Qué datos tratamos, para qué, con qué base legal, cuánto tiempo los guardamos y con quién los compartimos. Están en un servidor en España. No los vendemos, no hay publicidad ni analítica de terceros, y solo salen de la Unión Europea si usas el chat de soporte, y te lo decimos antes.
En pocas líneas
Guardamos tu email para que puedas entrar, un registro de tus accesos por seguridad, y recuentos agregados de los escaneos de tus códigos para darte las estadísticas. Todo en un servidor en España. No vendemos datos, no hay publicidad ni analítica de terceros, y no cedemos nada a nadie que no sea imprescindible para prestarte el servicio.
La única excepción que sale de la Unión Europea es el chat de soporte: para responderte, lo que escribes se envía a un proveedor de modelos de lenguaje. Lo explicamos en su sección, y por eso te pedimos que no pongas ahí datos que no quieras que salgan.
Quién es el responsable
El responsable del tratamiento es el titular del servicio, identificado en el aviso legal, donde también está la dirección de contacto para cualquier asunto de privacidad. Escribir a esa dirección es la forma de ejercer tus derechos.
Para los datos de las personas que escanean tus códigos dinámicos, el responsable eres tú y nosotros somos tu encargado; lo explica la sección sobre escaneos y el contrato de encargo que forma parte de las condiciones de uso.
Si tienes cuenta
Guardamos tu dirección de correo, el idioma, el plan que tengas contratado, la imagen de perfil si subes una, y la versión de las condiciones que aceptaste, con la fecha y la dirección IP desde la que lo hiciste. La base para tratarlos es el contrato que aceptas al crear la cuenta (artículo 6.1.b del RGPD). Sin el correo no podemos darte el servicio; lo demás es opcional.
El registro de tu aceptación lo conservamos porque la ley nos obliga a poder demostrarla (artículos 6.1.c y 7.1 del RGPD).
Si te das de baja, borramos la cuenta y sus datos. Conservamos las facturas los años que obliga la normativa fiscal, y el registro de aceptación y los datos mínimos para atender reclamaciones durante el plazo de prescripción de las acciones legales.
Cómo entras
Con un código por email: te mandamos un código de un solo uso y lo escribes. Guardamos que lo pediste, desde qué IP y con qué navegador, y cuándo lo usaste.
Con Google, Microsoft o GitHub: te identificas en ellos y nos devuelven un identificador de tu cuenta y tu dirección de correo verificada. Si tu cuenta en ese proveedor tiene una foto de perfil, la descargamos una sola vez al crear tu cuenta aquí y la guardamos, reducida, como tu avatar inicial; no conservamos su dirección, y puedes cambiarla o quitarla desde tu configuración cuando quieras. No pedimos ni guardamos tu nombre ni tus contactos. Lo que ese proveedor haga con el dato de que has entrado aquí lo rige su propia política de privacidad. La base es el contrato.
Con una llave de acceso (passkey): si la activas, tu dispositivo genera un par de claves y nosotros guardamos solo la pública, con un nombre y la fecha de uso. Tu huella o tu cara nunca salen del dispositivo; nosotros no las vemos ni podríamos verlas. La base es tu consentimiento, que retiras borrando la llave desde tu configuración.
Además, si lo eliges, una cookie recuerda tu dispositivo durante treinta días para no pedirte el código en cada entrada.
El registro de accesos y actividad
De cada entrada, cada sesión y cada acción relevante en tu cuenta guardamos la fecha, la dirección IP, el navegador y el resultado. Puedes verlo tú desde el panel, en «Sesiones» y «Actividad», y desde ahí cerrar cualquier sesión.
La base es nuestro interés legítimo en la seguridad del servicio y en la prevención del fraude y del abuso (artículo 6.1.f del RGPD, considerando 49), y la obligación de garantizar la seguridad del tratamiento (artículo 32). Hemos ponderado ese interés frente a tus derechos: son los mismos datos que tu navegador envía en cada petición, los usamos solo para detectar accesos ilegítimos, investigar incidencias y atender reclamaciones, y no los cruzamos con nada más. Tienes derecho a oponerte; si lo haces, valoraremos tu situación concreta, aunque sin este registro no podríamos avisarte de un acceso que no es tuyo.
Cada entrada del registro se borra al cabo de un año, exista o no todavía la cuenta. Una sesión que cierras sigue apareciendo como cerrada durante treinta días, para que puedas comprobar qué se cerró y cuándo.
Si escaneas un código
Cuando alguien escanea un código dinámico, pasa por nuestro servidor para saber a dónde redirigir. En ese momento recibimos su dirección IP y los datos que su navegador envía: el tipo de dispositivo, el sistema y el idioma.
Con la IP deducimos el país, la región y la ciudad, nunca más fino que eso, mediante una base de datos local en nuestro propio servidor, sin consultar a ningún tercero. También la usamos para descartar robots y para no contar dos veces el mismo escaneo en el mismo día. El registro detallado de cada escaneo, con la IP, se borra a los treinta días. Lo que queda después son recuentos por día: cuántos escaneos, desde qué zona y con qué tipo de dispositivo. Nada que permita identificar a una persona concreta. Esos recuentos se conservan mientras el cliente tenga la cuenta activa, con un máximo de veinticinco meses.
En este tratamiento nosotros somos encargados: el responsable es el cliente que puso el código, y la base la decide él. Si has escaneado un cartel y quieres ejercer tus derechos, escríbenos: te ponemos en contacto con él o, si nos lo pide, los atendemos en su nombre. Ten en cuenta que, pasados treinta días, no podremos encontrarte entre los datos que guardamos, precisamente porque guardamos muy poco.
No usamos cookies ni ningún identificador en la redirección, y no hay analítica de terceros en el camino de un escaneo.
Los robots no cuentan
Filtramos el tráfico automatizado antes de registrar nada. Los rastreadores, monitores de disponibilidad y previsualizadores de enlaces no dejan ningún rastro en la base de datos.
Es una decisión automática, pero no tiene efectos jurídicos sobre nadie: solo decide si un escaneo se cuenta en unas estadísticas. Esto es bueno para tus estadísticas, que dejan de estar infladas, y también para la privacidad: menos datos guardados de partida.
El chat de soporte
Si escribes en el chat guardamos lo que escribes, la respuesta, la fecha, tu dirección IP y tu navegador, y, si has entrado, la cuenta desde la que hablas. Si no has entrado, un identificador aleatorio en tu navegador enlaza tus mensajes con la misma conversación; no sirve para nada más.
Para responderte, el texto de la conversación, con los últimos mensajes como contexto, se envía a un proveedor de modelos de lenguaje. Los proveedores que usamos están establecidos en Estados Unidos, por lo que hay una transferencia internacional. La amparamos en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en su defecto, en las cláusulas contractuales tipo aprobadas por la Comisión Europea, y los contratamos en una modalidad que, según sus condiciones, no usa tus mensajes para entrenar sus modelos. Puedes pedirnos copia de esas garantías.
Por eso te pedimos que no escribas en el chat datos de salud, de terceros, contraseñas ni nada que no quieras que salga de la Unión Europea. Si necesitas contarnos algo así, escríbenos por email.
La base es la ejecución del contrato o de las medidas previas a contratar, si preguntas por el servicio (artículo 6.1.b), y nuestro interés legítimo en atenderte y en evitar el abuso del chat (artículo 6.1.f). El asistente puede pedir que intervenga una persona, y tú también. Las conversaciones se eliminan a los treinta días del último mensaje.
Correos y notificaciones
Te enviamos por email los códigos de acceso, los avisos de seguridad, como una entrada desde un dispositivo nuevo, y los avisos sobre tu plan, tus facturas y los códigos que van a caducar. Los mismos avisos aparecen en la campana del panel. Son parte del servicio, no publicidad, y no puedes desactivarlos.
No te enviamos comunicaciones comerciales. Si algún día ofrecemos un boletín, te lo preguntaremos por separado, sin casillas marcadas de antemano, y podrás darte de baja desde cada envío con un clic (artículo 21 de la LSSI).
El correo lo envía un proveedor de correo electrónico por nuestra cuenta, que solo ve tu dirección y el contenido del mensaje.
Con quién compartimos datos
Con nadie que no sea imprescindible. Nuestros encargados son el proveedor de alojamiento, en España, donde está el servidor; el servicio de correo que envía los códigos y los avisos; y, solo si usas el chat, el proveedor del modelo de lenguaje. Todos tratan los datos siguiendo nuestras instrucciones y bajo contrato.
Si entras con Google, Microsoft o GitHub, ese proveedor es un responsable independiente de lo que haga con tus datos.
Cederemos datos a autoridades, juzgados o fuerzas de seguridad cuando la ley nos obligue, y a la persona que denuncie un abuso solo lo imprescindible para tramitarlo. No vendemos datos, no los cedemos con fines publicitarios y no hay terceros midiendo nada en esta web.
Dónde están los datos
En un servidor propio en España. No hay transferencias internacionales, salvo la del chat de soporte, que explica su sección, y lo que decidas tú al entrar con un proveedor de identidad de fuera de la Unión.
Cookies y almacenamiento local
Solo usamos cookies técnicas, y verás un aviso que te lo dice la primera vez que entres. No te pide permiso para nada: no hay publicidad ni analítica que consentir, y pedirte permiso para algo que no hacemos sería teatro.
Las cookies son cuatro: la que mantiene tu sesión abierta, la que la renueva sin volver a pedirte el código, la que recuerda tu dispositivo durante treinta días si tú lo eliges, y la que guarda que ya has visto el aviso, durante seis meses. Las tres primeras están exceptuadas del artículo 22.2 de la LSSI porque existen para darte un servicio que has pedido tú; la cuarta, porque recuerda tu decisión sobre el propio aviso.
Además, el navegador guarda en su almacenamiento local, sin enviárnoslo, algunas preferencias técnicas: qué códigos dinámicos has reclamado desde el generador antes de entrar, en qué cuenta estás trabajando si administras varias, y si has activado una llave de acceso en este dispositivo. Nada de esto identifica a nadie ni sale de tu navegador.
Puedes volver a ver el detalle cuando quieras desde el enlace «Cookies» del pie de página. Si algún día añadimos analítica o publicidad, te lo preguntaremos antes y podrás decir que no con la misma facilidad con la que dirías que sí.
Tus derechos
Puedes pedirnos acceso a tus datos, su rectificación, su supresión, la limitación del tratamiento, la portabilidad de los que nos diste, y oponerte a los tratamientos basados en interés legítimo. Cuando la base es tu consentimiento, puedes retirarlo en cualquier momento sin que afecte a lo hecho antes.
Escríbenos a la dirección del aviso legal, preferiblemente desde el correo de tu cuenta, que es como comprobamos que eres tú. Te contestamos en un mes como máximo; si la petición es compleja, podemos ampliarlo dos meses más y te lo diremos. Es gratuito.
Si no quedas conforme, puedes reclamar ante la Agencia Española de Protección de Datos, en aepd.es, o ante la autoridad de control del país de la Unión en el que residas.
Si escaneaste un código y no tienes cuenta, es probable que no podamos identificarte entre los datos que guardamos, precisamente porque guardamos muy poco. En ese caso te lo diremos y te explicaremos por qué.
Cuánto tiempo guardamos cada cosa
El detalle de escaneos, con la IP, treinta días. Los recuentos por día, mientras la cuenta esté activa, con un máximo de veinticinco meses.
Los datos de tu cuenta, mientras la mantengas. El registro de accesos y actividad, un año desde cada entrada. Las sesiones cerradas, treinta días. Los códigos de acceso, minutos: caducan y se borran.
Las conversaciones del chat, treinta días desde el último mensaje. Las notificaciones, mientras tengas la cuenta.
Las facturas, lo que exija la normativa fiscal. El registro de que aceptaste las condiciones, mientras pueda hacer falta demostrarlo.
Menores
El servicio no está dirigido a menores de catorce años y no creamos cuentas a sabiendas para ellos. Si crees que un menor de catorce años ha creado una cuenta, escríbenos y la eliminaremos.
Cómo protegemos los datos
Todo el tráfico va cifrado. No hay contraseñas que puedan filtrarse: se entra con códigos de un solo uso, proveedores de identidad o llaves de acceso. Las sesiones caducan y puedes cerrarlas desde tu cuenta. Cada acceso queda registrado, y te avisamos de los que no reconocemos. El servidor está en España, bajo nuestro control, y solo accede a él quien lo administra.
Si sufrimos una brecha de seguridad que suponga un riesgo para tus derechos, te lo comunicaremos sin dilación y lo notificaremos a la Agencia Española de Protección de Datos en el plazo de setenta y dos horas, como exige la ley.
Decisiones automatizadas
No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni que te afecten de forma significativa. Lo automático es filtrar robots de las estadísticas, avisar de un acceso desde un lugar nuevo y limitar el chat cuando supera su tope de mensajes. Siempre hay una persona a la que puedes acudir por email.
Cambios en esta política
Cada versión lleva fecha, y la vigente está siempre en el pie de página. Si un cambio afecta a cómo tratamos tus datos, te lo diremos por email antes de que entre en vigor. Los cambios que solo aclaran o amplían la información no necesitan aviso.