Política de privacidad

1. Datos que recogemos

Solo recogemos lo necesario para que funcione tu radar.

• Cuenta: correo electrónico, contraseña (guardada solo como hash scrypt), nombre visible, idioma, país, zona horaria, plan y rol. Las cuentas de invitado no tienen correo.
• Tu radar: elementos que sigues (nombre, fabricante, modelo o versión, identificadores como GTIN, VIN o versión, URL de páginas oficiales que registras, notas), pertenencia a espacios e invitaciones.
• Actividad: avisos mostrados, estado de lectura y de acción, notas, comentarios (p. ej., «no me afecta») y preferencias de notificación.
• Notificaciones: endpoint y claves de suscripción push de los navegadores que actives.
• Funciones para desarrolladores: nombres de claves de API y claves con hash, URL de webhooks y secretos de firma, recuento diario de peticiones.
• Analítica de uso: ruta de la página, idioma, sitio de procedencia, país (según la cabecera de nuestra CDN), tipo de dispositivo, familia de navegador y sistema, etiquetas UTM y un identificador de visitante que es un hash unidireccional de la IP y el agente de usuario con una sal que cambia a diario. No guardamos direcciones IP sin procesar para la analítica.
• Registros de seguridad: sesiones (token con hash, agente de usuario, IP con hash), registros de auditoría de acciones sensibles y registros del servidor de corta duración.

2. Datos que no recogemos

• Contraseñas o tokens de acceso de otros servicios.
• Datos bancarios, de tarjetas o de pago (el Servicio es gratuito durante la beta).
• El contenido de tu correo o tus mensajes.
• Ubicación precisa, contactos, cámara o micrófono.

3. Finalidades y bases jurídicas

• Prestar el Servicio: relacionar tus elementos con eventos oficiales de cambio, mostrar avisos y enviar las notificaciones que actives (ejecución del contrato; art. 6.1.b RGPD).
• Proteger las cuentas y evitar abusos, incluidos límites de peticiones (interés legítimo; art. 6.1.f).
• Mejorar las coincidencias con tus comentarios, primero solo para tu radar y, de forma agregada, solo cuando varias personas distintas coinciden de forma independiente; las reglas agregadas no identifican a quién contribuyó (interés legítimo).
• Entender el uso de forma agregada y corregir errores (interés legítimo; solo identificadores con hash).
• Enviar correos del servicio, como restablecer contraseña, invitaciones y avisos solicitados (contrato). Correos comerciales solo con tu consentimiento, que puedes retirar cuando quieras (art. 6.1.a).

4. Conservación

• Datos de cuenta y del radar: hasta que elimines tu cuenta. El borrado es inmediato e irreversible.
• Cuentas de invitado: se eliminan tras 90 días de inactividad.
• Sesiones: hasta 30 días; tokens de restablecimiento y verificación: hasta 24 horas.
• Analítica de uso (páginas vistas): 400 días.
• Registros de comprobación de fuentes: 90 días. Registros de eventos de producto: 400 días.
• Exportaciones que solicites: disponibles 7 días.
• Registros de auditoría de seguridad: hasta 1 año, salvo que la ley exija más.

5. Encargados del tratamiento y transferencias internacionales

No vendemos ni alquilamos datos personales ni los cedemos a terceros para sus propios fines. Encargamos el tratamiento a estos proveedores con contratos que exigen confidencialidad y seguridad:

• Cloudflare, Inc. (EE. UU., red global): entrega del sitio web, CDN y seguridad.
• Railway Corp. (EE. UU.): servidores de la aplicación y base de datos PostgreSQL.
• Resend (EE. UU.): envío de correos del servicio y de avisos (dirección de correo, contenido).
• Servicios push de los navegadores (Google, Mozilla, Apple, Microsoft): entrega de notificaciones que activaste (contenido cifrado).
• OpenAI, L.L.C. (EE. UU.): resumen de avisos públicos de fuentes oficiales. Solo se envía texto público; nunca tu cuenta, tus elementos ni otros datos personales.

Estos proveedores pueden tratar datos fuera de tu país, incluido Estados Unidos. Cuando es necesario, las transferencias se basan en decisiones de adecuación, cláusulas contractuales tipo o tu consentimiento. Según la PIPA, los datos transferidos, el país de destino, el momento y el medio (al usar el Servicio, por red), el destinatario y la finalidad son los indicados arriba; puedes oponerte no usando la función correspondiente o eliminando tu cuenta.

6. Tus derechos

Puedes acceder, rectificar, exportar (JSON o CSV) y suprimir tus datos en Ajustes → Datos. También puedes oponerte o limitar el tratamiento, retirar tu consentimiento y reclamar ante tu autoridad de protección de datos (en España, la AEPD). Los residentes en California tienen derecho a saber, eliminar y corregir, y a no ser discriminados; no vendemos ni compartimos datos personales para publicidad conductual. Escríbenos y responderemos en un plazo de 30 días.

7. Cookies y almacenamiento local

Usamos una única cookie estrictamente necesaria (rr_session) para mantener tu sesión. Guardamos algunas preferencias (tema, idioma, avisos cerrados) en el almacenamiento local del navegador. No usamos cookies publicitarias ni de seguimiento de terceros.

8. Destrucción

Al terminar el plazo de conservación o eliminar tu cuenta, los datos se borran de inmediato de la base de datos activa de forma irrecuperable; las copias de seguridad del proveedor caducan según su ciclo (máximo 30 días).

9. Seguridad

Usamos cifrado en tránsito (TLS/HSTS), hash de contraseñas y tokens, comprobación de propiedad en el servidor en cada petición, una política de seguridad de contenido estricta, límites de peticiones, acceso de mínimo privilegio y protección SSRF. Ningún sistema es perfecto; notificaremos cualquier brecha según exija la ley.

10. Menores

El Servicio no está dirigido a menores. En Corea se requieren 14 años, en Estados Unidos 13 y en la UE la edad de consentimiento digital de cada país (13–16; en España, 14). Si descubrimos datos de un menor por debajo de esas edades, los eliminaremos.

11. Responsable de privacidad y contacto

Responsable de privacidad: equipo de privacidad de Reality Radar, Project Team For You. Correo: projectteamforyou@gmail.com. Atendemos solicitudes en coreano e inglés.

12. Cambios

Anunciaremos los cambios relevantes en esta página y por correo o en la app al menos 7 días antes de su entrada en vigor (30 días si te perjudican).