Política de privacidad de Rivales

Versión 1.0 · En vigor desde el 25 de noviembre de 2026

Esta política explica qué datos personales trata Rivales, para qué, quién los ve, cuánto tiempo se guardan y qué puedes hacer con ellos. Está escrita para dos tipos de lectores:

Quien usa la app en nombre de un gimnasio (dueño, entrenador o manager).
Los deportistas y sus familias, cuyos datos introduce su gimnasio. Si es tu caso, ve a la sección 9.

Lo esencial

Responsable	Rivales (su titular, en la sección 1). Contacto: soporte@rivales.es
Para qué	Darte la cuenta y el servicio (directorio, solicitudes de combate, negociación, chat y avisos), cobrar la suscripción y proteger las cuentas.
Con qué base	El contrato con tu gimnasio, nuestro interés legítimo en mantener esa relación y en la seguridad del servicio, y las obligaciones legales (facturas).
Datos de deportistas	Los decide su gimnasio, que responde de ellos. Rivales los guarda y los muestra por encargo del gimnasio, sin usarlos para nada propio.
Quién los ve	El directorio de gimnasios es público. Los gimnasios registrados ven las solicitudes de combate y los deportistas que llevan. Sin cuenta no se ve ningún dato de deportistas. Usamos proveedores de servidor, correo, pagos y notificaciones; algunos transfieren datos a EE. UU., con garantías.
Publicidad	Ninguna. No vendemos datos y no hay publicidad ni analítica.
Tus derechos	Acceso, rectificación, supresión, oposición, limitación y portabilidad. Puedes borrar tu cuenta desde la app o desde rivales.es/borrar-cuenta, y reclamar ante la Agencia Española de Protección de Datos.

1. Quién es el responsable

Titular: Rivales
Datos completos del titular: a petición en soporte@rivales.es
Correo, también para privacidad: soporte@rivales.es
Teléfono y WhatsApp de soporte: 746 044 303
Web: rivales.es

"Rivales" es el nombre comercial con el que el titular presta el servicio. No tenemos delegado de protección de datos porque nuestra actividad no obliga a tenerlo (art. 37 del Reglamento General de Protección de Datos, RGPD, y art. 34 de la Ley Orgánica de Protección de Datos, LOPDGDD).

2. A quién se aplica y qué papel tiene Rivales

Usuarios. La persona que crea y usa la cuenta de un gimnasio. Tiene que ser mayor de edad y actuar en nombre de su gimnasio, sea una sociedad, un autónomo o un club deportivo. Cada cuenta es de una persona y un gimnasio.

Deportistas. Las personas cuyos datos introduce un gimnasio, también menores desde el año en que cumplen 11. No tienen cuenta ni entran en la app.

Visitantes. Quien abre el directorio o la ficha pública de un gimnasio, o las páginas de rivales.es: esta política, la de borrar la cuenta, la del enlace de pago y la de recuperar la verificación en dos pasos.

El papel de Rivales con cada dato

Datos de tu cuenta y de tu gimnasio. Rivales es el responsable: decide para qué se usan y responde de ello.
Datos de los deportistas, estén en su ficha, en una solicitud, en un acuerdo o en un mensaje del chat. El responsable es su gimnasio: decide a quién da de alta, qué datos pone y con qué gimnasios los comparte. Rivales es su encargado del tratamiento, es decir, los guarda y los muestra por cuenta del gimnasio, siguiendo sus instrucciones y el contrato de encargo que forma parte de las Condiciones de uso (art. 28 RGPD). No los usa para nada propio.
El gimnasio que recibe datos de un deportista de otro gimnasio (al ver una solicitud, negociar un combate o tenerlo en su historial) es responsable de lo que haga con ellos. Solo puede usarlos para valorar y organizar ese combate y llevar su historial dentro de Rivales: no puede sacarlos de la app, publicarlos ni usarlos para otra cosa.

Rivales pone en contacto a gimnasios. No es una federación ni organiza eventos, y no comprueba licencias, reconocimientos médicos, la edad real de los deportistas ni las autorizaciones de sus familias: de eso responde cada gimnasio.

3. Qué datos tratamos

3.1 Tu cuenta

Obligatorios para el alta: email, nombre y contraseña, o entrar con Google. De la contraseña solo guardamos un resumen irreversible (Argon2id), nunca la contraseña.
Opcional: apellidos.
Si entras con Google: tu identificador de Google, tu email, tu nombre y tus apellidos. No recibimos tu contraseña de Google ni tu foto.
Si activas la verificación en dos pasos: la clave de tu aplicación de autenticación, guardada cifrada, y tus códigos de respaldo.
Lo que se genera al usarla: fecha de alta, último acceso y el anterior, y tu sesión (solo puede haber una abierta a la vez).
Registro de actividad de la cuenta: inicios de sesión (también los fallidos), cambios de contraseña, de email o de la verificación en dos pasos, sesiones cerradas y acciones del equipo de Rivales sobre tu cuenta, cada uno con su fecha, tu dirección IP y tu navegador o dispositivo. Puedes verlo en la app, en Cuenta y seguridad.

Cuando eliges o cambias la contraseña comprobamos que no aparece en filtraciones conocidas, con el servicio Have I Been Pwned. Solo le enviamos los 5 primeros caracteres de un resumen (SHA-1) de la contraseña, que no permiten saber cuál es ni de quién es.

3.2 Tu gimnasio

Obligatorios: nombre y provincia.
Opcionales: descripción, dirección, país, teléfono, web, Instagram, logo, portada y disciplinas.
Lo que se genera: el estado de la cuenta (en prueba, activa o cerrada), sus fechas y la fecha de la última actividad.

3.3 Lo que haces en la app

Solicitudes de combate y retos: tipo, deporte, división, categoría de edad, modalidad, nivel, rango de peso, fecha, provincia, notas y, si lo eliges, el deportista.
Acuerdos: lo que se negocia (deportistas, rango de peso, fecha, provincia y dirección), su estado, quién lo confirmó, lo cerró o lo canceló, y el motivo de la cancelación.
Resultado y nota privada de cada combate: solo los ve el gimnasio que los escribe.
Chat entre gimnasios (solo texto) y si los mensajes se han leído.
Avisos de la campana de la app, y el identificador de tu móvil para enviarte notificaciones push.
Denuncias que haces a otro gimnasio o que otro hace al tuyo: quién denuncia a quién, el motivo, lo que se cuenta, el mensaje del chat denunciado si lo hay, la decisión del equipo y las fechas.
Bloqueos: a qué gimnasios has bloqueado y desde cuándo.

3.4 Pagos

Rivales guarda el identificador de cliente y de suscripción de Stripe, el estado de la suscripción y sus fechas (próximo cobro, baja programada, cobro pendiente). No vemos ni guardamos los datos de tu tarjeta.
Stripe guarda la tarjeta, los datos de facturación (nombre o razón social, dirección y NIF) y las facturas. Los escribes tú en la página de pago de Stripe, a la que llegas desde un enlace que te enviamos por correo.
Enviamos a Stripe el email de la cuenta, el nombre del gimnasio y un identificador interno, para crear tu ficha de cliente. Si cambias el email en la app, también lo cambiamos en Stripe.

3.5 Seguridad y datos técnicos

La dirección IP de cada petición, para limitar los intentos repetidos y frenar abusos.
Los registros técnicos del servidor (errores y avisos). Pueden incluir tu IP y tu email parcialmente oculto. Nunca contraseñas.

3.6 Datos de los deportistas

Los introduce su gimnasio:

Obligatorios: nombre, división (masculina o femenina), fecha de nacimiento, deporte y nivel o cinturón. Sin ellos la app no puede comprobar en qué combates encaja.
Opcionales: foto, peso, altura, nacionalidad, biografía y récord anterior a la app. El gimnasio solo debe ponerlos si le hacen falta.
Lo que se genera: su disponibilidad, los combates en los que participa y, a partir de ellos, su historial (combates oficiales y sparrings) y su récord.

Más detalle en la sección 9.

3.7 Datos que no queremos

No escribas datos de salud (lesiones, KO, diagnósticos, reconocimientos médicos), documentos de identidad, licencias, teléfonos ni direcciones de deportistas en las notas, la biografía o el chat. La app no los necesita y no tiene dónde guardarlos con la protección que exigen.

Las imágenes que subes (logo, portada y fotos de deportistas) se guardan sin sus metadatos: les quitamos la ubicación GPS, el modelo del móvil y la fecha.

4. Para qué usamos tus datos y con qué base

Esta sección trata de lo que hace Rivales como responsable. Para los datos de deportistas, la base la pone su gimnasio (sección 9).

Para qué	Qué datos	Base jurídica
Crear y gestionar tu cuenta y la de tu gimnasio, dejarte entrar y mantener la sesión	Cuenta y gimnasio	Si contratas en tu propio nombre (por ejemplo, como autónomo): el contrato (art. 6.1.b RGPD). Si actúas por una sociedad o un club: nuestro interés legítimo en mantener la relación con tu gimnasio (art. 6.1.f RGPD y art. 19 LOPDGDD)
Prestar el servicio: directorio y ficha pública, solicitudes, retos, acuerdos, chat, historial y avisos	Gimnasio y actividad en la app	La misma de la fila anterior
Enviarte notificaciones push	Identificador del móvil	La misma de la primera fila. Además, el móvil te pide permiso y puedes quitarlo cuando quieras
Cobrar la suscripción y avisarte del fin de la prueba, de un cobro fallido o del final de la suscripción, con el enlace para pagar	Email, gimnasio y estado de la suscripción	La misma de la primera fila
Emitir y conservar las facturas	Datos de facturación	Obligación legal (art. 6.1.c RGPD): normativa tributaria y mercantil
Proteger las cuentas y el servicio: verificar el email, comprobar contraseñas filtradas, bloquear tras intentos fallidos, llevar el registro de actividad, limitar peticiones e investigar abusos	IP, navegador o dispositivo y actividad de la cuenta	Interés legítimo en la seguridad del servicio y de tu cuenta (art. 6.1.f y considerando 49 RGPD)
Atender tus consultas de soporte, por correo, teléfono o WhatsApp	Lo que nos cuentes y el correo o el número desde el que nos escribes o llamas	El contrato o, si no eres cliente, nuestro interés legítimo en responderte (art. 6.1.f RGPD)
Atender las denuncias entre gimnasios (revisarlas, decidir, contestar a quien denuncia y explicar la medida a quien la recibe) y aplicar los bloqueos	La denuncia, el mensaje denunciado, la decisión y los bloqueos	Obligación legal (art. 6.1.c RGPD, en relación con los arts. 16 y 17 del Reglamento de Servicios Digitales) e interés legítimo en un servicio seguro (art. 6.1.f RGPD)
Atender tus derechos y guardar constancia de cómo lo hicimos, incluido el borrado de tu cuenta	Tu petición, la respuesta y su fecha	Obligación legal (art. 6.1.c RGPD, en relación con sus arts. 5.2 y 12 a 22, y art. 32 LOPDGDD)
Defendernos ante reclamaciones y atender a las autoridades	Lo estrictamente necesario	Obligación legal (art. 6.1.c RGPD) e interés legítimo en defender nuestros derechos (art. 6.1.f RGPD)

Cuando la base es nuestro interés legítimo, hemos comprobado que no pesa más que tus derechos: usamos pocos datos, es lo que cabe esperar de un servicio con cuenta, sirve también para protegerte y no lo usamos para nada más. Puedes oponerte (sección 11).

Si no das los datos obligatorios, no podemos crear la cuenta. Los opcionales no hacen falta para usar la app.

5. Quién ve tus datos

Cualquier persona, sin iniciar sesión, ve el directorio y la ficha pública de los gimnasios activos: nombre, provincia, descripción, dirección, país, web, Instagram, logo, portada, disciplinas, si la cuenta está activa, la fecha de alta y la de última actividad. Nunca el teléfono ni el email. Si no quieres que la dirección de tu gimnasio sea pública, déjala vacía.
Los gimnasios registrados, además, ven tus solicitudes de combate, con los deportistas que pongas en ellas (sección 9). Rivales comprueba el email de quien se registra, pero no que de verdad sea un gimnasio.
Solo el gimnasio con el que tratas ve los retos, las negociaciones y el chat.
Solo tu gimnasio ve tu nombre y tu email de usuario, el teléfono del gimnasio, los resultados y las notas privadas.
Las denuncias solo las ve el equipo. El gimnasio denunciado no sabe quién le ha denunciado: si se toma una medida contra él, se le dice solo que viene de un aviso de otra persona. Los bloqueos los ve quien bloquea y el equipo de Rivales, que los usa como señal para detectar abusos; el bloqueado no recibe ningún aviso, aunque notará que no puede escribirle.
El equipo de Rivales ve, para dar soporte, gestionar las suscripciones y proteger el servicio: los datos de los gimnasios y, de la cuenta de cada uno, el email, cómo entra (contraseña o Google), el último acceso, las sesiones, si usa la verificación en dos pasos y cuántos códigos de respaldo le quedan, los bloqueos e intentos fallidos, su cliente de Stripe y su registro de actividad. Ve también qué gimnasios le han bloqueado y a cuáles ha bloqueado, y desde cuándo, y las denuncias que tiene. Puede bloquear la cuenta, cerrar sus sesiones, restablecer la verificación en dos pasos, activar la cuenta sin coste, alargar la prueba, cerrarla o borrarla. Esas acciones aparecen en tu registro de actividad como "Equipo de Rivales".
El equipo no tiene pantallas para leer los chats, las fichas de los deportistas, los resultados ni las notas privadas. La única excepción es el mensaje que un gimnasio denuncia: el equipo lo ve en la denuncia, para poder decidir. Esos datos están en la base de datos del servidor. Solo los consultaríamos en un caso concreto: si nos lo pides para resolver un problema, para investigar un incidente de seguridad o una denuncia de abuso, para atender una petición de derechos o porque lo exija una autoridad. Lo hará una persona autorizada, mirará solo lo necesario y quedará anotado.
Nuestros proveedores (sección 6), solo para prestarnos su servicio.
Autoridades y tribunales, cuando la ley nos obligue.

No vendemos datos ni los cedemos para publicidad.

6. Proveedores y transferencias fuera de la Unión Europea

Proveedor	Para qué	Dónde	Si salen de la UE, con qué garantía
Oracle (Oracle Cloud Infrastructure)	Servidor, base de datos, fotos y copias de seguridad	España (región de Madrid)	Si su equipo de soporte accede desde fuera de la UE: normas corporativas vinculantes y cláusulas contractuales tipo, según su contrato de tratamiento de datos
Stripe Payments Europe, Ltd.	Pagos, facturas y portal de cliente	Irlanda, con transferencias a Stripe, Inc. (EE. UU.)	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo de la Comisión Europea
Google (Firebase Cloud Messaging)	Notificaciones push	UE y EE. UU.	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Apple (Apple Push Notification service), solo si usas la app en iPhone	Entregar las notificaciones push en el iPhone	EE. UU.	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Brevo (Sendinblue SAS)	Envío de los correos de la app	UE	Si algún subencargado suyo trata los datos fuera de la UE, cláusulas contractuales tipo
Zoho Mail (Zoho Corporation B.V.)	Buzón de soporte (soporte@rivales.es)	UE (centro de datos europeo)	Si su soporte accede desde fuera de la UE, cláusulas contractuales tipo

Todos estos proveedores están obligados por contrato a usar los datos solo para prestarnos su servicio y a protegerlos (art. 28 RGPD).

Cuatro casos especiales:

Google Sign-In. Si eliges entrar con Google, Google trata los datos de tu cuenta de Google como responsable, según su propia política de privacidad. A nosotros solo nos llegan tu identificador, tu email, tu nombre y tus apellidos.
Stripe trata además algunos datos como responsable, para sus propios fines (prevenir el fraude y cumplir las obligaciones de las entidades de pago), según su política de privacidad.
WhatsApp. Si nos escribes por WhatsApp, usas un servicio de WhatsApp Ireland Limited (grupo Meta), que trata los datos de tu cuenta de WhatsApp como responsable, según su propia política de privacidad, y puede transferirlos a EE. UU. con el Marco de Privacidad de Datos UE-EE. UU. Los mensajes van cifrados de extremo a extremo. Nosotros vemos tu número, tu nombre de perfil y lo que nos escribas. No nos mandes por WhatsApp datos de tus deportistas, y recuerda que nunca te pediremos tu contraseña ni tus códigos. Si prefieres no usar WhatsApp, escríbenos al correo.
Have I Been Pwned no recibe datos personales (sección 3.1).

El Marco de Privacidad de Datos UE-EE. UU. es una decisión de la Comisión Europea, de 10 de julio de 2023, que reconoce que las empresas estadounidenses adheridas protegen los datos de forma adecuada (art. 45 RGPD). Las cláusulas contractuales tipo son un contrato aprobado por la Comisión que obliga al proveedor a mantener esa protección (art. 46 RGPD). Puedes pedirnos copia de las garantías de cualquier transferencia en soporte@rivales.es.

7. Cuánto tiempo guardamos los datos

Datos	Cuánto tiempo
Cuenta y gimnasio	Mientras la cuenta exista
Cuenta que no se activa con el código del email	Se borra sola a las 24 horas
Cuenta cerrada (prueba terminada sin pagar, suscripción terminada o cerrada por el equipo)	3 meses desde el cierre. Te avisamos por email 30 días antes y, si no vuelves a activarla, se borra como explica la sección 11
Sesión	30 días como máximo, o 14 días sin usarla
Códigos enviados por email	Activación: 24 horas. Cambio de contraseña o de email: 15 minutos
Verificación en dos pasos	Mientras la tengas activada. Al desactivarla se borran la clave y los códigos de respaldo
Registro de actividad (IP y navegador o dispositivo)	180 días. Mientras la cuenta exista, guardamos además los 50 últimos eventos aunque sean más antiguos, para que una cuenta poco usada tenga historial. Si borras la cuenta, 180 días como máximo
Constancia del borrado de tu cuenta (email, fecha, IP y dispositivo)	3 años, el plazo en que la Agencia Española de Protección de Datos puede pedirnos cuentas de una infracción (art. 72 LOPDGDD)
IP para limitar peticiones	De unos minutos a 24 horas
Registros técnicos del servidor	Se sobrescriben solos: se guardan como máximo los 50 MB más recientes de cada servicio
Identificador del móvil para push	Hasta que cierras sesión, entras desde otro móvil o deja de ser válido
Avisos de la app	Los leídos, 90 días. Todos, un año como máximo
Solicitudes, retos, acuerdos, resultados y notas	Mientras exista la cuenta. Las solicitudes dejan de publicarse en su fecha o, si no la tienen, a los 3 meses, y los retos a los 7 días sin respuesta, pero siguen en tu historial
Chat	Mientras existan las dos cuentas. Se borra para los dos gimnasios en cuanto uno de ellos borra la suya
Denuncias y su resolución	Un año desde que se resuelven, para atender una reclamación sobre la decisión. Si uno de los dos gimnasios borra su cuenta, se borran con ella. Los avisos de la denuncia en la app, como los demás avisos
Bloqueos	Hasta que lo deshagas o uno de los dos gimnasios borre su cuenta
Datos de un deportista	Mientras su gimnasio lo tenga en la app. Si lo borra y no había participado en ningún acuerdo con otro gimnasio, se borra todo. Si había participado, se borran su foto y el resto de la ficha, y quedan solo su nombre, su deporte, su división y su nivel en el historial del otro gimnasio, mientras ese gimnasio tenga cuenta
Facturas y datos de cobro	6 años desde cada factura, bloqueados (art. 30 del Código de Comercio y normativa tributaria). Los guarda Stripe por nuestra cuenta
Consultas de soporte (correos y mensajes de WhatsApp)	2 años desde la última respuesta, salvo que hagan falta para una reclamación abierta. Las llamadas no se graban
Copias de seguridad	14 días. Lo que borras desaparece también de ellas en ese plazo

Cuando una ley obliga a guardar algo que ya has borrado (las facturas, por ejemplo), lo bloqueamos: queda apartado y sin uso, y solo puede consultarse para cumplir esa obligación o a petición de un juez o de una autoridad (art. 32 LOPDGDD).

8. Correos y notificaciones

Correos de servicio. Códigos de activación y de recuperación, avisos de seguridad (cambios de contraseña, de email o de la verificación en dos pasos, cuenta bloqueada), cambios en tu cuenta, fin de la prueba, cobros y el enlace para pagar. Forman parte del servicio y llegan mientras tengas la cuenta. No son publicidad: no enviamos boletines ni ofertas. Si algún día quisiéramos hacerlo, te pediríamos permiso antes y podrías darte de baja en cada correo. Los recibos y avisos de cobro te los envía Stripe.
Notificaciones push. Pasan por Firebase Cloud Messaging (Google) y llevan un extracto: el nombre del gimnasio y el comienzo del mensaje en los avisos del chat, y los nombres de los deportistas y la provincia en los avisos de combates. Pueden verse con el móvil bloqueado. Puedes desactivarlas u ocultar su contenido en los ajustes del móvil; los avisos seguirán en la campana de la app. Solo las recibe el último móvil con el que entraste.
El chat viaja cifrado entre tu móvil y nuestro servidor, pero no tiene cifrado de extremo a extremo: los mensajes se guardan en el servidor (sección 5).

9. Si eres deportista, o padre, madre o tutor de un deportista

Quién decide sobre tus datos. Tu gimnasio. Es el responsable: decide darte de alta en Rivales, qué datos pone y con qué gimnasios negocia combates. Rivales los guarda y los muestra por encargo suyo, y no los usa para nada propio. Tu gimnasio tiene que informarte antes de que te da de alta en Rivales y para qué, y pedirte autorización cuando haga falta (para usar tu foto, por ejemplo). Si tienes menos de 14 años, se lo pedirá a tus padres o tutores (sección 10).

Qué datos. Los de la sección 3.6.

Quién los ve.

Tu gimnasio: todos.
Otros gimnasios registrados, solo si tu gimnasio te propone en una solicitud, un reto o una negociación: tu nombre, tu foto (si la hay), tu nivel o cinturón y cuántos combates oficiales y sparrings has hecho, junto con las condiciones del combate: deporte, división, categoría de edad (que da una idea de tu edad) y rango de peso. Una solicitud publicada en el tablón la ve cualquier gimnasio registrado. Rivales comprueba su email, pero no que de verdad sea un gimnasio.
El gimnasio con el que se acuerda un combate lo guarda en su historial: tu nombre, tu foto, la fecha, el deporte y el peso pactado.
Nadie más que tu gimnasio ve tu fecha de nacimiento, tu peso, tu altura, tu nacionalidad, tu biografía ni tu récord de victorias y derrotas.
Sin iniciar sesión no se ve ningún dato tuyo. Las fotos se sirven con enlaces únicos e imposibles de adivinar; quien tuviera el enlace exacto de una foto podría abrirla.
Las notificaciones de los combates llevan tu nombre (sección 8).

Cuánto tiempo. Mientras tu gimnasio te tenga en la app. Si te borra y no habías participado en ningún acuerdo con otro gimnasio, se borra todo. Si habías participado, se borran tu foto y el resto de tu ficha, y queda tu nombre en el historial de los gimnasios con los que se acordó ese combate, mientras tengan cuenta en Rivales: ese historial es suyo. Si no quieres aparecer en él, puedes oponerte (sección 11) y lo estudiaremos con ellos. Si tu gimnasio borra su cuenta pasa lo mismo, y en ese historial tu gimnasio aparece como "Gimnasio eliminado".

Cómo ejercer tus derechos. Puedes pedírselo a tu gimnasio o escribirnos a soporte@rivales.es, aunque no tengas cuenta. Si la petición es sobre los datos que puso tu gimnasio, se la trasladaremos sin demora y le ayudaremos a responderte. Si tu gimnasio ya no está en Rivales o no te contesta, dínoslo y lo atenderemos nosotros. También puedes reclamar ante la Agencia Española de Protección de Datos (sección 11).

10. Menores de edad

Usuarios: solo mayores de edad. Si detectamos la cuenta de un menor, la cerraremos.
Deportistas menores: un gimnasio puede darlos de alta desde el año en que cumplen 11. Ningún menor tiene cuenta ni usa la app.
Autorizaciones: el gimnasio tiene que informar a la familia y, si se basa en el consentimiento, pedirlo a los padres o tutores si el menor tiene menos de 14 años, o al propio menor si tiene 14 o más (art. 7 LOPDGDD). Para usar la foto de un menor hace falta, además, la autorización que exige la Ley Orgánica 1/1982 para su imagen: la del propio menor si tiene madurez suficiente y, si no, la de sus padres o tutores, por escrito. El gimnasio debe guardar prueba de esas autorizaciones.
Rivales no comprueba la edad real de los deportistas ni esas autorizaciones: lo hace y responde de ello cada gimnasio, que se compromete a ello en las Condiciones de uso.
Lo que sí hace la app: los otros gimnasios no ven la fecha de nacimiento; las reglas de edad impiden proponer a un menor en un combate de otra categoría o con nivel profesional; la foto es opcional y se guarda sin metadatos.
Si eres padre, madre o tutor y quieres que se retire un dato o la foto de tu hijo o hija, escríbenos a soporte@rivales.es. Lo trataremos con prioridad y, si hace falta, ocultaremos el dato de forma provisional mientras lo resolvemos con el gimnasio.

11. Tus derechos

Puedes pedirnos, gratis:

Acceso: saber qué datos tuyos tenemos y recibir una copia.
Rectificación: corregir los que estén mal. La mayoría puedes cambiarlos tú en la app.
Supresión: que los borremos.
Oposición: que dejemos de usarlos (ver el recuadro).
Limitación: que los apartemos sin usarlos mientras resolvemos una reclamación tuya.
Portabilidad: recibir los datos que nos diste en un formato estructurado (JSON o CSV) para llevarlos a otro servicio.

Si algún tratamiento se basa en tu consentimiento, puedes retirarlo cuando quieras, sin que eso afecte a lo que se hizo antes.

Derecho de oposición. Cuando usamos tus datos por nuestro interés legítimo (sección 4), puedes oponerte por motivos relacionados con tu situación particular. Dejaremos de usarlos salvo que haya motivos legítimos imperiosos que pesen más o los necesitemos para defendernos de una reclamación (art. 21 RGPD).

Cómo. Escribe a soporte@rivales.es desde el email de tu cuenta, diciendo qué pides. Si escribes desde otra dirección o no tienes cuenta, te pediremos lo mínimo para comprobar quién eres; no te pediremos copia del DNI salvo que no haya otra forma. Respondemos en un mes como máximo. Si la petición es compleja, podemos ampliarlo dos meses más, avisándote dentro del primer mes (art. 12.3 RGPD).

Si no estás de acuerdo con nuestra respuesta, o en cualquier momento, puedes reclamar ante la Agencia Española de Protección de Datos: www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid. No hace falta que nos escribas antes a nosotros.

Borrar tu cuenta

Desde la app: Mi Gym > Cuenta y seguridad > Eliminar cuenta. Te pediremos tu contraseña, o que vuelvas a entrar con Google, para confirmar que eres tú.
Sin la app: sigue los pasos de rivales.es/borrar-cuenta o escribe a soporte@rivales.es desde el email de tu cuenta.
Si quieres una copia de tus datos o de los de tus deportistas, pídela antes de borrar la cuenta: te la enviaremos en un formato estructurado (JSON o CSV).

Qué pasa al borrarla:

Se borran al momento tu cuenta, tu gimnasio, tus deportistas, tus solicitudes, tus avisos y tus chats (también para el otro gimnasio), y se cancela la suscripción en Stripe, sin más cobros.
Si tenías combates confirmados, se cancelan y avisamos a cada rival.
Si tenías combates confirmados o celebrados con otros gimnasios, en su historial tu gimnasio pasa a ser "Gimnasio eliminado", sin ningún dato, y de tus deportistas queda solo el nombre de los que participaron en esos combates.
Se conservan: las facturas, bloqueadas durante 6 años; el registro de actividad, 180 días como máximo; la constancia del borrado, 3 años; y las copias de seguridad, hasta 14 días.
Borrar la app del móvil o dejar de usarla no borra la cuenta ni cancela la suscripción.

12. Seguridad

Toda la comunicación entre la app y el servidor va cifrada (HTTPS).
Las contraseñas se guardan con Argon2id y se comprueban contra filtraciones conocidas.
Verificación en dos pasos opcional, bloqueo tras varios intentos fallidos y aviso por email de cada cambio de seguridad.
Una sola sesión abierta a la vez: entrar desde otro móvil cierra la anterior, y cambiar la contraseña las cierra todas.
Las imágenes se guardan sin metadatos.
Copias de seguridad que se borran a los 14 días.
Si sufrimos una brecha de seguridad que ponga en riesgo tus datos, la notificaremos a la Agencia Española de Protección de Datos en 72 horas y, si el riesgo es alto, también a ti (arts. 33 y 34 RGPD). Si afecta a datos de deportistas, avisaremos a su gimnasio sin demora.

Ningún sistema es infalible. Ayúdanos: no compartas tu contraseña, activa la verificación en dos pasos y avísanos a soporte@rivales.es si ves un acceso que no reconoces.

13. Lo que la app guarda en tu móvil, y cookies

En el móvil, la app guarda:

tus credenciales de sesión, en el almacenamiento seguro del sistema;
el método con el que entraste (email o Google), para pedirte la confirmación correcta si borras la cuenta;
el identificador de notificaciones push;
una copia temporal de las imágenes que ya has visto, para no descargarlas otra vez.

Todo es necesario para que la app funcione o para darte un servicio que pides (las notificaciones), así que no necesita tu consentimiento (art. 22.2 de la Ley de Servicios de la Sociedad de la Información, LSSI). La app no lleva analítica, publicidad, rastreo entre apps ni identificadores publicitarios.

En la web: las páginas de rivales.es (esta política, la de borrar la cuenta, la del enlace de pago y la de recuperar la verificación en dos pasos) no usan cookies. La página de pago es de Stripe, que usa sus propias cookies según su política. El panel interno del equipo de Rivales usa una cookie técnica de sesión.

14. Decisiones automatizadas

La app aplica reglas automáticas para que un deportista solo pueda proponerse en los combates que le corresponden: su categoría de edad el día del combate, su nivel, su licencia y la división. Estas reglas no deciden nada sobre ti ni producen efectos jurídicos: proponer a un deportista y aceptar un combate es siempre decisión del gimnasio. No hacemos perfiles ni tomamos decisiones automatizadas de las que regula el art. 22 RGPD.

15. Cambios en esta política

Si cambiamos esta política, publicaremos la nueva versión aquí con su fecha. Si el cambio es importante, te avisaremos por email o en la app antes de que se aplique y, si hace falta tu autorización, te la pediremos.

Normativa

Reglamento (UE) 2016/679, General de Protección de Datos (RGPD); Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD); Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI); Ley Orgánica 1/1982, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen; y Ley Orgánica 1/1996, de Protección Jurídica del Menor.