Política de privacidad.

En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018 de protección de datos personales y garantía de los derechos digitales (LOPDGDD), te informamos sobre cómo tratamos los datos personales que nos facilitas a través de este sitio web.

1. Responsable del tratamiento

• Identidad: Farmacéuticos Canarios Solidarios (FCS), asociación sin ánimo de lucro fundada en 2004.
• NIF: G-XXXXXXXX.
• Inscripción: Registro Nacional de Asociaciones, nº XX-XXX.
• Domicilio: C/ Ejemplo, 00 · 35000 Las Palmas de Gran Canaria.
• Contacto: [email protected].

FCS no está obligada a designar un delegado de protección de datos (DPO) al no cumplir los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. Para cualquier cuestión de privacidad puedes dirigirte directamente a la dirección de contacto.

2. Datos que tratamos y finalidad

Tratamos categorías de datos distintas según la interacción:

• Boletín: tu dirección de correo electrónico, con sistema de doble opt-in (recibes un email de confirmación antes de quedar suscrito/a).
• Formulario de contacto: nombre, email, motivo (donación, voluntariado, prensa, etc.) y el mensaje que nos envías.
• Donaciones puntuales (Stripe): nombre, email, importe y, si lo aportas para emitir certificado fiscal, DNI/NIE. El número de tarjeta lo procesa directamente Stripe; FCS no llega a verlo.
• Alta como socio/a (cuota recurrente vía SEPA): nombre, email, DNI/NIE, dirección postal, teléfono, IBAN, importe de la cuota y datos del mandato SEPA (UMR, fecha de firma, IP y fecha de consentimiento).
• Registros de auditoría: cuando una persona del equipo administra el sitio guardamos quién hizo qué acción y sobre qué recurso, con fecha. No registramos perfilado automatizado de personas usuarias.

3. Base jurídica

• Boletín: consentimiento explícito (art. 6.1.a RGPD), retirable en cualquier momento desde el enlace de baja de cada email o escribiéndonos.
• Contacto: interés legítimo en atender tu consulta (art. 6.1.f RGPD).
• Donaciones puntuales: ejecución de la relación entre tú y FCS (art. 6.1.b) y cumplimiento de obligaciones fiscales (art. 6.1.c), en particular la Ley 49/2002 de mecenazgo y el Modelo 182 de la AEAT.
• Alta como socio/a y mandato SEPA: ejecución de la relación asociativa y del mandato SEPA Core (art. 6.1.b) y obligaciones legales (art. 6.1.c) derivadas de la Ley 16/2009 de servicios de pago, la Ley 49/2002 y la presentación del Modelo 182 ante la AEAT.
• Auditoría interna: interés legítimo (art. 6.1.f) en garantizar la seguridad y trazabilidad del tratamiento.

4. Plazos de conservación

• Suscripciones al boletín: hasta que te das de baja + 30 días.
• Mensajes de contacto: 24 meses desde el último intercambio.
• Donaciones y datos de socios/as: 5 años desde la última interacción, salvo que la normativa fiscal o contable exija un plazo mayor (la Ley General Tributaria prevé hasta 4 años para prescripción y la normativa contable, 6 años).
• Mandatos SEPA: 14 meses tras el último cobro según el esquema SEPA Core, ampliados al plazo fiscal aplicable.
• Registros de auditoría: 24 meses para los registros informativos.

Cuando solicites la supresión, eliminaremos tus datos salvo los que estemos obligados a conservar por motivos fiscales o de prevención del blanqueo de capitales; en ese caso quedarán bloqueados y solo se utilizarán para atender requerimientos oficiales.

5. Encargados del tratamiento y destinatarios

Para prestar el servicio nos apoyamos en proveedores que actúan como encargados del tratamiento bajo contrato (art. 28 RGPD):

• DigitalOcean (alojamiento y base de datos): servidores y base de datos MongoDB gestionada en la región AMS3 (Ámsterdam, Países Bajos). Los datos se almacenan dentro del Espacio Económico Europeo.
• Stripe Payments Europe, Ltd. (donaciones puntuales): procesa las tarjetas de las donaciones puntuales. Stripe pertenece a un grupo con matriz en EE. UU.; las transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y en el marco UE-EE. UU. de privacidad de datos (DPF).
• Postmark (Wildbit, LLC) — envío de correos transaccionales: confirmaciones de suscripción, recibos de donación, alta como socio/a y notificaciones internas. Wildbit tiene su sede en EE. UU.; la transferencia se ampara en las Cláusulas Contractuales Tipo y, cuando aplique, en el DPF.
• Entidad bancaria de FCS: recibe los ficheros SEPA con los datos del mandato (IBAN, importe, identificación del deudor) para ejecutar los cobros.
• Administración tributaria (AEAT): destinataria del Modelo 182 (declaración informativa de donativos), con los datos identificativos y los importes donados de quienes lo hayan consentido para fines fiscales.

No vendemos ni cedemos datos a terceros con fines comerciales. Fuera de los casos descritos, solo comunicaríamos tus datos cuando una norma con rango de ley lo exija.

6. Datos especialmente sensibles: IBAN y DNI

El IBAN de los mandatos SEPA y el DNI/NIE se almacenan cifrados en reposo en nuestra base de datos mediante cifrado simétrico AES-256-GCM. El panel de administración solo muestra los últimos cuatro dígitos del IBAN salvo cuando se genera el fichero de cobro, momento en el que se descifra estrictamente para esa operación. El DNI/NIE se utiliza únicamente para emitir el certificado fiscal anual y para la declaración del Modelo 182.

7. Mandato SEPA y derecho de devolución

Al darte de alta como socio/a firmas un mandato SEPA Core que autoriza a FCS a girar la cuota acordada en tu cuenta. El mandato incluye una referencia única (UMR) y se conserva como documento del consentimiento. Puedes revocarlo en cualquier momento escribiéndonos a [email protected]. Conforme al esquema SEPA, dispones de 8 semanas para solicitar la devolución de un cobro autorizado y de 13 meses cuando el cobro no esté autorizado.

8. Decisiones automatizadas y perfilado

No tomamos decisiones automatizadas con efectos jurídicos sobre las personas usuarias ni elaboramos perfiles. Todas las gestiones (responder a un mensaje, aprobar un alta, devolver un cobro) las realiza el equipo humano de FCS.

9. Medidas de seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo: HTTPS en todo el sitio, contraseñas hasheadas con bcrypt, sesiones almacenadas con expiración automática, cifrado en reposo del IBAN y del DNI, control de acceso al panel interno por roles y registros de auditoría de las acciones del personal administrador.

10. Tus derechos

Puedes ejercer en cualquier momento los derechos que el RGPD y la LOPDGDD te reconocen:

• Acceso a los datos que tratamos sobre ti.
• Rectificación de datos inexactos o incompletos.
• Supresión, con las excepciones fiscales y contables ya descritas (los datos asociados a donaciones declaradas a la AEAT no pueden borrarse hasta que prescriba la obligación legal).
• Oposición al tratamiento basado en interés legítimo.
• Limitación del tratamiento mientras se resuelve una reclamación.
• Portabilidad de los datos que nos hayas proporcionado, en formato estructurado y de uso común.
• Retirar el consentimiento en cualquier momento (boletín), sin que ello afecte a la licitud del tratamiento previo.

Para ejercerlos escribe a [email protected] indicando tu nombre y el derecho que deseas ejercer. Te responderemos en un plazo máximo de un mes. Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

11. Modificaciones

Podemos actualizar esta política para adaptarla a cambios normativos o de actividad. La fecha de la última revisión figura al final.

Última actualización: mayo de 2026.