar una Evaluación de Transferencia de Impacto (TIA) para cada transferencia.
9. Derechos del interesado
El interesado puede ejercer los siguientes derechos:
Acceso (art. 15 RGPD).
Rectificación (art. 16).
Supresión (art. 17) — conocido como "derecho al olvido".
Limitación (art. 18).
Portabilidad (art. 20).
Oposición (art. 21).
No ser objeto de decisiones automatizadas (art. 22).
Jurisprudencia clave.
STJUE de 13 de mayo de 2014, C-131/12 (Google Spain): consolida el derecho al olvido.
STJUE de 17 de julio de 2014, C-141/12 (YS): el derecho de acceso puede incluir información sobre la lógica del tratamiento.
STJUE de 20 de diciembre de 2017, C-434/16 (Nowak): los datos de examen son datos personales.
STJUE de 15 de enero de 2019, C-441/17 (Deutsche Wohnen): las sanciones por conservación excesiva pueden ser elevadas.
Para ejercerlos, dirigirse a [EMAIL DPO/PRIVACIDAD]. Plazo de respuesta: 1 mes, prorrogable a 2 meses por complejidad. El procedimiento detallado se publica en el documento 13.
10. Seguridad
Se aplican medidas técnicas y organizativas conforme al art. 32 RGPD, detalladas en la Política de Seguridad y el Anexo A.
Doctrina AEPD. En su Guía sobre seguridad (2023), la AEPD recuerda que las medidas deben ser apropiadas al riesgo y revisarse periódicamente. El principio de accountability exige documentar la evaluación de riesgos (art. 32.4 RGPD).
11. Menores de edad
El servicio no está dirigido a menores de 14 años. Se aplica el art. 7 RGPD y el art. 7 LOPDGDD. Si se detecta un registro de menor sin autorización, se procederá a su supresión.
12. Decisiones automatizadas y elaboración de perfiles
El servicio no toma decisiones automatizadas con efectos jurídicos significativos sobre el usuario. Los algoritmos de balística, recarga o IPSC son herramientas de cálculo y no constituyen elaboración de perfiles en el sentido del art. 22 RGPD.
Directrices CEPD 01/2022 sobre decisiones automatizadas. La AEPD ha publicado también una guía específica sobre ADM (Automated Decision Making).
13. Uso de IA
El servicio puede incorporar funcionalidades de IA. Estas operan bajo la Política de IA Responsable y el Reglamento (UE) 2024/1689 (AI Act).
AI Act. Los sistemas de IA de riesgo limitado deben cumplir obligaciones de transparencia (art. 50). Los sistemas de alto riesgo (anexo III) requieren evaluación de conformidad, registro y supervisión humana.
14. Modificaciones
Esta Política puede actualizarse. Se notificará al usuario cualquier cambio sustancial con 30 días de antelación, conforme al principio de transparencia (art. 5.1.a RGPD) y a la doctrina del CEPD.
15. Reclamaciones
Ante cualquier duda o reclamación, el usuario puede dirigirse a [EMAIL DPO/PRIVACIDAD] o a la Agencia Española de Protección de Datos (www.aepd.es).
Procedimiento AEPD. La presentación de reclamaciones ante la AEPD se realiza a través de su sede electrónica. La AEPD resuelve en un plazo de 6 meses (ampliable). Sus resoluciones son recurribles ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.
16. Referencias bibliográficas y normativas
Normativa
Reglamento (UE) 2016/679 (RGPD).
Ley Orgánica 3/2018 (LOPDGDD).
Directiva (UE) 2016/680 (protección de datos en materia penal).
Reglamento (UE) 2024/1689 (AI Act).
Reglamento (UE) 910/2014 (eIDAS).
Directrices y guías
Directrices CEPD 07/2020 sobre responsable y encargado.
Directrices CEPD 01/2022 sobre decisiones automatizadas.
Recomendaciones 01/2020 CEPD sobre transferencias internacionales.