1. Responsable del tratamiento
- Responsable: GIRA, SL
- NRT: L-719243-J
- Domicilio: Crta. de Nagol, C/ Camp del Tomasset, núm. 8, AD600 Sant Julià de Lòria, Principat d’Andorra
- Contacto para cuestiones de privacidad: privadesa@calers.ad
Esta política explica cómo tratamos los datos personales cuando visitas calers.ad y cuando utilizas la aplicación app.calers.ad (el «servicio»).
2. Normativa aplicable
Tratamos los datos de acuerdo con la Ley 29/2021, de 28 de octubre, cualificada de protección de datos personales del Principado de Andorra (LQPD) y, cuando corresponda porque ofrecemos el servicio a personas que se encuentran en la Unión Europea, con el Reglamento (UE) 2016/679 general de protección de datos (RGPD).
3. Qué datos tratamos
Según cómo interactúes con Calers, tratamos:
- Datos de la cuenta: nombre, apellidos, dirección de correo electrónico, contraseña (guardada solo en forma de hash), idioma y preferencias.
- Inicio de sesión con Google o Apple: si eliges esta opción, recibimos el identificador de la cuenta, el nombre y el correo que el proveedor nos facilita. Nunca recibimos tu contraseña.
- Datos financieros que introduces: cuentas, saldos, transacciones, categorías, etiquetas, presupuestos, objetivos, deudas, movimientos programados y archivos bancarios que importas. Calers no se conecta a tu banco: solo trata lo que tú introduces.
- Datos de la suscripción: plan, estado, fechas e identificadores de cliente y de suscripción de Paddle. Los datos de la tarjeta o del medio de pago los trata Paddle directamente y nosotros no los recibimos.
- Aceptación de los textos legales: la versión de las condiciones y de la política de privacidad que aceptas, la confirmación de que tienes 18 años o más, la fecha y la dirección IP.
- Verificación en dos pasos, si la activas: la clave secreta (guardada cifrada), los códigos de recuperación (solo en forma de hash) y los navegadores que decidas recordar (tipo de navegador y de sistema, dirección IP y fechas de uso).
- Datos técnicos y de seguridad: dirección IP, tipo de navegador, fechas de acceso, intentos de inicio de sesión y registro de acciones sensibles.
- Datos de navegación por el sitio web calers.ad, solo si aceptas las cookies de analítica: páginas visitadas, página de procedencia, tipo de dispositivo y de navegador, idioma, ubicación aproximada (país y ciudad) y los identificadores de las cookies de Google Analytics. Nunca los relacionamos con tu cuenta ni con tus datos financieros, y la aplicación no utiliza Google Analytics.
- Solicitudes y comunicaciones: los datos que nos facilites cuando nos escribes o nos haces una solicitud para ejercer tus derechos.
4. Finalidades y bases jurídicas
- Prestar el servicio (crear y gestionar la cuenta, guardar y mostrar tus datos, importarlos y exportarlos): ejecución del contrato.
- Gestionar la prueba gratuita, la suscripción, los cobros y los reembolsos a través de Paddle: ejecución del contrato y cumplimiento de obligaciones legales.
- Dejar constancia de que has aceptado las condiciones y la política de privacidad y de que eres mayor de edad: ejecución del contrato e interés legítimo en poder acreditarlo.
- Garantizar la seguridad del servicio, prevenir fraudes y accesos no autorizados, controlar los accesos de nuestro personal a los datos y hacer copias de seguridad: interés legítimo.
- Enviarte comunicaciones del servicio (verificación del correo, recuperación de la contraseña, avisos sobre la suscripción o cambios relevantes): ejecución del contrato.
- Atender las solicitudes de ejercicio de tus derechos: cumplimiento de una obligación legal. Atender las demás consultas: interés legítimo.
- Gestionar los incidentes de seguridad y, si es necesario, notificarlos a la autoridad de control y a las personas afectadas: cumplimiento de una obligación legal.
- Cumplir obligaciones legales, fiscales y contables: obligación legal.
- Elaborar estadísticas agregadas de visitas al sitio web calers.ad con Google Analytics para mejorar sus contenidos: tu consentimiento, que puedes retirar en cualquier momento desde «Configuración de cookies», en el pie de página.
No utilizamos tus datos para publicidad, no elaboramos perfiles comerciales y no tomamos decisiones automatizadas con efectos jurídicos sobre ti.
5. Destinatarios y encargados del tratamiento
No vendemos ni cedemos tus datos. Solo los comunicamos a los proveedores que necesitamos para prestar el servicio:
- Clouding.io (España): alojamiento de los servidores donde funcionan el sitio web y la aplicación y donde se guardan los datos y las copias de seguridad. Actúa como encargado del tratamiento.
- SiteGround (servidores en la Unión Europea): servicio de correo electrónico con el que te enviamos los correos del servicio y recibimos los que nos envías. Actúa como encargado del tratamiento.
- Paddle.com Market Limited (Reino Unido) y las entidades de su grupo, que actúan como distribuidor oficial (Merchant of Record) y tratan los datos de pago y facturación como responsables independientes, de acuerdo con su propia política de privacidad.
- Google y Apple, solo si eliges iniciar sesión con su cuenta. Actúan como responsables independientes, de acuerdo con sus propias políticas.
- Google Ireland Limited (Irlanda), solo si aceptas las cookies de analítica del sitio web calers.ad: servicio de estadísticas Google Analytics. Actúa como encargado del tratamiento, con las funciones de publicidad y Google Signals desactivadas, y no recibe ningún dato de tu cuenta ni de la aplicación.
Los encargados del tratamiento solo pueden utilizar los datos para prestarnos el servicio, siguiendo nuestras instrucciones y con las garantías de confidencialidad y seguridad adecuadas.
También podemos comunicar datos a las autoridades cuando una ley nos obligue a ello, por ejemplo a la Agencia Andorrana de Protección de Datos si tenemos que notificarle un incidente de seguridad.
6. Transferencias internacionales
Los datos de la cuenta y los datos financieros se guardan en servidores situados en la Unión Europea (España), y el correo electrónico también se gestiona desde la Unión Europea. Andorra y la Unión Europea se reconocen mutuamente un nivel de protección de datos equivalente, por lo que estas comunicaciones no requieren garantías adicionales.
- Paddle trata los datos de pago y facturación en el Reino Unido, país reconocido con un nivel de protección adecuado, y puede recurrir a sus propios proveedores en otros países con las garantías que describe su política de privacidad.
- Si inicias sesión con Google o Apple, te identificas directamente ante estas empresas, que pueden tratar los datos en Estados Unidos de acuerdo con sus políticas. Nosotros no les enviamos los datos de tu cuenta ni tus datos financieros: solo recibimos de ellas el identificador, el nombre y el correo necesarios para iniciar la sesión.
- Si aceptas las cookies de analítica, Google puede tratar los datos de navegación del sitio web en Estados Unidos. Google LLC está adherida al Marco de privacidad de datos UE-EE. UU. (EU-U.S. Data Privacy Framework), y el tratamiento se rige también por las cláusulas contractuales tipo que incluyen las condiciones de tratamiento de datos de Google.
7. Conservación de los datos
- Datos de la cuenta y datos financieros: mientras tengas una suscripción o una prueba activa. Si termina y no la renuevas, conservamos la cuenta 12 meses más para que puedas reactivarla o exportar los datos; te avisaremos por correo 30 y 7 días antes y, después, la borraremos definitivamente con las copias de seguridad. Si eliminas la cuenta desde el perfil, se borran en el momento tu base de datos, los archivos asociados y las copias de seguridad.
- Aceptación de las condiciones y de la política de privacidad: mientras exista la cuenta.
- Datos de la suscripción y de los cobros: hasta 6 años, el plazo que exige la normativa fiscal y contable.
- Registro de acciones de la cuenta (accesos, cambios relevantes y dirección IP): 12 meses.
- Intentos de inicio de sesión y solicitudes de recuperación de la contraseña: 30 días.
- Navegadores recordados de la verificación en dos pasos: 30 días, o hasta que los olvides o desactives la verificación.
- Registro de los accesos de nuestro personal a los datos: 24 meses.
- Alertas de seguridad automáticas: 12 meses.
- Registros del servidor y de la aplicación: entre 14 días y 6 meses.
- Datos de navegación de Google Analytics: 14 meses. Las cookies de analítica caducan a los 2 años o cuando retiras el consentimiento.
- Copias de seguridad: 14 días.
- Solicitudes de ejercicio de derechos: 3 años desde que se resuelven, para poder acreditar que las hemos atendido.
- Incidentes de seguridad y comunicaciones que hayamos hecho a las personas afectadas: el tiempo necesario para acreditar que hemos cumplido las obligaciones legales.
- Otras comunicaciones: el tiempo necesario para atenderlas y las posibles responsabilidades que se deriven de ellas.
Si eliminas la cuenta, se borran en el momento todos estos datos, excepto los que necesitamos para acreditar que hemos cumplido nuestras obligaciones (solicitudes de ejercicio de derechos, incidentes de seguridad y registro de accesos de nuestro personal) y los registros del servidor, que se conservan hasta el final de los plazos indicados. Las facturas las conserva Paddle de acuerdo con su política.
8. Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento que hayas dado.
La forma más rápida es desde la aplicación, en Mi perfil → Privacidad y datos, donde puedes:
- Descargar todos tus datos en un archivo ZIP (formatos JSON y CSV).
- Rectificar los datos del perfil.
- Eliminar la cuenta y todos tus datos.
- Enviarnos una solicitud para ejercer cualquier otro derecho y consultar su estado y la respuesta.
También puedes escribir a privadesa@calers.ad desde la dirección asociada a la cuenta. Si es necesario, podremos pedirte información adicional para verificar tu identidad. Te responderemos en el plazo de un mes, que puede prorrogarse dos meses más si la solicitud es compleja o recibimos muchas; en ese caso, te lo comunicaremos dentro del primer mes.
Si consideras que no hemos tratado correctamente tus datos, puedes presentar una reclamación ante la Agencia Andorrana de Protección de Datos (APDA, www.apda.ad) o, si resides en la Unión Europea, ante la autoridad de control de tu país.
9. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: conexiones cifradas con HTTPS, una base de datos independiente con un usuario propio para cada cliente, contraseñas guardadas con hash, verificación en dos pasos opcional, limitación de intentos de inicio de sesión, sesiones que caducan, registro de acciones sensibles, registro firmado de los accesos de nuestro personal a los datos, alertas automáticas ante actividad sospechosa y copias de seguridad automáticas. Ningún sistema es infalible, pero revisamos y mejoramos estas medidas de forma continua.
Si se produce un incidente de seguridad que afecte a tus datos y suponga un riesgo para tus derechos, lo notificaremos a la Agencia Andorrana de Protección de Datos en un plazo de 72 horas desde que tengamos conocimiento de él y, si el riesgo es alto, te avisaremos por correo electrónico sin demora.
10. Menores de edad
El servicio está dirigido a personas mayores de 18 años y, para crear una cuenta, debes confirmar que tienes 18 o más. No recogemos conscientemente datos de menores y, si detectamos que lo hemos hecho, los suprimiremos.
11. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios legales o del servicio. Publicaremos la versión vigente en esta página con la fecha de actualización y, si los cambios son relevantes, te avisaremos por correo electrónico o dentro de la aplicación.