1. Identificación del Responsable del Tratamiento
En cumplimiento del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), te informamos de que los datos personales recogidos a través de la plataforma Nextaur son tratados por:
Titular: Erik Armenteros del Castillo
NIF: 51988106X
Domicilio fiscal: Calle Pico de los Artilleros, Madrid, 28030, España
Contacto de privacidad y legal: legal@nextaur.com
2. Nuestro rol en la protección de datos (SaaS B2B)
Nextaur es una plataforma de software como servicio (SaaS B2B). Es fundamental distinguir nuestro papel legal según el origen y tipo de los datos:
Nextaur como Responsable del Tratamiento: Tratamos como responsables los datos de la cuenta de los usuarios (email, nombre), los datos de facturación de las Organizaciones y los datos analíticos de uso de la plataforma.
Nextaur como Encargado del Tratamiento (DPA B2B): Cuando una Organización sube vídeos, clips o genera actividades de evaluación que incluyen datos de terceros (por ejemplo, alumnos, deportistas, empleados o menores), la Organización es la única Responsable de esos datos. Nextaur se limita a alojarlos y procesarlos siguiendo sus instrucciones. Las condiciones de este tratamiento por cuenta de terceros se regulan detalladamente en el Anexo 1: Acuerdo de Encargo de Tratamiento (DPA) al final de este documento.
3. ¿Qué datos tratamos, para qué y con qué base legal?
| Categoría de Datos | Finalidad del Tratamiento | Base Legal (RGPD) |
|---|---|---|
| Datos de Cuenta: Email, nombre, fecha de nacimiento, país, idioma preferido. | Crear la cuenta, autenticar al usuario y prestar el servicio SaaS de forma personalizada. | Art. 6.1.b (Ejecución de contrato / precontrato) |
| Datos de Organización y Facturación: Nombre de la empresa/club, roles de miembros, datos gestionados a través de Stripe. | Gestión de suscripciones, límites de los planes, cobros, impagos y provisión de soporte técnico. | Art. 6.1.b (Ejecución de contrato) y Art. 6.1.c (Obligación legal contable/fiscal) |
| Datos de uso y Telemetría: Logs de sesión, uso de funcionalidades, tiempo activo por módulo. | Mantenimiento de la seguridad de la plataforma (prevención de abusos, MFA) y analítica interna para la mejora del servicio. | Art. 6.1.f (Interés legítimo) |
| Datos de Marketing: Email y preferencias. | Envío de comunicaciones comerciales, novedades y actualizaciones de Nextaur. | Art. 6.1.a (Consentimiento explícito — revocable en cualquier momento) |
4. Plazos de Conservación de los Datos
| Escenario | Plazo de retención y acción |
|---|---|
| Cuenta activa | Se conservarán mientras dure la relación contractual o el usuario no elimine su cuenta. |
| Borrado de cuenta (personal) | Al solicitar la eliminación de tu cuenta se abre un periodo de gracia recuperable de 14 días: tu cuenta queda inhabilitada de inmediato, pero puedes reactivarla mediante el enlace que te enviamos por correo electrónico. Transcurridos los 14 días sin reactivación, tu cuenta y los datos asociados (incluidas las organizaciones de las que seas único propietario) se eliminan de forma permanente e irreversible. |
| Baja de la Organización | Retención por seguridad de 30 días para Organizaciones en plan de pago antes de la purga definitiva e irreversible. Para el plan Free inactivo por más de 30 días, el borrado de la organización se ejecutará de forma automática. |
| Facturación y pagos | Al menos 5 años por imperativo legal (Ley General Tributaria). |
| Telemetría de producto | Se conserva de forma identificable durante 24 meses. Transcurrido ese plazo, los registros granulares se eliminan tras materializar estadísticas agregadas completamente anonimizadas (sin identificadores de usuario u organización), que se conservan de forma indefinida para analítica interna. |
5. Proveedores, Servidores y Transferencias Internacionales
Para prestar el servicio con la máxima calidad y seguridad, Nextaur se apoya en proveedores de infraestructura tecnológica de primer nivel. Te garantizamos que el núcleo de nuestros servidores y el almacenamiento de vídeos están ubicados dentro del Espacio Económico Europeo (EEE), cumpliendo estrictamente con las garantías de la normativa europea:
- Almacenamiento de vídeos e imágenes (AWS S3) y Base de Datos (Supabase): Alojados en servidores en la Unión Europea.
- Pagos y facturación (Stripe): Procesamiento seguro mediante certificación PCI-DSS. Nextaur no almacena ni tiene acceso a tu número completo de tarjeta de crédito.
- Envío de emails (Brevo): Proveedor europeo para comunicaciones transaccionales.
6. Edad Mínima y Menores
Para registrarse como usuario individual en Nextaur, es imprescindible tener al menos 14 años cumplidos. Para registrar una Organización como "Owner" y contratar un plan, el usuario debe tener al menos 18 años cumplidos y capacidad legal para contratar.
Si una Organización utiliza la infraestructura de Nextaur para tratar datos, vídeos o evaluaciones de menores de 14 años, es responsabilidad exclusiva e indelegable de dicha Organización obtener previamente el consentimiento explícito de los padres o tutores legales.
7. Tus Derechos de Privacidad
Puedes ejercer tus derechos de protección de datos enviando un correo electrónico a legal@nextaur.com. Tienes derecho a:
- Acceso y Rectificación: Conocer qué datos tenemos y corregirlos directamente desde tu panel de perfil.
- Supresión (Derecho al olvido): Eliminar tu cuenta de forma autónoma desde los ajustes de la plataforma o solicitándolo por email.
- Oposición y Limitación: Retirar tu consentimiento para marketing u oponerte a tratamientos basados en el interés legítimo.
- Portabilidad: Solicitar una copia de tus datos personales aportados en un formato estructurado y legible.
Si consideras que tus derechos han sido vulnerados, tienes derecho a presentar una reclamación ante la autoridad de control competente, que en España es la Agencia Española de Protección de Datos (AEPD).
8. Modificaciones de esta Política
Nextaur se reserva el derecho de modificar esta política para adaptarla a novedades legislativas, exigencias jurisprudenciales o cambios estructurales en el servicio. Notificaremos cualquier cambio sustancial a los usuarios registrados con antelación razonable.
Anexo 1: Acuerdo de Encargo de Tratamiento (DPA B2B)
Este Anexo forma parte integral e inseparable de los Términos y Condiciones y de la Política de Privacidad de Nextaur, y rige el tratamiento de datos personales por parte de Nextaur (el "Encargado") por cuenta y en nombre de la Organización contratante (el "Responsable").
1. Objeto y Naturaleza del Encargo
El Responsable contrata a Nextaur para utilizar su plataforma SaaS. En este proceso, el Responsable puede subir, alojar y gestionar vídeos, imágenes, metadatos (arbitrales o deportivos) y datos de evaluación que contengan datos personales de terceros (alumnos, deportistas, personal). Nextaur actuará única y exclusivamente como Encargado del Tratamiento, proveyendo el alojamiento, la gestión de acceso y las funcionalidades de software solicitadas.
2. Obligaciones de Nextaur (El Encargado)
- Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable. La propia configuración y uso de la plataforma por parte de la Organización se considerarán instrucciones documentadas.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido, de forma expresa o por obligación legal, a respetar la confidencialidad.
- Adoptar todas las medidas de seguridad técnicas y organizativas exigidas por el Art. 32 del RGPD, incluyendo cifrado en tránsito (HTTPS), bases de datos seguras con control de acceso por roles (RLS) y URLs firmadas para el acceso a medios audiovisuales.
- No recurrir a otro encargado (subencargado) sin autorización previa. Mediante la aceptación de este acuerdo, el Responsable autoriza de forma general a Nextaur a utilizar los servicios de Amazon Web Services (AWS) y Supabase como subencargados de alojamiento en la UE.
- Asistir al Responsable, mediante las herramientas técnicas de la plataforma o soporte manual, para que pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (alumnos, deportistas).
- Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos personales.
- Una vez finalizada la prestación del servicio (por baja voluntaria, inactividad en plan Free o impago prolongado), suprimir todos los datos personales del Responsable (incluyendo copias) de acuerdo con los plazos de retención definidos en los Términos y Condiciones, salvo que se requiera su conservación por obligación legal.
3. Obligaciones de la Organización (El Responsable)
- Garantizar que posee una base legal válida (como el consentimiento o la ejecución de un contrato) para tratar los datos personales subidos a la plataforma.
- Obtener y custodiar los derechos de imagen y las autorizaciones de privacidad necesarias de todas las personas identificables en los vídeos, prestando especial atención a las normativas sobre menores de edad.
- Mantener indemne a Nextaur frente a cualquier reclamación de terceros o sanción administrativa derivada de la falta de base legal del Responsable para el tratamiento de los datos subidos al servicio.