1. Responsable del tratamiento
- Responsable
- Xavier Manosalvas Hurtado
- NIF
- 49462221P
- Domicilio
- Carrer del Mas Pujol, 32, 08916 Badalona (Barcelona), España
- Correo
- info@saldaya.es
- Sitio web
- https://saldaya.es
2. Qué datos tratamos
Según cómo utilices el servicio, podemos tratar las siguientes categorías:
- Cuenta y autenticación: nombre de usuario, correo electrónico, identificador de usuario, método de acceso y datos técnicos de autenticación. Las contraseñas y los códigos OTP de verificación o recuperación son gestionados por Supabase Auth; SaldaYa no los guarda en su propia base de datos.
- Acceso con Google: si eliges este método, recibimos de Google el identificador de cuenta, correo electrónico, nombre e imagen de perfil asociados a los permisos básicos de autenticación.
- Deudas y gastos: nombres de participantes, conceptos, importes, reparto, quién pagó, estado del pago, fechas y enlaces de gestión o participación.
- Contactos: nombre y teléfono que guardes en la agenda de SaldaYa.
- Grupos compartidos: nombre del grupo, participantes, gastos, saldos, liquidaciones, actividad e identidad elegida en cada dispositivo.
- Comunicaciones de cuenta: dirección de correo, fecha, tipo y resultado técnico de los mensajes de verificación, recuperación o seguridad.
- Notificaciones web: dirección técnica de la suscripción push, claves públicas asociadas, navegador y estado de la suscripción.
- Datos técnicos: dirección IP, agente de usuario, registros de seguridad, errores y metadatos de conexión que puedan generar los proveedores de infraestructura.
- Datos locales: movimientos recientes, contactos y teléfonos de sesión guardados en tu navegador cuando utilizas funciones locales.
3. De dónde proceden los datos
La mayoría de los datos los proporcionas tú al registrarte o usar SaldaYa. Si accedes con Google, los datos básicos de autenticación proceden de tu cuenta de Google después de que autorices el acceso. También pueden proceder de otro usuario que te incluya como participante, guarde tu nombre o teléfono, o comparta contigo el enlace de una deuda o grupo.
Quien introduce datos de otras personas debe contar con una relación o motivo legítimo para utilizarlos, limitarse a lo necesario e informarles de que los ha incorporado a SaldaYa. La persona afectada puede contactar directamente con nosotros para ejercer sus derechos.
4. Finalidades y bases jurídicas
| Finalidad | Base jurídica |
|---|---|
| Crear y mantener la cuenta, verificar el correo mediante OTP, autenticarte con contraseña o Google y recuperar el acceso. | Ejecución de las condiciones de uso y medidas de seguridad solicitadas por el usuario. |
| Crear deudas, dividir gastos, gestionar contactos y grupos, calcular saldos y mostrar el seguimiento. | Ejecución del servicio solicitado y, para proteger su funcionamiento, interés legítimo. |
| Preparar enlaces de WhatsApp o información para Bizum. | Acción solicitada por el usuario. SaldaYa no envía el mensaje ni inicia el pago. |
| Enviar recordatorios mediante notificaciones web. | Solicitud del usuario y consentimiento cuando el navegador lo exige. Puedes desactivarlos. |
| Prevenir abusos, proteger cuentas, investigar errores y defender reclamaciones. | Interés legítimo en mantener la seguridad y obligación legal cuando corresponda. |
| Atender derechos y requerimientos de autoridades. | Cumplimiento de obligaciones legales. |
No usamos tus datos para publicidad, no vendemos bases de datos y no realizamos decisiones automatizadas con efectos jurídicos ni perfiles comerciales.
5. A quién se comunican los datos
Los datos solo se comunican cuando es necesario para prestar el servicio, cuando tú compartes un enlace o cuando existe una obligación legal. Intervienen como proveedores tecnológicos:
- Supabase: base de datos, autenticación, generación y verificación de códigos OTP, y almacenamiento de sesiones.
- Vercel: alojamiento, despliegue y ejecución de la aplicación.
- Proveedor de correo transaccional: entrega de mensajes de verificación, recuperación y seguridad enviados a través de la configuración de Supabase.
- Proveedores de notificaciones push: entrega técnica de avisos al navegador o sistema operativo.
- Google: proveedor de identidad únicamente cuando eliges iniciar sesión con Google. Google comunica los datos básicos autorizados y trata el acceso conforme a sus propias políticas.
Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En esos casos se utilizarán los mecanismos admitidos por el RGPD, como decisiones de adecuación o cláusulas contractuales tipo, según la configuración y ubicación aplicables al servicio.
6. Enlaces compartidos y confidencialidad
Los enlaces de deuda, seguimiento y grupos permiten acceder a determinada información sin una cuenta completa. Debes compartirlos solo con las personas adecuadas. Los tokens se generan de forma aleatoria o se almacenan mediante hash cuando el flujo lo permite, pero cualquier persona que reciba un enlace válido podría acceder a su contenido hasta que se cierre, elimine o revoque.
7. Durante cuánto tiempo conservamos los datos
- Los datos de cuenta se conservan mientras la cuenta esté activa y, tras su supresión, durante los plazos imprescindibles para atender responsabilidades legales.
- Las deudas y gastos creados sin cuenta que necesitan un enlace se eliminan después de 180 días sin actividad. Abrir o utilizar válidamente el enlace renueva ese plazo.
- Deudas, gastos, contactos y grupos vinculados a una cuenta se conservan hasta que los elimines, cierres la cuenta o solicites su supresión, salvo que deban mantenerse bloqueados por una obligación legal.
- Las sesiones de participante de grupos pueden durar hasta 180 días, salvo cierre de sesión o revocación anterior.
- Los códigos OTP caducan en el plazo indicado en el mensaje o la pantalla de verificación. Los registros técnicos de envío y autenticación pueden conservarse durante el tiempo necesario para seguridad y prevención de abusos.
- Las suscripciones push se conservan mientras estén activas o hasta que dejen de ser válidas.
- Los datos guardados localmente permanecen hasta que los borres desde la aplicación, elimines los datos del navegador o desinstales la aplicación web.
- Las copias de seguridad y registros técnicos se eliminan conforme a los ciclos de retención de los proveedores y las necesidades de seguridad.
8. Tus derechos
Puedes solicitar gratuitamente el acceso, rectificación, supresión, oposición, limitación y portabilidad de tus datos. También puedes retirar un consentimiento sin que ello afecte al tratamiento previo.
Puedes eliminar directamente tu cuenta y sus datos asociados desde la pantalla Perfil. Por seguridad, se solicitará que hayas iniciado sesión recientemente.
Si utilizas Google, también puedes revocar el acceso de SaldaYa desde la configuración de seguridad de tu cuenta de Google. Revocar ese acceso no elimina automáticamente la cuenta ni los datos ya guardados en SaldaYa.
Escribe a info@saldaya.es indicando el derecho que quieres ejercer y la información necesaria para identificarte. Podremos pedir una acreditación adicional cuando sea imprescindible para evitar entregar datos a otra persona.
Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos.
9. Menores de edad
SaldaYa está dirigido exclusivamente a personas de 16 años o más. No se permite crear una cuenta a menores de esa edad. Si detectamos una cuenta que incumple esta condición, podremos suspenderla y eliminar sus datos.
10. Seguridad y cambios
Aplicamos medidas razonables de seguridad, control de acceso, aislamiento por usuario y protección de tokens. Ningún sistema conectado a Internet puede garantizar seguridad absoluta, por lo que también debes proteger tu contraseña y los enlaces compartidos.
Podremos actualizar esta política si cambia el servicio, un proveedor o la normativa. Publicaremos la nueva fecha y, si el cambio es relevante, lo comunicaremos dentro de la aplicación.
Consulta también nuestra Política de cookies y las Condiciones de uso.