Política de privacidad

SmashBook es un software para clubs de pádel y tenis (panel de gestión, reservas y asistente de WhatsApp) prestado por [PLACEHOLDER: nombre y apellidos del titular], con NIF [PLACEHOLDER: NIF] y domicilio en [PLACEHOLDER: domicilio completo] («SmashBook», «nosotros»).

Contacto para cualquier cuestión de privacidad: info@smashbookapp.com.

• Somos responsables del tratamiento de los datos de las personas que usan el panel en nombre de un club (administradores y personal), de quienes visitan esta web o nos escriben, y de los datos de facturación de los clubs.
• Somos encargados del tratamiento (art. 28 del RGPD) de los datos de los clientes de cada club: jugadores, socios y alumnos que reservan o escriben al WhatsApp del club. En ese caso el responsable es el club, que decide para qué se usan sus datos; nosotros solo los tratamos siguiendo sus instrucciones y lo previsto en los Términos (encargo del tratamiento).

Si eres cliente de un club, el club es tu primer punto de contacto; si nos escribes a nosotros, trasladaremos tu solicitud al club y le ayudaremos a atenderla.

• Usuarios del panel: nombre, email, contraseña (cifrada) o inicio de sesión con Google, rol en el club y registros de actividad.
• Datos del club: denominación, NIF, dirección, pistas, tarifas, horarios y configuración del asistente.
• Clientes del club: nombre, número de teléfono (identificador de WhatsApp), idioma, condición de socio, reservas, clases, importes y estado de los pagos, preferencias de avisos y el contenido de las conversaciones con el WhatsApp del club (texto, notas de voz, imágenes y respuestas a formularios).
• Pagos: los realiza Stripe. Nosotros no vemos ni guardamos números de tarjeta; solo recibimos el estado del pago, el importe y referencias técnicas.
• Datos técnicos: dirección IP, navegador, registros de servidor y cookies técnicas (ver Política de cookies).
• Formularios de contacto o demo: nombre, email, teléfono, club y mensaje.

Cada club conecta su propio número a SmashBook mediante el registro integrado (Embedded Signup) de Meta y la WhatsApp Business Platform (Cloud API). A través de ella recibimos los mensajes que los clientes envían al número del club, su nombre de perfil y su número de teléfono, y los estados de entrega de los mensajes que envía el club.

Usamos estos datos únicamente para prestar el servicio al club: mostrar las conversaciones en la bandeja del panel, responder en nombre del club con el asistente, gestionar reservas, cobros y cancelaciones, y enviar confirmaciones y recordatorios.

• No vendemos datos de WhatsApp ni los usamos para publicidad.
• No los compartimos con terceros salvo con los proveedores indicados en esta política, que los tratan por cuenta nuestra.
• No los usamos para entrenar modelos de inteligencia artificial.

Los tokens de acceso de Meta se guardan cifrados y solo se usan para operar el número del club. El club puede desconectar WhatsApp en cualquier momento desde el panel o desde la configuración de su cuenta de Meta Business. Desde entonces dejamos de recibir mensajes y borramos el token.

Meta trata también estos mensajes conforme a sus propias condiciones: Condiciones de WhatsApp Business y Política de privacidad de Meta.

Para responder a los clientes, el asistente envía a modelos de lenguaje el contexto necesario de la conversación y la información del club (pistas, precios, normas). Lo hace a través de Vercel AI Gateway, con modelos de OpenAI, Anthropic o Google.

Las notas de voz que envían los clientes se transcriben automáticamente a texto con esos mismos proveedores (a través de Vercel AI Gateway) para que el asistente las entienda. El audio se procesa en memoria y no se guarda; solo se conserva la transcripción, con el resto de la conversación.

Estos proveedores actúan como subencargados. Según sus condiciones para uso empresarial por API, no usan los datos para entrenar sus modelos.

El asistente solo consulta disponibilidad y reserva, cobra o cancela según las reglas que configura el club. No toma decisiones con efectos jurídicos sobre las personas (art. 22 del RGPD). El personal del club puede tomar el control de cualquier conversación, y el asistente pasa la conversación a una persona cuando se le pide.

• Prestar el servicio contratado por el club (panel, reservas, WhatsApp, pagos): ejecución del contrato (art. 6.1.b RGPD).
• Para los clientes del club, la base jurídica la determina el club como responsable (normalmente, la gestión de su reserva o relación con el club).
• Avisos y recordatorios por WhatsApp: los decide el club. El cliente puede darse de baja en cualquier momento escribiendo BAJA.
• Soporte y atención: ejecución del contrato e interés legítimo.
• Facturación y obligaciones contables y fiscales: obligación legal (art. 6.1.c).
• Seguridad, prevención del fraude y mejora del servicio con datos agregados: interés legítimo (art. 6.1.f).
• Comunicaciones comerciales a clubs y respuesta a formularios de contacto: interés legítimo o consentimiento. Puedes oponerte en cualquier momento.

• Supabase (base de datos, autenticación y almacenamiento): servidores en la Unión Europea (Fráncfort, Alemania).
• Vercel Inc. (alojamiento de la web y del panel, red y AI Gateway): infraestructura global.
• Meta Platforms Ireland Ltd. (WhatsApp Business Platform): envío y recepción de los mensajes de WhatsApp del club.
• Stripe Payments Europe Ltd. (pagos de reservas mediante la cuenta Stripe del club y facturación de las suscripciones). Para los datos de pago, Stripe actúa además como responsable independiente.
• OpenAI, Anthropic y Google (modelos de lenguaje del asistente, vía Vercel AI Gateway).
• Resend (envío de emails transaccionales: acceso, invitaciones y avisos al club).

No cedemos datos a terceros salvo obligación legal. Avisaremos a los clubs de cualquier cambio de subencargados. Para los datos de los clientes de los clubs, las condiciones del encargo están en el Contrato de encargo del tratamiento.

Algunos proveedores (Vercel, OpenAI, Anthropic, Google, Resend) pueden tratar datos en Estados Unidos u otros países fuera del Espacio Económico Europeo. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en todo caso, en las cláusulas contractuales tipo de la Comisión Europea. La base de datos principal se aloja en la UE.

• Mensajes de WhatsApp: el plazo lo fija cada club entre 30 días y 5 años; por defecto, 365 días. Pasado ese plazo se borran automáticamente.
• Registros técnicos: colas de envío de WhatsApp, 30 días; eventos de pago recibidos de Stripe, 90 días; registro de avisos enviados, 180 días.
• Reservas, pagos y facturas: mientras el club tenga cuenta y, después, el tiempo exigido por la normativa contable y fiscal (hasta 6 años), bloqueados.
• Cuentas del panel: mientras el club mantenga el servicio.
• Prueba de aceptación de los términos y del contrato de encargo (usuario, email, IP, navegador, versiones y fecha): mientras dure la relación con el club y 6 años más, para la defensa frente a posibles reclamaciones.
• Cuando un club se da de baja, puede exportar sus datos. Los borramos en un máximo de 90 días, salvo los que debamos conservar por ley. Las copias de seguridad se sobrescriben en su ciclo normal (máximo 30 días).

Cifrado en tránsito (HTTPS/TLS) y en reposo, aislamiento de los datos de cada club mediante políticas de seguridad a nivel de fila, secretos y tokens cifrados, control de acceso por roles, registros de actividad y copias de seguridad. Si se produjera una brecha de seguridad, la notificaremos al club y, en su caso, a la autoridad, conforme al RGPD.

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento.

• Si eres cliente de un club: dirígete al club o escribe a su WhatsApp «mis datos» (copia de tus datos) o «borrar mis datos» (supresión). También puedes escribirnos a info@smashbookapp.com.
• En los demás casos: escríbenos a info@smashbookapp.com desde el email asociado a tu cuenta.

Responderemos en el plazo de un mes. Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos.

Las instrucciones detalladas para borrar tus datos (por WhatsApp, desde el panel del club, al desconectar WhatsApp o por email) están en Eliminación de datos.

SmashBook no está dirigido a menores de 14 años. Si un club gestiona datos de menores (por ejemplo, alumnos de escuela), es responsable de contar con el consentimiento de sus padres o tutores.

Podemos actualizar esta política para reflejar cambios en el servicio o en la ley. Publicaremos la nueva versión aquí, con su fecha, y avisaremos a los clubs de los cambios relevantes.