Política de privacidad

Cómo Runtruffle (operado por ZDS Zander Digital Services S.L.) recoge, usa y protege tus datos personales conforme al RGPD UE.

1. Responsable del tratamiento

El responsable del tratamiento conforme al art. 4(7) RGPD es ZDS Zander Digital Services S.L., Mallorca, España. Contacto: [email protected].

2. Categorías de datos personales tratados

• Datos de cuenta: correo, nombre completo, hash de contraseña, preferencia de idioma, zona horaria.
• Datos de facturación: Stripe Customer ID, plan, historial de facturas (los datos de tarjeta residen en Stripe).
• Datos de uso: IDs de proyecto, historial de prompts, modelos IA seleccionados, timestamps, IP (truncada, 30 días de retención), user-agent.
• Comunicaciones: respuestas a correos, feedback in-app, tickets de soporte.

3. Finalidades y base jurídica

• Prestación del servicio (art. 6(1)(b) RGPD — contrato).
• Facturación y prevención de fraude (art. 6(1)(b) y 6(1)(f)).
• Mejora del servicio y analítica agregada (art. 6(1)(f) — interés legítimo; opt-out via banner de consentimiento).
• Correos de marketing (art. 6(1)(a) — consentimiento; baja con un clic).

4. Encargados del tratamiento

Compartimos datos con los siguientes encargados, todos sujetos a contratos de tratamiento conformes al RGPD:

• Stripe Payments Europe Ltd. (Irlanda / EE. UU.) — facturación y checkout.
• Brevo (Sendinblue SAS) (Francia) — correo transaccional y marketing.
• OpenAI Ireland Ltd., Anthropic PBC (EE. UU.), Google LLC (EE. UU.), OpenRouter Inc. (EE. UU.), Perplexity AI Inc. (EE. UU.) — proveedores LLM que ejecutan los prompts trackeados por nuestra cuenta. Tus datos no se usan para entrenar sus modelos (términos enterprise/API).
• Hetzner Online GmbH (Alemania) — hosting de infraestructura (región UE).
• Cloudflare Inc. (EE. UU. / edge UE) — CDN, protección DDoS, web analytics.

5. Transferencias internacionales

Cuando los encargados operan fuera UE/EEE, las transferencias se basan en las Cláusulas Contractuales Tipo de la UE (SCC 2021) y, si procede, el EU-US Data Privacy Framework.

6. Conservación

• Datos de cuenta: hasta que elimines tu cuenta.
• Datos de facturación: 10 años (Código de Comercio español).
• Logs de uso: 90 días (servidor); agregados indefinidamente.
• Lista de marketing: hasta la baja.

7. Tus derechos (arts. 15–22 RGPD)

Tienes derecho a acceso, rectificación, supresión, limitación, portabilidad y oposición. Ejercicio por correo a [email protected]; respuesta en 30 días. Puedes presentar reclamación ante la AEPD (España) o la autoridad de control de tu país.

8. Cookies

Usamos una cookie de autenticación estrictamente necesaria (HttpOnly, Secure, SameSite) y una capa opcional de consentimiento analítico (Cloudflare / GA4). Más información: política de cookies (si aplica).

9. Seguridad

Tránsito: TLS 1.2+. En reposo: cifrado a nivel del proveedor de hosting. Contraseñas hasheadas con bcrypt. Acceso a datos personales bajo controles estrictos.