<aside> 🚧
Borrador pendiente de revisión jurídica. Los datos resaltados en amarillo están pendientes: datos del titular, región de los servidores y plazos de conservación, que antes tienen que aplicarse en el sistema. Quita este aviso antes de publicar el texto.
</aside>
Última actualización: [FECHA DE PUBLICACIÓN]
Esta política explica cómo se tratan los datos personales en Acredita (acredita.app), conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
No hemos designado un delegado de protección de datos porque, por el tipo y el volumen de los tratamientos, no es obligatorio.
| Tratamiento | Datos | Finalidad | Base legal |
|---|---|---|---|
| Cuenta de usuario | Nombre, correo electrónico, contraseña (guardada cifrada), organizaciones y permisos | Darte acceso a la aplicación y prestar el Servicio | Ejecución del contrato (art. 6.1.b RGPD) |
| Colaboradores invitados | Correo electrónico de la persona invitada y rol asignado | Enviar la invitación y gestionar su acceso a la organización | Interés legítimo del cliente que invita y nuestro en prestar el Servicio (art. 6.1.f) |
| Contratación y facturación | Nombre, correo, datos fiscales (razón social, NIF/VAT, dirección), plan contratado, historial de pagos. Los datos de la tarjeta los recoge y guarda Stripe; nosotros no tenemos acceso a ellos | Cobrar los planes, emitir facturas y cumplir las obligaciones contables y fiscales | Ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c) |
| Comunicaciones del Servicio | Nombre y correo | Enviarte correos necesarios para el Servicio: recuperación de contraseña, invitaciones, aviso de fin de la prueba gratuita, cambios en las condiciones | Ejecución del contrato (art. 6.1.b) |
| Formulario y correo de contacto | Nombre, correo y lo que nos cuentes | Responder a tu consulta | Tu solicitud y medidas precontractuales o, en su caso, interés legítimo en atenderte (art. 6.1.b y 6.1.f) |
| Seguridad y registro de cambios | Registros técnicos, historial de cambios de los datos (quién cambió qué y cuándo), errores de la aplicación y medidas de su rendimiento (con Sentry: la página, el navegador, el dispositivo y la dirección IP de quien la usa) | Proteger el Servicio, detectar errores y abusos, y poder reconstruir los cambios | Interés legítimo (art. 6.1.f) |
| Analítica web | Datos de navegación en la página principal (páginas vistas, dispositivo, identificadores de cookies) | Medir el uso de la web y mejorarla | Consentimiento (art. 6.1.a), que puedes retirar en cualquier momento desde el panel de cookies |
| Estadísticas sin cookies | Página visitada, página de procedencia, navegador, sistema operativo, tamaño de pantalla y país. La dirección IP solo se usa para deducir el país y no se guarda | Contar las visitas de la página principal y de las páginas de acceso, registro y verificación de credenciales, con GoatCounter, sin cookies ni identificadores en tu navegador | Interés legítimo en conocer el uso de esas páginas (art. 6.1.f) |
No vendemos datos personales ni los usamos para enviar publicidad. Si en el futuro queremos enviarte comunicaciones comerciales, te pediremos permiso o te daremos la opción de oponerte en cada envío, como exige la LSSI.
No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni hacemos perfiles.
Cuando actuamos como encargado, tratamos por cuenta de la organización cliente los datos que ella decide incluir en las credenciales: normalmente el nombre, una fotografía, un identificador o número de documento, el cargo, fechas de alta o de caducidad y otros campos que la organización define. También guardamos las imágenes de las credenciales generadas, su estado (habilitada o inhabilitada) y el historial de cambios de estado.
Cada credencial incluye un código QR que abre una página pública de verificación. Esa página muestra el estado de la credencial, sus fechas y su imagen, y el nombre y el teléfono de contacto de la organización. No registramos quién escanea el código. Consulta la página Verificación de credenciales para más detalles.
Solo con proveedores que necesitamos para prestar el Servicio, que actúan como encargados (o subencargados) con un contrato que les obliga a proteger los datos:
| Proveedor | Servicio | Ubicación y garantías |
|---|---|---|
| Railway Corporation | Servidores de la API y base de datos | EE. UU. (empresa); servidores en [REGIÓN]. Cláusulas contractuales tipo de la Comisión Europea |
| Cloudflare, Inc. | Almacenamiento de ficheros (imágenes de credenciales y fotografías) y entrega de recursos web | EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Vercel Inc. | Alojamiento de la aplicación web | EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Resend (Plus Five Five, Inc.) | Envío de correos electrónicos | EE. UU.; cláusulas contractuales tipo |
| Functional Software, Inc. (Sentry) | Detección de errores y medición del rendimiento de la aplicación | EE. UU. (empresa); datos alojados en la UE (Alemania). Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Stripe Payments Europe, Ltd. | Pagos y facturación | Irlanda (UE). Stripe también trata algunos datos como responsable, para prevenir el fraude y cumplir sus obligaciones; consulta su política de privacidad |
| Google Ireland Ltd. | Google Tag Manager y Google Analytics en la página principal, solo con tu consentimiento | Irlanda (UE), con posibles transferencias a EE. UU. bajo el Marco de Privacidad de Datos UE-EE. UU. |
| GoatCounter | Estadísticas de visitas sin cookies de la página principal y de las páginas de acceso, registro y verificación | [UBICACIÓN Y GARANTÍAS] |
| Notion Labs, Inc. | Publicación de los textos legales y de la guía de uso | EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |