Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos es Mario Maldonado Pérez, con email de contacto admin@odlas.es (ver Aviso legal).

odlas es una aplicación privada, gratuita y de acceso por invitación. Aunque su uso es personal y entre un grupo reducido de personas, el tratamiento no está amparado por la excepción de actividades personales o domésticas del art. 2.2.c del RGPD (se presta a través de internet a terceros con cuenta propia), por lo que se aplica el RGPD y la LOPDGDD en su integridad.

2. Qué datos tratamos

• Datos de cuenta: tu dirección de email y tu contraseña. La contraseña la almacena nuestro proveedor de autenticación con un hash irreversible: nunca es accesible en claro, ni para el responsable.
• Datos de acceso: el estado de tu cuenta (invitada, activa, suspendida), la fecha de alta y la fecha y versión de los Términos de uso que has aceptado.
• Datos financieros que tú registras: brokers, activos, movimientos, cuentas, ingresos y gastos, deudas, inmuebles y objetivos. Los introduces tú voluntariamente para tu propio uso. No conectamos con tus bancos, no importamos datos de terceros y no obtenemos información tuya de ninguna otra fuente.
• Datos técnicos mínimos: las cookies estrictamente necesarias para mantener tu sesión iniciada. No usamos analítica, ni publicidad, ni rastreadores de terceros (ver Cookies y almacenamiento local).

No tratamos categorías especiales de datos (art. 9 RGPD), no elaboramos perfiles y no tomamos decisiones automatizadas con efectos jurídicos sobre ti.

3. Finalidades y bases jurídicas

• Prestarte el servicio (mostrar tu patrimonio, cartera y flujos a partir de lo que registras) y mantener tu cuenta — ejecución del contrato, art. 6.1.b RGPD.
• Gestionar el acceso por invitación (invitar, activar o suspender cuentas) — ejecución del contrato (art. 6.1.b) y, en cuanto a la seguridad del servicio, interés legítimo del responsable (art. 6.1.f).
• Acreditar qué versión de los Términos has aceptado y cuándo — interés legítimo en poder demostrar la relación contractual (art. 6.1.f).
• Enviar los correos imprescindibles de la cuenta (invitación, confirmación, recuperación de contraseña, código de verificación) — ejecución del contrato, art. 6.1.b. No enviamos comunicaciones comerciales de ningún tipo.

No usamos el consentimiento como base jurídica para ninguno de estos tratamientos, porque no es la base adecuada: son imprescindibles para prestarte el servicio que has solicitado. Aceptar los Términos de uso es la celebración de un contrato, no un consentimiento de protección de datos, y por eso puedes retirar tu relación con el servicio (eliminando tu cuenta) pero no «desconsentir» tratamientos sin los cuales la aplicación no funcionaría.

4. Quién más accede a tus datos

El titular, en su papel de administrador del acceso, puede ver tu email, el estado de tu cuenta y tu fecha de alta, porque son los datos necesarios para invitarte y gestionar tu acceso. No puede ver tus datos financieros: ni tus movimientos, ni tus saldos, ni tu patrimonio. Esto no es una promesa de buena voluntad, es una restricción técnica: la base de datos aplica seguridad a nivel de fila y cada consulta está limitada al identificador del usuario autenticado, de modo que ninguna cuenta —tampoco la del administrador— puede leer filas financieras ajenas.

Tus datos no se venden, no se ceden a terceros y no se usan para publicidad ni para entrenar sistemas de inteligencia artificial.

5. Encargados del tratamiento y transferencias internacionales

Para que la aplicación funcione se utilizan estos proveedores, que tratan datos por cuenta del responsable, cada uno con sus propias garantías de protección de datos:

• Supabase (base de datos y autenticación). Tus datos se alojan en la región eu-central-1 (Fráncfort, Alemania), es decir, dentro de la Unión Europea. El proveedor es una entidad no europea (Supabase Pte. Ltd.), por lo que determinados accesos de soporte y los datos de la cuenta de cliente pueden implicar transferencias fuera del EEE, amparadas en las Cláusulas Contractuales Tipo incorporadas a su adenda de tratamiento de datos.
• Vercel (alojamiento y ejecución de la aplicación web). Sus instalaciones principales de procesamiento están en Estados Unidos; las transferencias se amparan en las Cláusulas Contractuales Tipo de la UE.
• Resend (envío de los correos de la cuenta, desde el dominio odlas.es). Trata tu dirección de email y los metadatos de envío. Conviene saber que, aunque se elija una región europea de envío, Resend almacena los datos de cuenta, registros y metadatos de correo en Estados Unidos; las transferencias se amparan en las Cláusulas Contractuales Tipo de su adenda de tratamiento y en su adhesión al EU-U.S. Data Privacy Framework.

No se utiliza ningún otro servicio externo: no hay analítica, ni CDN de fuentes de terceros en tiempo de ejecución, ni herramientas de monitorización de usuarios.

6. Conservación y borrado

Conservamos tus datos mientras mantengas tu cuenta. Puedes eliminarla tú mismo en cualquier momento desde Ajustes → Zona de peligro: el borrado elimina de inmediato y de forma irreversible tu usuario y todos tus datos de la base de datos en producción, sin posibilidad de recuperación.

Matiz honesto sobre las copias de seguridad: nuestro proveedor de base de datos no realiza copias de seguridad automáticas en el plan contratado, por lo que no se conservan copias de los datos borrados. Además, los proveedores pueden conservar durante un tiempo limitado registros técnicos propios (por ejemplo, los registros de entrega de los correos enviados), conforme a sus propias políticas de retención. Por eso no afirmamos que toda la información desaparezca de forma instantánea de absolutamente todos los sistemas: desaparece de inmediato del servicio, y de esos registros residuales en los plazos indicados.

7. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La mayoría los puedes ejercer tú directamente, sin esperar a nadie:

• Acceso y portabilidad: en Ajustes → Tus datos → Exportar mis datos descargas un fichero JSON con todos tus datos, en formato estructurado y de lectura mecánica (art. 20 RGPD).
• Rectificación: todos tus datos son editables desde la propia aplicación.
• Supresión: en Ajustes → Zona de peligro → Eliminar mi cuenta, con verificación por código enviado a tu email.
• Cualquier otro derecho o duda: escribiendo a admin@odlas.es. Responderemos en el plazo máximo de un mes previsto en el art. 12.3 RGPD.

Si consideras que el tratamiento no es adecuado, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

8. Seguridad

Las medidas técnicas aplicadas incluyen: aislamiento de los datos a nivel de base de datos (cada usuario solo puede leer y escribir sus propias filas, aplicado por el motor y no solo por la aplicación), cifrado de las comunicaciones mediante HTTPS, cifrado en reposo por parte del proveedor de base de datos, contraseñas con hash irreversible, verificación por código enviado al email para el cambio de contraseña y para la eliminación de la cuenta, y acceso restringido por invitación.

Si se produjese una violación de seguridad que suponga un riesgo para tus derechos, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas y, cuando el riesgo sea alto, también a ti directamente (arts. 33 y 34 RGPD).

9. Menores

La Aplicación está dirigida exclusivamente a personas mayores de edad. No se solicitan ni se tratan conscientemente datos de menores.

10. Cambios en esta política

Si esta política cambia de forma relevante, se actualizará la fecha de revisión y se informará a los usuarios por email o al iniciar sesión.