Política de privacidad

Eduardo Arturo Sieber Artiles<br/>Heubnerweg 9, 14059 Berlin, Alemania<br/>Email: legal@tropixus.com

Por el tamaño actual del proyecto no estamos obligados a designar un Delegado de Protección de Datos (DPO) conforme al Art. 37 RGPD. Para cualquier asunto de privacidad escribe a la dirección indicada arriba.

Recogemos los siguientes datos según la actividad:

• Datos de registro / inicio de sesión: nombre, apellidos, email, contraseña (con hash, nunca en claro), país y código postal. Se almacenan en la base de datos del backend y en Keycloak (gestor de identidad). Base legal: Art. 6.1.b RGPD (ejecución del contrato).
• Datos de autenticación: token de sesión HttpOnly (cookie segura), códigos OTP temporales para el flujo de recuperación de contraseña. Base legal: Art. 6.1.b RGPD + Art. 6.1.f (seguridad de la cuenta).
• Control de abuso (rate limiting): para proteger los formularios de inicio de sesión, registro, envío de OTP y reseteo de contraseña frente a intentos automatizados o de fuerza bruta, contamos los intentos por IP (y, en su caso, por correo) durante ventanas cortas (5–60 minutos). Los contadores se borran al expirar la ventana. Base legal: Art. 6.1.f RGPD (interés legítimo en la seguridad de las cuentas).
• Favoritos y recordatorios: los negocios y eventos que guardas, y tu preferencia de notificaciones previas a un evento. Base legal: Art. 6.1.b RGPD.
• Reportes y mensajes de feedback: el texto que envías a través del botón "¿Algo mal?" o de los formularios de contacto / ayuda / para empresas, junto con tu email (si lo dejas) y la URL desde la que escribes. Base legal: Art. 6.1.f RGPD (interés legítimo en mejorar el servicio).
• Datos de navegación técnicos: URL visitada, tipo de navegador, idioma, ciudad elegida en el selector, fecha y hora. Base legal: Art. 6.1.f RGPD (interés legítimo en mantener la plataforma operativa y segura).
• Registro de consentimiento de cookies: versión del banner aceptada, fecha y categorías permitidas. Base legal: Art. 7.1 RGPD (carga de la prueba) + § 25 TTDSG.
• Cookies analíticas: identificadores anónimos servidos por Google Analytics 4 y Microsoft Clarity, sólo si das tu consentimiento expreso en el banner. Base legal: Art. 6.1.a RGPD + § 25.1 TTDSG. Actualmente no usamos cookies de marketing ni de publicidad, la categoría existe en el banner pero no carga ninguna cookie hoy; está reservada para futuras campañas y, si las activamos, sólo se cargarán con tu consentimiento.

• Operar y mantener la plataforma y la app móvil.
• Personalizar el contenido según tu ciudad e idioma.
• Responder a tus solicitudes y reportes a través del formulario de feedback.
• Cumplir con obligaciones legales (facturación, retención fiscal, respuestas a autoridades).
• Mejorar el producto mediante analítica agregada (sólo con tu consentimiento).

Compartimos datos únicamente con encargados del tratamiento que actúan bajo nuestras instrucciones (Art. 28 RGPD):

• Vercel Inc., alojamiento web, región Frankfurt (EU). Sirve la plataforma y mantiene logs de acceso técnicos.
• Keycloak, sistema de identidad (alojamiento propio en la UE). Almacena credenciales de cuenta, tokens y sesiones.
• Neon / PostgreSQL, base de datos del backend (UE). Guarda perfil, favoritos, recordatorios y reportes de feedback.
• Resend, entrega de emails transaccionales (OTP de recuperación de contraseña, confirmaciones). Infraestructura europea.
• DeepL SE, traducción automática del contenido editorial al alemán e inglés (UE). No procesa datos personales del usuario, sólo textos públicos del sitio.
• Anthropic, PBC, generación del contenido editorial de las páginas de ciudad (titulares H1, FAQ y descripciones SEO) mediante el modelo Claude (EE.UU.). No enviamos datos personales a Anthropic, sólo el nombre de la ciudad y plantillas de prompt definidas por nosotros. La transferencia se realiza bajo las Cláusulas Contractuales Tipo de la Comisión Europea (Art. 46 RGPD).
• Upstash, Inc., almacén Redis usado para el control de intentos abusivos contra los formularios de inicio de sesión, registro y recuperación de contraseña (rate limiting). Procesa, durante ventanas cortas (5–60 minutos), un identificador derivado de tu IP y, en su caso, el hash de tu correo, exclusivamente para contar los intentos. Servidores en la UE (Frankfurt). Base legal: Art. 6.1.f RGPD (interés legítimo en proteger las cuentas de los usuarios).
• OpenStreetMap / CartoDB, tiles del mapa en las vistas de listado y detalle (UE).
• Microsoft Clarity y Google Analytics 4, analítica web (EE.UU.). Sólo se activan si aceptas las cookies analíticas en el banner. La transferencia se realiza bajo el EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
• Umami Software, Inc. (EE.UU., servicio cloud.umami.is), analítica agregada sin cookies ni huella digital. No requiere consentimiento (§ 25.2 TTDSG). Transferencia bajo EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
• Sentry (Functional Software, Inc., EE.UU.), monitoreo de errores no controlados y trazas lentas. Recibe únicamente la traza del error y la URL (sin cuerpos, cabeceras ni cookies); las sesiones de reproducción (replay) sólo se activan con tu consentimiento analítico y enmascaran todo el texto y los formularios por defecto. Transferencia bajo EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
• Better Stack, Inc. (EE.UU.), centralización de logs del servidor y monitoreo de disponibilidad (uptime). Sólo recibe eventos del servidor sin PII en claro (los identificadores de usuario se pasan por un hash FNV-1a antes de salir de nuestra infraestructura). Transferencia bajo EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).

No vendemos datos personales ni los compartimos con anunciantes externos al servicio. Hoy no trabajamos con ningún proveedor de marketing o publicidad (p. ej. píxeles de retargeting); si lo hiciéramos en el futuro, lo añadiríamos aquí y sólo se activaría con tu consentimiento expreso.

• Datos de cuenta: mientras la cuenta esté activa, más 12 meses tras la baja para fines legales y de seguridad.
• OTPs y tokens de sesión: 15 minutos (OTP) y hasta 30 días (sesión).
• Favoritos y recordatorios: hasta que los borres tú o cierres la cuenta.
• Logs de servidor / acceso: 30 días.
• Reportes de feedback: 12 meses, luego anonimizados (se mantiene el contenido del reporte sin vincularlo a un usuario).
• Registros de consentimiento: 3 años (carga de la prueba, Art. 7.1 RGPD).

• Sesión almacenada en cookie HttpOnly + Secure (no accesible desde JavaScript) firmada en formato JWE.
• Cabeceras HTTP de seguridad: HSTS, CSP con nonce por solicitud, COOP / CORP, Permissions-Policy restrictiva.
• Contraseñas almacenadas con hash bcrypt en Keycloak, nunca en texto plano.
• Tráfico cifrado de extremo a extremo con TLS 1.3.
• Acceso a la base de datos restringido a la VPC del backend; sin acceso público a internet.

Tienes derecho a:

• Acceso (Art. 15): obtener una copia de tus datos.
• Rectificación (Art. 16): corregir datos inexactos.
• Supresión (Art. 17, "derecho al olvido"): eliminar tu cuenta y datos asociados.
• Portabilidad (Art. 20): recibir tus datos en formato legible por máquina.
• Oposición (Art. 21): oponerte al tratamiento basado en interés legítimo.
• Limitación (Art. 18): restringir el tratamiento mientras se resuelve una disputa.

Para ejercer cualquier derecho, escríbenos a legal@tropixus.com. Respondemos en un plazo máximo de 30 días. También puedes cambiar tus preferencias de cookies y descargar / borrar tus datos desde cuenta > privacidad.

Tienes derecho a presentar una reclamación ante la autoridad de control competente: Berliner Beauftragte für Datenschutz und Informationsfreiheit (Friedrichstr. 219, 10969 Berlin) o la autoridad del Land correspondiente a tu lugar de residencia.