Política de privacidad

Resumen y alcance

ONYT OY («onyt», «nosotros») gestiona una plataforma donde grupos de la comunidad — AMPA, clubes deportivos, asociaciones de vecinos y otras entidades registradas — recaudan fondos de quienes les apoyan. Esta política explica qué datos personales tratamos, quién más los ve y qué puedes pedirnos al respecto.

Se aplica a nuestra web, a nuestra aplicación móvil y a los correos que enviamos. No cubre lo que un grupo haga con la información que le des directamente, ni lo que Stripe haga con los datos de identidad que le facilites (ver «Procesamiento de pagos»).

Quién es responsable de tus datos

ONYT OY es el responsable del tratamiento de los datos personales descritos en esta política, es decir, quien decide para qué y cómo se tratan.

Puedes escribirnos sobre cualquier punto de esta política a:

contact@onyt.net
ONYT OY
Helsinki, Finland

Hay una excepción importante: cuando quien coordina un grupo completa el alta en Stripe, Stripe es responsable independiente de los datos de identidad que recoge, no encargado nuestro. Lo explicamos en «Procesamiento de pagos».

Qué recogemos

Datos de la cuenta

• Correo electrónico y nombre, para crear tu cuenta y poder contactarte
• Tu contraseña, guardada únicamente como hash criptográfico: nunca vemos ni almacenamos la contraseña en sí
• Datos opcionales de perfil que quieras añadir: teléfono, dirección postal, foto de perfil, idioma preferido
• El estado de verificación de tu correo y si nuestros mensajes han rebotado o han sido marcados como spam

No recogemos ni almacenamos documentos de identidad. Cuando hace falta verificar la identidad —para quienes coordinan y reciben dinero— es Stripe quien la recoge directamente y nosotros no llegamos a verla.

Datos de las aportaciones

Cuando apoyas a un grupo a través de onyt registramos:

• El importe y la moneda, la fecha y la hora, y a qué grupo y campaña se destinó
• Tu correo electrónico, para el recibo y para comprobar los límites de aportación
• Tu nombre, salvo que hayas elegido aportar de forma anónima
• El mensaje que hayas adjuntado, si escribiste alguno
• Una referencia de pago de Stripe, que sirve para conciliar el pago y resolver cualquier incidencia
• Tu dirección IP, que usamos para aplicar límites por persona y detectar abusos. La base es nuestro interés legítimo en prevenir el fraude.

Nunca vemos ni guardamos los datos de tu tarjeta. Van directamente a Stripe.

Pagos presenciales

Cuando un grupo cobra con tarjeta en un evento usando el datáfono de onyt, registramos el importe, la hora, la campaña y una referencia de Stripe. Si pides un recibo, guardamos también el correo que indiques para enviarlo.

Datos del grupo y de quien lo coordina

• Nombre de la entidad, descripción, textos de presentación, categoría y ubicación
• Datos de contacto de la persona que solicita el alta y los documentos que adjunte
• Imágenes subidas para la página del grupo, las campañas, las actividades y la galería
• Archivos subidos al tablón de socios de un grupo, que se guardan de forma privada y solo son accesibles para los miembros de ese grupo mediante enlaces de corta duración

Datos de uso y técnicos

• Visitas agregadas y procedencia del tráfico, a través de nuestra analítica sin cookies
• Informes de error cuando algo falla, con una descripción del dispositivo y del navegador y, en una muestra de sesiones, una grabación de la interacción con la página (ver «Monitorización de errores»)
• Registros del servidor, que incluyen direcciones IP y las URL solicitadas
• Qué ofertas has pulsado, si compras a través de la página de comercios de un grupo

Para qué lo usamos

• Prestar el servicio: cuentas, aportaciones, recibos, pagos a los grupos y atención al usuario
• Seguridad del contenido: comprobaciones automáticas de los textos e imágenes que se publican (ver «Comprobaciones automáticas de contenido»)
• Prevenir abusos: límites de uso, detección de fraude y seguridad de las cuentas
• Obligaciones legales: contabilidad, fiscalidad y normativa de prevención del blanqueo de capitales
• Mejorar onyt: analítica agregada e informes de error
• Comunicaciones: los correos operativos siempre; la newsletter solo si la has pedido

Bases jurídicas (RGPD)

• Ejecución de un contrato: darte una cuenta, procesar una aportación, pagar a un grupo
• Interés legítimo: prevenir el fraude y los abusos, mantener la plataforma segura y operativa, revisar el contenido publicado y medir el uso de forma agregada
• Consentimiento: los correos de marketing, que puedes retirar cuando quieras
• Obligación legal: conservar los registros financieros y cumplir la normativa de prevención del blanqueo

Comprobaciones automáticas de contenido

Para mantener la plataforma segura, los textos e imágenes que se publican en onyt se revisan automáticamente antes de aparecer.

• El texto se envía a Anthropic, un proveedor de inteligencia artificial, que lo clasifica y devuelve un veredicto. Esto incluye nombres y descripciones de grupos, textos de campañas y actividades, publicaciones y avisos, solicitudes de alta, textos de perfil y el mensaje que adjuntes a una aportación, si escribes alguno.
• Las imágenes que subes para mostrarse las analiza Amazon Rekognition, que señala el contenido inapropiado: imágenes de portada de grupos y campañas, fotos de la galería y fotos de perfil. Los archivos compartidos en el tablón privado de un grupo no se envían a análisis de contenido.

Una comprobación puede impedir que algo se publique o dejarlo en espera para que lo revise una persona de nuestro equipo. Si tu contenido se bloquea o queda en revisión, te lo indicamos y puedes editarlo y volver a enviarlo. Ninguna decisión con efectos jurídicos o similarmente significativos sobre ti se toma de forma exclusivamente automatizada.

También usamos Anthropic en funciones opcionales que eliges activamente: sugerencias de redacción para los textos de tu grupo e importación de datos desde la web de tu entidad cuando nos lo pides.

Quién más ve tus datos

Estos son los proveedores que utilizamos. Es la lista completa, no un ejemplo.

Procesamiento de pagos — Stripe

Stripe tiene dos papeles distintos según el contexto:

• Para procesar los pagos: Stripe actúa como encargado del tratamiento por cuenta de onyt. Le damos instrucciones para procesar tu pago y Stripe trata los datos de tu tarjeta o medio de pago al amparo de nuestro contrato de encargo.
• Para el alta en Stripe Connect de quienes coordinan (verificación de identidad, datos bancarios, dirección, documentos de identidad): Stripe actúa como responsable independiente bajo su propia política de privacidad. onyt no accede ni almacena documentos de identidad, datos bancarios ni otra información sensible facilitada a Stripe durante ese proceso.

Quienes coordinan y se dan de alta en Stripe Connect deberían leer la política de privacidad de Stripe para entender cómo recoge, usa y protege sus datos personales como responsable independiente.

Monitorización de errores — Sentry

Cuando algo falla enviamos un informe de error a Sentry para poder arreglarlo. El informe incluye qué ha fallado, en qué página estabas, el tipo de navegador y dispositivo y, si has iniciado sesión, un identificador de cuenta. En una muestra de sesiones (aproximadamente una de cada diez, y todas aquellas en las que se produce un error) Sentry graba además cómo se ha usado la página. En esas grabaciones el texto se enmascara y las imágenes se bloquean, así que la grabación muestra la forma de la interacción, no lo que escribiste o leíste. No enviamos tu dirección IP a Sentry.

Qué no hacemos

No vendemos tu información personal. No usamos redes publicitarias ni rastreadores. Todos los proveedores actúan siguiendo nuestras instrucciones y con contratos de protección de datos, salvo Stripe en el papel de responsable independiente que hemos descrito.

Qué ve quien coordina un grupo

Ve los totales y el nombre público que hayas elegido mostrar. No ve los correos electrónicos ni las referencias de pago de quienes aportan. Eso solo está disponible para el equipo de administración de onyt, y únicamente para la revisión de prevención del blanqueo, el cumplimiento legal o la resolución de una incidencia.

Apps conectadas

Puedes conectar aplicaciones de terceros, incluidos asistentes de IA, a tu cuenta de onyt. Una app conectada solo puede acceder a lo que apruebes en su pantalla de consentimiento, y los nombres de quienes aportan aparecen minimizados en lo que las apps pueden ver. Puedes revisar y desconectar las apps conectadas en cualquier momento en Ajustes → Apps conectadas; al desconectar una app, su acceso termina de inmediato. Registramos los eventos de conexión, consentimiento y desconexión por seguridad.

Transferencias internacionales

Varios de los proveedores anteriores están fuera del Espacio Económico Europeo o tratan datos allí — entre ellos Stripe, Anthropic, Amazon Web Services, Sentry, Expo, Google, CARTO y nuestros proveedores de alojamiento. Cuando los datos salen del EEE nos apoyamos en las decisiones de adecuación de la Comisión Europea o en cláusulas contractuales tipo.

Cuánto tiempo lo conservamos

Conservamos los datos personales mientras los necesitemos para la finalidad con la que los recogimos y durante el plazo que exija la ley:

• Tu cuenta: mientras exista. Si la eliminas, el registro de la cuenta se borra de inmediato.
• Registros financieros —importes, fechas, referencias de pago y grupo de destino—: se conservan para cumplir las obligaciones contables y de prevención del blanqueo, que en España y Finlandia se cuentan en varios años. No podemos borrarlos a petición: la ley nos obliga a mantenerlos.
• Imágenes y documentos subidos: mientras exista el grupo o la campaña a la que pertenecen.
• Registros del servidor e informes de error: durante un periodo operativo limitado, tras el cual los descartan los proveedores que los custodian.
• Suscripciones a la newsletter: hasta que te des de baja.

Queremos ser claros: salvo el registro de la cuenta, hoy el borrado es un proceso manual que realizamos cuando nos lo pides, no algo que ocurra automáticamente por temporizador. Si quieres que eliminemos tus datos, escríbenos y lo haremos: ver más abajo.

Tus derechos

Conforme al RGPD puedes pedirnos:

• Acceso — que te demos una copia de los datos personales que tenemos sobre ti
• Rectificación — que corrijamos lo que sea inexacto o incompleto
• Supresión — que borremos tus datos, salvo cuando la ley nos obligue a conservarlos
• Portabilidad — que te enviemos tus datos en un formato estructurado y legible por máquina
• Oposición — que dejemos de tratar datos basados en nuestro interés legítimo
• Limitación — que pausemos el tratamiento mientras se resuelve una discrepancia

Escribe a contact@onyt.net y te responderemos en el plazo de un mes. Las solicitudes las gestiona una persona, no una herramienta automática.

Si apoyaste a un grupo sin crear una cuenta, también puedes pedirnos que eliminemos tu correo electrónico, tu nombre y cualquier mensaje que dejaras. Escribe a la misma dirección con los datos suficientes para localizar la aportación: fecha aproximada, importe y grupo. El registro financiero en sí se mantiene, por el motivo legal indicado arriba.

Eliminar tu cuenta desde los ajustes borra el registro de la cuenta de inmediato. Los registros de aportaciones asociados se mantienen, por el mismo motivo legal. Si además quieres que eliminemos los datos personales que contienen, pídenoslo y lo haremos.

Reclamaciones

Si crees que hemos tratado mal tus datos, cuéntanoslo primero: preferimos arreglarlo. También tienes derecho a reclamar ante una autoridad de control en materia de protección de datos.

• En España: Agencia Española de Protección de Datos (AEPD), aepd.es
• En Finlandia: Tietosuojavaltuutetun toimisto (Oficina del Defensor de la Protección de Datos), tietosuoja.fi

También puedes reclamar ante la autoridad de control del país de la UE donde residas o trabajes, el que te resulte más cómodo.

Cookies

Usamos unas pocas cookies, todas ellas necesarias para que la web funcione o para recordar una preferencia que hayas elegido. Nuestra analítica no usa cookies. La lista completa está en la Política de cookies.

Menores

Las cuentas de onyt son para personas adultas. No recogemos conscientemente datos personales de menores de 16 años. Cuando un grupo implica a un o una menor en la recaudación, es una persona adulta responsable quien completa la cuenta y la configuración de cobros a su propio nombre. Si crees que tenemos datos de un menor, escríbenos y los eliminaremos.

Cambios en esta política

Actualizamos esta política cuando cambian nuestras prácticas o la normativa. La fecha que aparece arriba indica siempre la versión vigente. Si un cambio te afecta de forma significativa, te lo comunicaremos directamente en lugar de esperar a que lo veas.

Contacto

Para cualquier cuestión de esta política o para ejercer tus derechos: contact@onyt.net

ONYT OY
Helsinki, Finland