Política de privacidad de Cartdock

1. Quién es responsable de los datos

Responsable del tratamiento: Siarhei Mishchanka, persona física, Koposche aviatsonyaya 13, 247, Bielorrusia, correo electrónico: support@cartdock.app. En esta política, «nosotros» y «nuestro» se refieren al responsable.

Preguntas y solicitudes sobre tus datos: privacy@cartdock.app.

2. En resumen

• Sin tu consentimiento para la lectura de tiques con IA, las fotos de los tiques nunca salen de tu dispositivo.
• Las fotos de los tiques se eliminan del servicio 30 días después de leerse.
• La aplicación no tiene publicidad. Las estadísticas de uso (Google Analytics for Firebase) se envían solo con tu consentimiento; los informes de fallos (Firebase Crashlytics) se envían mientras no los desactives (sección 3.11).
• La exportación de datos, la eliminación de la cuenta y los consentimientos están en la aplicación: Perfil → Datos, en la pantalla «Mis datos».

3. Qué datos tratamos

3.1. Instalación y cuenta

• En el primer inicio, la aplicación crea un identificador de instalación aleatorio y lo envía al servicio junto con la plataforma (Android o iOS). Así se crea una cuenta anónima, sin nombre y sin correo electrónico. Los tokens de acceso se guardan en el dispositivo, en el almacenamiento seguro del sistema, y en el servicio solo como hashes.
• Si inicias sesión con Google o con un correo electrónico y una contraseña, el inicio de sesión lo realiza Firebase Authentication (Google). Guardamos el método de inicio de sesión, tu identificador de Firebase y tu dirección de correo electrónico. Cuando inicias sesión con Google, recibimos y guardamos el nombre de tu perfil de Google; no guardamos tu foto ni otros datos del perfil. Puedes introducir tú mismo un nombre y apellidos para las listas compartidas en la pantalla de la cuenta; es opcional. Tu contraseña pasa por nuestro servicio hacia Firebase Authentication y nosotros no la guardamos.
• Los correos que confirman tu dirección o restablecen tu contraseña los envía Firebase.
• Cuando inicias sesión, los datos creados en el dispositivo antes del inicio de sesión pasan a tu cuenta.
• Para proteger las cuentas frente a los intentos de adivinar contraseñas, contamos los intentos de inicio de sesión; para ello la dirección de correo electrónico se guarda solo como hash, y los registros se eliminan al cabo de un día.

3.2. Listas de la compra

• Las listas se guardan en tu dispositivo. Cuando compartes una lista (para ello se necesita una cuenta), también se guarda en el servicio: su título, sus líneas (nombre, cantidad, unidad, nota, pasillo, marca de comprado, quién la añadió), y sus miembros y sus roles.
• Los miembros se ven entre sí por su nombre: el nombre y apellidos que hayas introducido tú mismo; si no, el nombre de tu perfil de Google; si no, la parte de la dirección de correo electrónico anterior a la «@». La dirección completa nunca se muestra. Los invitados aparecen con un alias (un nombre de animal).
• Las líneas eliminadas de una lista compartida se borran definitivamente del servicio al cabo de 30 días.
• Si el propietario elimina una lista compartida o su cuenta, la lista se elimina del servicio, junto con las líneas que añadieron los miembros. Cuando un miembro pierde el acceso a una lista (por ejemplo, porque el propietario eliminó la lista o su propia cuenta, o quitó a ese miembro), en el dispositivo del miembro queda una copia de la lista: ya no se actualiza y no se guarda en el servicio. El miembro puede eliminar la copia.

3.3. Enlaces a listas

• Un enlace contiene una clave aleatoria; el servicio guarda solo su hash. Cualquier persona que tenga el enlace puede ver la lista mientras el enlace sea válido.
• Un enlace es de «Solo ver» o de «Participar» (se participa en la aplicación). Dura 24 horas, 30 días (por defecto) o no tiene fecha de fin.
• A través de un enlace se puede ver el título de la lista, el nombre del propietario (elegido como para los miembros; lo ve cualquier persona que tenga el enlace), las líneas (nombre, cantidad, unidad, pasillo, marca de comprado), el nivel del enlace, la hora del último cambio y cuándo caduca el enlace. Las notas de las líneas, los miembros, los tiques y los gastos no son visibles.
• Revocar un enlace lo cierra de inmediato y retira a los invitados y espectadores que se unieron a través de él.

3.4. Tiques y fotos

• Las fotos de los tiques permanecen en tu dispositivo hasta que se envían, y solo se envían si has permitido el «procesamiento con IA».
• Las fotos enviadas se guardan en un Supabase Storage privado (región eu-central-1, UE).
• Un tique guardado se almacena en el servicio: la tienda, la fecha de compra, la moneda, el total, las líneas con cantidades, precios y categorías, y el resultado del reconocimiento. Si vinculas un tique a una lista, el servicio guarda también el identificador de esa lista (no su título ni sus líneas).
• Si anotas cuánto costó una lista sin tique, el servicio guarda ese importe en tu cuenta: el importe, la moneda, el día y el identificador de la lista. Los demás miembros de la lista no lo ven.
• Para detectar un tique enviado dos veces, comparamos los hashes de las fotos dentro de tu cuenta.
• En Android, los bordes del tique en una foto los encuentra un modelo de Google ML Kit en el propio dispositivo. La foto no se envía a ningún sitio, pero tras la primera búsqueda de bordes la biblioteca envía a Google información técnica sobre su funcionamiento.
• Si informas de un problema con un tique, recibimos el tipo de problema, tu comentario y una referencia a la tarea de reconocimiento. No se adjuntan fotos al informe.
• Contamos cuántos tiques has escaneado y cuántas preguntas has hecho a la asistente en un mes, para los límites mensuales.
• La aplicación asocia los logotipos de las tiendas de la lista de tiques en el propio dispositivo. Como mucho una vez al día, mientras la lista de tiques está abierta, descarga de nuestro sitio el catálogo común de logotipos y todos sus archivos: el mismo conjunto para todas las instalaciones. La solicitud no contiene nombres de tiendas, datos de tiques ni de la cuenta, por lo que el registro del sitio no muestra dónde compras. El sitio ve la dirección IP y la hora de la solicitud.
• Los logotipos de las tiendas pertenecen a sus propietarios. Para retirar un logotipo, escribe a privacy@cartdock.app.

3.5. Lectura de tiques con IA

• Los tiques los lee OpenAI. OpenAI recibe las imágenes de las páginas del tique y nuestras instrucciones. No incluimos en esta solicitud tu identificador, tu correo electrónico ni otros datos de la cuenta. La solicitud se envía con el almacenamiento de respuestas en OpenAI desactivado (store=false). Si las líneas del tique no están en el idioma de la aplicación y la traducción está activada en Perfil → Datos → Tratamiento de datos, OpenAI traduce sus nombres al idioma de la aplicación en la misma solicitud. Guardamos tanto la traducción como el nombre tal como aparece en el tique.
• Cuando OpenAI no está disponible, el tique lo lee Anthropic en su lugar. Anthropic recibe las mismas imágenes e instrucciones, también sin tu identificador, tu correo ni otros datos de la cuenta, y traduce los nombres de los artículos de la misma manera. Anthropic no tiene un ajuste como store=false; cuánto tiempo conserva las solicitudes se indica en la sección 6.
• Por cada llamada guardamos registros del servicio sin ningún texto del tique: el modelo, la duración, el tamaño, el coste y recuentos de calidad del reconocimiento.
• Sin consentimiento no se envía ninguna foto. Después de retirar el consentimiento no se envían fotos nuevas, y las fotos ya tomadas esperan en el dispositivo.

3.6. Asistente

• En la aplicación, la asistente se llama Rinka. Rinka es una IA, no una persona: las respuestas las escribe un modelo de lenguaje de OpenAI o de Anthropic. Elegimos cuál en la configuración del servicio, y el otro puede sustituir al primero cuando este no está disponible.
• Cuando la respuesta la escribe Anthropic, recibe los mismos datos que OpenAI según los puntos siguientes, también sin tu correo ni tu nombre.
• Cuando haces una pregunta a la asistente, OpenAI recibe el texto de la pregunta, los identificadores de tus listas (no su contenido), el número de tiques recientes y un identificador técnico de tu cuenta con nosotros (sin correo electrónico ni nombre).
• El modelo no recibe el contenido de tus listas ni de tus tiques, ni tus gastos. Para seguir la conversación, OpenAI recibe junto con tu pregunta hasta 6 preguntas y respuestas anteriores de la misma conversación: no más de 6000 caracteres y solo de las últimas 48 horas. Las respuestas anteriores pueden contener nombres de artículos que sugirió la propia Rinka. No se envían preguntas de otras conversaciones. La solicitud se envía con el almacenamiento de respuestas en OpenAI desactivado (store=false).
• La pregunta y la respuesta se guardan en el servicio durante 48 horas; después se elimina su texto. Queda un registro de que se hizo una pregunta, para el límite mensual.
• Por cada respuesta guardamos registros del servicio sin el texto de la pregunta ni de la respuesta: el modelo, la duración, el tamaño de la respuesta y el coste.
• La asistente solo funciona con el consentimiento de «procesamiento con IA», el mismo que usan los tiques: sin él, o una vez retirado, no se envía ninguna pregunta y se detiene una respuesta que aún se está escribiendo. Los datos solo se envían cuando haces una pregunta.
• Debajo de cada respuesta de Rinka hay un botón «Informar». Si informas sobre una respuesta, nuestro servicio recibe esa respuesta, la pregunta que hiciste, la lista que Rinka propuso en ella (si la hubo), el motivo que elegiste y tu comentario (hasta 500 caracteres); el informe queda vinculado a tu cuenta. Mientras el servicio conserve su propia copia de la pregunta y la respuesta (48 horas), guarda esa copia en lugar de la de tu dispositivo. El servicio añade al informe el modelo, la versión de las instrucciones, el plan y la plataforma (Android o iOS) con los que se escribió la respuesta, y cómo terminó (completa, cortada o con error). El informe no incluye el contenido de tus listas ni de tus tiques, y ni OpenAI ni Anthropic lo reciben.
• Usamos los informes para revisar las respuestas y mejorar Rinka. Los textos de un informe (la pregunta, la respuesta, la lista propuesta y el comentario) se eliminan 30 días después de recibirlo; el motivo y los datos sobre la respuesta se conservan hasta que se elimine la cuenta, para contar los informes. Sin conexión, el informe espera en el dispositivo y se envía más tarde; cuando el servicio ha respondido, el dispositivo solo conserva el estado del informe. Un informe no requiere el consentimiento de «procesamiento con IA». Puedes oponerte a este tratamiento escribiendo a privacy@cartdock.app; entonces eliminaremos el informe.

3.7. Entrada por voz

• Puedes dictar una pregunta a la asistente. La voz la reconoce el servicio de reconocimiento de voz de Android o iOS. Según el dispositivo, esto ocurre en el propio dispositivo o en los servidores del proveedor del sistema (Google, Apple), conforme a sus condiciones.
• La aplicación recibe solo el texto reconocido y no guarda la grabación. El micrófono está activo mientras la pantalla indica «Escuchando»; puedes detener la grabación con el botón.

3.8. Qué se queda en el dispositivo

• Los totales de gastos y la planificación de compras se calculan en el dispositivo a partir de tus tiques, listas e importes anotados sin tique. El servicio solo guarda los tiques y los importes descritos en la sección 3.4.
• Los recordatorios son notificaciones locales del dispositivo, sin servidor y sin envíos de correo.
• Tus respuestas sobre los consentimientos se guardan en el dispositivo.
• Al cerrar sesión, las listas personales de tu cuenta, las copias de listas compartidas a las que ya no tienes acceso y los tiques de tu cuenta con sus fotos no se eliminan de este teléfono, sino que se ocultan: la aplicación los guarda solo con el identificador de la cuenta (sin dirección de correo electrónico) y los devuelve cuando vuelves a iniciar sesión con la misma cuenta en este teléfono. Los tiques que aún no se han guardado en la cuenta llegarán allí solo después de ese inicio de sesión. Un invitado y otras cuentas en este teléfono no los ven. Eliminar la cuenta en la aplicación en este teléfono los borra; las listas y los tiques ocultos de otras cuentas en este teléfono se conservan.
• En Android, el sistema hace una copia de seguridad de los datos de la aplicación solo en dos casos. El primero es una copia en la nube en tu cuenta de Google: solo si la copia de seguridad está activada y Android puede cifrar la copia en el teléfono, lo que requiere un bloqueo de pantalla (PIN, patrón o contraseña). Si la copia no se puede cifrar, los datos de la aplicación no se incluyen en la copia en la nube. El segundo es una transferencia del teléfono antiguo a uno nuevo cuando cambias de teléfono. Android 7 y 8 no comprueban el cifrado de la copia, por eso en ellos no prometemos que la copia en la nube esté cifrada.
• La copia contiene tus listas, los tiques sin fotos, las conversaciones con Rinka, el idioma de la aplicación y los ajustes, incluidas tus respuestas sobre los consentimientos y, si has iniciado sesión, la dirección de correo electrónico y el nombre de tu cuenta. La copia también contiene las listas y los tiques (sin fotos) ocultados en este teléfono al cerrar sesión, incluidos los de otras cuentas: con el identificador de la cuenta, sin la dirección de correo electrónico. La copia no contiene tokens de acceso, el identificador de instalación, fotos de tiques ni recordatorios. Después de restaurar, inicia sesión de nuevo y vuelve a activar los recordatorios.

3.9. Registros del servicio

• Cada vez que la aplicación contacta con el servicio, se guarda un registro: la dirección IP, el método y la dirección de la solicitud sin parámetros, y el código de respuesta. Las claves de los enlaces y las direcciones temporales de subida se sustituyen por una marca en nuestro registro.
• La plataforma Google Cloud Run también lleva su propio registro de solicitudes. En él se guarda la dirección completa de la solicitud, incluida la clave del enlace cuando la aplicación abre una lista mediante un enlace. Estos registros solo los pueden ver las personas con acceso a los registros del proyecto. Conservación de los registros: 30 días.
• El servicio también anota en qué días tu cuenta se conectó a él y desde qué plataforma (Android o iOS), para contar los usuarios activos. Estas anotaciones se eliminan al cabo de 35 días; en los informes solo quedan cifras totales sin cuentas. El último de esos días también se guarda en el registro del dispositivo hasta que se elimina el dispositivo. Estas anotaciones no dependen de la elección sobre las estadísticas de uso (sección 7).

3.10. La página de la lista compartida en un navegador

• La página funciona en el sitio web de Cartdock (Google Cloud Run, región europe-west1) y carga la lista desde Supabase (región eu-central-1): la clave del enlace se envía en el cuerpo de la solicitud, no en la dirección. Los cambios llegan a través de Supabase Realtime como una señal sin datos de la lista. Las solicitudes a las páginas /s/ se excluyen del registro de solicitudes de la plataforma. Si se produce un error al mostrar una página, el registro de errores del contenedor puede conservar la dirección completa, incluida la clave del enlace en la ruta /s/, durante 30 días.
• Los datos de la lista no se guardan en el navegador.
• Las estadísticas de visitas (Google Analytics 4) se activan solo si pulsas «Sí» en la pregunta de la página. Hasta entonces, la página no contacta con Google. Después de «Sí», Google recibe eventos —página abierta, pulsación del botón «Abrir en Cartdock» y de los botones de Google Play y del App Store, lista guardada como TXT o CSV, enlace que ya no es válido— con el tipo de plataforma, el formato del archivo o el motivo. No se incluyen la clave del enlace, el título y las líneas de la lista ni el nombre del propietario, y la dirección de la página se sustituye por un /s/ genérico. Google Signals y las funciones publicitarias están desactivados.
• Esta página de la política no usa analítica ni hace solicitudes a otros sitios; la única cookie del sitio web se describe en la sección 9.

3.11. Informes de fallos y estadísticas de uso

• Android e iOS envían informes de fallos. Solo Android envía estadísticas de uso. Las versiones Debug no envían ninguno de estos datos.
• Los informes de fallos están activados mientras no los desactives: la casilla «Enviar informes de fallos» en el primer inicio, o más tarde Perfil → Datos → Tratamiento de datos → «Informes de fallos». Si la aplicación falla, se envía un informe a Firebase Crashlytics (Google): el lugar del código donde falló la aplicación, el tipo y el mensaje del error, la hora del fallo, la versión de la aplicación, el modelo del dispositivo, la versión del sistema, la cantidad de memoria y de almacenamiento, si el dispositivo tiene acceso root y un identificador aleatorio de instalación de Crashlytics. Para contar las sesiones, Firebase recibe además un identificador aleatorio de instalación de Firebase y el tiempo que la aplicación estuvo en pantalla.
• Un informe de fallo no incluye el identificador de tu cuenta, tu dirección de correo, el contenido de tus listas o tiques ni tus preguntas a Rinka. Los mensajes de error de nuestro código no contienen esos datos.
• Sin conexión, el informe espera en el dispositivo y se envía en el siguiente inicio. Si desactivas los informes de fallos, los informes aún no enviados se eliminan del dispositivo en el siguiente inicio.
• Las estadísticas de uso (Google Analytics for Firebase) están desactivadas hasta que las permitas: la casilla «Permitir las estadísticas de uso» en el primer inicio, o más tarde Perfil → Datos → Tratamiento de datos → «Estadísticas de uso». Con tu consentimiento, Google recibe los eventos que la biblioteca registra por sí misma —el primer inicio, el comienzo y la duración de las sesiones, las actualizaciones de la aplicación y del sistema— con la versión de la aplicación, el modelo del dispositivo, la versión del sistema, la región aproximada y un identificador aleatorio de la instancia de la aplicación. No enviamos eventos propios, nombres de pantallas, el identificador de la cuenta ni el identificador de publicidad; las funciones publicitarias están desactivadas.
• Cuando retiras tu consentimiento, las estadísticas se detienen de inmediato y la aplicación restablece su identificador de estadísticas. Los informes de fallos y las estadísticas no están vinculados a tu cuenta: no figuran en el archivo de datos y no se eliminan con la cuenta; Google los elimina tras los plazos de la sección 6.

3.12. Suscripciones

• Los planes Lite y Plus se compran en la aplicación como suscripciones a través de Google Play o de la App Store, y solo después de iniciar sesión. Tú pagas a la tienda: esta trata el pago según sus propias condiciones y su política de privacidad, y nosotros nunca recibimos los datos de tu tarjeta ni otros datos de pago.
• Para comprobar las compras usamos RevenueCat. La aplicación y la tienda envían a RevenueCat el identificador de tu cuenta con nosotros (sin correo ni nombre), el producto, la tienda, la moneda y la configuración regional de la tienda y el registro de la compra. RevenueCat conserva el historial de compras, renovaciones, cancelaciones y reembolsos de tu cuenta. RevenueCat recibe este identificador de cuenta cuando solicitas las ofertas de suscripción después de iniciar sesión, incluso antes de una compra. También usamos el historial de compras en RevenueCat para consultar las estadísticas de suscripciones.
• Nuestro servicio consulta a RevenueCat sobre tu suscripción y guarda el plan, el producto, la tienda, la fecha de compra, el inicio y el fin del periodo actual, si se renueva, un problema de pago y un reembolso. Con estos datos el servicio asigna tu plan a tu cuenta.
• Eliminar la cuenta o la aplicación no cancela una suscripción en la tienda. Cómo cancelarla se explica en la página «Eliminación de la cuenta».
• El precio, la renovación, la cancelación, el desistimiento y los reembolsos de las suscripciones se describen en las condiciones de uso. Cuando pides a Apple el reembolso de una suscripción comprada en el App Store, nuestro servicio informa a Apple, a través de RevenueCat, de si la suscripción se prestó; no envía nada de tus listas, tiques o preguntas. La base es nuestro interés legítimo en una decisión correcta sobre el reembolso (art. 6, apartado 1, letra f), del RGPD); puedes oponerte en privacy@cartdock.app antes de pedirlo a Apple (condiciones de uso, sección 6).

4. Quién recibe los datos y dónde se tratan

• Google Cloud Run: nuestro servicio, región europe-west1 (UE).
• Google Cloud Run: el sitio web de Cartdock: la página principal, la página de la lista compartida y esta página.
• Supabase: base de datos, almacenamiento de fotos y archivos de exportación, actualizaciones de la página web; región eu-central-1 (UE).
• Firebase (Google): Authentication — inicio de sesión y correos; los datos se tratan solo en Estados Unidos. La base de la transferencia es la certificación de Google LLC en el EU-U.S. Data Privacy Framework (decisión de adecuación, art. 45 del RGPD); si deja de aplicarse, se aplican las cláusulas contractuales tipo de la Comisión Europea (art. 46, apartado 2, letra c), del RGPD) de las condiciones de tratamiento de datos de Google.
• OpenAI Ireland Ltd. (Irlanda): encargado del tratamiento que actúa por cuenta nuestra en la lectura y traducción de tiques y en las respuestas de Rinka. OpenAI puede transferir datos a sus filiales y subencargados fuera del EEE, incluidos los Estados Unidos, sobre la base de las cláusulas contractuales tipo de la Comisión Europea (art. 46, apartado 2, letra c), del RGPD) o de una decisión de adecuación (art. 45 del RGPD). Puedes solicitar una copia de estas condiciones en privacy@cartdock.app. OpenAI no usa estos datos para entrenar modelos y los conserva hasta 30 días en registros de supervisión de abusos; el ajuste store=false no cambia este plazo.
• Anthropic Ireland, Limited (Irlanda): encargado del tratamiento que actúa por cuenta nuestra en la lectura y traducción de tiques cuando OpenAI no está disponible y en las respuestas de Rinka. Anthropic puede tratar datos fuera del EEE, incluidos los Estados Unidos, sobre la base de las cláusulas contractuales tipo de la Comisión Europea (art. 46, apartado 2, letra c), del RGPD) de su acuerdo de tratamiento de datos, que forma parte de las Commercial Terms de Anthropic. Anthropic no utiliza estos datos para entrenar modelos.
• Firebase Crashlytics (Google): informes de fallos de las aplicaciones para Android e iOS; Google los trata en su infraestructura global, también en Estados Unidos. La base de la transferencia es la misma que para Firebase Authentication: el EU-U.S. Data Privacy Framework y, en su defecto, las cláusulas contractuales tipo.
• Google Analytics for Firebase (Google): estadísticas de uso de la aplicación para Android, solo tras tu consentimiento; la misma base de transferencia.
• RevenueCat, Inc. (Estados Unidos): encargado del tratamiento que actúa por cuenta nuestra en la comprobación de las compras de suscripciones y la conservación de su historial. La base de la transferencia son las cláusulas contractuales tipo de la Comisión Europea (art. 46, apartado 2, letra c), del RGPD) del acuerdo de tratamiento de datos de RevenueCat.
• Google Play, App Store: venta de suscripciones y cobro del pago, según las condiciones y las políticas de privacidad de Google y Apple.
• Google Analytics: solo en la página de la lista compartida y solo tras tu consentimiento.
• Google o Apple: reconocimiento de voz por el sistema del dispositivo, solo cuando dictas.

Nuestro servicio no llama a ningún otro servicio externo.

Personas en Suiza: se aplican los mismos destinatarios y países. Suiza reconoce como adecuada la protección de datos de los Estados de la UE y del EEE y, en el caso de Estados Unidos, solo la de las empresas certificadas en el Swiss-U.S. Data Privacy Framework, como Google LLC. Las transferencias a RevenueCat en Estados Unidos y las que realizan OpenAI y Anthropic fuera del EEE se basan en las cláusulas contractuales tipo de la Comisión Europea con las adaptaciones al Derecho suizo (art. 16, apartado 2, letra d), de la Ley Federal de Protección de Datos de Suiza, FADP).

5. Bases jurídicas

• Consentimiento (art. 6, apartado 1, letra a), del RGPD): lectura y traducción de tiques con IA, respuestas de Rinka y memoria de la conversación, estadísticas de visitas en la página de la lista compartida.
• Ejecución de un contrato (art. 6, apartado 1, letra b), del RGPD): cuenta e inicio de sesión, sincronización y listas compartidas, almacenamiento de tiques, exportación y eliminación.
• Interés legítimo (art. 6, apartado 1, letra f), del RGPD): registros, protección contra la adivinación de contraseñas y los abusos, límites mensuales, recuento de usuarios activos, informes sobre respuestas de Rinka. Nuestro interés es la seguridad del servicio, un reparto justo de los límites gratuitos, saber cuántas personas usan el servicio y encontrar y corregir respuestas de Rinka dañinas o erróneas.
• Interés legítimo (art. 6, apartado 1, letra f), del RGPD): además, la detección de abusos, las restricciones de la cuenta, las anotaciones de nuestras decisiones y el código de una dirección de correo tras la eliminación de la cuenta (sección 6, sección 12). Nuestro interés es que los límites gratuitos y la IA no los agote una sola persona o un programa, y que eliminar una cuenta no levante los límites ni las restricciones. Para detectar abusos solo usamos datos que ya guardamos, y la dirección de correo solo la guardamos como código.
• Consentimiento (art. 6, apartado 1, letra a), del RGPD): también las estadísticas de uso de la aplicación (sección 3.11).
• Interés legítimo (art. 6, apartado 1, letra f), del RGPD): los informes de fallos de la aplicación. Nuestro interés es encontrar y corregir los fallos de la aplicación. Un informe no contiene datos de la cuenta, y puedes desactivar los informes en cualquier momento (sección 3.11); desactivarlos es tu oposición (art. 21 del RGPD).
• Ejecución de un contrato (art. 6, apartado 1, letra b), del RGPD): también las suscripciones, es decir, comprobar una compra y asignar tu plan a la cuenta (sección 3.12).

6. Cuánto tiempo conservamos los datos

• Fotos de los tiques: 30 días después de leerse, o menos cuando un tique eliminado ya no se puede restaurar.
• Un tique eliminado se puede restaurar durante 7 días; 30 días después de ese plazo se elimina definitivamente.
• Preguntas y respuestas de la asistente: 48 horas.
• Solicitudes en Anthropic: se eliminan en un plazo de 30 días; si una solicitud se marca por incumplir las normas de uso de Anthropic, se conserva hasta 2 años, y las puntuaciones de sus controles de seguridad, hasta 7 años.
• Registros del servicio de las llamadas a la IA para tiques y Rinka, sin ningún texto: hasta que se elimine la cuenta.
• Contadores de escaneos y preguntas del presupuesto mensual de cada plan, sin vínculo con ninguna cuenta: el mes en curso y el anterior.
• Informes de fallos: 90 días en Google (Firebase Crashlytics); un informe aún no enviado se elimina del dispositivo cuando desactivas los informes.
• Eventos de las estadísticas de uso: 2 meses en Google (Google Analytics for Firebase); los informes conservan solo cifras totales.
• Datos de la suscripción en nuestro servicio y en RevenueCat: hasta que se elimine la cuenta; al eliminar la cuenta, nuestro servicio elimina también tu registro en RevenueCat. La tienda conserva sus propios registros de compras según sus condiciones.
• Informes sobre respuestas de Rinka: los textos, hasta 30 días después de recibir el informe; el motivo y los datos sobre la respuesta, hasta que se elimine la cuenta.
• Líneas eliminadas de listas compartidas: 30 días.
• Archivo de exportación: 3 días; el enlace de descarga funciona durante 15 minutos y se vuelve a emitir a petición.
• Tokens de inicio de sesión: hasta 90 días; sus registros se eliminan 30 días después de que caduquen.
• Contadores de intentos de inicio de sesión: un día.
• Registros: 30 días.
• Anotaciones de días de actividad: 35 días.
• Registro de una eliminación de cuenta realizada o cancelada (identificadores de la cuenta y del dispositivo, estado de la solicitud, fechas y horas): 12 meses después de realizarse o cancelarse; si el servicio eliminó por sí mismo los datos de un invitado, 35 días.
• Datos sin cuenta (invitado): mientras la aplicación se conecte con el servicio; tras 14 días sin conexión, el servicio los elimina del mismo modo que en una eliminación que solicitas. Los datos del dispositivo se conservan.
• Tras la eliminación de una cuenta con dirección de correo: hasta el final del mes más 1 día, un código de esa dirección (un HMAC con clave secreta; la dirección en sí no se almacena) y el número de escaneos y de preguntas a la asistente de ese mes, para que un nuevo registro con la misma dirección en ese mes no reinicie los límites mensuales.
• Una restricción de la cuenta (sección 12): mientras se aplica y 30 días más después de su fin; si la levantamos antes o se elimina la cuenta, su registro se elimina de inmediato.
• Anotaciones de nuestras decisiones sobre restricciones: 12 meses desde la decisión; tras la eliminación de la cuenta se conservan sin su identificador; en un bloqueo de registro, la anotación contiene los primeros 8 caracteres del código de la dirección.
• Un bloqueo de registro, es decir, un código de la dirección de correo (un HMAC con clave secreta): hasta 6 meses desde nuestra decisión; tras la eliminación de una cuenta suspendida por incumplir las normas, 6 meses desde la eliminación o hasta el final de la suspensión si este es posterior.
• Cuenta, tiques, listas e informes de problemas: hasta que los elimines o elimines la cuenta.
• Importes anotados sin tique: hasta que se elimine la cuenta. Un importe que eliminas se marca como eliminado y deja de estar en el archivo, pero su registro se conserva hasta que se elimine la cuenta, para que un cambio más antiguo desde otro dispositivo no lo recupere.

Los plazos anteriores indican cuándo corresponde eliminar los datos. Después los elimina una tarea del servicio que se ejecuta cada 10 minutos mientras el servicio está en marcha. Cuando nadie usa el servicio, este se detiene, y la tarea se ejecuta cuando vuelve a arrancar, por lo que los datos pueden eliminarse después de que termine su plazo. Los registros los elimina la propia plataforma Google Cloud Run.

7. Consentimientos

• En el primer inicio, eliges si permites el procesamiento con IA (lectura de tiques y respuestas de la asistente) y las estadísticas de uso y si se envían informes de fallos, y confirmas que tienes 16 años o más.
• La casilla «Permitir el procesamiento con IA» no está marcada de antemano. Sin consentimiento para la IA, las listas funcionan; la lectura de tiques y Rinka están desactivadas.
• Las estadísticas de uso están desactivadas hasta que las permitas. Los informes de fallos están activados mientras no los desactives: no se basan en el consentimiento, sino en nuestro interés legítimo (sección 5), y desactivarlos los detiene de la misma manera. Las anotaciones de días de actividad del servicio (sección 3.9) son aparte y no dependen de estas elecciones.
• Puedes cambiar o retirar tu consentimiento en cualquier momento: Perfil → Datos → Tratamiento de datos. La retirada surte efecto de inmediato y no afecta a lo que se envió antes.
• En la página de la lista compartida, la elección se cambia con el enlace «Cambiar» al pie de la página.

8. Tus derechos

Tienes derecho a acceder a tus datos y obtener una copia, a la rectificación, a la supresión, a la limitación del tratamiento, a la portabilidad de los datos, a oponerte al tratamiento y a retirar el consentimiento.

• Una copia de tus datos: Perfil → Datos → Archivo → «Preparar el archivo». El archivo contiene los datos de tu cuenta (el nombre y apellidos que hayas introducido, si los hay, el nombre de tu perfil de Google, la dirección de correo electrónico, los métodos de inicio de sesión, el plan y los días de actividad de la sección 3.9), dispositivos, las listas compartidas que creaste o a las que te uniste, con sus líneas, tiques guardados, importes anotados sin tique, tareas de reconocimiento, informes de problemas, preguntas a la asistente y respuestas, informes sobre respuestas de Rinka, la restricción de la cuenta y nuestras decisiones sobre ella, y fotos. Las listas que no has compartido, las copias de listas compartidas a las que ya no tienes acceso y los tiques que aún no has guardado solo están en tu dispositivo y no entran en el archivo. Cualquier otro dato que tengamos sobre ti puede solicitarse en privacy@cartdock.app.
• El archivo contiene también tus suscripciones tal como las guarda nuestro servicio (sección 3.12).
• Supresión: Perfil → Datos → Eliminación → «Eliminar la cuenta y todos los datos». Durante 24 horas la eliminación se puede cancelar; después, el servicio elimina la cuenta de Firebase, los tiques, las fotos, los importes anotados sin tique, las anotaciones de días de actividad, tu pertenencia a listas de otras personas y tus dispositivos, y la aplicación borra los datos de la cuenta del dispositivo; las listas y los tiques ocultos de otras cuentas en este teléfono se conservan (sección 3.8). Las listas compartidas que creaste se eliminan del servicio, junto con las líneas que añadieron los miembros; los miembros conservan en sus dispositivos una copia que ya no se actualiza. Las líneas que añadiste a listas de otras personas permanecen allí sin autor. Se conservan un registro de que la eliminación se llevó a cabo y, si la cuenta tenía una dirección de correo, un código de esa dirección con las cifras del mes (sección 6), y, si la cuenta estaba suspendida por incumplir las normas, un bloqueo de registro con ese código (sección 12). Puedes eliminar la cuenta sin la aplicación por correo electrónico; cómo hacerlo y qué más se conserva se explica en la página «Eliminación de la cuenta».
• Rectificación: los tiques y las listas se pueden editar en la aplicación.
• Para cualquier otra solicitud, escribe a privacy@cartdock.app.
• Puedes presentar una reclamación ante la autoridad de control de protección de datos de tu país; en Polonia es el Presidente de la Oficina de Protección de Datos Personales (UODO, uodo.gov.pl); en Suiza es el Comisionado Federal de Protección de Datos e Información (FDPIC, edoeb.admin.ch), ante quien puedes denunciar una infracción de las normas de protección de datos.

9. Cookies y almacenamiento del navegador

• La página de la lista compartida guarda en localStorage solo tu respuesta a la pregunta sobre las estadísticas.
• Las cookies de Google Analytics (_ga, _ga_…) aparecen solo después de «Sí» y se eliminan si más tarde dices que no.
• El sitio web establece una cookie, lang, con el código del idioma elegido durante 1 año, solo cuando tú mismo eliges un idioma en el selector de idioma. La página principal y esta página no guardan nada más en el navegador.

10. Edad

La aplicación está destinada a personas de 16 años o más: confirmas tu edad en el primer inicio. La página de la lista compartida no pregunta la edad.

Si estás en Turquía y tienes menos de 18 años, usa la aplicación con el consentimiento de uno de tus padres o de tu tutor legal.

11. Cómo se protegen los datos

• La aplicación y la página intercambian datos con los servicios mediante HTTPS.
• Los tokens de acceso y las claves de los enlaces se guardan en el servicio solo como hashes.
• Las fotos y los archivos se guardan en un almacenamiento privado; solo se pueden subir y descargar mediante una dirección firmada temporal que funciona durante 15 minutos.
• En el dispositivo, los datos de inicio de sesión se guardan en el almacenamiento seguro del sistema (Keychain en iOS, Keystore en Android).

12. Normas y restricciones de la cuenta

Los límites gratuitos, Rinka y el reconocimiento de tiques están pensados para uso personal. Al usar el servicio, cumple cuatro normas:

1. Usa el servicio a través de la aplicación y del sitio web; no envíes solicitudes con un programa o script.
2. No eludas los límites mensuales; por ejemplo, no elimines tu cuenta para registrarte de nuevo y obtener límites nuevos.
3. No envíes enlaces a listas de forma masiva ni a personas que no hayan aceptado recibirlos.
4. No guardes contenido ilícito en listas compartidas ni lo muestres a través de un enlace.

Si se incumple una norma, podemos restringir la cuenta. Las medidas, de la más leve a la más estricta:

• Ralentización. Si hay demasiadas solicitudes, el servicio las rechaza durante un tiempo (no más de 24 horas) y pide que lo intentes más tarde. Es la única medida que un programa aplica sin decisión de una persona.
• Pausa de la IA: hasta 90 días. Rinka y el reconocimiento de tiques no funcionan para tu cuenta; una pregunta o un escaneo rechazados no se descuentan de tus límites. Las listas funcionan.
• Suspensión: hasta 180 días. El servicio no acepta cambios de la cuenta (en listas compartidas, tiques, enlaces y el nombre de la cuenta), y Rinka y el reconocimiento de tiques no funcionan. Puedes seguir viendo tus datos, descargar el archivo, eliminar listas, revocar enlaces, eliminar la cuenta y cerrar la sesión. Las listas de tu teléfono que no has compartido funcionan como antes. Los enlaces a tus listas compartidas siguen abriéndose; si se confirma un aviso de contenido ilícito, podemos revocarlos.
• Bloqueo de registro: hasta 6 meses desde la decisión. Con la dirección de correo no se puede registrar una cuenta nueva; el inicio de sesión en una cuenta existente sigue funcionando. Si eliminas tu cuenta mientras está suspendida por incumplir las normas, tus direcciones de correo se bloquean sin una nueva decisión, en virtud de nuestra decisión de suspenderla, durante 6 meses desde la eliminación o hasta el final de la suspensión si este es posterior. La dirección solo se guarda como un código (un HMAC con clave secreta).

Cómo decidimos y qué puedes hacer:

• La pausa de la IA, la suspensión y el bloqueo de registro los decide una persona, Siarhei Mishchanka, que gestiona el servicio, después de comprobar los hechos, no un programa. Cada decisión indica su motivo y su fecha de fin; una medida solo puede prorrogarse con una nueva decisión. Cuando termina el plazo, la restricción se levanta sola. Una cuenta de invitado (sin iniciar sesión) no se restringe así: se le aplican los límites mensuales y la ralentización.
• Para detectar abusos, observamos indicadores de datos que ya guardamos: los costes de IA por cuenta, el número de enlaces nuevos, los límites alcanzados, los registros repetidos con la misma dirección de correo tras una eliminación y el número de informes sobre respuestas de Rinka. El contenido de las listas y los tiques no se usa para ello y no recogemos datos nuevos.
• Te informamos de una pausa de la IA, una suspensión o un bloqueo de registro por correo electrónico a la dirección de la cuenta, a más tardar cuando empieza a aplicarse: qué se restringe y hasta cuándo, qué norma se ha incumplido y qué hechos lo muestran, cómo lo detectamos y cómo recurrir la decisión.
• Tus datos no se eliminan mientras la cuenta está restringida. La restricción y nuestras decisiones sobre tu cuenta figuran en tu archivo de datos (sección 8); las anotaciones de nuestras decisiones se conservan 12 meses (sección 6).
• Puedes recurrir esa decisión en un plazo de 6 meses desde la notificación: responde a nuestro correo o escribe a privacy@cartdock.app. Una persona revisa la decisión; respondemos en un plazo de 14 días desde la recepción del recurso y, si estamos de acuerdo, levantamos la restricción el día de la respuesta. También puedes oponerte al tratamiento de datos para detectar abusos y aplicar restricciones (art. 21 del RGPD), presentar una reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD, sección 8) y acudir a los tribunales.
• Si nos pides la limitación del tratamiento de tus datos (art. 18 del RGPD), suspendemos la cuenta por ese motivo mientras se resuelve tu solicitud (hasta 180 días por decisión; si hace falta, la prorrogamos): los datos solo se conservan, y puedes seguir viéndolos y exportándolos. Los enlaces a tus listas compartidas siguen funcionando: te preguntaremos si debemos revocarlos, y también puedes revocarlos tú. Esa suspensión no es una medida por incumplir las normas: si eliminas la cuenta durante ella, no se produce ningún bloqueo de registro y puedes volver a registrarte con la misma dirección de correo. Antes de levantar la limitación del tratamiento, te lo comunicaremos.
• Para denunciar contenido ilícito en una lista compartida, usa el enlace «Denunciar contenido ilícito» de la página de la lista o escribe a privacy@cartdock.app. Indica el número de enlace (lo muestra la página de la lista), qué es ilícito y por qué, tu nombre y tu dirección de correo, y confirma que la información es exacta y completa. Confirmaremos la recepción y te comunicaremos nuestra decisión.

13. Personas en Estados Unidos y Canadá

• Do Not Track. No rastreamos a las personas en otros sitios web ni servicios, por lo que la aplicación y el sitio web funcionan igual con o sin la señal «Do Not Track» del navegador. En la página de la lista compartida, Google Analytics solo funciona después de tu «Sí» (sección 3.10), y la aplicación envía estadísticas de uso a Google solo con tu consentimiento (sección 3.11); en ambos casos las funciones publicitarias están desactivadas. Aparte de esto, ningún tercero recopila a través de Cartdock datos sobre tu actividad.
• No vendemos datos personales ni los compartimos con fines publicitarios.
• Canadá. Nuestro servicio y sus encargados del tratamiento almacenan y tratan los datos fuera de Canadá, en la Unión Europea y en Estados Unidos (sección 4). Allí, los tribunales, las fuerzas del orden y otras autoridades de esos países pueden acceder a los datos conforme a sus leyes.
• Quebec. La persona responsable de la protección de los datos personales es el responsable del tratamiento, Siarhei Mishchanka; escribe a privacy@cartdock.app. Antes de enviar fuera de Quebec los datos de personas de Quebec, evaluamos el impacto de esa transferencia en la privacidad (artículo 17 de la Ley de Quebec sobre la protección de los datos personales en el sector privado).

14. Cambios en esta política

La versión vigente siempre se publica en esta dirección; su fecha de entrada en vigor se indica en la parte superior de la página.