Política de Privacidad

1. Identidad del responsable y canales de contacto

El responsable del tratamiento de los datos personales tratados en el marco de la aplicación Okeanun para buzos (en adelante, la “Aplicación” o el “Servicio”) es MUNAEKO DEVELOPMENT SOFTWARE SOLUTIONS, S.L. (marca “Okeanun”), con NIF B88989868 y domicilio social en Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Murcia, España. Para cualquier cuestión relativa a privacidad, así como para el ejercicio de derechos en tratamientos en los que Okeanun actúe como responsable, se encuentra disponible el canal [email protected]. La presente Política constituye información adicional o “segunda capa”, conforme al esquema de información por capas, y está diseñada para ser concisa, transparente, inteligible y de fácil acceso, con lenguaje claro, manteniéndose permanentemente accesible en la Aplicación y, cuando proceda, en los entornos web asociados.

2. Principios aplicables al tratamiento

Okeanun trata los datos personales conforme a los principios de licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. En particular, Okeanun aplica un enfoque de responsabilidad proactiva (accountability), lo que implica adoptar medidas técnicas y organizativas apropiadas y poder demostrar que el tratamiento es conforme, revisándolas y actualizándolas cuando resulte necesario; este enfoque se articula mediante políticas internas, documentación de decisiones, controles de acceso y medidas de trazabilidad, especialmente relevantes cuando el Servicio integra accesos por terceros (centros) o gestiona documentación potencialmente sensible.

3. Roles y escenarios de tratamiento: Okeanun y centros de buceo

En el ecosistema Okeanun pueden coexistir tratamientos con distintos responsables, según el escenario y la finalidad concreta. Con carácter general, Okeanun actúa como responsable respecto de los tratamientos necesarios para operar la cuenta Okeanun y el Servicio (por ejemplo, alta, autenticación, mantenimiento, soporte, seguridad y funcionamiento de la capa social). Adicionalmente, determinados centros de buceo actúan como responsables independientes respecto de los datos que tratan para gestionar sus reservas, actividades, cursos, inmersiones y obligaciones con los buzos; en esos supuestos, Okeanun puede tratar datos por cuenta del centro como encargado del tratamiento. El encargo se articulará mediante contrato u otro acto jurídico con el contenido exigible, incluyendo tratamiento conforme a instrucciones, compromiso de confidencialidad, medidas de seguridad, asistencia al responsable en el ejercicio de derechos, régimen de subencargos, devolución o supresión al finalizar la prestación y puesta a disposición de información para auditorías.

4. Qué datos personales tratamos

En función del uso del Servicio, Okeanun puede tratar las siguientes categorías de datos personales, con arreglo al principio de minimización:

• a) Datos de identidad y cuenta: nombre y apellidos (si se facilita), alias/usuario, identificadores internos, email, credenciales y preferencias de cuenta.
• b) Datos de contacto: por ejemplo, teléfono y teléfono de emergencia (si se facilita).
• c) Datos de actividad y contenido: registros del cuaderno de inmersiones (logbook), publicaciones, comentarios, reacciones, y contenidos que la persona usuaria suba o genere en el Servicio.
• d) Fotografías del logbook y contenidos multimedia: fotografías incorporadas por la persona usuaria a sus registros, que pueden contener imágenes de terceras personas.
• e) Grafo social: amistades, “buddies”, invitaciones y relaciones sociales dentro de la Aplicación.
• f) Datos de localización: ubicación asociada a inmersiones cuando el usuario la incorpore a sus registros o cuando active funcionalidades que lo requieran.
• g) Datos económicos frente a centros: información vinculada a importes pendientes, vales o solicitudes de pago cuando la persona usuaria utilice funcionalidades que lo requieran.
• h) Datos técnicos y de seguridad: datos necesarios para el funcionamiento y protección del Servicio y evidencias de trazabilidad en operaciones sensibles (por ejemplo, confirmación o rechazo de una vinculación con un centro), incluyendo, cuando proceda, dirección IP y datos del navegador/dispositivo.
• i) Metadatos de declaraciones o aceptaciones: constancia de aceptación y su trazabilidad (por ejemplo, marcas temporales y metadatos asociados), con finalidad de prueba de la decisión del usuario y seguridad del Servicio.
• j) Documentación del buzo, incluidas categorías especiales: certificaciones y seguro; y, si el usuario decide aportarlos, cuestionarios, certificados médicos u otra documentación relativa a la salud. Los datos relativos a la salud constituyen categorías especiales de datos y se someten a un régimen reforzado de garantías.
• k) Datos antropométricos y fisiológicos: peso, altura, calzado, lastre preferido y SAC. Estos datos, sin ser categoría especial, se tratan con cautelas reforzadas de acceso por su proximidad a la esfera de la salud, limitándose a finalidades de preparación de equipo y estimación de consumo, y sin incorporarse al directorio visible para centros sin vinculación (nivel 0).

5. Finalidades del tratamiento y bases de legitimación

Okeanun trata datos personales para finalidades determinadas, explícitas y legítimas, identificando para cada tratamiento la base jurídica aplicable y garantizando que, cuando se traten categorías especiales, se aplique el régimen reforzado correspondiente.

• a) Alta, autenticación, gestión de cuenta y prestación de funcionalidades del Servicio. Base de legitimación: ejecución de un contrato o medidas precontractuales solicitadas por la persona usuaria.
• b) Soporte y atención al usuario. Base de legitimación: ejecución del contrato.
• c) Comunicaciones operativas necesarias para el Servicio. Base de legitimación: ejecución del contrato y/o interés legítimo, en la medida en que sean necesarias y proporcionadas para el funcionamiento del Servicio.
• d) Seguridad e integridad del Servicio, trazabilidad y prevención de usos indebidos. Base de legitimación: interés legítimo, con medidas técnicas y organizativas apropiadas y controles de acceso.
• e) Directorio de cualificación visible para centros sin vinculación previa (nivel 0). Base de legitimación: interés legítimo. El usuario podrá ejercitar su derecho de oposición mediante el control/interruptor habilitado en la Aplicación, cuyo efecto es la exclusión del directorio de nivel 0.
• f) Verificación de vinculación buceador↔centro y constancia de la operación. Base de legitimación: ejecución del contrato y, cuando proceda, conservación de evidencias de la aceptación/decisión del usuario y de su revocación, con finalidad de prueba y seguridad.
• g) Tratamiento de documentación médica o datos de salud aportados por el usuario. Cuando la persona usuaria decide aportar datos relativos a la salud, el tratamiento se realizará con base jurídica adecuada y bajo el régimen reforzado aplicable a categorías especiales, incluyendo, cuando proceda, el consentimiento explícito para fines específicos; el consentimiento podrá retirarse en cualquier momento sin afectar a la licitud del tratamiento previo a su retirada.

6. Directorio de cualificación y niveles de acceso para centros

El Servicio puede incluir un directorio de cualificación visible para centros sin vinculación (nivel 0). En ese nivel, el centro podrá visualizar únicamente los campos estrictamente necesarios y configurados para ese fin, incluyendo: nombre y apellidos, alias, avatar, identificador interno de Okeanun, total de inmersiones, fecha de la última inmersión, capacidades derivadas de certificaciones y, por cada certificación, agencia certificadora (incluido logotipo), nombre del curso, nivel y estado de verificación, así como metadatos funcionales estrictamente necesarios (type, isOkeanunUser). No se exponen en nivel 0 datos de contacto (email, teléfono), datos de seguro, datos antropométricos y fisiológicos, ni información médica o derivada de la misma, ni imágenes de documentación sanitaria, ni identificadores de certificación verificables frente a terceros (por ejemplo, número de certificación) ni fechas de caducidad de certificaciones. Esta delimitación responde a los principios de minimización y de privacidad por defecto en cuanto a accesibilidad de datos frente a terceros.

El acceso de un centro a información del buzo fuera de nivel 0 (en adelante, “nivel 1 o superior”) no se habilita por el mero hecho de que el centro realice una búsqueda en el directorio ni por la simple existencia de una reserva realizada por el centro. Para habilitar nivel 1 o superior debe existir una relación previa con el centro que se considere verificada conforme a la lógica del Servicio. A estos efectos, se consideran supuestos habilitantes de nivel 1 o superior: (i) la existencia de una vinculación verificada buzo↔centro y (ii) la membresía en el centro (por ejemplo, cuando el buzo sea propietario, copropietario o personal/staff del centro), supuesto este último en el que el acceso se deriva de la pertenencia al centro.

La vinculación verificada puede confirmarse por distintos canales, que se describen separadamente para garantizar transparencia sobre cómo se otorga el acceso: (a) aceptación expresa desde la Aplicación en una pantalla dedicada de solicitud de acceso del centro, donde se muestra el alcance de acceso y se ofrecen opciones “Aceptar”, “Rechazar” o “Ahora no”; (b) aceptación expresa mediante enlace enviado por correo electrónico, con vigencia temporal, que conduce al mismo flujo de confirmación; y (c) en el caso de una reserva realizada en el portal de un centro usando identidad Okeanun por el propio titular de la reserva (autenticación y actuación por cuenta propia), la vinculación puede considerarse verificada sin una pantalla adicional. Esta verificación automática solo opera respecto del titular que actúa por sí mismo y no respecto de acompañantes u otras personas incluidas en la reserva, quienes recibirán su propia solicitud individual de confirmación cuando proceda.

Además de lo anterior, el Servicio puede mantener estados intermedios de relación con un centro para reflejar situaciones operativas en las que existe un vínculo comercial (por ejemplo, reserva o vale) sin que el usuario haya confirmado una vinculación verificada: en esos casos, el centro no accede al expediente Okeanun del buzo (nivel 1 o superior), sino únicamente a lo estrictamente necesario para gestionar su relación propia (por ejemplo, su histórico de reservas, saldos, vales activos y, en su caso, perfiles “guest” y documentación recabada por el propio centro), actuando el centro como responsable respecto de ese tratamiento.

7. Derecho de oposición al directorio nivel 0

Cuando el directorio nivel 0 se base en interés legítimo, la persona usuaria puede oponerse en cualquier momento mediante el control habilitado en la Aplicación. El efecto de la oposición es la exclusión del usuario del conjunto de resultados del directorio para centros sin vinculación. La oposición no afecta al acceso de centros con vinculación verificada ni al acceso derivado de una relación de membresía en un centro.

8. Destinatarios y categorías de destinatarios

Con carácter general, Okeanun no comunicará datos a terceros salvo cuando sea necesario para prestar el Servicio, cuando exista obligación legal o cuando la persona usuaria active funcionalidades que impliquen compartir datos con un centro concreto (por ejemplo, vinculación, reservas o gestión documental asociada al centro).

• a) Centros de buceo — centro vinculado o con membresía: cuando exista una vinculación verificada o una relación de membresía, el centro podrá acceder a los datos necesarios dentro del nivel habilitado para operar reservas, cursos, inmersiones, verificaciones y obligaciones asociadas. En el tratamiento que el centro realice para sus propias finalidades, el centro actúa como responsable.
• a) Centros de buceo — centro no vinculado: acceso a directorio nivel 0. En este supuesto, el centro receptor pasa a ser responsable independiente respecto del tratamiento que realice a partir de la recepción de los datos y deberá cumplir su propio deber de información cuando proceda, en particular cuando los datos no se obtengan directamente del interesado.
• b) Proveedores (encargados y subencargados): Okeanun utiliza proveedores tecnológicos para prestar el Servicio (por ejemplo, alojamiento e infraestructura, base de datos, almacenamiento y tratamiento de imágenes, email transaccional, autenticación, mapas, diagnóstico de errores, soporte/gestión de tickets y pagos). Estos proveedores tratan datos por cuenta de Okeanun como encargados o subencargados, conforme a instrucciones documentadas y con obligaciones contractuales adecuadas, incluyendo el régimen de subencargos y la transparencia en cambios de subencargados cuando resulte aplicable. La lista nominal y actualizada de proveedores y subencargados, con indicación de ubicaciones y, cuando proceda, mecanismos de transferencias internacionales, puede solicitarse en cualquier momento en [email protected].

9. Transferencias internacionales

Determinados proveedores pueden implicar transferencias internacionales de datos personales, incluyendo situaciones en las que, aun estando la región de tratamiento configurada en la Unión Europea, exista acceso administrativo o de soporte desde terceros países. En esos casos, Okeanun aplicará las garantías adecuadas exigibles y facilitará información clara sobre la existencia de transferencias y sobre los medios para obtener copia o acceder a las garantías a través de [email protected].

Asimismo, el uso de servicios de terceros cargados en el navegador (por ejemplo, servicios de mapas o de identidad de terceros) puede implicar comunicaciones directas de datos desde el dispositivo del usuario hacia dichos terceros, lo que quedará comprendido en la información sobre destinatarios y transferencias internacionales cuando proceda.

10. Plazos de conservación

Los datos personales se conservarán durante el tiempo necesario para las finalidades para las que se tratan, conforme al principio de limitación del plazo de conservación y aplicando, cuando proceda, supresión o limitación del tratamiento. Okeanun utiliza criterios y plazos concretos para categorías relevantes de datos, sin perjuicio de que determinados tratamientos puedan exigir conservación adicional cuando sea necesario para atender responsabilidades y defensa de reclamaciones.

En particular:

• a) Datos de cuenta y operativa del Servicio: mientras la cuenta permanezca activa y, posteriormente, durante un plazo adicional de 2 años para la gestión de responsabilidades y defensa de reclamaciones.
• b) Token de vinculación: hasta 72 horas.
• c) Registro de accesos de centros: 12 meses.
• d) Constancia de verificación de vinculación buzo↔centro y trazas asociadas: mientras subsista la vinculación y, posteriormente, durante 2 años.
• e) Reservas totalmente canceladas y sin cobros: eliminación definitiva.
• f) Reservas con cobros o con obligaciones asociadas: conservación durante el tiempo necesario para atender obligaciones y defensa de reclamaciones vinculadas a la operativa económica.
• g) Datos tratados por cuenta de un centro: los plazos los fija el centro como responsable; cuando Okeanun actúe como encargado, se aplicarán los términos del instrumento de encargo (DPA), incluyendo devolución o supresión cuando proceda.

11. Derechos de las personas usuarias y cómo ejercerlos

La persona usuaria puede ejercer los derechos reconocidos por la normativa de protección de datos (acceso, rectificación, supresión, limitación, oposición y portabilidad cuando proceda), así como retirar el consentimiento cuando el tratamiento se base en consentimiento. El ejercicio se facilita mediante canales accesibles y procedimientos que permitan la respuesta en plazo y con trazabilidad adecuada.

En todo caso, la persona interesada podrá presentar reclamación ante la Agencia Española de Protección de Datos (AEPD).

• a) Tratamientos en los que Okeanun es responsable: las solicitudes pueden dirigirse a [email protected].
• b) Tratamientos en los que el centro es responsable: cuando el tratamiento corresponda a un centro (por ejemplo, gestión de reservas, cursos o documentación requerida por el centro), el ejercicio de derechos debe dirigirse al centro. Si Okeanun recibe una solicitud relativa a un tratamiento por cuenta del centro, prestará la asistencia técnica que proceda conforme al régimen de encargo y a las instrucciones del centro responsable.
• c) Revocación de la vinculación y límites prácticos: la persona usuaria puede revocar una vinculación verificada con un centro desde la Aplicación (Ajustes → Privacidad → Centros vinculados → “Retirar acceso”), con efecto inmediato respecto del acceso del centro al expediente del buzo en Okeanun. La revocación no impide que el centro trate (i) su propio histórico comercial y operativo (por ejemplo, reservas, vales, saldos y documentación o perfiles “guest” recabados por el propio centro), respecto de lo cual el centro actúa como responsable independiente, ni (ii) revierte la eventual descarga o incorporación previa de datos por el centro a sus propios sistemas durante el periodo en que tuvo acceso; en ese caso, el ejercicio de derechos debe dirigirse al centro en su condición de responsable. En caso de relación por membresía (por ejemplo, propietario, copropietario o personal/staff del centro), la retirada de acceso por revocación de la vinculación no elimina el acceso derivado de la pertenencia al centro, debiendo gestionarse, en su caso, mediante la baja o salida del centro conforme a la operativa aplicable.
• d) Límite real del derecho de supresión respecto de copias retenidas por centros: la supresión solicitada frente a Okeanun no alcanza a copias o expedientes que los centros, como responsables independientes, conserven para el cumplimiento de obligaciones propias o para la formulación, ejercicio o defensa de reclamaciones. En esos supuestos, el ejercicio debe articularse frente al centro, sin perjuicio de los derechos que correspondan frente a Okeanun respecto de sus propios tratamientos.

12. Información por capas en puntos de recogida

Cuando los datos personales se obtengan directamente del usuario, la información se facilitará de forma clara y accesible, pudiendo emplearse un sistema por capas: una primera capa (información básica) en los puntos de recogida (por ejemplo, alta, formularios, flujos de vinculación, subida de documentación y pagos) y una segunda capa de información adicional mediante esta Política o mediante enlace directo a la misma. Cuando los datos personales no se obtengan del interesado, la información se facilitará en los términos y plazos aplicables, pudiendo igualmente utilizarse un esquema por capas conforme a la normativa española.

13. Privacidad desde el diseño y por defecto y configuraciones por defecto del Servicio

Okeanun adopta medidas técnicas y organizativas para integrar la protección de datos desde el diseño y por defecto, de modo que, por defecto, solo se traten los datos necesarios para cada finalidad específica, y se controlen cantidad, extensión, accesibilidad y conservación, teniendo en cuenta el estado de la técnica, el coste y los riesgos para los derechos y libertades. Estas medidas se documentan y se revisan en función del riesgo.

Sin perjuicio de lo anterior, el Servicio incorpora configuraciones por defecto relevantes que deben ser conocidas desde el alta y que son modificables sin fricción por la persona usuaria:

Estas opciones se ofrecen para permitir una decisión informada y un control efectivo por la persona usuaria sobre la accesibilidad de su información en el Servicio.

• a) Visibilidad del perfil social: por defecto, el perfil social es público. Esto implica que determinados elementos del perfil y del contenido social que la persona usuaria publique voluntariamente pueden ser visibles conforme a la lógica social del Servicio. La persona usuaria puede cambiar esta configuración en cualquier momento, con efecto inmediato. La documentación de salud no forma parte del perfil social.
• b) Visibilidad en el directorio para centros: por defecto, la persona usuaria es visible para centros en el directorio de cualificación (nivel 0). La persona usuaria puede desactivar esta visibilidad en cualquier momento mediante el control habilitado, con efecto inmediato.

14. Seguridad del tratamiento e incidentes

Okeanun aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, con controles de acceso, medidas orientadas a la confidencialidad, integridad y disponibilidad, y mecanismos de trazabilidad especialmente relevantes en accesos por centros y en operaciones sensibles. Estas medidas se revisan y actualizan cuando sea necesario atendiendo al análisis de riesgos y, cuando proceda, a evaluaciones de impacto.

En caso de violación de seguridad de datos personales, Okeanun documentará el incidente y gestionará las obligaciones de notificación cuando proceda. Cuando Okeanun actúe como encargado por cuenta de un centro, notificará sin dilación indebida al centro responsable las violaciones de seguridad de las que tenga conocimiento, conforme a lo exigido en el régimen del encargo.

15. Menores de edad

El Servicio no está destinado a menores. No obstante, los centros pueden gestionar buzos menores como “guest divers” y aportar o gestionar su documentación en el entorno del centro. En ese supuesto, el centro actúa como responsable del tratamiento y Okeanun puede actuar como encargado por cuenta del centro, correspondiendo al centro la obtención del consentimiento de quienes ostenten la patria potestad o tutela cuando este sea necesario, especialmente en relación con documentación de salud u otra documentación especialmente sensible.

16. Cookies y tecnologías similares

En los entornos web del Servicio, Okeanun solo utiliza actualmente el almacenamiento y la recuperación de datos en equipos terminales que resultan estrictamente necesarios para prestar el servicio solicitado por la persona usuaria y para fines de seguridad (por ejemplo, el mantenimiento de la sesión). No se utilizan cookies ni tecnologías similares de analítica, publicidad o personalización, por lo que no se solicita consentimiento ni se muestra un banner de cookies. Si en el futuro se incorporasen tecnologías no estrictamente necesarias, se facilitará con carácter previo información clara y completa sobre su utilización y finalidades, se recabará el consentimiento del usuario y se habilitarán mecanismos de configuración y retirada del consentimiento.

17. Cambios en la Política de Privacidad

Okeanun podrá actualizar esta Política cuando existan cambios en el Servicio, en sus procesos o por evolución normativa. La versión vigente estará disponible de forma accesible, con indicación de su fecha de última revisión, y se informará de cambios sustanciales por medios razonables dentro del Servicio o por medios electrónicos.