Política de Manejo de Datos

• Ley N.° 8968 — Protección de la Persona frente al Tratamiento de sus Datos Personales (Costa Rica)
• Decreto Ejecutivo N.° 37554-JP — Reglamento de la Ley 8968
• Ley N.° 7739 — Código de la Niñez y la Adolescencia (protección de menores)
• Ley N.° 8454 — Certificados, Firmas Digitales y Documentos Electrónicos

Procedimientos obligatorios:

• Antes de registrar datos de un menor, se debe obtener y documentar el consentimiento escrito del padre, madre o tutor legal. Este consentimiento queda archivado físicamente o en formato digital firmado.
• Ningún líder o voluntario puede fotografiar a menores en el contexto de las actividades de la iglesia y publicar esas imágenes sin autorización expresa del responsable legal del menor.
• El acceso a la ficha pastoral de un menor está restringido al pastor titular, al líder directo del grupo y al administrador del sistema.
• Las solicitudes de oración que mencionen datos de un menor son tratadas con máxima confidencialidad y no se comparten fuera del equipo pastoral.
• Ante cualquier duda sobre la edad de un participante, se aplican por defecto los protocolos de protección de menores.
• Ante un incidente de seguridad que afecte datos de menores, se notifica a los tutores legales y a la PRODHAB en un plazo máximo de 72 horas.

• Pastor titular / Directiva: Responsable último del cumplimiento de esta política. Autoriza cambios en los procedimientos de datos.
• Administrador del sistema: Gestiona accesos, realiza auditorías periódicas, atiende solicitudes ARCO y notifica incidentes a la PRODHAB.
• Líderes de grupo (GPS, equipos): Solo acceden a los datos de los miembros de sus propios grupos. Están prohibidos de compartir esa información fuera del contexto pastoral.
• Voluntarios y servidores: Tratan los datos que reciben con estricta confidencialidad. Firman un acuerdo de confidencialidad al asumir su rol.

El consentimiento se recaba en el momento del registro a través de una casilla de aceptación explícita. Para menores, se requiere adicionalmente el formulario físico o digital firmado por el tutor legal descrito en la sección 3.

El consentimiento puede retirarse en cualquier momento enviando una solicitud a través de /contacto. El retiro no afecta la licitud del tratamiento previo.

Los datos se almacenan en Supabase (infraestructura en la nube, región de EE. UU. / disponible en AWS), proveedor certificado bajo SOC 2 Type II. Las comunicaciones están cifradas en tránsito (TLS 1.2+) y en reposo (AES-256).

No se almacenan datos en dispositivos personales de líderes o voluntarios más allá de lo estrictamente necesario para el servicio activo, y siempre bajo contraseña de dispositivo.

Los plazos de retención por categoría se detallan en la tabla de la sección 2. Al vencer el plazo:

• El administrador del sistema ejecuta la eliminación definitiva o la anonimización del registro.
• Se documenta la eliminación con fecha y responsable en el registro interno de operaciones de datos.
• Las copias de seguridad que contengan datos eliminados se expiran según la política de retención de backups de Supabase (máximo 30 días adicionales).

En caso de brecha de seguridad que afecte datos personales:

• Identificación y contención del incidente en el menor tiempo posible.
• Notificación a los titulares afectados en un plazo máximo de 72 horas desde la detección.
• Notificación a la PRODHAB dentro del mismo plazo si el incidente supone un riesgo para los derechos de los titulares.
• Documentación interna del incidente, las medidas aplicadas y las mejoras implementadas.

Cualquier persona (o su tutor legal si es menor) puede ejercer sus derechos de acceso, rectificación, cancelación, oposición y portabilidad escribiendo a través de /contacto con el asunto «Derechos ARCO». Respondemos en un plazo máximo de 5 días hábiles. Si la respuesta no es satisfactoria, puede acudir a la PRODHAB (www.prodhab.go.cr).

Esta política se revisa al menos una vez al año o ante cambios legales o tecnológicos relevantes. Los cambios materiales se comunicarán con al menos 15 días de anticipación a los miembros registrados. La versión vigente siempre estará disponible en iglesiacjc.com/datos.