Política de Privacidad

1. Responsable del Tratamiento

Comissão de Festas São João de Sobrado 27, con domicilio social en Tasquinha de São João, Largo do Passal, 4440-337 Sobrado, Valongo, Portugal, contactable en organizacao@saojoaodesobrado.pt.

Para cualquier asunto de protección de datos, utilice organizacao@saojoaodesobrado.pt indicando 'RGPD' en el asunto.

2. Categorías de datos tratados

Según la interacción que el titular tenga con la plataforma, podemos tratar:

• Nombre y apellidos
• Dirección de correo electrónico
• NIF (opcional, a efectos de facturación)
• Dirección de facturación (solo si solicita factura formal)
• Datos técnicos: dirección IP truncada, identificador de sesión, tipo de navegador y registros de seguridad
• Contenidos enviados por el propio usuario: fotografías, descripciones y metadatos asociados en la sección 'Memorias'

3. Finalidades y bases legales (mapeo por finalidad)

Cada finalidad tiene una base legal específica conforme al Art. 6 del RGPD:

• Venta y gestión de entradas — base legal: ejecución de contrato (Art. 6.1.b).
• Emisión de factura/recibo y cumplimiento fiscal — base legal: obligación legal (Art. 6.1.c) y Art. 123 del CIRC.
• Comunicaciones operativas (confirmación de compra, cambios en el evento, recuperación de contraseña) — base legal: ejecución de contrato.
• Comunicaciones culturales o newsletter — base legal: consentimiento (Art. 6.1.a), revocable en cualquier momento.
• Cumplimiento de obligaciones legales y fiscales (facturación, contabilidad, atención a requerimientos de autoridades) — base legal: obligación legal.
• Seguridad de la plataforma, prevención de fraude y abuso (rate limiting, anti-bot, logs) — base legal: interés legítimo (Art. 6.1.f), con ponderación documentada internamente (LIA).
• Envío y curaduría de fotografías en la sección 'Memorias' — base legal: consentimiento granular separado (archivo histórico vs. divulgación pública), conforme al Art. 6.1.a y Art. 7.

4. Destinatarios y Encargados

No vendemos ni compartimos datos con terceros con fines comerciales. Los datos pueden ser tratados, en nombre de la Comissão de Festas y mediante contrato de encargo conforme al Art. 28 del RGPD, por las siguientes categorías de proveedores:

• Alojamiento y base de datos: Lovable Cloud / Supabase (infraestructura en la Unión Europea).
• Envío de correo transaccional: Resend (infraestructura en la Unión Europea).
• Red de distribución de contenidos y protección frente a abuso/DDoS: Cloudflare.
• Destinatarios legales: autoridades fiscales, judiciales o administrativas, cuando la ley lo exija.

5. Transferencias internacionales

Los encargados principales (alojamiento, base de datos, email transaccional) están localizados en la Unión Europea. Cuando algún proveedor secundario (por ejemplo, CDN) implique transferencias fuera del EEE, estas se basan en una decisión de adecuación de la Comisión Europea o en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Decisión de Ejecución (UE) 2021/914, complementadas, cuando es necesario, por medidas suplementarias (cifrado en tránsito y en reposo).

6. Derechos de los titulares

Conforme a los Arts. 15 a 22 del RGPD, tiene derecho a:

• Acceso a sus datos personales
• Rectificación de datos inexactos
• Supresión ('derecho al olvido') cuando proceda
• Limitación u oposición al tratamiento
• Portabilidad de los datos que ha facilitado, en formato estructurado
• Retirada del consentimiento, sin afectar a la licitud del tratamiento previo
• Presentar una reclamación ante la CNPD portuguesa, www.cnpd.pt

Para ejercer estos derechos, contacte con nosotros en organizacao@saojoaodesobrado.pt.

7. Conservación de los datos

Los plazos de conservación siguen el principio de limitación de la conservación (Art. 5.1.e RGPD) y las obligaciones legales aplicables. En concreto:

• Datos de facturación y contabilidad: 10 años (Art. 123 del CIRC portugués).
• Datos de cuenta de usuario: mientras la cuenta esté activa, más 12 meses de inactividad, tras lo cual se elimina o anonimiza.
• Registros técnicos y de seguridad: 6 a 12 meses, salvo necesidad superior por incidente de seguridad.
• Contenidos aprobados de la sección 'Memorias': hasta retirada del consentimiento o cesación del interés cultural; en caso de envío rechazado, 30 días.
• Lista de emails dados de baja: indefinidamente, para impedir reenvío (interés legítimo).

8. Seguridad

Se aplican medidas técnicas y organizativas adecuadas: HTTPS obligatorio (HSTS), cifrado en tránsito y en reposo, autenticación multifactor en el back-office cuando procede, control de acceso basado en roles (RBAC) con Row-Level Security a nivel de base de datos, registro de auditoría, rate limiting y protección anti-bot.

9. Cookies y almacenamiento local

Consulte nuestra Política de Cookies para más detalles sobre el almacenamiento local utilizado y el modelo de consentimiento.

11. Límites de verificación de contenidos enviados por usuarios

No verificamos la autoría, datación ni veracidad de los contenidos enviados por terceros. El usuario es el único responsable de lo que envía.

• No verificamos la autoría ni la datación de los contenidos.
• No validamos la identidad de las personas retratadas.
• No confirmamos derechos de propiedad intelectual sobre el material.
• Nos reservamos el derecho de retirar contenidos que vulneren la ley o estas políticas.

12. Derechos de las personas retratadas

Las personas identificables en fotografías enviadas por terceros tienen derecho a:

• Solicitar la retirada de la imagen en la que aparecen.
• Solicitar la anonimización (difuminado) de su imagen.
• Oponerse a su uso con fines de divulgación pública.

13. Limitación de responsabilidad por contenido de terceros

Actuamos como anfitrión técnico de contenidos enviados por usuarios ('Memorias'), conforme al régimen de responsabilidad de los prestadores de servicios de la sociedad de la información (Decreto-Ley portugués 7/2004). Retiramos los contenidos ilícitos en cuanto tenemos conocimiento efectivo de los mismos.

14. Menores

En Portugal, el consentimiento directo a servicios de la sociedad de la información es válido a partir de los 13 años (Art. 16 de la Ley 58/2019). Por debajo de esa edad se requiere autorización de los titulares de la patria potestad. Si tenemos conocimiento del tratamiento de datos de un menor de 13 años sin autorización, los datos serán eliminados.

15. Decisiones automatizadas

No tomamos decisiones individuales automatizadas, incluida la elaboración de perfiles, con efectos jurídicos o similarmente significativos (Art. 22 RGPD).

16. Cambios en esta política

Esta política puede actualizarse. La versión y fecha en vigor se indican en la parte superior. Los cambios sustanciales se comunicarán a través del sitio y, cuando proceda, por correo electrónico.

17. Contacto y reclamaciones

Para cualquier solicitud relativa a protección de datos, o para presentar reclamación interna antes de acudir a la autoridad de control, contacte con nosotros en organizacao@saojoaodesobrado.pt.