Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es el editor de Spuma, con quien puede ponerse en contacto en [email protected].

2. Datos recopilados

2.1 Datos de la cuenta (usuarios registrados)

2.2 Datos técnicos (todos los visitantes)

• Dirección IP (anonimizada por Cloudflare): protección contra abusos, estadísticas de tráfico.
• Tipo de navegador, sistema operativo, idioma: adaptación de la visualización.
• Datos de conexión de Supabase: marcas de tiempo, identificador de sesión (seguridad).

2.3 Datos almacenados localmente (localStorage)

• Idioma elegido: para conservar su elección entre una visita y otra.
• Receta en curso: para que no pierda su trabajo si cierra la pestaña.
• Recetas guardadas (Usuario anónimo): almacenamiento 100 % local en su navegador.

2.4 Informes de errores técnicos (todos los visitantes)

Cuando se produce un error técnico en la aplicación (una pantalla que no se muestra, una operación que falla), se envía automáticamente un informe a nuestra base de datos para que podamos corregir el fallo. Solo contiene:

• el mensaje del error y el lugar del código donde se produjo, truncados, con las direcciones web cortadas antes de sus parámetros y con toda dirección de correo electrónico o todo token de conexión enmascarados;
• la versión de la aplicación, la pantalla abierta, la familia del navegador (por ejemplo, Firefox), el idioma de la interfaz y la ruta de la página.

El informe no contiene ningún identificador de cuenta, ninguna dirección de correo electrónico ni ninguna dirección IP, y se envía sin el token de su sesión, incluso cuando su cuenta tiene la sesión iniciada. No se instala ninguna cookie. Se envían como máximo tres informes por pestaña, y nunca dos veces por el mismo error: mientras la pestaña permanece abierta, su navegador guarda hashes cortos de los errores ya notificados (consulte la Política de cookies). Los informes se borran al cabo de 30 días. Base jurídica: nuestro interés legítimo en garantizar el buen funcionamiento del Servicio (art. 6.1.f). Como cualquier petición, el envío pasa por la infraestructura de Supabase, que registra la dirección IP de la petición y la conserva durante su propio plazo (fila «Registros de conexión (Supabase)» de la sección 4).

2.5 Cuestionario de salida (eliminación de la cuenta)

Cuando usted elimina su cuenta, un cuestionario le pregunta por qué se va. Responder es opcional: puede eliminar su cuenta sin marcar nada y, en ese caso, no se registra nada. Si responde, registramos los motivos marcados y, en su caso, su texto libre, junto con el plan, el idioma, el país (si lo indicó) y la antigüedad de su cuenta en el momento de la eliminación, sin identificador de cuenta ni dirección de correo electrónico. Estas respuestas nos ayudan a entender las bajas y a mejorar el Servicio. No escriba en el texto libre ninguna información que permita identificarle. Los motivos marcados se conservan sin límite de tiempo; el texto libre se borra automáticamente al cabo de 12 meses. Base jurídica: nuestro interés legítimo en mejorar el Servicio (art. 6.1.f).

3. Bases jurídicas del tratamiento (art. 6 del RGPD)

• Consentimiento (art. 6.1.a): registro en el Servicio, inscripción en la lista de espera de los planes Pro y Premium.
• Ejecución del contrato (art. 6.1.b): autenticación, prestación del Servicio.
• Interés legítimo (art. 6.1.f): mejora del Servicio, seguridad, informes de errores técnicos, estadísticas agregadas y anonimizadas.

4. Plazo de conservación

5. Encargados del tratamiento y destinatarios

Spuma recurre a los siguientes encargados del tratamiento, todos ellos conformes al RGPD:

• Supabase Pte. Ltd. (Singapur, alojamiento en la Unión Europea, en Irlanda; cláusulas contractuales tipo de la Comisión Europea) — base de datos, autenticación.
• Cloudflare Inc. (EE. UU., cláusulas contractuales tipo de la Comisión Europea) — alojamiento del front-end, CDN, DNS, protección contra abusos, y Cloudflare Web Analytics (medición de audiencia sin cookies, anonimizada, sin creación de perfiles individuales — detalles en la Política de cookies).
• Resend (EE. UU., cláusulas contractuales tipo de la Comisión Europea) — servicio de envío de los correos electrónicos relacionados con su cuenta (confirmación del registro, enlace de inicio de sesión, restablecimiento de contraseña, cambio de dirección de correo electrónico, código para cambiar la contraseña, confirmación de la eliminación de la cuenta); conserva los correos enviados y sus registros 30 días y, después, 7 días más en sus copias de seguridad.
• Google Cloud (EE. UU., cláusulas contractuales tipo de la Comisión Europea) — proveedor OAuth para el inicio de sesión con Google (si el usuario lo elige).

No se vende ningún dato a terceros comerciales. No se utiliza ningún dato con fines publicitarios.

6. Sus derechos (RGPD UE, CCPA EE. UU., UK GDPR, LGPD Brasil)

Usted dispone de los siguientes derechos sobre sus datos personales:

• Derecho de acceso: obtener una copia de todos sus datos.
• Derecho de rectificación: corregir datos inexactos (se pueden modificar directamente en Mi Cuenta).
• Derecho de supresión («derecho al olvido»): eliminación completa de su cuenta y de los datos de esta.
• Derecho a la portabilidad: exportación de sus recetas en un formato estándar (CSV/JSON).
• Derecho de oposición: rechazar el tratamiento con fines de analítica o de comunicación.
• Derecho a la limitación del tratamiento: restringir temporalmente el uso de determinados datos.
• Derecho a retirar su consentimiento: en cualquier momento, para los tratamientos basados en su consentimiento, sin que ello afecte a la licitud de dichos tratamientos antes de la retirada (RGPD, art. 7, apdo. 3).
• Para las personas residentes en California (CCPA): derecho a saber, derecho a la eliminación, derecho a no sufrir discriminación.
• Para las personas que se encuentren en Brasil (LGPD): derechos equivalentes a los del RGPD, contacto a través del mismo correo electrónico.

Para ejercer sus derechos: envíe un correo electrónico a [email protected] indicando el objeto de su solicitud. Se le dará respuesta sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de su solicitud. Este plazo puede prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. En tal caso, le informaremos de dicha prórroga, indicando los motivos de la dilación, en el plazo de un mes a partir de la recepción de su solicitud (RGPD, art. 12, apdo. 3).

En caso de litigio o de respuesta insatisfactoria, puede presentar una reclamación ante la autoridad de control competente:

• Francia: CNIL (autoridad francesa de protección de datos)
• UE: autoridad nacional de protección de datos de su país
• Reino Unido: ICO
• EE. UU. / California: California Attorney General
• Brasil: ANPD

7. Seguridad

Spuma aplica medidas técnicas y organizativas apropiadas para proteger sus datos:

• Conexión cifrada HTTPS (TLS 1.3) en todo el Servicio.
• Hash de las contraseñas (bcrypt mediante Supabase Auth).
• Row-Level Security (RLS) de Postgres: cada usuario solo puede acceder a sus propios datos.
• Autenticación OAuth 2.0 estándar para Google (sin almacenamiento de la contraseña de Google).
• Copias de seguridad automáticas diarias de Supabase (recuperación posible en caso de incidente).

8. Datos de menores

Spuma está dirigido a personas mayores de edad: la saponificación en frío obliga a manipular sosa cáustica, un producto corrosivo. No recopilamos a sabiendas datos relativos a menores. Si cree que un menor ha creado una cuenta, escríbanos: la eliminaremos.

9. Modificaciones de esta política

Spuma se reserva el derecho de modificar la presente política. Las modificaciones sustanciales se notificarán por correo electrónico a los Usuarios registrados. La fecha de actualización figura en el encabezado.

10. Contacto

Para cualquier pregunta: [email protected]