Política de privacidad

1. Responsable del tratamiento

• Responsable: Sergi Linares Ortigas, persona física que opera bajo el nombre comercial FLAWLINE.
• NIF: 39435877P. Domicilio: Ronda de la Guineueta Vella, 50, 08042 Barcelona (España).
• Contacto para privacidad y ejercicio de derechos: privacy@flawline.io. Contacto general: info@flawline.io.
• No se ha designado delegado de protección de datos porque no es obligatorio para esta actividad.

2. Datos que tratamos

Según cómo uses FLAWLINE, tratamos:

• Cuenta: tu dirección de correo, un identificador interno, la fecha de alta y verificación, y la versión y fecha de los Términos que aceptaste.
• Acceso y seguridad: registros de los enlaces de acceso de un solo uso y de las sesiones, con huellas criptográficas (hash con clave) de tokens, direcciones IP y navegador; nunca guardamos tu IP en claro en la base de datos.
• Prueba gratuita: un identificador seudonimizado derivado de tu dirección de correo normalizada (HMAC-SHA-256 calculado con una clave secreta del servidor), para conceder las 2 validaciones gratuitas una sola vez por buzón. No es anónimo: con esa clave podría volver a calcularse a partir de tu correo, por lo que lo tratamos como dato personal seudonimizado sujeto al RGPD.
• Validaciones: las configuraciones que envías (estrategia, mercado, marco temporal y parámetros), su estado, los resultados, los informes HTML/JSON/PDF y los metadatos de datos y reproducibilidad.
• Créditos: movimientos del registro de créditos (concesión, reserva, consumo y devolución). No hay pagos ni datos bancarios.
• Interés comercial: si pides que te avisemos de futuros packs, del acceso API o de más validaciones, el tipo de aviso, sus fechas y el estado de tus créditos en ese momento y la versión del texto informativo mostrado; si lo pides sin cuenta, tu correo, la opción elegida, el idioma y la fecha de confirmación.
• Correo: el estado de entrega de los correos del servicio y su identificador en el proveedor de envío.
• Comunicaciones: los mensajes que nos envíes a direcciones @flawline.io.
• Registros técnicos: registros de acceso y de errores necesarios para operar y proteger el servicio, que pueden incluir la IP y el navegador.

3. Finalidades y bases jurídicas

• Crear y gestionar tu cuenta, darte acceso, ejecutar tus validaciones, generar tus informes, gestionar tus créditos y enviarte correos del servicio: ejecución del contrato (Términos de la beta), art. 6.1.b RGPD.
• Seguridad, prevención del fraude y del abuso de la prueba gratuita (incluido el identificador de la prueba gratuita), límites de uso, copias de seguridad, diagnóstico de errores y métricas internas agregadas sobre el uso de la beta: interés legítimo en proteger y mejorar el servicio, art. 6.1.f RGPD.
• Avisarte de la disponibilidad de packs, del acceso API o de más validaciones cuando lo pides: tu consentimiento, art. 6.1.a RGPD, que puedes retirar en cualquier momento sin afectar a la licitud del tratamiento previo.
• Atender tus solicitudes y ejercicios de derechos y cumplir obligaciones legales: art. 6.1.c RGPD.

4. Comunicaciones comerciales

No enviamos publicidad ni boletines. Los avisos de disponibilidad son solo los que tú solicitas, sobre la opción que eliges, y no son una condición para usar el servicio gratuito. Si en el futuro ofrecemos novedades comerciales, pediremos un consentimiento separado, no marcado por defecto y revocable.

5. Plazos de conservación

• Enlaces de acceso y solicitudes de cambio de correo: los enlaces caducan a los 15 minutos; sus registros se eliminan automáticamente 24 horas después de la solicitud.
• Sesiones: caducan tras 30 días de inactividad o 90 días desde el inicio de sesión y entonces se eliminan; las que cierras se eliminan 24 horas después.
• Cuenta, validaciones, informes y créditos: mientras mantengas la cuenta.
• Si eliminas la cuenta: borramos de inmediato tu correo (lo sustituimos por un marcador sin datos), tus sesiones, enlaces de acceso y avisos. Las configuraciones, resultados e informes de tus validaciones se eliminan automáticamente en las horas siguientes (la tarea se ejecuta cada hora; como máximo, 72 horas). Durante 12 meses conservamos un registro mínimo de la cuenta eliminada (identificador interno, fechas y versión de los Términos aceptados), de sus validaciones (fechas y estado) y de sus movimientos de créditos, sin correo ni contenido de las validaciones, para mantener la coherencia de los créditos y atender posibles incidencias; después se borra definitivamente.
• Identificador de la prueba gratuita: 12 meses desde que se concede la prueba, aunque elimines antes la cuenta, y después se elimina automáticamente. Al eliminar la cuenta se rompe de inmediato su vínculo con ella.
• Avisos sin cuenta: las solicitudes no confirmadas se eliminan a los 7 días; las confirmadas, cuando las retiras o, como máximo, 12 meses después de confirmarlas.
• Avisos con cuenta: hasta que los retires desde tu cuenta o elimines la cuenta. La constancia de cada solicitud y de su retirada (fecha, aviso y versión del texto mostrado) se guarda con los registros de auditoría.
• Registros de auditoría (con identificadores seudonimizados, sin correo ni IP en claro): 24 meses; después se eliminan automáticamente.
• Registros técnicos del servidor (accesos, errores, tareas internas e infraestructura; pueden incluir la IP, nunca contraseñas, tokens ni cookies): 30 días; después se eliminan automáticamente.
• Copias de seguridad: se hacen cada noche. Las del servidor se eliminan a los 30 días (siempre se mantiene la más reciente) y las externas, a los 90 días. Los datos que eliminas pueden seguir en copias anteriores hasta que estas caducan; solo se usan para recuperar el servicio tras un incidente y, si hubiera que restaurar una, volveríamos a aplicar las eliminaciones ya realizadas. Las copias puntuales que hacemos antes de cambios técnicos se eliminan a los 90 días.

6. Destinatarios y encargados del tratamiento

No vendemos ni cedemos tus datos. Solo acceden a ellos los proveedores que prestan servicios técnicos al responsable:

• OVH SAS (Francia), encargado del tratamiento: alojamiento del servidor, la base de datos, los informes y las copias de seguridad del servidor, en la Unión Europea.
• Cloudflare, Inc. (EE. UU.), encargado del tratamiento: DNS, red de distribución y protección (todo el tráfico web pasa por Cloudflare, que trata las IP y datos técnicos de las peticiones), almacenamiento de las copias de seguridad externas en R2 (ubicación en la UE, cifradas en reposo) y reenvío de los correos dirigidos a direcciones @flawline.io (Email Routing).
• Resend (Plus Five Five, Inc., EE. UU.), encargado del tratamiento: envío de los correos del servicio (enlaces de acceso, avisos y notificaciones). Los correos salen desde infraestructura en la Unión Europea (Irlanda), pero Resend almacena los datos de los envíos en Estados Unidos.
• Proveedor de correo electrónico del responsable: recibe y conserva en el buzón del responsable los mensajes que nos envías a direcciones @flawline.io.

7. Transferencias internacionales

OVH trata los datos en la Unión Europea. Cloudflare y Resend son empresas con sede en Estados Unidos: Resend almacena allí los datos de los envíos y ambas pueden acceder a datos desde fuera del Espacio Económico Europeo. Según su documentación pública, ambas están certificadas en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023), y sus acuerdos de tratamiento de datos incorporan además las cláusulas contractuales tipo aprobadas por la Comisión (Decisión 2021/914), que se aplican si esa certificación deja de estar vigente.

El proveedor de correo electrónico del responsable puede tratar fuera del EEE los mensajes que nos envías. Puedes pedir información sobre las garantías aplicables a cualquier transferencia escribiendo a privacy@flawline.io.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento:

• Eliminar tu cuenta: desde la página Cuenta, sin necesidad de escribirnos.
• Retirar avisos: desde la página Cuenta o con el enlace incluido en la confirmación y en cada aviso.
• Cualquier otro derecho: escribe a privacy@flawline.io desde la dirección de tu cuenta. Para evitar suplantaciones podemos pedirte que confirmes la solicitud desde un enlace enviado a esa dirección. Responderemos en el plazo de un mes, ampliable en los casos previstos por el RGPD.
• Si consideras que no hemos atendido tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Origen de los datos y decisiones automatizadas

Los datos los facilitas tú o se generan al usar el servicio. Los datos de mercado proceden de fuentes públicas y no contienen datos personales. FLAWLINE no adopta decisiones con efectos jurídicos sobre ti basadas únicamente en tratamiento automatizado: los veredictos se refieren a configuraciones de estrategias, no a personas.

10. Seguridad

Aplicamos medidas técnicas y organizativas razonables: cifrado en tránsito (HTTPS), enlaces de acceso de un solo uso sin contraseñas, cookies protegidas, huellas con clave en lugar de identificadores en claro, control de acceso por propietario, límites de uso y copias de seguridad diarias (las externas, cifradas en reposo). Ningún sistema es totalmente invulnerable; si se produjera una violación de seguridad que te afecte, actuaremos conforme al RGPD.

11. Menores y cambios en esta política

El servicio está dirigido a mayores de 18 años. Si cambiamos esta política, publicaremos la nueva versión con su fecha y, si el cambio es relevante, te lo comunicaremos.