Política de Privacidad / Privacy Policy

1. Responsable del tratamiento

Echevarri Sports SL
CIF: B16383192
Urb Los Naranjos Fase V, 29600 Marbella (Málaga)
Email: info@echevarrisports.com
Web: echevarrisports.com

Esta política se aplica a toda la web, a la Academia de tenis y pádel, a los campamentos (Camp), a las clases privadas, semiprivadas, bonos y clases sueltas, y a los formularios de contacto, de información y de visita a las instalaciones.

2. Datos que recopilamos

Recopilamos los siguientes datos personales:

• Datos de contacto: nombre completo, email, teléfono, dirección
• Datos de menores y participantes: nombre, fecha de nacimiento, edad, alergias, necesidades médicas, restricciones alimentarias, capacidad de nado (solo en los camps que la preguntan), colegio, nivel deportivo
• Datos de la Academia: grupo y horario asignados, preferencias de días y franjas, asistencia, notas de clase y recibos mensuales
• Datos de pago: referencia de pago, método de pago, importes. No almacenamos datos de tarjeta — estos son procesados directamente por Redsys
• Datos de uso: idioma preferido, historial de reservas, inscripciones y pagos
• Imagen: fotografías y videos de las actividades, solo con consentimiento (ver apartado 4)
• Datos de navegación: identificadores y datos técnicos que recogen las herramientas de medición y publicidad descritas en el apartado 10

3. Finalidad del tratamiento

• Gestión de inscripciones a la Academia, a los campamentos y a las clases deportivas
• Organización de grupos, horarios y asistencia
• Procesamiento de pagos, recibos y facturación
• Comunicación con padres/tutores sobre actividades, horarios y cambios
• Seguridad y bienestar de los menores (registro de alergias, contactos de emergencia)
• Uso de imagen en redes sociales, materiales de comunicación y web (solo con consentimiento)
• Envío de información comercial sobre actividades y servicios propios (interés legítimo, si ya eres cliente; puedes darte de baja en cada comunicación)
• Medición de audiencia y de la eficacia de nuestra publicidad (apartado 10)
• Mejora de nuestros servicios deportivos

4. Base legal

El tratamiento de datos se basa en: (a) la ejecución del contrato de prestación de servicios deportivos (art. 6.1.b RGPD); (b) el consentimiento explícito (art. 6.1.a RGPD), que se recoge en una casilla no marcada por defecto para el uso de imagen, y que puedes retirar en cualquier momento sin que afecte a tu participación; (c) el interés legítimo en informar de servicios propios a clientes existentes, con la posibilidad de darte de baja en cada comunicación (art. 6.1.f RGPD); y (d) las obligaciones legales fiscales y contables (art. 6.1.c RGPD). Para datos de menores, el consentimiento lo otorga el padre, madre o tutor legal (art. 7 LOPDGDD — los menores de 14 años no pueden consentir por sí mismos).

Además tratamos datos de categorías especiales (art. 9.1 RGPD) — concretamente datos de salud de menores: alergias, necesidades médicas, restricciones alimentarias y necesidades especiales de asistencia — sobre la base del consentimiento explícito otorgado por el progenitor o tutor legal (art. 9.2.a RGPD), que se recoge en la casilla de aceptación del formulario de inscripción, que lo menciona expresamente. Estos datos son imprescindibles para garantizar la seguridad del menor durante las actividades y se almacenan cifrados.

5. Destinatarios

Compartimos datos con los siguientes proveedores de servicio, todos ellos con garantías adecuadas de protección de datos:

• Supabase Inc. — almacenamiento de datos y autenticación (servidores en la UE)
• Redsys — procesamiento de pagos con tarjeta y Bizum (España)
• Resend Inc. — envío de emails transaccionales
• Vercel Inc. — alojamiento web y despliegue de la aplicación
• Sentry — detección de errores técnicos de la web
• Google (Tag Manager, Analytics y Ads) y Meta (píxel de Facebook e Instagram) — medición de audiencia y publicidad, según el apartado 10
• Google (Workspace), Meta (WhatsApp) y Anthropic (Claude) — correo electrónico, almacenamiento de documentos, mensajería con las familias y apoyo a la gestión interna
• Asesoría fiscal y contable — facturación y obligaciones fiscales

No vendemos datos personales a terceros. Las únicas comunicaciones con fines publicitarios son los identificadores técnicos que reciben Google y Meta a través de sus herramientas de medición (apartado 10).

6. Transferencias internacionales

Los datos se almacenan principalmente en servidores de la Unión Europea (Supabase EU). Algunos proveedores (Vercel, Resend, Sentry, Google, Meta, Anthropic) tienen sede en Estados Unidos y las transferencias se amparan en las decisiones de adecuación de la Comisión Europea (Marco de Privacidad de Datos UE-EE. UU.) o en las Cláusulas Contractuales Tipo (SCC) aprobadas por ella, según corresponda a cada proveedor.

7. Plazo de conservación

Los plazos de conservación varían según la naturaleza del dato:

• Datos fiscales y de facturación (pagos, referencias de inscripción): 6 años tras el ejercicio fiscal (art. 30 Código de Comercio).
• Datos médicos y alergias de menores: hasta 2 años tras la finalización de la última actividad.
• Datos de autenticación y contacto (email, teléfono, perfil): durante la vigencia de la cuenta. Tras la baja se anonimizan en 30 días.
• Imagen: hasta que retires el consentimiento. Comunicaciones comerciales: hasta que te des de baja.
• Al ejercer el derecho al olvido (art. 17), los datos sin obligación fiscal se borran inmediatamente; los de obligación fiscal se anonimizan (sustituyendo nombres por "ANON") y se mantienen el importe, fecha y referencia por los plazos legales.

8. Derechos del usuario

Conforme al RGPD, tienes derecho a:

• Acceso: solicitar una copia de todos tus datos personales almacenados
• Rectificación: corregir datos inexactos o incompletos
• Supresión: solicitar la eliminación de tus datos ("derecho al olvido")
• Portabilidad: recibir tus datos en formato estructurado y legible por máquina
• Oposición: oponerte al tratamiento de tus datos en determinadas circunstancias
• Limitación: solicitar la limitación del tratamiento mientras se resuelve una reclamación
• Retirar el consentimiento: en cualquier momento, sin que afecte a la licitud del tratamiento anterior

Puedes ejercer los derechos de acceso y portabilidad descargando tus datos desde tu perfil (Mi perfil, enlace "Descargar mis datos"), y el derecho al olvido desde Mi perfil → Eliminar mi cuenta. Para el resto de derechos, para retirar un consentimiento, o si tienes cualquier duda, envía un email a info@echevarrisports.com. Responderemos en un plazo máximo de un mes.

9. Seguridad y menores

Implementamos medidas de seguridad técnicas y organizativas para proteger tus datos personales: cifrado en reposo (AES-256), cifrado en tránsito (TLS/HTTPS), cifrado adicional de los datos de salud de menores, control de acceso basado en roles (RLS — Row Level Security), autenticación segura con tokens, y almacenamiento en la Unión Europea. Los datos de tarjeta de crédito nunca se almacenan en nuestros servidores — son procesados directamente por Redsys.

Las comunicaciones comerciales y de servicio se dirigen exclusivamente al padre, madre o tutor que figura como contacto, nunca directamente al menor.

10. Cookies, modificaciones y contacto

Cookies: Utilizamos cookies técnicas esenciales para la autenticación y el funcionamiento de la plataforma; no requieren tu consentimiento. Además, con tu permiso, esta web carga Google Tag Manager, que activa herramientas de medición de audiencia (Google Analytics), de seguimiento de conversiones publicitarias (Google Ads) y el píxel de Meta (Facebook e Instagram). Estas herramientas pueden guardar cookies e identificadores en tu navegador y enviar datos técnicos de tu visita (páginas vistas, dispositivo, dirección IP) a Google y a Meta. Además, cuando envías uno de nuestros formularios (inscripción al camp o a la academia, contacto, visita o Padel Mix), enviamos a Google y a Meta el email y el teléfono de la persona adulta que lo rellena, cifrados de forma irreversible (hash SHA-256) en tu propio navegador, para medir qué anuncios dan lugar a inscripciones. Nunca se envía ningún dato de los menores. No se cargan hasta que pulsas «Aceptar» en el aviso de cookies: si pulsas «Rechazar» o no eliges, no se descarga ni se activa ninguna. Tu elección se guarda en tu navegador durante 12 meses y puedes cambiarla cuando quieras desde «Configurar cookies» en el pie de la página o aquí: Configurar cookies. También puedes bloquearlas o borrarlas desde la configuración de tu navegador, y gestionar la publicidad personalizada desde los ajustes de anuncios de tu cuenta de Google y de Meta.

Modificaciones: Nos reservamos el derecho de modificar esta política. Cualquier cambio será publicado en esta página con la fecha de actualización.

Reclamaciones: Si consideras que el tratamiento de tus datos no es adecuado, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

1. Data Controller

Echevarri Sports SL
Company number (CIF): B16383192
Urb Los Naranjos Fase V, 29600 Marbella (Malaga), Spain
Email: info@echevarrisports.com
Web: echevarrisports.com

This policy applies to the whole website, the tennis and padel Academy, the camps, private and semi-private classes, class passes and single classes, and to the contact, information and facility-visit forms.

2. Data We Collect

We collect the following personal data:

• Contact data: full name, email, phone number, address
• Minor and participant data: name, date of birth, age, allergies, medical needs, dietary restrictions, swimming ability (only for camps that ask it), school, sports skill level
• Academy data: assigned group and timetable, preferred days and time slots, attendance, class notes and monthly receipts
• Payment data: payment reference, payment method, amounts. We do not store credit card details — these are processed directly by Redsys
• Usage data: preferred language, booking history, registrations and payment records
• Images: photographs and videos of activities, only with consent (see section 4)
• Browsing data: identifiers and technical data collected by the measurement and advertising tools described in section 10

3. Purpose of Processing

• Managing registrations for the Academy, camps and sports classes
• Organising groups, timetables and attendance
• Processing payments, receipts and invoicing
• Communicating with parents/guardians about activities, schedules and changes
• Ensuring children's safety and wellbeing (allergy records, emergency contacts)
• Using images on social media, communication materials and the website (only with consent)
• Sending commercial information about our own activities and services (legitimate interest, if you are already a customer; you can unsubscribe in every message)
• Measuring audience and the effectiveness of our advertising (section 10)
• Improving our sports services

4. Legal Basis

Data processing is based on: (a) performance of a contract for sports services (Art. 6.1.b GDPR); (b) explicit consent (Art. 6.1.a GDPR), collected through an unticked-by-default checkbox for the use of images, which you may withdraw at any time without affecting your participation; (c) legitimate interest in informing existing customers about our own services, with the option to unsubscribe in every message (Art. 6.1.f GDPR); and (d) legal tax and accounting obligations (Art. 6.1.c GDPR). For minors' data, consent is provided by the parent or legal guardian (Art. 7 Spanish LOPDGDD — minors under 14 cannot consent on their own).

We also process special category data (Art. 9.1 GDPR) — specifically minors' health data: allergies, medical conditions, dietary restrictions and special assistance needs — on the basis of the explicit consent granted by the parent or legal guardian (Art. 9.2.a GDPR), collected through the acceptance checkbox on the registration form, which expressly mentions it. This data is essential to ensure the child's safety during activities and is stored encrypted.

5. Recipients

We share data with the following service providers, all of which offer adequate data protection guarantees:

• Supabase Inc. — data storage and authentication (EU-based servers)
• Redsys — card and Bizum payment processing (Spain)
• Resend Inc. — transactional email delivery
• Vercel Inc. — web hosting and application deployment
• Sentry — detection of technical website errors
• Google (Tag Manager, Analytics and Ads) and Meta (Facebook and Instagram pixel) — audience measurement and advertising, as described in section 10
• Google (Workspace), Meta (WhatsApp) and Anthropic (Claude) — email, document storage, messaging with families and internal management support
• Tax and accounting advisers — invoicing and tax obligations

We do not sell personal data to third parties. The only advertising-related disclosures are the technical identifiers that Google and Meta receive through their measurement tools (section 10).

6. International Transfers

Data is primarily stored on European Union servers (Supabase EU). Some providers (Vercel, Resend, Sentry, Google, Meta, Anthropic) are headquartered in the United States and transfers rely on the European Commission's adequacy decisions (EU-US Data Privacy Framework) or on the Standard Contractual Clauses (SCCs) it has approved, as applicable to each provider.

7. Data Retention Period

Retention periods vary depending on the type of data:

• Tax and invoicing data (payments, registration references): 6 years after the fiscal year (Art. 30 of the Spanish Commercial Code).
• Minors' medical and allergy data: up to 2 years after the last activity ends.
• Authentication and contact data (email, phone, profile): for the duration of the account. After account closure, anonymised within 30 days.
• Images: until you withdraw your consent. Commercial communications: until you unsubscribe.
• When exercising the right to be forgotten (Art. 17), data without tax retention obligations is deleted immediately; data under tax retention is anonymised (names replaced with "ANON") and the amount, date and reference are retained for the legally required period.

8. Your Rights

Under the GDPR, you have the right to:

• Access: request a copy of all your stored personal data
• Rectification: correct inaccurate or incomplete data
• Erasure: request deletion of your data ("right to be forgotten")
• Portability: receive your data in a structured, machine-readable format
• Objection: object to the processing of your data in certain circumstances
• Restriction: request restriction of processing while a complaint is being resolved
• Withdraw consent: at any time, without affecting the lawfulness of earlier processing

You can exercise the access and portability rights by downloading your data from your profile (My Profile, "Download my data" link), and the right to be forgotten from My Profile → Delete my account. For other rights, to withdraw a consent, or for any questions, email info@echevarrisports.com. We respond within one month.

9. Security and Minors

We implement technical and organisational security measures to protect your personal data: encryption at rest (AES-256), encryption in transit (TLS/HTTPS), additional encryption of minors' health data, role-based access control (RLS — Row Level Security), secure token-based authentication, and EU-based data storage. Credit card data is never stored on our servers — it is processed directly by Redsys.

Commercial and service communications are sent only to the parent or guardian listed as the contact, never directly to the minor.

10. Cookies, Changes and Contact

Cookies: We use essential technical cookies for authentication and platform operation; they do not require your consent. In addition, with your permission, this website loads Google Tag Manager, which activates audience measurement tools (Google Analytics), advertising conversion tracking (Google Ads) and the Meta pixel (Facebook and Instagram). These tools may store cookies and identifiers in your browser and send technical data about your visit (pages viewed, device, IP address) to Google and Meta. In addition, when you submit one of our forms (camp or academy registration, contact, visit or Padel Mix), we send Google and Meta the email and phone number of the adult filling it in, irreversibly encrypted (SHA-256 hash) in your own browser, to measure which ads lead to registrations. No data about children is ever sent. They are not loaded until you press “Accept” in the cookie notice: if you press “Reject” or make no choice, none of them is downloaded or activated. Your choice is stored in your browser for 12 months and you can change it at any time from “Cookie settings” in the page footer or here: Cookie settings. You can also block or delete them in your browser settings, and manage personalised advertising from the ad settings of your Google and Meta accounts.

Changes: We reserve the right to modify this policy. Any changes will be posted on this page with the updated date.

Complaints: If you believe your data is not being handled appropriately, you may file a complaint with the Spanish Data Protection Agency (AEPD) at www.aepd.es.