Privacy Policy

Última actualización: 2 de octubre de 2026

1. Alcance Esta política describe el tratamiento realizado mediante la web del club: navegación, contacto, eventos, reservas, seguridad técnica y galería. Los servicios externos enlazados, incluidos SocioPro o SPU Card cuando estén configurados, tienen sus propias políticas.

2. Responsable El Responsable es la entidad que gestiona el club y determina fines y medios. Su identidad definitiva, dirección y contacto de privacidad deben completarse en Admin → Legal antes de la publicación definitiva. No se inventan datos que todavía no hayan sido facilitados.

3. Datos técnicos y seguridad Los sistemas pueden tratar IP en la infraestructura del servidor/hosting, fecha y hora, URL solicitada, resultado de la petición, User-Agent y datos técnicos equivalentes. La aplicación usa una sesión PHP técnica y tokens CSRF. Para determinadas medidas antiabuso puede conservar un hash técnico derivado de IP y sesión; no se presenta como dato absolutamente anónimo.

4. Contacto El formulario trata nombre, email, asunto, mensaje, idioma y datos técnicos antiabuso. Se utilizan para responder, gestionar la correspondencia y proteger el servicio. Según la solicitud, la base puede ser la aplicación de medidas solicitadas por el interesado y/o el interés legítimo en gestionar y proteger las comunicaciones. Estos datos no deben reutilizarse para marketing sin una base jurídica independiente.

5. Reservas La reserva online constituye un tratamiento separado de la gestión de socios. Cuando está activa, la web trata el nombre indicado en la reserva y el correo electrónico, además de los datos estrictamente necesarios para la reserva: evento, número de personas, mesa, estado, fecha/hora, código de verificación y datos técnicos necesarios para la seguridad y prevención de abusos. La web de reservas no consulta ni muestra la ficha completa del socio. Una reserva no equivale a la inscripción como socio ni sustituye la tarjeta de socio requerida para la entrada.

6. Emails operativos El email puede utilizarse para OTP, confirmaciones, cambios relacionados con la reserva o respuestas solicitadas. No debe incorporarse automáticamente a comunicaciones promocionales.

7. Fotografías La galería puede publicar fotografías de eventos. La base y la forma de obtención/publicación deben corresponder a la práctica real del club. Para consultas o ejercicio de derechos sobre una imagen puede indicarse evento y fotografía al contacto de privacidad.

8. Finalidades y bases jurídicas Las finalidades comprenden prestar funciones solicitadas, gestionar contactos y reservas, seguridad e integridad, prevención de abusos, obligaciones legales y defensa de derechos. Las bases pueden incluir art. 6.1.b, 6.1.c, 6.1.f y, cuando realmente proceda, 6.1.a del GDPR.

9. Datos obligatorios Los campos necesarios permiten prestar la función solicitada. No facilitarlos puede impedir el contacto o la reserva. Los campos opcionales no deben hacerse obligatorios sin necesidad documentada.

10. Responsable, autorizados y papel de SocioPro / SPU Card Para los datos de la vida asociativa, tarjetas, controles de acceso y servicios del Circolo, el Responsable es ASSOCIAZIONE CULTURALE CIRCOLO PERUVIANO, sede estatutaria Via Volta n. 1, Bolzano (BZ), contacto circoloperuviano@proton.me.

El acceso ordinario a los datos de socios queda reservado exclusivamente a las personas autorizadas por la Asociación según su función y necesidad. SocioPro y SPU Card son programas desarrollados por Carlos Ramirez. Para el registro del socio y el acceso a la tarjeta digital, los datos identificativos tratados en el sistema son nombre, apellidos, fecha de nacimiento y correo electrónico. Estos datos se tratan para las finalidades asociativas determinadas por el Circolo, incluida la gestión de la inscripción y el acceso a la tarjeta digital. Carlos Ramirez no utiliza estos datos para fines propios ni dispone de acceso ordinario a los datos de los socios. En la web y los sistemas digitales, Carlos Ramirez realiza exclusivamente desarrollo y gestión técnica. Esa función técnica no le atribuye la propiedad del Circolo, representación legal, presidencia ni la condición de Responsable de los tratamientos decididos por la Asociación. Carlos Ramirez no dispone de acceso ordinario a los datos de los socios.

Un acceso técnico excepcional por soporte, mantenimiento o seguridad deberá ser previamente autorizado por el Circolo, limitado a lo necesario, protegido y registrado cuando sea técnicamente posible. Cuando un proveedor trate datos por cuenta del Responsable, la relación deberá regularse conforme al papel efectivo, incluido el art. 28 GDPR cuando proceda. Los proveedores reales de hosting, email y demás infraestructura deberán documentarse separadamente.

11. Destinatarios Pueden acceder personal autorizado y proveedores técnicos realmente necesarios, como hosting, correo, mantenimiento o seguridad. El Responsable debe mantener una lista real de proveedores, roles y contratos del art. 28 cuando proceda. También puede existir comunicación por obligación legal o defensa de derechos.

12. Servicios externos Puede haber enlaces a Instagram, Telegram, WhatsApp, SocioPro y SPU Card. Un enlace no implica necesariamente transmisión antes del clic. Los contenidos embebidos deben evaluarse por separado. El mapa debe cargarse tras una acción del usuario y no automáticamente.

13. Transferencias internacionales Dependen de los proveedores reales. Antes de producción deben verificarse ubicación, rol y mecanismo de los arts. 44 y siguientes del GDPR. No se declara una transferencia concreta sin identificar al proveedor.

14. Chatbot y Cloudflare Workers AI El sitio dispone de un asistente que combina reglas locales, información pública de la web y funciones transaccionales PHP. Para algunas preguntas, si la función está activada, el texto escrito por el usuario y un contexto limitado de información pública pertinente pueden enviarse a Cloudflare Workers AI para generar la respuesta. Las reservas, disponibilidad, capacidad de mesas y verificación OTP siguen siendo gestionadas por el sistema del sitio y no son confirmadas autónomamente por el modelo de IA. Los tokens API, contraseñas SMTP, OTP y secretos administrativos no deben incluirse en el contexto de IA. Las preguntas no reconocidas pueden registrarse de forma limitada (texto truncado, idioma y hash técnico de IP) para mejorar la base de conocimiento; el usuario no debe introducir datos sensibles en el chatbot.

15. Conservación Los datos operativos de la reserva se conservan hasta las 06:00 del día siguiente al evento y después se eliminan automáticamente del sistema operativo, salvo conservación adicional necesaria por obligación legal, controversia o defensa de derechos. Los OTP duran únicamente lo necesario para la verificación. Para contactos, logs de seguridad/administración y backups se aplican periodos o criterios internos proporcionados a su finalidad real.

Los datos asociativos de SocioPro/SPU Card se conservan según la duración y necesidades de la relación asociativa, las obligaciones aplicables y las reglas internas válidamente adoptadas por el Circolo.

Los datos de una exclusión/blacklist se conservan mientras la medida esté vigente y solo en la medida necesaria para identificar a la persona y aplicar las reglas de acceso y seguridad. La exclusión puede ser temporal, por tiempo indefinido o permanente según la decisión de los órganos o personas competentes de la Asociación y las reglas internas aplicables. Una exclusión indefinida permanece hasta revisión o revocación; una permanente permanece salvo posterior revocación. La necesidad de conservación se revisa periódicamente y, tras su finalización o revocación, los datos se eliminan o limitan salvo obligación legal o defensa de derechos. Las anotaciones deben ser breves, pertinentes y limitadas a lo necesario.

15. Backups La eliminación operativa puede no borrar de inmediato copias ya creadas. Deben estar protegidas, tener ciclo de conservación y no reutilizarse para fines incompatibles.

16. Cookies La Cookie Policy describe las tecnologías actuales. Añadir analytics, marketing, pixels o perfilado exige nueva revisión y, cuando corresponda, consentimiento previo.

17. Perfilado No se declaran decisiones automatizadas o perfilado con efectos jurídicos si no existen. Si se incorporan, la política deberá actualizarse antes.

18. Menores La web no está diseñada para recoger intencionadamente datos de menores mediante funciones específicas. Las reglas de edad para acceder al club dependen de la normativa y del evento.

19. Seguridad Se prevén HTTPS cuando esté configurado, cookies de sesión HttpOnly/SameSite, CSRF, consultas preparadas, controles Admin y medidas antiabuso. Ninguna medida se presenta como seguridad absoluta.

20. Derechos Cuando proceda: acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento. Puede verificarse razonablemente la identidad sin pedir documentación excesiva de forma sistemática.

21. Reclamación Puede presentarse reclamación ante el Garante per la protezione dei dati personali y, cuando proceda, ante la autoridad competente.

22. Cambios La política debe revisarse al cambiar funciones, proveedores, finalidades, datos o conservación. Los cambios sustanciales no deben ocultarse mediante un simple cambio de fecha.