Política de privacidad

1. Introducción

Bienvenido/a a Couple’s Weekly Check-in (weeklycheckin.app). La protección de sus datos personales es una prioridad para nosotros. Esta política de privacidad le informa sobre qué datos recopilamos, cómo los utilizamos y qué derechos le asisten conforme al Reglamento General de Protección de Datos (RGPD).

El responsable del tratamiento en el sentido del RGPD es:

Jakob Maximilian Pelz
Olenhoffweg 1a
21614 Buxtehude
Alemania
Correo electrónico: weeklycheckinapp@gmail.com

1A. Compromisos de privacidad y seguridad

• Cifrado en reposo: las respuestas de check-in, los resúmenes serenos, los acuerdos semanales, los rechazos y las memorias compartidas se cifran con AES-256-GCM antes de escribirse en la base de datos.
• Retención configurable: en Ajustes podéis activar el borrado automático y elegir un período entre 14 y 730 días (dos años). Una tarea diaria elimina entonces de forma permanente los check-ins más antiguos. Desactivado por defecto; activarlo o cambiar el valor requiere el acuerdo de ambos miembros de la pareja.
• Portabilidad de datos (art. 20 RGPD): Ajustes → «Descargar mis datos» exporta en cualquier momento y de forma gratuita vuestro historial completo como fichero JSON descifrado.
• Sin rastreadores de comportamiento ni cookies publicitarias: no usamos Google Analytics, PostHog, Sentry ni ningún otro rastreador de comportamiento del lado del cliente, y no instalamos cookies publicitarias en tu dispositivo. Para medir la eficacia de nuestras propias campañas de Google Ads enviamos señales de conversión únicamente de servidor a servidor, sin cookies (véase la sección 4.4).
• Un conjunto pequeño y con nombre de subencargados: nuestra aplicación se aloja en Railway; OpenAI genera los resúmenes semanales; Resend envía el correo transaccional. Detalles en la sección 4.
• Para los detalles técnicos completos, consultad nuestro resumen de seguridad.

2. Datos recopilados

Recopilamos y procesamos las siguientes categorías de datos personales:

2.1 Datos de la cuenta

• Nombre
• Dirección de correo electrónico
• Contraseña (almacenada con cifrado bcrypt) — opcional. Las personas que se unen mediante un enlace de invitación de pareja pueden crear su cuenta sin establecer una contraseña inicialmente; pueden establecer una más tarde desde los ajustes de su cuenta.
• Estado de verificación del correo electrónico
• Estado y marca de tiempo del consentimiento de comunicaciones comerciales
• Fecha de creación de la cuenta
• Ajustes de autenticación de dos factores, incluyendo cuando proceda un secreto TOTP de aplicación de autenticación almacenado cifrado, tokens de desafío de inicio de sesión de corta duración almacenados en forma de hash y —si ha activado la casilla «Confiar en este dispositivo» durante la verificación en dos pasos— tokens de dispositivo de confianza almacenados en forma de hash, válidos durante 30 días y revocables en cualquier momento desde los ajustes de su cuenta

2.2 Datos de check-in

• Respuestas semanales (valoraciones, puntos de fricción, necesidades)
• Entradas de “Riesgo a vigilar” (privadas, nunca se comparten con la pareja)

2.3 Datos de pareja

• Nombre del espacio de pareja
• Invitaciones de pareja
• Recuerdos compartidos

2.4 Datos generados por IA

• Resúmenes semanales
• Acuerdos sugeridos

2.5 Datos técnicos

• Cookies de sesión (NextAuth.js)
• Preferencia de idioma

2.6 Datos de atribución publicitaria

Si llega a nuestro sitio a través de un anuncio o de un enlace etiquetado y otorga su consentimiento en el banner mostrado durante su primera visita, recopilamos los siguientes parámetros de la URL y los almacenamos junto a su cuenta para poder medir la eficacia de nuestra propia publicidad. La base legal es su consentimiento conforme al art. 6, apdo. 1, letra a) del RGPD, que puede retirar en cualquier momento (véase la sección 4.4).

• Identificadores de clic de Google Ads (gclid, gbraid, wbraid)
• Parámetros UTM (utm_source, utm_medium, utm_campaign, utm_content, utm_term)
• Primera ruta de aterrizaje consultada
• Marcas de tiempo de la captura y de los eventos reportados a Google

3. Uso de los datos

Utilizamos sus datos para los siguientes fines:

• Prestación y funcionamiento del servicio Couple’s Weekly Check-in
• Autenticación y gestión de cuentas
• Realización de check-ins semanales entre las parejas
• Creación de resúmenes generados por IA a partir de sus respuestas de check-in
• Envío de notificaciones por correo electrónico (verificación, recordatorios de check-in, invitaciones de pareja, recordatorios de seguimiento de invitación para quien invita y quien recibe la invitación con una cadencia de 1, 3 y 7 días y luego semanalmente hasta el día 35, recordatorios de configuración del espacio, restablecimiento de contraseña)
• Envío de comunicaciones comerciales (actualizaciones del producto, consejos, correos promocionales) – únicamente con su consentimiento explícito (Art. 6, apdo. 1, letra a, del RGPD). Puede revocar este consentimiento en cualquier momento.
• Medición de la eficacia de nuestras propias campañas de Google Ads (véase la sección 4.4)
• Mejora y desarrollo continuo del servicio
• Cumplimiento de obligaciones legales

4. Servicios de terceros

Utilizamos los siguientes servicios de terceros para prestar nuestro servicio:

4.1 OpenAI

Las respuestas de check-in (valoraciones, puntos de fricción, necesidades) se transmiten a OpenAI para generar los resúmenes de IA. Las entradas privadas de “Riesgo a vigilar” no se envían a OpenAI.

4.2 Resend

Utilizamos Resend para el envío de correos electrónicos transaccionales (verificación de correo, códigos de inicio de sesión para la autenticación de dos factores, recordatorios de check-in, invitaciones de pareja, recordatorios de seguimiento de invitación enviados a quien invita y a quien recibe la invitación con una cadencia de 1, 3 y 7 días y luego semanalmente hasta el día 35, recordatorios de configuración del espacio durante la incorporación, restablecimiento de contraseña) y, si ha dado su consentimiento, comunicaciones comerciales. Los botones para compartir el enlace de invitación por WhatsApp, SMS o correo abren únicamente su propio cliente en su dispositivo; no transmitimos contenido ni datos del destinatario al servidor a estos servicios.

4.3 Railway

Nuestra aplicación y la base de datos PostgreSQL están alojadas en Railway (Railway Corp., EE. UU.). Cuando activemos las suscripciones de pago, incorporaremos además un proveedor de pagos y lo nombraremos aquí.

4.4 Google Ireland Limited (Google Ads)

Si llega a nuestro sitio a través de un anuncio de Google, su navegador añade un identificador de clic (gclid, gbraid o wbraid) a la URL de destino. Solo leemos o almacenamos dicho identificador después de que usted haya otorgado su consentimiento en el banner mostrado durante su primera visita. Si ha consentido, cuando verifica su dirección de correo electrónico y cuando crea un espacio de check-in, transmitimos — de servidor a servidor — ese identificador o, como alternativa, un hash SHA-256 de su correo electrónico verificado en el marco del programa “Enhanced Conversions for Leads” a Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda), para que Google pueda atribuir su registro al anuncio de origen.

No se instalan cookies con esta finalidad ni se ejecuta ningún tag publicitario del lado del cliente; la transferencia se realiza exclusivamente mediante una interfaz servidor a servidor. Google puede mover los datos recibidos dentro de su propia infraestructura, incluyendo a terceros países como EE. UU.; consulte las condiciones de tratamiento de datos de Google para más detalles. La base legal es su consentimiento conforme al art. 6, apdo. 1, letra a) del RGPD.

Puede retirar su consentimiento en cualquier momento en virtud del art. 7, apdo. 3 del RGPD — sin que ello afecte a la licitud del tratamiento efectuado hasta el momento del retiro — abriendo de nuevo el banner mediante el enlace “Preferencias de privacidad” del pie de página y eligiendo “Rechazar”, o enviando un correo a weeklycheckinapp@gmail.com. En ambos casos eliminaremos el identificador asociado a su cuenta para que no se reporten más eventos de conversión a Google. Su derecho a oponerse con arreglo al art. 21 del RGPD sobre los tratamientos que estaban basados en el interés legítimo antes de la entrada en vigor del modelo de consentimiento permanece inalterado.

5. Intercambio de datos dentro de la pareja

Visible para la pareja

• Valoraciones, puntos de fricción y necesidades
• Resúmenes de IA
• Acuerdos
• Recuerdos compartidos

Nunca compartido

• Entradas de “Riesgo a vigilar” (solo visibles para el autor)
• Contraseña
• Información de sesión

6. Cookies y seguimiento

6.1 Cookies técnicamente necesarias

Estas cookies son necesarias para el funcionamiento del servicio y se instalan sin tu consentimiento de conformidad con el artículo 22.2 de la LSSI:

• Cookie de autenticación (NextAuth.js) – necesaria para el inicio de sesión y la gestión de sesiones
• Cookie de preferencia de idioma (next-intl) – necesaria para almacenar su idioma preferido
• Cookie de dispositivo de confianza (tf_trust) – se establece únicamente si marca la casilla «Confiar en este dispositivo durante 30 días» durante la verificación en dos pasos; le permite omitir el código por correo electrónico en este navegador durante 30 días. El valor de la cookie se almacena en forma de hash en el servidor y se puede revocar en cualquier momento desde los ajustes de su cuenta. Base jurídica: su consentimiento de conformidad con el artículo 6, apartado 1, letra a, del RGPD, prestado mediante la casilla en el momento del inicio de sesión.

6.2 Seguimiento de marketing y analíticas

No instalamos cookies de marketing, publicidad ni analíticas y no ejecutamos ningún código de seguimiento del lado del cliente. Para nuestra medición publicitaria del lado del servidor (véase la sección 4.4) mostramos un banner de consentimiento durante tu primera visita; tu elección (aceptar o rechazar) se guarda en el localStorage de tu navegador con la clave “wci-cookie-consent-v1” — se trata de un registro técnico de tu propia preferencia, no de una señal de seguimiento, y no se comparte con terceros en ningún caso.

Si aceptas en el banner, además guardamos los parámetros de atribución de primer contacto procedentes de la URL por la que has llegado (el identificador de clic de Google Ads — gclid, gbraid o wbraid — y, si están presentes, los parámetros de marketing UTM) en el localStorage de tu navegador con la clave “wci-attr-v1” durante un máximo de 90 días. Es un registro técnico de primera parte conservado únicamente para poder atribuir un registro posterior a tu clic publicitario de origen; no se comparte con terceros ni se envía a ningún otro lugar, salvo como parte de la señal de conversión de servidor a servidor descrita en la sección 4.4 (y solo si mantienes el consentimiento en ese momento). Se borra automáticamente cuando haces clic en Rechazar en el banner de consentimiento o mediante el enlace “Preferencias de privacidad” del pie de página.

Para medir la eficacia de nuestra propia publicidad, y solo si has otorgado tu consentimiento mediante el banner, tras una verificación de correo electrónico o la creación de un espacio de pareja enviamos una señal de conversión de servidor a servidor a Google Ireland Limited (véase la sección 4.4). Esto se realiza sin cookies e independientemente de tu navegador. La base legal es tu consentimiento conforme al art. 6, apdo. 1, letra a) del RGPD; puedes retirarlo en cualquier momento mediante el enlace “Preferencias de privacidad” del pie de página.

7. Almacenamiento de datos

Sus datos se conservan mientras su cuenta esté activa. Al eliminar la cuenta, todos los datos personales se eliminan de forma permanente e irreversible, con excepción de los datos seudonimizados descritos a continuación.

La eliminación de check-ins individuales así como del espacio de pareja requiere el consentimiento de ambos miembros, ya que los resultados y acuerdos se pierden de forma irreversible.

De acuerdo con el principio de minimización de datos (art. 5, apdo. 1, letra c del RGPD), eliminamos automáticamente las cuentas abandonadas e informamos a los usuarios por correo electrónico antes de la eliminación:

• Las cuentas cuya dirección de correo electrónico no se haya verificado se eliminan 7 días después del registro. Se envía un correo de advertencia aproximadamente 3 días antes de la eliminación.
• Las cuentas verificadas que no hayan creado un espacio de pareja ni se hayan unido a uno en los 30 días siguientes al registro se eliminan. Se envía un correo de advertencia aproximadamente 15 días antes de la eliminación.

Para prevenir el uso indebido del período de prueba gratuito, almacenamos un hash criptográfico con clave (HMAC-SHA-256) de su dirección de correo electrónico junto con un contador de uso cuando se completa un check-in. Este registro seudonimizado se conserva tras la eliminación de la cuenta. Sin acceso a la clave secreta del servidor, la recuperación de su dirección de correo electrónico a partir del hash es prácticamente inviable; se utiliza únicamente para registrar el número de check-ins completados. La base legal es nuestro interés legítimo en la prevención de abusos conforme al art. 6, apdo. 1, letra f) del RGPD.

8. Sus derechos conforme al RGPD

Conforme al Reglamento General de Protección de Datos, usted tiene los siguientes derechos:

• Derecho de acceso (Art. 15 RGPD) – Tiene derecho a obtener información sobre sus datos personales almacenados.
• Derecho de rectificación (Art. 16 RGPD) – Puede solicitar la rectificación de datos inexactos.
• Derecho de supresión (Art. 17 RGPD) – Puede solicitar la eliminación de sus datos. Esto también es posible a través de la configuración de la cuenta.
• Derecho a la limitación del tratamiento (Art. 18 RGPD) – Puede solicitar la limitación del tratamiento de sus datos.
• Derecho a la portabilidad de los datos (Art. 20 RGPD) – Tiene derecho a recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Derecho de oposición (Art. 21 RGPD) – Puede oponerse al tratamiento de sus datos personales.
• Derecho a revocar el consentimiento (Art. 7, apartado 3, RGPD) – Puede revocar en cualquier momento un consentimiento previamente otorgado.

Para ejercer sus derechos, contáctenos en: weeklycheckinapp@gmail.com

9. Seguridad de los datos

Aplicamos las siguientes medidas técnicas para proteger sus datos:

• Cifrado de la transmisión de datos mediante HTTPS/TLS
• Almacenamiento seguro de contraseñas mediante hash bcrypt
• Tokens basados en sesión con expiración automática
• Verificación de correo electrónico para confirmar la identidad
• Autenticación de dos factores en cada inicio de sesión con correo y contraseña (por defecto, un código de 6 dígitos enviado a su dirección de correo electrónico, o un código TOTP desde una aplicación de autenticación que haya configurado), salvo que haya marcado explícitamente el navegador actual como dispositivo de confianza durante 30 días mediante la casilla «Confiar en este dispositivo»

10. Transferencias internacionales de datos

Sus datos pueden ser transferidos a países fuera del Espacio Económico Europeo (EEE), en particular a EE. UU. (para el procesamiento por OpenAI y para el alojamiento en Railway). Google Ireland Limited es nuestro contraparte contractual europeo para Google Ads; Google puede mover los datos de conversión que recibe dentro de su propia infraestructura, incluyendo a terceros países como EE. UU. En tales casos, nos aseguramos de que existan garantías adecuadas, en particular mediante cláusulas contractuales tipo de la UE conforme al art. 46, apdo. 2, letra c) del RGPD.

11. Niños y adolescentes

Nuestro servicio no está dirigido a personas menores de 16 años. No recopilamos deliberadamente datos personales de menores de 16 años. Si detectamos que se han recopilado datos de personas menores de 16 años, estos se eliminarán de inmediato.

12. Cambios en esta política de privacidad

Nos reservamos el derecho de actualizar esta política de privacidad cuando sea necesario. Los cambios se publicarán en esta página con una nueva fecha de “Última actualización”. Le recomendamos visitar esta página periódicamente.

13. Contacto

Si tiene preguntas sobre la protección de datos, puede contactarnos en cualquier momento:

Jakob Maximilian Pelz
Olenhoffweg 1a
21614 Buxtehude
Alemania

Correo electrónico: weeklycheckinapp@gmail.com