Política de privacidad

Responsable

El responsable del tratamiento de tus datos personales es:

• Responsable: Sellado
• Correo electrónico: [email protected]

Esta política explica, conforme al artículo 13 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), qué datos tratamos, para qué y con qué base.

Qué datos tratamos y para qué

• Cuenta: tu correo electrónico y, si entras con Google, el nombre y la imagen de tu cuenta de Google. Los usamos para darte acceso. Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Respuestas del perfil: los datos que nos das para ordenar tus pasos y rellenar los formularios (por ejemplo, nacionalidad, situación, datos del pasaporte o dirección). Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Cifrado: el número de pasaporte, la fecha de nacimiento completa y la dirección completa se guardan cifrados (AES-GCM) con una clave que solo tiene el servidor.
• Expedientes y progreso: los trámites que abres y los pasos que marcas como hechos. Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Expediente sin cuenta: si usas el servicio sin iniciar sesión, tus respuestas a las preguntas sobre tu situación, tu progreso en los pasos y la versión de las «Condiciones de uso» que aceptaste, ligados a un identificador aleatorio que se guarda en una cookie (ver «Expediente sin cuenta» más abajo). Base jurídica: ejecución del contrato de uso gratuito del servicio, recogido en las «Condiciones de uso» (/es/legal/condiciones-de-uso) (art. 6.1.b RGPD).
• Compras: el pack comprado, el importe, la fecha, los identificadores de pago de Stripe, la versión de estos textos que aceptaste y la factura numerada, con el IVA desglosado, que Stripe emite y te envía por correo con tu nombre, correo y país de facturación. Nunca vemos ni guardamos los datos de tu tarjeta: solo los trata Stripe. Base jurídica: ejecución del contrato y cumplimiento de obligaciones legales contables y fiscales (art. 6.1.b y 6.1.c RGPD).
• Solicitudes de desistimiento: si desistes desde tu cuenta, la compra a la que se refiere, la fecha y la hora, el motivo si decides indicarlo, el resultado (reembolsada o pendiente) y el identificador del reembolso de Stripe. Si desistes por correo electrónico, lo registramos igual, con el canal (correo), la compra y la fecha y la hora en que lo recibimos. Las usamos para tramitar tu desistimiento, enviarte el acuse de recibo y devolverte el pago. El responsable recibe un correo con la compra y el resultado, nunca con el motivo ni con tu correo. Base jurídica: cumplimiento de una obligación legal (art. 6.1.c RGPD, artículos 102 a 108 del Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios).
• Avisos de error: el mensaje que escribes y, si quieres respuesta, tu correo (si has iniciado sesión, el de tu cuenta). Los usamos solo para corregir el contenido y, si procede, para contarte lo que hicimos (ver «Avisos de error» más abajo). Base jurídica: interés legítimo en mantener la información exacta (art. 6.1.f RGPD). Para limitar abusos, usamos tu dirección IP de forma transitoria, solo en memoria, y no la guardamos con el aviso (como en cualquier visita, el registro de accesos de nuestro servidor y los registros de peticiones de Cloudflare sí la recogen; ver «Registros técnicos» y «Encargados del tratamiento»).
• «Guardar mi hoja de ruta» (ya no se ofrece): si nos pediste que te enviáramos la hoja de ruta por correo antes de que retiráramos esa opción, guardamos tu correo, la fecha de tu consentimiento y la versión de estos textos que aceptaste. Ya no recogemos datos nuevos por esta vía. Base jurídica: tu consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento.
• Registros técnicos: lo mínimo para que el servicio funcione, protegerlo frente a abusos y detectar fallos. El registro de accesos de nuestro servidor anota, por cada petición, tu dirección IP, la fecha y la hora, la página pedida (sin los parámetros de la dirección), el resultado y el tamaño y la duración de la respuesta; no anota tu navegador, la página de la que vienes ni nada de lo que envías. Los registros propios de la aplicación nunca contienen tus respuestas del perfil, tu correo, tu dirección IP, el texto de tus avisos ni el motivo de un desistimiento. Base jurídica: interés legítimo en mantener el servicio seguro y en funcionamiento (art. 6.1.f RGPD).

¿Tienes que darnos tus datos?

Tu correo electrónico es un requisito contractual para crear una cuenta y comprar un pack: sin él no podemos darte acceso ni prestarte el servicio. Las respuestas del perfil son necesarias para ordenar tus pasos y rellenar los formularios; si no las das, puedes seguir usando las guías gratuitas, pero no las herramientas del pack. Dejar tu correo en un aviso de error es voluntario y no tiene consecuencias si no lo haces.

Expediente sin cuenta

Puedes ver tu hoja de ruta y llevar tu progreso sin crear una cuenta. En ese caso guardamos un expediente sin cuenta: tus respuestas a las preguntas sobre tu situación (por ejemplo, nacionalidad, situación o si ya tienes un documento) y los pasos que marcas como hechos, junto con la versión de las «Condiciones de uso» que aceptaste al empezar. No contiene tu nombre, tu correo, los datos de tu pasaporte ni tu dirección. Tu navegador lo reconoce por la cookie tramites.file, que solo guarda un identificador aleatorio firmado, dura 12 meses y se renueva cada vez que usas el expediente.

Si inicias sesión desde este mismo navegador (el que empezó el inicio de sesión, también con «Guardar mi expediente»), o creas una cuenta al comprar un pack, el expediente se une a tu cuenta. Si abres un enlace de acceso que no pediste desde este navegador, o uno pedido para otra dirección, el expediente no se une a esa cuenta y sigue siendo un expediente sin cuenta. Una vez unido, se conserva como los expedientes de la cuenta. Si no usas un expediente sin cuenta durante 12 meses, lo borramos junto con su progreso.

Avisos de error

Cuando envías un aviso de error, el responsable recibe un correo que solo dice que ha llegado un aviso, de qué trámite y de qué paso, sin el texto que escribiste: el texto se queda en nuestra base de datos y solo lo lee el responsable desde un panel privado. Cuando el aviso se cierra (corregido o descartado) y nos dejaste una dirección de respuesta, el responsable puede escribirte para contarte el resultado, una sola vez por cada resultado. No usamos esa dirección para nada más.

No tomamos decisiones automatizadas con efectos jurídicos sobre ti ni elaboramos perfiles comerciales. No vendemos tus datos ni los usamos para publicidad.

Encargados del tratamiento

Para prestar el servicio usamos estos proveedores, con contratos de encargo del tratamiento:

• netcup GmbH (Alemania): alojamiento de la aplicación en un servidor privado virtual que gestionamos nosotros, en un centro de datos de netcup en Alemania. Por él pasan todas las peticiones al sitio y en él se guarda el registro de accesos (ver «Registros técnicos»); tus datos de cuenta, perfil y expedientes no se guardan en él, sino en la base de datos. Sin transferencia fuera de la Unión Europea.
• Neon: base de datos Postgres, alojada en Fráncfort (Alemania, Unión Europea). El contrato de encargo se firma con Databricks, Inc. (EE. UU.), sociedad matriz de Neon, LLC. Neon usa además subencargados en EE. UU. (por ejemplo, Grafana Labs, para servicios de infraestructura). Transferencia a EE. UU.: Databricks, Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU., y su certificación cubre a Neon, LLC; su contrato de encargo prevé además cláusulas contractuales tipo para las transferencias que no cubra una decisión de adecuación.
• Cloudflare: red de distribución y protección situada delante de nuestro servidor (DNS, entrega de las páginas y defensa frente a ataques). La conexión cifrada (HTTPS) de tu navegador termina en el servidor de Cloudflare más cercano a ti, que puede estar fuera de la Unión Europea, y desde allí viaja de nuevo cifrada hasta nuestro servidor. Por eso Cloudflare trata, de forma transitoria y solo para entregarlas, el contenido de las peticiones (también lo que escribes en los formularios), y guarda durante un tiempo limitado datos técnicos de la conexión, como tu dirección IP, por seguridad y para el funcionamiento de su red. Puede guardar en caché las páginas públicas, que no contienen datos tuyos. Transferencia a EE. UU. y a otros países: Cloudflare, Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU.; su contrato de encargo incluye además cláusulas contractuales tipo.
• Resend: envío de los correos de inicio de sesión (también los de «Guardar mi expediente»), de la respuesta a un aviso de error y del acuse de recibo de un desistimiento; recibe tu dirección de correo y el contenido de ese correo (el enlace de acceso, el resultado del aviso o el acuse con la compra y el motivo que indicaste o, si desististe por correo, el contenido de tu declaración; nunca tus respuestas del perfil). Transferencia a EE. UU.: Resend (Plus Five Five, Inc.) está adherida al Marco de Privacidad de Datos UE-EE. UU.; su contrato de encargo incluye además cláusulas contractuales tipo.
• Stripe: pagos, a través de Stripe Payments Europe, Ltd. (Irlanda). Stripe también actúa como responsable independiente para la prevención del fraude y sus propias obligaciones legales. Transferencia a Stripe, Inc. (EE. UU.): Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
• Google: solo si entras con Google, a través de Google Ireland Ltd. Transferencia a Google LLC (EE. UU.): Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Dónde están tus datos y transferencias internacionales

Tus datos se guardan en la Unión Europea: la aplicación funciona en Alemania (netcup) y la base de datos está en Fráncfort (Neon). Hay transferencias fuera del Espacio Económico Europeo en estos casos: el paso de tus peticiones por la red de Cloudflare (y sus registros), el acceso desde EE. UU. de Neon, de su matriz Databricks y de sus subencargados (por ejemplo, Grafana Labs), el envío de correos por Resend, los pagos con Stripe y, si lo eliges, el inicio de sesión con Google. Cada una se ampara en la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD), cuando la empresa está adherida, y en las cláusulas contractuales tipo de la Comisión (art. 46.2.c RGPD), como se indica arriba para cada proveedor.

Puedes pedirnos una copia de las cláusulas contractuales tipo que se aplican, o saber dónde consultarlas, escribiendo a [email protected]. La lista de entidades adheridas al Marco de Privacidad de Datos se publica en www.dataprivacyframework.gov ↗ (se abre en una pestaña nueva).

Plazos de conservación

• Cuenta, perfil y expedientes: hasta que borres tu cuenta. El borrado es inmediato.
• Expediente sin cuenta: lo borramos tras 12 meses sin uso. Cada uso reinicia el plazo. Una vez unido a una cuenta, se conserva como los expedientes de la cuenta.
• Compras y facturas: seis años desde la compra (art. 30 del Código de Comercio), por nuestras obligaciones contables y fiscales, incluido el IVA. Si borras tu cuenta, conservamos el registro de la compra sin ningún vínculo con ella, y Stripe conserva los recibos y facturas que emitió.
• Solicitudes de desistimiento: seis años, como las compras, también las recibidas por correo. Si borras tu cuenta, las conservamos sin ningún vínculo con ella y solo borramos el motivo que escribiste. Pasados los seis años, las borramos. El reembolso queda registrado además en Stripe.
• Avisos de error: los borramos 24 meses después de cerrar el aviso (corregido o descartado), y antes si borras tu cuenta. Si nos dejaste un correo de respuesta, lo borramos 180 días después de cerrar el aviso.
• «Guardar mi hoja de ruta» (ya no se ofrece): los correos que ya guardamos, hasta que te registras con ese mismo correo o retiras tu consentimiento, y como máximo 12 meses desde que lo pediste.
• Sesiones y enlaces de acceso: las sesiones caducan a los 30 días y los enlaces de acceso a las 24 horas; cada día borramos los que han caducado.
• Registro de accesos del servidor: 14 días; después se borra automáticamente.

Qué se conserva al borrar tu cuenta

Al borrar tu cuenta borramos en el acto tu perfil, tus expedientes y su progreso, tus accesos a packs, el motivo de tus solicitudes de desistimiento, tus avisos de error, tus sesiones y cualquier hoja de ruta guardada con tu correo, y quitamos tu correo de los avisos que enviaste sin iniciar sesión. Solo se conservan, durante seis años y sin vínculo con la cuenta, el registro de tus compras y de tus solicitudes de desistimiento (sin el motivo), además de los recibos y facturas que Stripe emitió, porque la ley nos obliga a guardarlos o los necesitamos para acreditar que atendimos tu desistimiento.

Tus derechos

Desde la página de tu cuenta (/es/cuenta) puedes, en cualquier momento y sin coste:

• Descargar tus datos en un archivo JSON con todo lo que guardamos de ti (acceso y portabilidad). Los avisos de error enviados sin iniciar sesión con tu correo aparecen sin su texto: cualquiera puede escribir una dirección, así que ese texto puede no ser tuyo.
• Borrar tu cuenta para siempre, escribiendo tu correo para confirmarlo (supresión).

Para los demás derechos (rectificación, limitación del tratamiento y oposición) y para retirar tu consentimiento, escribe a [email protected]. Te responderemos en el plazo de un mes. Si lo necesitamos para comprobar tu identidad, te pediremos que escribas desde el correo de tu cuenta.

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es ↗ (se abre en una pestaña nueva)).

Cookies

Solo usamos cookies estrictamente necesarias, entre ellas tramites.file, que mantiene tu expediente sin cuenta en este dispositivo, y tramites.signin, que dura 1 hora y comprueba que el inicio de sesión empezó en este navegador, para que tu expediente solo se una a la cuenta con la que inicias sesión desde este mismo navegador. No guarda tu correo. Tienes el detalle en la política de cookies.

Cambios

Si cambiamos esta política, actualizaremos la fecha que aparece al principio de esta página. Si el cambio es importante, te avisaremos por correo electrónico.