Legal
Legal
Última actualización: 2 de agosto de 2026
Last updated: 2 August 2026
Este servicio guarda información sobre niños: nombres, fechas de nacimiento, notas médicas, actas de nacimiento. Esta página dice exactamente qué guardamos, por qué, quién puede verlo, a quién se lo entregamos y cómo se borra. Sin generalidades.
This service holds information about children: names, dates of birth, medical notes, birth certificates. This page says exactly what we hold, why, who can see it, who else receives it, and how it gets deleted. No generalities.
Lo que sigue es la versión larga. Está escrita para que la entienda una persona voluntaria del club, no solamente un abogado.
What follows is the long version. It is written to be read by a club volunteer, not only by a lawyer.
Su relación es con el club, no con nosotros. El club decidió usar Cancha para llevar sus listas, sus horarios, sus avisos y su cobranza. El club es quien le pide la información de su hijo o hija, quien decide qué se le pide, quién del club puede verla y cuándo se borra. Nosotros ponemos el programa y lo mantenemos seguro.
Your relationship is with the club, not with us. The club chose to use Cancha to run its rosters, schedules, announcements and dues. The club is the one that asks you for your child's information, decides what gets asked, decides who at the club can see it, and decides when it is deleted. We supply the software and keep it secure.
Por eso, si quiere ver, corregir o borrar la información de su familia, el primer lugar es su club — y el club tiene los botones para hacerlo dentro de la aplicación. Si el club no le responde, escríbanos y le ayudamos; pero la decisión sigue siendo del club. La sección 12 explica el procedimiento.
So if you want to see, correct or delete your family's information, your club is the first stop — and the club has the controls to do it inside the app. If your club does not respond, write to us and we will help; but the decision stays with the club. Section 12 explains how it works.
En el lenguaje de las leyes de privacidad hay dos papeles distintos, y aquí están repartidos así:
Privacy law splits this into two distinct roles. Here is how they are split:
Hay una excepción honesta: de nuestra propia relación comercial con el club —el contrato, las facturas del club hacia nosotros, los correos de soporte— sí somos nosotros los responsables. Eso son datos de personas adultas que administran un club, no de familias.
One honest exception: for our own commercial relationship with the club — the agreement, the club's invoices to us, support email — we are the controller. That is data about adults who run a club, not about families.
Se aplica a este sitio web, cancha.dev, y a la aplicación de Cancha que los clubes usan en su propia dirección de internet ({{TODO: dominio canónico del servicio}}). No se aplica a lo que su club haga por fuera del sistema —un grupo de WhatsApp, una hoja de cálculo en la computadora de un voluntario, la página de Facebook del club— porque eso no pasa por nosotros.
It covers this website, cancha.dev, and the Cancha application that clubs use at their own web address ({{TODO: canonical service domain}}). It does not cover what your club does outside the system — a WhatsApp group, a spreadsheet on a volunteer's laptop, the club's Facebook page — because none of that goes through us.
Esta es la parte que más importa, así que va completa y con detalle.
This is the part that matters most, so it is set out in full.
Un jugador menor de edad nunca recibe una cuenta, nunca tiene contraseña y nunca inicia sesión. No hay pantalla de registro para niños. Solo los adultos —tutores, entrenadores, quien administra el club— tienen cuenta. La única excepción son los jugadores que ya son mayores de edad. Un niño existe en el sistema como un registro que su familia y su club mantienen, no como un usuario.
A player who is a minor never gets an account, never has a password and never signs in. There is no sign-up screen for children. Only adults — guardians, coaches, the person who runs the club — have accounts. The one exception is players who are already adults. A child exists in the system as a record that their family and their club maintain, not as a user.
La entrega una persona adulta: normalmente la madre, el padre o el tutor, llenando la inscripción; a veces alguien del club, armando la lista del equipo. Nunca la pedimos directamente a un niño. El club es responsable de obtener el consentimiento de la familia antes de capturarla.
An adult provides it: usually the parent or guardian, filling in the registration; sometimes club staff, building a team roster. We never ask a child for it directly. The club is responsible for obtaining the family's consent before entering it.
Nombre y apellido, fecha de nacimiento, talla de uniforme, notas médicas en texto libre, una marca de consentimiento para fotografías, y a qué familia pertenece. A eso se suma lo que el club vaya generando: equipo, número de camiseta, posición, asistencia a los entrenamientos, confirmaciones para los partidos, las respuestas del formulario de inscripción, los documentos que la familia suba y los recibos de pago de esa familia.
First name and last name, date of birth, kit size, free-text medical notes, a photo-consent flag, and which family they belong to. On top of that, whatever the club generates: team, jersey number, position, attendance at sessions, RSVPs for matches, the answers on the registration form, the documents the family uploads, and that family's payment records.
La regla del sistema es que las notas médicas de un jugador son visibles para quien administra el club y, por diseño, para los entrenadores de ese jugador —de nadie más y de ningún otro equipo.
The rule the system is built to is that a player's medical notes are visible to the person who runs the club and, by design, to that player's own coaches — nobody else, and no other team.
Con precisión, porque aquí conviene ser exactos: hoy la única pantalla de la aplicación que muestra las notas médicas es la ficha de la familia dentro de la consola de administración, y esa pantalla exige el rol de administrador del club. El otro lugar donde el campo se escribe es la inscripción, donde el tutor lo llena para su propio jugador. Todavía no existe una pantalla de notas médicas para entrenadores. Si la agregamos, será con ese alcance —los entrenadores de ese jugador— y actualizaremos esta página.
To be exact, because exactness matters here: today the only screen in the application that displays medical notes is the family record inside the admin console, and that screen requires the club-manager role. The other place the field is written is the registration form, where a guardian fills it in for their own player. There is no coach-facing medical view yet. If we add one it will have that scope — that player's own coaches — and we will update this page.
Los archivos que sube una familia se guardan en un depósito privado que nunca se publica. Un documento llega al navegador solo por medio de un enlace firmado que se genera después de comprobar que quien lo pide tiene permiso, y ese enlace deja de servir a los diez minutos. Los archivos se guardan marcados para que ningún caché los conserve. El nombre interno de cada archivo lo generamos nosotros al azar y va prefijado con el club; nunca se construye con algo que usted escriba, así que no se puede adivinar el archivo de otra familia cambiando la dirección.
Files a family uploads live in a private store that is never made public. A document reaches a browser only through a signed link that is minted after we check that the person asking is allowed to see it, and that link stops working after ten minutes. Files are stored marked so that no cache keeps a copy. Each file's internal name is generated by us at random and prefixed with the club; it is never built from anything you type, so another family's file cannot be reached by editing the address.
Deliberadamente no usamos los enlaces prefirmados del propio proveedor de almacenamiento: obligarían a guardar una credencial de larga vida y permitirían que el navegador hablara con el almacén sin pasar por nuestra comprobación de permisos ni por el registro de auditoría.
We deliberately do not use the storage provider's own presigned links: they would require keeping a long-lived credential, and they would let the browser talk to the store directly, bypassing our permission check and our audit trail.
El consentimiento para fotografías nunca se da por supuesto. Cada jugador nace en el sistema con ese permiso en no —tanto si lo inscribe la familia como si lo captura el club— y la inscripción lo pregunta de forma explícita en un paso aparte. El sistema comprueba esa marca antes de mostrar a un jugador en cualquier medio. La familia puede cambiarla cuando quiera.
Photo consent is never presumed. Every player is created with that permission set to no — whether the family registers them or club staff add them to a roster — and the registration form asks for it explicitly, as its own step. The system checks that flag before showing a player in any media. The family can change it at any time.
El sitio público de un club lleva escudo, colores y texto: no publica fotografías en las que se pueda identificar a un menor.
A club's public site carries its crest, its colours and text: it does not publish photographs in which a minor is identifiable.
Los videos de entrenamiento se alojan de forma predeterminada como videos no listados en el canal de YouTube del propio club. Sea consciente de una cosa: «no listado» quiere decir que no aparece en las búsquedas, pero cualquiera que tenga el enlace puede verlo. Al abrir una página con video cargamos solo la miniatura desde YouTube; el reproductor mismo no se carga hasta que alguien lo presiona.
Training videos are hosted by default as unlisted videos on the club's own YouTube channel. Be aware of one thing: "unlisted" means it does not appear in search, but anyone holding the link can watch it. When a page with video opens we load only the thumbnail from YouTube; the player itself is not loaded until someone presses it.
El acceso está limitado por el papel de cada persona: quien administra el club ve a su club; un entrenador ve únicamente las listas de sus equipos; una madre, un padre o un tutor ve únicamente a su propia familia. Ningún club ve los datos de otro club.
Access is limited by each person's role: the person who runs the club sees their club; a coach sees only their own teams' rosters; a parent or guardian sees only their own family. No club sees another club's data.
Hay que decir una cosa más, y la decimos aquí porque un aviso de privacidad que se la calla no sirve: existe una cuenta de operador de la plataforma —la persona que mantiene el sistema— que puede entrar a la consola de administración de cualquier club, incluidas las notas médicas y los documentos. Es la cuenta con la que se atienden fallas y se recuperan datos. Es una sola persona, su acceso queda en el registro de auditoría cuando hace cambios, y no se usa para nada que no sea sostener el servicio.
One more thing has to be said, and it is said here because a privacy notice that leaves it out is not worth much: there is a platform-operator account — the person who maintains the system — that can reach any club's admin console, including medical notes and documents. It is the account used to fix faults and recover data. It is one person, changes made with it are written to the audit log, and it is not used for anything other than keeping the service running.
Cada noche se guarda una copia completa de la base de datos, comprimida, en el mismo depósito privado. Esa copia contiene datos de niños. No se publica nunca y se borra sola a los 30 días. Las sesiones abiertas y los enlaces de un solo uso quedan fuera de la copia a propósito, para que no puedan revivirse.
Every night a complete copy of the database is written, compressed, to the same private store. That copy contains children's data. It is never published and it is deleted automatically after 30 days. Open sessions and one-time links are deliberately excluded from the copy so that they cannot be revived.
Esta es la lista completa de lo que el sistema puede guardar. Lo que su club guarde en la práctica depende de lo que su club pida.
This is the full list of what the system can hold. What your club holds in practice depends on what your club asks for.
Todo lo de la lista anterior está ahí por una de cuatro razones, y ninguna de ellas es publicidad:
Everything in that list is there for one of four reasons, and none of them is advertising:
Dos cosas dependen de un consentimiento que usted da y puede retirar cuando quiera: las fotografías de su jugador y los avisos en el navegador. Retirar cualquiera de los dos no afecta su lugar en el club.
Two things rest on a consent you give and can withdraw at any time: photographs of your player, and browser notifications. Withdrawing either does not affect your place in the club.
{{TODO: marco legal formal de bases de tratamiento, si aplica un régimen estatal o extranjero concreto}}
{{TODO: formal lawful-basis framework, if a specific state or foreign regime applies}}
Todo el procesamiento de pagos lo hace Stripe. Cuando usted paga la cuota, lo hace en una página alojada por Stripe: el número de su tarjeta o de su cuenta bancaria se lo entrega a Stripe directamente. Ese dato no pasa por nuestro servidor, no se guarda en nuestra base de datos y no aparece en los respaldos. Nosotros recibimos de vuelta el importe, el método, el estado y un identificador de la operación.
All payment processing is done by Stripe. When you pay dues, you do it on a page hosted by Stripe: your card number or bank account number goes straight to Stripe. That data does not pass through our server, is not stored in our database, and does not appear in our backups. What comes back to us is the amount, the method, the status and a reference for the transaction.
Cada club tiene su propia cuenta de Stripe. El dinero se liquida en el saldo del club y se deposita en la cuenta bancaria del club, en el calendario del club. Cancha no retiene, no junta y no reparte el dinero de las familias: lo único que recibimos es nuestra comisión, que Stripe descuenta en el momento de la operación.
Each club has its own Stripe account. Money settles into the club's balance and pays out to the club's bank account on the club's own schedule. Cancha does not hold, pool or disburse families' money: the only thing we receive is our fee, which Stripe deducts at the moment of the transaction.
Cuando un club se da de alta, Stripe —no nosotros— le pide sus datos de negocio: el número fiscal, los datos bancarios, la dirección, y la fecha de nacimiento y los últimos dígitos del número de seguro social de la persona responsable. Eso se entrega a Stripe y nosotros no lo vemos ni lo guardamos.
When a club signs up, Stripe — not us — asks for its business details: tax number, bank details, address, and the responsible individual's date of birth and the last digits of their social security number. That goes to Stripe; we neither see nor store it.
Esta es la lista completa de empresas que tocan datos del club o de las familias, y qué hace cada una. No hay más.
This is the complete list of companies that touch club or family data, and what each one does. There are no others.
| QuiénWho | Qué hace con la informaciónWhat it does with the information |
|---|---|
| Cloudflare | Aloja el sitio y el programa, guarda toda la base de datos, todos los documentos y todos los respaldos, hace de memoria intermedia, traduce como respaldo cuando el traductor principal falla, envía nuestro correo saliente y protege los formularios públicos contra robots. Hosts the site and the software, holds the entire database, every document and every backup, provides caching, acts as the fallback translator when the main one fails, sends our outgoing email, and protects public forms against bots. |
| Stripe | Procesa todos los pagos con tarjeta y con cuenta bancaria, lleva la cuenta conectada de cada club y aloja la página de pago. Recibe los datos de tarjeta y de banco directamente de usted. Processes all card and bank payments, holds each club's connected account, and hosts the checkout page. It receives card and bank details directly from you. |
| Google Cloud Translation | Es el traductor principal. El texto de los avisos del club y el cuerpo de los mensajes privados que escriben el club y las familias se le envían para traducirlos. The main translator. The text of club announcements and the body of private messages written by clubs and families are sent to it to be translated. |
| YouTube (Google) | Aloja los videos de entrenamiento en el canal del propio club. Al abrir una página con video, YouTube recibe la petición de la miniatura; el reproductor solo se carga si alguien lo presiona. Hosts training videos on the club's own channel. When a page with video opens, YouTube receives the request for the thumbnail; the player only loads if someone presses it. |
| El servicio de avisos de su navegador (Google, Apple o Mozilla, según el navegador que use) Your browser's push service (Google, Apple or Mozilla, depending on the browser you use) | Entrega el aviso a su dispositivo. Recibe el contenido ya cifrado. Delivers the notification to your device. It receives the payload already encrypted. |
| Resend | Un segundo transporte de correo que se mantiene en el código por si hace falta cambiar. Hoy no está en uso: desde el 15 de julio de 2026 el correo sale por Cloudflare. A second email transport kept in the code in case we ever need to switch. Not in use today: since 15 July 2026 our email goes out through Cloudflare. |
En el código aparecen dos nombres más que hoy no reciben nada y por eso no están en la tabla: una opción de traducción con Anthropic que ningún código llama todavía, y un canal de mensajes de texto cuyo componente está deliberadamente desactivado. Si alguno se enciende, actualizamos esta página antes.
Two further names appear in the code that today receive nothing and are therefore not in the table: an Anthropic translation option that no code calls yet, and an SMS channel whose adapter is deliberately switched off. If either is ever turned on, we will update this page first.
Fuera de esa lista, la información se entrega únicamente cuando el club nos lo pide, o cuando la ley nos obliga.
Outside that list, information is handed over only when the club instructs us to, or when the law requires it.
Una salvedad, dicha con claridad, porque «nunca compartimos su información» sería demasiado redondo: para traducir un aviso o un mensaje, el texto se envía a Google Cloud Translation, y tanto el original como la traducción se conservan en nuestra base de datos para no volver a traducir lo mismo. Eso es procesamiento para hacer la traducción que el club pidió —no es publicidad y no es entrenamiento de modelos— pero es real y preferimos decirlo. Si en un mensaje privado usted escribe algo que no quiere que salga del club, tenga presente que la traducción automática lo hace pasar por ahí.
One caveat, stated plainly, because "we never share your information" would be too neat: to translate an announcement or a message, the text is sent to Google Cloud Translation, and both the original and the translation are kept in our database so that the same sentence is not translated twice. That is processing to perform the translation the club asked for — not advertising and not model training — but it is real and we would rather say so. If you write something in a private message that you would not want leaving the club, bear in mind that machine translation sends it through there.
Este sitio no pone cookies, no mide visitas y no carga nada de terceros. Lo único que se guarda en su navegador aquí es el idioma que usted eligió, para que la próxima vez la página abra en ese idioma. Puede borrarlo vaciando los datos del sitio en su navegador.
This site sets no cookies, measures no visits and loads nothing from third parties. The only thing stored in your browser here is the language you chose, so that the page opens in it next time. You can clear it by clearing site data in your browser.
Dentro de la aplicación sí hay una cookie de sesión: es la que lo mantiene conectado. Va marcada para que no la lea otro programa del navegador, para que solo viaje por conexión cifrada y para que no se mande desde otros sitios. No sirve para seguirlo a usted por internet.
Inside the application there is a session cookie: it is what keeps you signed in. It is marked so that no script in the browser can read it, so that it only travels over an encrypted connection, and so that it is not sent from other sites. It is not usable to follow you around the internet.
Mientras el club sea cliente, sus registros se conservan mientras el club los necesite; el borrado lo decide el club, no nosotros.
While the club is a customer, its records are kept for as long as the club needs them; deletion is the club's decision, not ours.
Pídaselo a su club. No es una fórmula de cortesía: el club tiene dos botones para esto dentro de la aplicación y está obligado por contrato a atender la petición sin demora.
Ask your club. That is not a brush-off: the club has two controls for exactly this inside the application, and is contractually obliged to action the request promptly.
La exportación incluye la familia, los tutores, los jugadores, las inscripciones, las facturas, los pagos, los documentos, las firmas de exenciones, las asignaciones de equipo, la asistencia, las confirmaciones y los mensajes. Con nombres: va dirigida a usted.
The export covers the family, the guardians, the players, the registrations, the invoices, the payments, the documents, the waiver signatures, the team assignments, the attendance, the RSVPs and the messages. Names included: it is meant for you.
El borrado elimina primero los archivos guardados —las actas, los permisos, las identificaciones— y después los registros. Dos cosas sobreviven a propósito y conviene saberlo de antemano: los renglones contables se conservan pero se les quitan los datos personales, porque el club tiene que poder cuadrar el dinero que recibió; y si una persona además es entrenadora del club, su cuenta se conserva, porque ese es otro papel distinto del de tutor.
Erasure deletes the stored files first — certificates, releases, ID — and then the records. Two things survive on purpose, and it is better to know in advance: financial ledger lines are kept but stripped of personal detail, because the club has to be able to account for money it received; and if a person is also a coach at the club, their account is kept, because that is a separate role from being a guardian.
Las dos acciones quedan anotadas en el registro de auditoría, con fecha y con quién las hizo, porque «ya lo borramos» es una afirmación que después hay que poder sostener.
Both actions are written to the audit log, with the date and who performed them, because "we deleted it" is a claim that later has to be substantiable.
Con su cuenta de adulto puede corregir su nombre, su correo, su teléfono y su idioma cuando quiera, cambiar el consentimiento de fotografías de su jugador, y apagar los avisos del navegador.
From your adult account you can correct your name, email, phone and language at any time, change your player's photo consent, and switch browser notifications off.
Si su club no responde, escríbanos a hola@cancha.club y le ayudamos a conseguirlo. Nosotros no borramos la información de una familia por nuestra cuenta: la decisión es del club, que es su responsable.
If your club does not respond, write to us at hola@cancha.club and we will help you get it done. We do not delete a family's information on our own initiative: that decision belongs to the club, which is its controller.
Y lo que no tenemos, porque decirlo de menos es peor que no decirlo: Cancha no tiene ninguna certificación de seguridad. Ni SOC 2, ni ISO 27001, ni una prueba de penetración hecha por un tercero, ni un sello de cumplimiento infantil. Somos dos personas. Preferimos decirlo así antes que dar a entender una auditoría que no hemos tenido.
And what we do not have, because understating it is worse than saying nothing: Cancha holds no security certification. No SOC 2, no ISO 27001, no third-party penetration test, no children's-privacy seal. We are two people. We would rather say that than imply an audit we have not had.
El servicio está hecho para clubes de los Estados Unidos y las personas que lo usan están en los Estados Unidos. La base de datos, los archivos y los respaldos están en la infraestructura de Cloudflare; Stripe y Google procesan en la suya. Estos proveedores operan redes globales, así que una parte del procesamiento puede ocurrir fuera de su estado o de su país.
The service is built for clubs in the United States and the people who use it are in the United States. The database, the files and the backups sit on Cloudflare's infrastructure; Stripe and Google process on their own. These providers run global networks, so some processing may happen outside your state or your country.
{{TODO: región de almacenamiento comprometida y mecanismo formal de transferencia internacional}}
{{TODO: committed data storage region and formal international transfer mechanism}}
La ley federal de los Estados Unidos que protege los datos de menores de trece años en línea se llama COPPA. Nuestra postura frente a ella es de diseño, no de papeleo: los niños no reciben cuenta, no interactúan con el sistema y toda su información la aporta y la controla una persona adulta con responsabilidad legal sobre ellos. El club es quien obtiene el consentimiento de la familia; nosotros ponemos los mecanismos, el club tiene la relación.
The US federal law that protects the online data of children under thirteen is COPPA. Our posture towards it is a matter of design, not paperwork: children get no account, do not interact with the system, and all of their information is supplied and controlled by an adult with legal responsibility for them. The club is the one that obtains the family's consent; we provide the mechanisms, the club has the relationship.
Dicho con honestidad: eso es una postura, no un certificado. No estamos acogidos a ningún programa de puerto seguro de COPPA y no lo afirmamos. Tampoco afirmamos cumplimiento de FERPA ni de HIPAA: no somos una escuela ni un proveedor de salud, aunque el club guarde notas médicas para poder atender a un niño en la cancha.
Said honestly: that is a posture, not a certificate. We are not enrolled in any COPPA safe-harbour programme and we do not claim to be. We also make no claim of FERPA or HIPAA compliance: we are neither a school nor a healthcare provider, even though the club keeps medical notes so it can look after a child on the pitch.
No hay publicidad dirigida a menores, ni perfilado, ni venta de datos, en ninguna parte del producto — no porque una ley nos lo prohíba en su estado sino porque no existe esa maquinaria en el sistema.
There is no advertising directed at minors, no profiling and no sale of data anywhere in the product — not because a law in your state forbids it, but because that machinery does not exist in the system.
{{TODO: leyes estatales de privacidad aplicables y el marco de derechos que se publicará al respecto}}
{{TODO: applicable state privacy laws and the rights framework to be published for them}}
Cuando esta página cambie, cambia también la fecha de arriba. Si un cambio afecta de forma importante lo que hacemos con datos personales —un proveedor nuevo, una finalidad nueva— se lo avisamos al club por escrito antes de que entre en vigor {{TODO: plazo de aviso previo a un cambio importante}}, y el club puede avisar a sus familias. No aplicamos cambios importantes de forma retroactiva.
When this page changes, the date at the top changes with it. If a change materially affects what we do with personal data — a new provider, a new purpose — we tell the club in writing before it takes effect {{TODO: notice period before a material change}}, and the club can tell its families. We do not apply material changes retroactively.
Si usted es madre, padre o tutor: empiece por su club, que es quien responde por su información. Si el club no puede ayudarle, escríbanos.
If you are a parent or guardian: start with your club, which is responsible for your information. If the club cannot help you, write to us.
Vea también nuestros Términos y nuestra política de reembolsos.
See also our Terms and our refund policy.