Política de Privacidad y Protección de Datos

La presente Política de Privacidad regula el tratamiento de datos personales realizado a través de la aplicación móvil para dispositivos Android e iOS denominada Mi Protección Civil / «Gestión - Protección Civil» (en adelante, la «Aplicación») y la infraestructura de servicios web asociada (en conjunto, la «Plataforma»), cuyo desarrollo, mantenimiento y provisión técnica corresponden a cragma (en adelante, el «Proveedor»), con punto de contacto electrónico en legal@cragma.es.

La Plataforma constituye una herramienta tecnológica de gestión logística, operativa, de recursos humanos y de coordinación de emergencias destinada tanto a Entidades Públicas (Ayuntamientos, Mancomunidades y Administraciones Públicas que gestionan Agrupaciones Municipales de Voluntarios de Protección Civil) como a Entidades de carácter Privado o Asociativo (Asociaciones de voluntariado, ONGs, brigadas, grupos de rescate y equipos de respuesta a emergencias constituidos por cuenta propia), denominadas conjuntamente en este documento como la «Organización».

De conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (Reglamento General de Protección de Datos - RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD):

1. Responsable del Tratamiento: La Organización (ya sea un Ayuntamiento/Entidad Pública o una Asociación/Equipo de Voluntariado privado) que registra su agrupación, contrata o utiliza la Plataforma ostenta la condición de Responsable del Tratamiento respecto de los datos personales de sus voluntarios, empleados, miembros, colaboradores o ciudadanos afectados registrados en su entorno operativo. La Organización determina las finalidades, la base legitimadora y las instrucciones operativas para el tratamiento de dicha información.
2. Encargado del Tratamiento: cragma actúa en calidad de Encargado del Tratamiento, limitándose a proveer la solución software, la arquitectura de alojamiento en la nube y el soporte técnico, tratando los datos estrictamente por cuenta y bajo las directrices documentadas de la Organización.
3. Tratamiento Independiente en Redes Publicitarias y Gestión de Cuenta: En relación con los datos de navegación técnica y publicidad descritos en la Cláusula 7, Google LLC / Google Ireland Ltd. y cragma actúan como responsables en el marco de la prestación de servicios publicitarios mediante la red Google AdMob, así como en la gestión administrativa de las suscripciones contratadas.

La Plataforma procesa las siguientes categorías de datos personales introducidos por la Organización o recabados mediante el uso del dispositivo móvil o tablet del usuario:

• Datos Identificativos y de Perfil Operativo: Nombre, apellidos, documento nacional de identidad (DNI/NIE) o equivalente, fecha de nacimiento, grupo sanguíneo (cuando el voluntario o la Organización lo incluya con fines de seguridad médica en intervenciones), rango o categoría interna, indicativo de radiocomunicaciones y fotografía de perfil.
• Datos de Contacto: Dirección de correo electrónico, número de teléfono móvil y domicilio postal.
• Datos de Actividad Operativa y Asistencial: Registro y cómputo de horas de voluntariado o guardia, inscripción y asignación a servicios preventivos o eventos, partes de intervención en PDF, estado de disponibilidad, asignación a vehículos o tablets a bordo, control de inventario en almacenes y datos de filiación o entrega de suministros en albergues provisionales y pulseras identificativas.
• Datos de Geolocalización: Coordenadas de posición geográfica (GPS) enviadas por el dispositivo móvil o la tablet instalada en el vehículo durante operativos activos.
• Datos Técnicos y de Dispositivo: Dirección IP, identificadores únicos de dispositivo, versión del sistema operativo (Android / iOS), modelo de terminal, token de notificaciones push (Firebase Cloud Messaging) y porcentaje de batería del dispositivo durante intervenciones operativas.
• Credenciales de Autenticación: Direcciones de correo electrónico y contraseñas cifradas (incluyendo cuentas específicas para tablets en vehículos), o identificadores de inicio de sesión gestionados por proveedores externos (Google Sign-In, Sign in with Apple).

El tratamiento de datos de ubicación geográfica se rige por las siguientes condiciones técnicas y operativas estrictas:

1. Ubicación en Segundo Plano: La Aplicación recopila coordenadas de localización en segundo plano (incluso con la Aplicación cerrada o cuando el dispositivo está bloqueado) únicamente cuando el usuario o la tablet del vehículo se encuentra asignado a un servicio activo, preventivo o evento de emergencia creado por la Organización.
2. Naturaleza Efímera de la Posición: Las coordenadas de ubicación se procesan en tiempo real con el propósito exclusivo de permitir la coordinación táctica sobre el terreno, visualización de hidrantes/DEA cercanos y seguimiento de unidades por parte de la central de mando de la Organización. Cada actualización de posición sobrescribe la coordenada anterior en la arquitectura de cragma. No se generan ni conservan mapas de desplazamiento histórico ni rutas continuas en la infraestructura del Proveedor.
3. Servicios en Primer Plano y Alertas Operativas: Durante el seguimiento operativo activo o la activación de funciones de emergencia/auxilio (como avisos prioritarios o estados SOS cuando se encuentren habilitados por la Organización), la Aplicación ejecuta un servicio en primer plano (Foreground Service) visible mediante notificación persistente para garantizar la transmisión ininterrumpida de las coordenadas a los coordinadores de la Organización.
4. Control de Permisos: El usuario puede habilitar, denegar o revocar el acceso a los servicios de localización en cualquier momento a través de los ajustes de configuración de su dispositivo móvil Android o iOS.

La Aplicación permite el uso de mecanismos de autenticación biométrica (huella dactilar o reconocimiento facial como Face ID / Touch ID) para verificar la identidad del usuario durante el desbloqueo y acceso rápido al terminal:

• Procesamiento Exclusivamente Local: La validación biométrica se realiza de forma íntegra dentro del elemento seguro del sistema operativo del dispositivo del usuario (Android BiometricPrompt / iOS LocalAuthentication).
• Ausencia de Almacenamiento Externo: Ningún dato biométrico, huella, plantilla o patrón facial es transmitido, almacenado ni procesado en los servidores de cragma ni de la Organización.

El tratamiento de los datos personales procesados en la Plataforma se fundamenta en las siguientes bases legitimadoras del artículo 6 del RGPD:

• Cumplimiento de una Misión realizada en Interés Público o Cumplimiento de Obligaciones Legales (Art. 6.1.e y 6.1.c RGPD): Aplicable cuando la Organización Responsable del Tratamiento es un Ayuntamiento o Entidad Pública en el ejercicio de sus competencias legales de coordinación de servicios municipales de protección civil, prevención y atención de emergencias (Ley 17/2015 del Sistema Nacional de Protección Civil y normativa autonómica/local aplicable).
• Ejecución de una Relación Asociativa, Estatutaria o Contractual (Art. 6.1.b RGPD): Aplicable en la prestación de los servicios solicitados por Asociaciones, ONGs o Equipos de Voluntariado por cuenta propia para la gestión interna de sus miembros y compromisos de voluntariado, así como para la ejecución de los términos de uso de la Aplicación.
• Interés Legítimo (Art. 6.1.f RGPD) e Intereses Vitales (Art. 6.1.d RGPD): La garantía de la seguridad física de los efectivos desplegados durante intervenciones operativas, la asistencia humanitaria en albergues provisionales y la protección técnica de la infraestructura informática contra accesos no autorizados o fraudulentos.
• Consentimiento Expreso (Art. 6.1.a RGPD): El otorgamiento voluntario de permisos en el dispositivo móvil (geolocalización, cámara, notificaciones) y la configuración de preferencias sobre publicidad personalizada en el banner de consentimiento UMP.

1. Seguridad y Aislamiento Lógico: cragma aplica medidas de seguridad técnicas y organizativas de alto nivel para proteger la información contra la destrucción, pérdida, alteración o acceso no autorizado. Los entornos de datos de cada Ayuntamiento, Agrupación o Asociación se encuentran aislados de forma lógica (silos de datos independientes). Todas las comunicaciones se transfieren mediante protocolos seguros HTTPS/TLS 1.2 o superior y los datos almacenados en servidores en la nube cuentan con cifrado en reposo de grado militar (AES-256).

Los usuarios pueden ejercitar gratuitamente sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición (derechos ARCO-POL) conforme a las siguientes vías:

1. Solicitud ante la Organización: Dado que el Ayuntamiento, Agrupación o Asociación ostenta la condición de Responsable del Tratamiento de su personal y operativo, las solicitudes relativas a datos internos de la agrupación deberán tramitarse prioritariamente ante dicha entidad.
2. Asistencia y Subsidiariedad: En caso de que el usuario dirija su solicitud directamente a cragma a través de legal@cragma.es, nuestro equipo atenderá las cuestiones técnicas directas y dará traslado formal a los administradores de la Organización correspondiente para su inmediata resolución.
3. Reclamación ante la Autoridad de Control: El usuario tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es) o la autoridad de protección de datos competente si considera que el tratamiento infringe la normativa vigente.