Política de privacidad

Quiénes somos

Cabriola es un servicio de Marc Llort Maulion, trabajador autónomo, NIF 23842063X, con dirección de contacto en Carrer de Nàpols, 261, Barcelona, España. Es el responsable del tratamiento de los datos de la cuenta y del funcionamiento del servicio. Contacto para privacidad y ejercicio de derechos: [email protected].

Qué datos tratamos

• Cuenta: correo electrónico, nombre e idioma, y el proveedor con el que entras (correo, Google o Apple).
• Contenido: los textos, imágenes y formularios de tus proyectos.
• Respuestas de invitados: los datos que tus invitados envían a tus formularios (nombre, asistencia, menú, alergias o lo que tú pidas).
• Uso básico: recuentos de visitas y comparticiones de cada página, y registros técnicos de seguridad (como la dirección IP) durante un tiempo limitado.
• Pagos: los gestiona el proveedor de pagos; nosotros guardamos el estado del pedido, no los datos de la tarjeta.

Acceso con Google y Apple

Si eliges Google, solicitamos únicamente openid, email y profile. Recibimos y utilizamos el identificador del proveedor, el nombre disponible y el correo verificado para crear la cuenta, autenticarte y vincular el acceso al mismo usuario, proyectos y plan. No accedemos a Gmail, Drive, contactos ni calendarios; no guardamos contraseñas de Google o Apple ni solicitamos acceso continuo a otras API de Google. Apple puede facilitar una dirección privada en lugar del correo real; la tratamos de la misma forma para iniciar sesión y enviar mensajes del servicio. Estos datos no se venden ni se utilizan para publicidad o para entrenar modelos de IA. Se guardan con la cuenta en el servidor y no se envían a proveedores de IA. Puedes revocar la autorización en los ajustes de Google o Apple; revocarla no borra automáticamente la cuenta de Cabriola. Puedes pedir su eliminación a [email protected] o hacerlo desde la cuenta.

Tu papel y el nuestro

Para los datos de tu cuenta somos responsables del tratamiento. Para las respuestas de los invitados, tú eres el responsable y nosotros somos encargados del tratamiento: las tratamos solo para prestarte el servicio y según tus instrucciones. Eres responsable de informar a tus invitados y de pedirles lo necesario, en especial si recoges datos sensibles como alergias o dietas que pueden revelar creencias o salud.

Por qué y con qué base

• Prestar el servicio que has contratado (ejecución del contrato).
• Seguridad y prevención de abusos (interés legítimo).
• Cumplir obligaciones fiscales y contables (obligación legal).
• No usamos analítica de terceros ni publicidad, y no vendemos datos. Los datos de uso opcionales y la newsletter requieren permisos separados.

Con quién las compartimos

El servicio y la base de datos se alojan en un servidor administrado por el responsable. Cloudflare, Inc. proporciona DNS, protección y distribución del tráfico y envío de correo: puede tratar datos de conexión, como la IP, y el destinatario y contenido de los mensajes necesarios para el servicio. Google y Apple intervienen solo si eliges su inicio de sesión; Apple también gestiona el reenvío del correo privado. Polar Software, Inc. gestiona el portal y, cuando estén habilitadas las compras, el cobro como vendedor oficial bajo su propia política. Las tipografías se alojan en nuestro servidor; no cargamos Google Fonts. Si publicas imágenes externas, el navegador de los visitantes contactará con el servidor de esas imágenes.

Proveedores y transferencias internacionales

Cloudflare, Google, Apple y Polar pueden tratar datos fuera del Espacio Económico Europeo. Cloudflare publica sus condiciones de tratamiento y garantías de transferencia, incluidas las cláusulas contractuales tipo, en https://www.cloudflare.com/cloudflare-customer-dpa/. Las políticas de los servicios independientes son https://policies.google.com/privacy, https://www.apple.com/legal/privacy/ y https://polar.sh/legal/privacy-policy. Puedes pedir a [email protected] información sobre los destinatarios y las garantías aplicables a tu tratamiento. No afirmamos que todos los datos se traten exclusivamente dentro de la UE.

Asistencia y generación automática

El asistente y la generación con IA están desactivados en el servicio actual. No enviamos el contenido de los proyectos a un proveedor de IA. Si habilitamos estas funciones, informaremos previamente del proveedor, los datos enviados y las condiciones del tratamiento.

Cuánto tiempo las guardamos

Los datos de la cuenta, las identidades de acceso y los proyectos se conservan mientras exista la cuenta o el espacio compartido correspondiente, hasta que los borres. Las sesiones tienen una duración máxima de 30 días y caducan tras 14 días de inactividad; los enlaces de acceso caducan a los 15 minutos. Los eventos de uso opcionales se borran a los 90 días, los comentarios voluntarios a los 365 días y la auditoría de acceso del equipo a los 400 días. La limpieza automática se ejecuta cada hora. Las copias de seguridad se renuevan cada seis horas y rotan con una ventana ordinaria de 14 días; los datos borrados desaparecen de las copias cuando estas se renuevan. Las referencias de pedidos necesarias para contabilidad, reclamaciones y obligaciones legales se conservan durante los plazos legales de prescripción aplicables; al borrar la cuenta eliminamos su correo y la vinculación directa con el usuario, pero una referencia de pago no equivale por sí sola a una anonimización irreversible.

Borrar y exportar

Puedes exportar tus datos y borrar la cuenta desde los ajustes. Se eliminan la cuenta, los accesos vinculados y los espacios donde eres el único miembro, con sus proyectos, respuestas y archivos asociados. En un espacio compartido se retira tu participación; el contenido que otros miembros siguen gestionando no se borra automáticamente. Puedes borrar respuestas concretas. Las excepciones de conservación y las copias de seguridad se describen más arriba.

Tus derechos

Puedes pedir acceso, rectificación, supresión, limitación, oposición y portabilidad escribiendo a [email protected]. Puedes retirar el consentimiento para datos de uso o newsletter desde la cuenta, sin afectar al tratamiento anterior. Solo pediremos la información necesaria para verificar tu identidad. Puedes presentar una reclamación ante la Agencia Española de Protección de Datos: https://www.aepd.es/. No tomamos decisiones automatizadas con efectos jurídicos o similares sobre ti.

Seguridad

Usamos conexiones cifradas y limitamos el acceso a los datos. Ningún sistema es infalible; si hay un incidente que te afecte, te lo comunicaremos como exige la ley.

Cambios

Si cambiamos esta política, lo indicaremos aquí con la fecha.

Datos de uso, newsletter y comentarios

Con permiso contamos páginas, plantillas y acciones (crear, publicar o iniciar un pago), idioma y canal de llegada general. Las acciones con sesión se vinculan a la cuenta; las visitas anónimas no tienen identificador de visitante. No guardamos IP, URL completa, contenido de la invitación ni datos de invitados en la analítica. Borramos los eventos a los 90 días. Al desactivarla en la cuenta, también borramos su historial de uso.

La newsletter es opcional, independiente de la analítica y en el idioma de la cuenta. Puedes retirar el permiso desde tu cuenta. Guardamos fecha, origen, idioma y versión del texto del consentimiento mientras exista la cuenta. Los comentarios voluntarios son visibles para el equipo y se borran al año. La exportación y la eliminación de la cuenta incluyen estos datos.