Política de privacidad

En pocas palabras

Recogemos lo necesario para crear una tarjeta grupal, entregarla y cobrarla. No mostramos publicidad, no usamos cookies de seguimiento y no vendemos datos. Las fotos nunca van a una IA ni a la analítica. Los organizadores pueden eliminar una tarjeta en cualquier momento, y las tarjetas se eliminan 24 meses después de la entrega. Los detalles, a continuación.

Responsable

El responsable del tratamiento según el RGPD es Mücahit Gürbüz, Südostallee 120, 12487 Berlin, Deutschland. Correo: hallo@junto.cards. Teléfono: +49 176 83258742.

Esta política cubre Junto en junto.cards: el sitio web, las páginas de las tarjetas, los correos que enviamos y los libros impresos. Explica qué datos tratamos, para qué, con qué base jurídica, quién los recibe, cuánto tiempo los conservamos y qué derechos tienes.

En Junto hay tres papeles. El organizador crea una tarjeta y comparte su enlace. Los participantes escriben mensajes y pueden añadir fotos. El destinatario recibe la tarjeta terminada. Esta política se aplica a los tres.

Qué datos tratamos

Tratamos solo lo que Junto necesita para funcionar y lo que tú decides añadir.

• Cuenta de organizador: si quieres conservar el acceso a tus tarjetas, tu dirección de correo, que confirmas con un código de 6 dígitos, o el identificador de cuenta y el correo que Google o Apple nos facilitan cuando inicias sesión con ellos. La cuenta es opcional.

• Sesión anónima: cuando creas una tarjeta o participas sin cuenta, tu navegador recibe una sesión anónima con un identificador aleatorio. Así puedes volver a tu tarjeta o a tu mensaje en el mismo dispositivo.

• Contenido de la tarjeta: el título y la ocasión, los nombres visibles, los mensajes, las fotos, los dibujos que fotografías y la respuesta de agradecimiento del destinatario.

• Fotos: tu navegador reduce cada foto y elimina sus metadatos, incluidos los datos EXIF como la ubicación y los datos de la cámara, antes de subirla. Nunca recibimos el archivo original.

• Destinatario: su nombre y, si el organizador programa la entrega por correo, su dirección de correo.

• Ajustes de la tarjeta: el diseño, el idioma, la fecha y la forma de entrega, si se permiten fotos, los mensajes ocultos y ajustes similares.

• Pagos: número de pedido, plan, importe, moneda, estado y fecha. Stripe trata los datos de tu tarjeta u otros datos de pago. Nosotros nunca los vemos.

• Libros impresos: el nombre y la dirección de envío, y el archivo de impresión de la tarjeta que necesita la imprenta.

• Avisos por correo: si pides que te avisemos, por ejemplo cuando se entrega una tarjeta, tu dirección de correo y esa elección.

• Ayuda para escribir: el texto que envías a la ayuda para escribir; consulta el apartado sobre IA más abajo.

• Denuncias: cuando alguien denuncia un contenido, la denuncia, el motivo y el contenido denunciado.

• Datos técnicos: dirección IP, hora, página, tipo de navegador y detalles de errores en los registros del servidor, y los datos descritos en el apartado de analítica y control de errores.

Para qué los tratamos y con qué base jurídica

• Prestarte Junto según nuestro contrato contigo: crear y compartir tarjetas, recoger mensajes y fotos, entregar la tarjeta por enlace, código QR o correo, la respuesta de agradecimiento, las cuentas, el pago, los libros impresos, la exportación y la eliminación (art. 6.1.b RGPD).

• Fotos en las que aparecen otras personas: con el consentimiento de las personas que aparecen o de sus padres o tutores, que confirma quien sube la foto (art. 6.1.a RGPD).

• Avisos por correo para participantes: solo con tu consentimiento (art. 6.1.a RGPD). Cada correo incluye un enlace para darte de baja.

• Seguridad, protección contra bots, prevención de abusos, control de errores y analítica sin cookies para mejorar Junto: nuestro interés legítimo en un servicio seguro, estable y útil (art. 6.1.f RGPD).

• Conservar registros de pago y facturas como exige la legislación fiscal (art. 6.1.c RGPD en relación con el § 147 AO alemán).

• Responder a las autoridades y gestionar reclamaciones cuando la ley lo exige (art. 6.1.c y f RGPD).

Puedes retirar cualquier consentimiento en cualquier momento, por correo o con el enlace de nuestros correos. Esto no afecta al tratamiento anterior. La ley no te obliga a darnos datos. Sin los datos que necesita una función, no puedes usar esa función.

Tu derecho de oposición

Cuando nos basamos en intereses legítimos (art. 6.1.f RGPD), puedes oponerte en cualquier momento por motivos relacionados con tu situación particular (art. 21 RGPD). Entonces dejamos de hacerlo, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre tus intereses o necesitemos los datos para formular, ejercer o defender reclamaciones. Escribe a hallo@junto.cards.

Fotos, niños y personas que aparecen

Junto está pensado para adultos. Los niños participan a través de sus padres, sus educadores o sus profesores. Las tarjetas para la guardería o el colegio proponen dibujos en lugar de fotos de niños.

Antes de subir una foto, confirmas que todas las personas que aparecen, o en el caso de niños sus padres o tutores, están de acuerdo. Sube solo fotos que puedas compartir.

Los organizadores pueden desactivar las fotos de una tarjeta. Las fotos nunca van a un proveedor de IA ni a la analítica. Cualquiera que vea una tarjeta puede denunciar un mensaje o una foto, y retiramos el contenido que infringe las normas o la ley.

Si apareces en una foto de una tarjeta y no diste tu consentimiento, pide al organizador que la retire, usa el botón de denuncia o escribe a hallo@junto.cards.

Ayuda para escribir con IA

La ayuda para escribir te propone un mensaje cuando lo pides. Usa los modelos Claude de Anthropic a través de Vercel AI Gateway. No se envía nada si no usas la función.

Solo enviamos la ocasión, el nombre de pila del destinatario, tu relación con él, el tono que eliges y tu propio borrador, si lo has escrito. Nunca enviamos fotos, mensajes de otras personas, direcciones de correo ni datos de pago.

Vercel y Anthropic tratan estos datos como encargados del tratamiento. Según sus condiciones, estos datos no se usan para entrenar modelos de IA. [Por verificar: condiciones actuales de Anthropic y Vercel AI Gateway sobre entrenamiento y conservación.]

La propuesta es solo una propuesta. Tú decides si la usas, la cambias o la descartas. Junto no toma decisiones sobre ti que produzcan efectos jurídicos o te afecten de forma similar (art. 22 RGPD).

Cookies y almacenamiento local

Junto no usa publicidad, ni píxeles publicitarios, ni cookies de seguimiento. En cookies o en el almacenamiento local de tu navegador guardamos solo lo técnicamente necesario para el servicio que pides:

• tu sesión, para que sigas conectado o conserves tu sesión anónima;

• el nombre que usaste la última vez como participante, para que no tengas que escribirlo de nuevo;

• tu idioma;

• un borrador guardado automáticamente de tu mensaje, para que no se pierda si la página se recarga.

Este almacenamiento no necesita consentimiento porque es estrictamente necesario (art. 22.2 LSSI-CE; § 25.2.2 TDDDG). Puedes borrarlo en tu navegador en cualquier momento. Entonces puedes perder el acceso a las tarjetas que creaste sin cuenta.

Analítica y control de errores

• Vercel Web Analytics y Speed Insights cuentan visitas y miden la velocidad de carga sin cookies y sin identificarte.

• PostHog nos ayuda a entender qué funciones se usan. En el navegador funciona sin cookies y sin identificadores persistentes. Algunos eventos se envían desde nuestro servidor con un identificador de usuario seudónimo, nunca con tu nombre, tu correo, tus mensajes ni tus fotos.

• Sentry nos informa de errores técnicos para que podamos corregirlos. La grabación de sesiones está desactivada o totalmente enmascarada en las páginas de las tarjetas, así que el contenido de las tarjetas no se graba.

La base jurídica es nuestro interés legítimo en un servicio que funcione y mejore (art. 6.1.f RGPD). Puedes oponerte en cualquier momento.

Quién recibe los datos

Estos proveedores tratan datos por nuestra cuenta como encargados del tratamiento, con un contrato de encargo y, cuando hace falta, con cláusulas contractuales tipo:

• Supabase (Supabase, Inc., EE. UU.): base de datos, inicio de sesión y almacenamiento de archivos. Los datos se guardan en AWS en Fráncfort, Alemania (eu-central-1).

• Vercel (Vercel Inc., EE. UU.): alojamiento del sitio web y de las páginas de las tarjetas, funciones de servidor en Fráncfort (fra1), Web Analytics, Speed Insights, protección contra bots BotID y AI Gateway.

• Stripe (Stripe Payments Europe, Ltd., Irlanda): procesamiento de pagos y cálculo de impuestos (Stripe Tax). Para sus propias obligaciones legales, como la prevención del fraude y la regulación financiera, Stripe actúa como responsable independiente según su propia política de privacidad.

• Resend (EE. UU.): envía nuestros correos, como los códigos de inicio de sesión, la entrega programada de tarjetas y los avisos.

• PostHog (PostHog Inc., EE. UU.): analítica de producto en su nube de la UE en Fráncfort.

• Sentry (Functional Software, Inc., EE. UU.): control de errores en su región de datos de la UE.

• Cloudflare (Cloudflare, Inc., EE. UU.): protección contra bots Turnstile en el inicio de sesión.

• Anthropic (Anthropic, PBC, EE. UU.): la ayuda para escribir descrita arriba, a través de Vercel AI Gateway.

• Prodigi (Prodigi Group Ltd, Reino Unido): impresión y envío de libros impresos. Recibe el archivo de impresión y la dirección de envío.

Otros destinatarios:

• Google y Apple, si inicias sesión con ellos. Actúan según sus propias condiciones y políticas de privacidad.

• Quien tiene el enlace de la tarjeta ve sus mensajes, fotos y nombres visibles. El organizador ve todas las aportaciones y puede ocultar mensajes. El destinatario ve la tarjeta entregada, y los participantes ven su respuesta de agradecimiento.

• Autoridades y tribunales, solo cuando la ley lo exige.

No vendemos tus datos ni los compartimos con fines publicitarios.

Transferencias fuera de la UE

Guardamos los datos de las tarjetas en la UE. Algunos proveedores tienen su sede en EE. UU. o pueden acceder a los datos desde allí. Si un proveedor está certificado según el Marco de Privacidad de Datos UE-EE. UU., la transferencia se basa en la decisión de adecuación de la Comisión Europea (art. 45 RGPD). Si no, se basa en las cláusulas contractuales tipo de la UE (art. 46.2.c RGPD). Para Prodigi, en el Reino Unido, la transferencia se basa en la decisión de adecuación de la Comisión para el Reino Unido. Puedes pedirnos una copia de estas garantías.

Cuánto tiempo los conservamos

• Mensajes y fotos: se eliminan 24 meses después de la entrega de la tarjeta. [Por verificar: plazo para tarjetas que nunca se entregan.]

• Tarjetas: los organizadores pueden eliminar una tarjeta en cualquier momento. Se eliminan entonces sus mensajes, fotos y ajustes.

• Cuenta: cuando eliminas tu cuenta, eliminamos la cuenta y tus tarjetas con todo su contenido.

• Avisos por correo: hasta que te des de baja o se elimine la tarjeta.

• Registros de pago y facturas: el tiempo que exige la legislación fiscal, hasta 10 años (§ 147 AO). [Por verificar: desde 2025, los justificantes contables como las facturas se conservan 8 años.]

• Datos de envío de libros impresos: el tiempo necesario para la entrega y las reclamaciones de garantía, y el que exige la legislación fiscal.

• Registros del servidor: solo poco tiempo, [NÚMERO] días.

• Denuncias: el tiempo necesario para tramitar la denuncia y cualquier disputa sobre ella.

Tus derechos

Según el RGPD tienes derecho de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad (art. 20) y oposición (art. 21). Puedes retirar tu consentimiento en cualquier momento (art. 7.3).

Gran parte puedes hacerla tú: exportar tus datos o eliminar tu cuenta en la página de tu cuenta, y eliminar una tarjeta en sus ajustes. Para todo lo demás, escribe a hallo@junto.cards. Si participaste sin cuenta, dinos de qué tarjeta y mensaje se trata para que podamos encontrarlo.

Tienes derecho a presentar una reclamación ante una autoridad de protección de datos, en particular la del país de la UE donde vives o trabajas o donde crees que se infringió la ley. En España es la Agencia Española de Protección de Datos (AEPD). La autoridad competente para nosotros es [autoridad de protección de datos del estado federado alemán del operador, con sitio web].

Seguridad

Los datos se cifran en tránsito. Las reglas de acceso de la base de datos deciden quién puede ver y cambiar cada tarjeta. Quien tiene el enlace de una tarjeta puede abrirla, así que compártelo solo con quien deba verla. Ningún sistema es totalmente seguro.

Cambios

Si cambiamos esta política de forma relevante, avisamos antes por correo a los organizadores con cuenta. La fecha de arriba indica la versión vigente.