Política de privacidad

1. Responsable del tratamiento y contacto

El responsable del tratamiento descrito en esta política es:

• QR-Verse
• Operado desde la Unión Europea
• support@qr-verse.com
• Delegado de Protección de Datos (DPD/DPO): support@qr-verse.com - indica "DPO" en el asunto para que el correo se enrute correctamente.
• Representante en la UE: No designado de forma separada - el responsable está establecido en la Unión Europea, por lo que no se requiere representante conforme al artículo 27.
• Autoridad de control principal: Autoriteit Persoonsgegevens (AP), la autoridad neerlandesa de protección de datos - https://autoriteitpersoonsgegevens.nl. En España, también puedes dirigirte a la AEPD: https://www.aepd.es.

2. Categorías de datos personales que tratamos

Solo recopilamos lo necesario para prestar el servicio. Cada categoría a continuación detalla qué guardamos y por qué.

• Datos de cuenta

  Correo electrónico, nombre visible, preferencia de idioma, hash de contraseña (cuando no usas OAuth) e identificadores OAuth de Google o Apple si inicias sesión con ellos.

• Datos de suscripción y facturación

  Identificador de cliente Stripe, plan, estado de la suscripción, historial de facturas, país a efectos de IVA y los 4 últimos dígitos de la tarjeta. Nunca vemos ni almacenamos números completos - lo gestiona Stripe.

• Metadatos de los códigos QR

  Los códigos QR que creas, tus URL de destino (códigos dinámicos), los nombres que les asignas, el tipo (URL, vCard, WiFi, etc.) y los parámetros de estilo elegidos.

• Analítica de escaneos

  Marca de tiempo de cada escaneo, país inferido del IP del escáner (la IP no se almacena), clase de dispositivo (móvil/escritorio/tableta) y familia aproximada del SO. Todas las filas de escaneo están seudonimizadas - no pueden vincularse a una persona identificable.

• Generaciones AI Art

  El prompt que envías, los parámetros utilizados (estilo, fuerza ControlNet, seed) y la imagen resultante. Conservados para que puedas volver a descargarlos o regenerarlos. No se utilizan para entrenar modelos de terceros.

• Registros de correo

  Eventos de entrega, rebote, apertura y clic de correos transaccionales y de marketing, devueltos por nuestro proveedor Resend. Usados para monitorización de entregabilidad y supresión de direcciones que rebotan.

• Datos de rendimiento y de fallos (Dynatrace)

  La rapidez con la que cargan las páginas, las pantallas de la app y las solicitudes a qr-verse.com, los tiempos de arranque de la app, los informes de fallos, el modelo de dispositivo, el sistema operativo, la versión de la app y el idioma configurado. En la web solo los recogemos después de que aceptes las analíticas. En la app de iOS se recogen en el nivel de rendimiento de Dynatrace: cada arranque de la app recibe un nuevo identificador de visitante aleatorio y la app no pasa tu cuenta ni tu correo electrónico a Dynatrace. En nuestro entorno de Dynatrace se enmascaran las direcciones IP y las coordenadas GPS. Dynatrace también mide cómo responden nuestros propios servidores.

• Registro de consentimiento de cookies

  Cuando aceptas, rechazas o cambias preferencias de cookies, registramos las categorías elegidas, la consent_version activa y la marca de tiempo. Es la traza de auditoría exigida por el artículo 7(1) del RGPD.

3. Bases legales (artículo 6 del RGPD)

Nos apoyamos en las siguientes bases, vinculadas a las categorías anteriores:

• Ejecución de un contrato (artículo 6(1)(b))

  Datos de cuenta, suscripción y facturación y metadatos QR - sin ellos no podemos prestar el servicio.

• Interés legítimo (artículo 6(1)(f))

  Analítica de escaneos agregada (seguridad, prevención del fraude, planificación de capacidad), registros de errores, datos de rendimiento y de fallos de la app de iOS y de nuestros servidores (Dynatrace) y trazas de auditoría. Hemos ponderado tus intereses frente a los nuestros y documentado el análisis internamente.

• Consentimiento (artículo 6(1)(a))

  Correos de marketing, cookies no esenciales (analítica, marketing, afiliación) e historial de prompts de AI Art más allá de las sesiones activa. Puedes retirar el consentimiento en cualquier momento, con la misma facilidad con la que lo otorgó.

• Obligación legal (artículo 6(1)(c))

  Facturas y datos de suscripción se conservan 7 años para cumplir la legislación fiscal (Belastingdienst neerlandés, artículo 30 del Código de Comercio español y normas equivalentes de los Estados miembros).

4. Destinatarios y encargados del tratamiento

Trabajamos con un grupo reducido de encargados cuidadosamente seleccionados. Tratan los datos solo siguiendo nuestras instrucciones escritas, mediante un Contrato de Encargo de Tratamiento (DPA).

Lista completa de encargados: /legal/subprocessors

5. Transferencias internacionales de datos

La mayor parte de tus datos permanece en la UE. Algunos encargados operan desde Estados Unidos. Para cada transferencia a EE. UU. nos basamos en las Cláusulas Contractuales Tipo (CCT, 2021/914) de la Comisión Europea, firmadas en el correspondiente DPA, salvo en el caso de Ahrefs (consulta la nota de abajo).

• Stripe (subconjunto de datos de pago) - CCT + medidas complementarias de Stripe.
• Resend (metadatos de correo) - CCT + EU-US Data Privacy Framework (cuando proceda).
• Sentry (trazas de error) - CCT + región UE por defecto.
• Dynatrace (datos de rendimiento y de fallos) - almacenados en la región del entorno de Dynatrace de QR-Verse; cuando los datos salen de la UE, se aplican las CCT del anexo de protección de datos de Dynatrace.
• Impact / pxf.io (cookies de afiliación, solo con consentimiento) - CCT.
• Cloudflare (tránsito edge) - CCT.
• Google - acuerdo de tratamiento de datos (Data Processing Addendum) para Google Cloud y Google Workspace, con el módulo de las CCT.
• Hugging Face (prompts, parámetros de estilo y el contenido del código QR que se diseña, para el arte IA) - Contrato de Encargo de Tratamiento (DPA) de Hugging Face, que incorpora las CCT de la UE (responsable a encargado); si nuestro primer control de calidad no está disponible, también se envía un enlace a la imagen generada (que contiene el código QR) a Hugging Face Inference Providers (router.huggingface.co) para un segundo control.
• Ahrefs (analítica de las páginas visitadas, solo después de que aceptes las analíticas) - Ahrefs Pte. Ltd., Singapur, fuera de la UE; según la política de privacidad de Ahrefs, los datos se almacenan en Estados Unidos. Sin CCT, consulta la nota de abajo.

Las transferencias a encargados situados en países sin decisión de adecuación se basan en las CCT incluidas en el DPA de ese encargado y en medidas técnicas complementarias (cifrado en tránsito y en reposo). En el caso de Google y Hugging Face, las CCT forman parte de los acuerdos de tratamiento de datos indicados arriba; en el caso de Hugging Face, la sección 12 del DPA (cdn-media.huggingface.co/landing/assets/Data+Processing+Agreement.pdf) incorpora las CCT de la UE (2021/914). Esto no se aplica a Ahrefs: Ahrefs Pte. Ltd. tiene sede en Singapur, que no cuenta con una decisión de adecuación de la UE, y, según la política de privacidad de Ahrefs, almacena en Estados Unidos los datos que recoge. Para Ahrefs se aplican el anexo de tratamiento de datos de Ahrefs (ahrefs.com/legal/data-processing-addendum) y la política de privacidad de Ahrefs (ahrefs.com/legal/privacy-policy); para Ahrefs no nos basamos en CCT.

6. Plazos de conservación

Conservamos los datos personales solo durante el tiempo necesario. Plazos concretos:

• Cuenta activa

  Indefinido mientras tu suscripción o cuenta gratuita esté activa.

• Cuenta eliminada

  Periodo de gracia de 30 días tras solicitar la supresión. Durante ese periodo la cuenta queda suspendida y recuperable. Pasados 30 días se ejecuta la supresión definitiva y se purgan los identificadores.

• Datos de suscripción y facturas

  7 años desde la fecha de la factura. Exigido por la normativa fiscal (Belastingdienst neerlandés, artículo 30 del Código de Comercio español y normas equivalentes de Estados miembros).

• Analítica de escaneos

  Filas crudas: 90 días. A partir de ahí, agregación a contadores día/país y eliminación de los registros detallados.

• Eventos de uso del producto

  Filas de eventos sin procesar: 180 días. Una tarea automatizada diaria elimina las filas con más de 180 días. Estos eventos son anónimos y nunca se vinculan a tu cuenta.

• Registro de consentimiento de cookies

  12 meses desde la fecha de la decisión. Conforme a las directrices de la CNIL y el EDPB.

• Registros de correo

  24 meses. Usados para monitorización de entregabilidad y supresión de rebotes.

• Medición del rendimiento (Dynatrace)

  Las sesiones y las mediciones que contienen: 35 días, el plazo estándar de Dynatrace para los datos de sesión.

• Copias de seguridad

  Copias cifradas con retención rotativa de 35 días. Si solicitas la supresión, no restauraremos tus datos desde copias salvo obligación legal.

7. Tus derechos conforme al RGPD

Tienes los siguientes derechos sobre tus datos personales. La mayoría los puedes ejercer directamente desde tu cuenta; para los demás, escribe a support@qr-verse.com - te responderemos en 30 días.

• Derecho de acceso (artículo 15)

  Descarga una copia completa de tus datos en un archivo ZIP.

  Exportar mis datos ->

• Derecho de rectificación (artículo 16)

  Corregir datos personales incorrectos.

  Editar perfil ->

• Derecho de supresión (artículo 17)

  Eliminar permanentemente tu cuenta y datos personales. Periodo de gracia de 30 días para cancelar.

  Eliminar mi cuenta ->

• Derecho a la limitación (artículo 18)

  Solicítenos que limitemos el tratamiento mientras se resuelve una reclamación o corrección.

  Escribir a support@qr-verse.com ->

• Derecho a la portabilidad (artículo 20)

  Recibe tus datos en formato estructurado y legible por máquina (JSON en ZIP) y transmítelos a otro responsable.

  Exportar mis datos ->

• Derecho de oposición (artículo 21)

  Oponerse al tratamiento con fines de marketing o basado en interés legítimo. Los correos de marketing pueden cancelarse directamente.

  Preferencias de correo ->

• Derecho a retirar el consentimiento (artículo 7(3))

  Retira el consentimiento de cookies o marketing en cualquier momento. Tan fácil como otorgarlo.

  Preferencias de cookies ->

• Derecho a presentar una reclamación (artículo 77)

  Reclama ante la autoridad de control de tu Estado miembro. Nuestra autoridad principal es la AP neerlandesa. En España, la AEPD.

  Encontrar tu autoridad ->

8. Cookies y tecnologías similares

Usamos cuatro categorías de cookies. Solo las Necesarias están activa por defecto; el resto son estrictamente opt-in.

Si añadimos un proveedor o cambiamos la descripción de una categoría, incrementamos CONSENT_VERSION (ver el log de auditoría en /api/account/cookie-consent) y el banner pide el consentimiento de nuevo a todos los visitantes.

9. Medidas de seguridad

Seguimos las prácticas estándar de seguridad de SaaS europeo:

• TLS 1.2+ para todo el tráfico entre tú y nuestro edge (Cloudflare).
• Cifrado en reposo de la base Postgres de Supabase y los buckets de almacenamiento.
• Row-Level Security (RLS) en cada tabla orientada al usuario - cada usuario solo accede a sus propios datos.
• Secretos almacenados en variables de entorno, nunca en control de versiones.
• Alertas Sentry ante errores en tiempo de ejecución.
• Revisión de pentest en releases mayores; programa de bug bounty disponible - escribe a support@qr-verse.com.
• Copias de seguridad cifradas con AES-256, retención rotativa de 35 días, solo en la UE.
• Autenticación en dos factores obligatoria para cuentas fundadoras y disponible para todos los usuarios.

10. Menores

QR-Verse no está dirigido a menores de 16 años. No recopilamos a sabiendas datos personales de menores de 16. Si eres padre, madre o tutor y crees que tu hijo o hija ha creado una cuenta, escribe a support@qr-verse.com - eliminaremos la cuenta en 5 días laborables. Donde la legislación local fije una edad superior (p. ej. 16 en NL/DE, 14 en ES según la LOPDGDD), prevalece la edad superior.

11. Cambios en esta política

Cuando realizamos cambios sustanciales:

• Actualizamos la versión y fecha de entrada en vigor en la parte superior de esta página.
• Notificamos por correo a todos los usuarios al menos 30 días antes de la nueva fecha de aplicación.
• Si el cambio afecta a las categorías de cookies, incrementamos CONSENT_VERSION para que el banner vuelva a pedir consentimiento.
• Mantenemos un archivo de versiones anteriores enlazado en la parte superior.

12. Contacto

Para consultas de privacidad, solicitudes de personas interesadas o asuntos del DPO:

Confirmamos las solicitudes en 72 horas y las resolvemos en 30 días, conforme al artículo 12(3) del RGPD.