Política de privacidad

1. Responsable del tratamiento

Titular: Adrián Ortiz Pimentel (NIF 78982122F), actuando en nombre propio en tanto no se complete la constitución de Thundrik, S.L.U., actualmente en proceso. Una vez inscrita la sociedad en el Registro Mercantil, esta se subrogará en la titularidad de la plataforma y en las relaciones contractuales con los usuarios registrados durante el periodo anterior, sin que ello suponga modificación de las condiciones ya aceptadas.

• Domicilio: Carretera de Coín 7B, 29108 Guaro (Málaga), España
• Contacto para protección de datos: info@thundrik.com

Esta política describe el tratamiento de los datos de los usuarios de la Plataforma (las empresas y autónomos que se registran y sus usuarios). Para los datos que cada empresa usuaria introduce sobre sus propios clientes y sobre su propio personal (por ejemplo, la asignación de citas y la planificación del trabajo, que los administradores de la empresa pueden consultar para organizar la actividad), Thundrik actúa como encargado del tratamiento: ese tratamiento se rige por el contrato de encargo del anexo de los Términos del servicio y la responsable es la empresa usuaria.

2. Qué datos tratamos y para qué

a) Cuenta y prestación del servicio

• Datos: nombre, email, contraseña (almacenada con hash criptográfico, nunca en claro), empresa, NIF y datos fiscales de la empresa.
• Finalidad: crear y mantener la cuenta, prestar las funciones de la Plataforma.
• Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Conservación: mientras la cuenta esté activa; tras la baja, lo necesario para atender responsabilidades legales.

b) Facturación de la suscripción

• Datos: identificativos y fiscales de la empresa, estado de la suscripción. Los datos de tarjeta los trata directamente Stripe; nunca pasan por nuestros servidores.
• Finalidad: cobro de la suscripción y emisión de las facturas del servicio.
• Base jurídica: ejecución del contrato y obligación legal (arts. 6.1.b y 6.1.c RGPD).
• Conservación: los plazos de la normativa fiscal y mercantil (mínimo 4 años, art. 66 LGT; 6 años, art. 30 Código de Comercio).

c) Seguridad y auditoría

• Datos: registros de acceso y de acciones relevantes con fecha, email y dirección IP.
• Finalidad: seguridad de la Plataforma, prevención de accesos no autorizados, trazabilidad exigible a un sistema de facturación.
• Base jurídica: interés legítimo en la seguridad del servicio (art. 6.1.f RGPD) y obligación legal en lo relativo a los registros de facturación.
• Conservación: los registros de seguridad se conservan un máximo de 12 meses, salvo que deban preservarse para la investigación de un incidente.

d) Comunicaciones

• Datos: email de contacto.
• Finalidad: emails transaccionales del servicio (avisos configurados por la propia empresa, resúmenes, incidencias). No enviamos comunicaciones comerciales de terceros.
• Base jurídica: ejecución del contrato (art. 6.1.b RGPD).

3. Destinatarios y encargados

No se ceden datos a terceros salvo obligación legal. Para prestar el servicio empleamos los siguientes proveedores:

• Hetzner Online GmbH (Alemania) — Alojamiento de la aplicación, de la base de datos y de las copias de seguridad. Ubicación: Unión Europea (centros de datos en Alemania).
• Scaleway SAS (Francia) — Copia de seguridad externa (off-site) de la base de datos en almacenamiento de objetos. Ubicación: Unión Europea (Francia, región fr-par).
• Arsys Internet, S.L.U. (España) — Infraestructura de observabilidad y monitorización de la plataforma (métricas, registros y seguimiento de errores). Ubicación: Unión Europea (España).
• Stripe Payments Europe, Ltd. (Irlanda) — Procesamiento de pagos de la suscripción. Ubicación: Unión Europea; transferencias a Stripe, Inc. (EE. UU.) amparadas en el Data Privacy Framework y cláusulas contractuales tipo.
• Brevo (Sendinblue SAS, Francia) — Envío de los emails de la plataforma (documentos, avisos, cuentas). Ubicación: Unión Europea.
• mailbox.org (Heinlein Support GmbH, Alemania) — Recepción del correo de las direcciones de contacto de la plataforma. Ubicación: Unión Europea (Alemania).
• Cloudflare, Inc. — Gestión de DNS del dominio. Ubicación: EE. UU.; transferencias amparadas en el Data Privacy Framework y cláusulas contractuales tipo.
• GitHub, Inc. — Gestión de incidencias y del feedback que los usuarios envían desde la aplicación (el texto del mensaje y un identificador interno de la empresa; no se envía el email del usuario). Ubicación: EE. UU.; transferencias amparadas en el Data Privacy Framework y cláusulas contractuales tipo.

La infraestructura y los datos se alojan en la Unión Europea. Las transferencias fuera del Espacio Económico Europeo se limitan a determinados proveedores estadounidenses (el procesamiento de pagos por Stripe, la gestión de DNS por Cloudflare y la gestión del feedback por GitHub) y están amparadas en el EU-U.S. Data Privacy Framework y en cláusulas contractuales tipo de la Comisión Europea.

4. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a info@thundrik.com, acreditando tu identidad. Ten en cuenta que las facturas y los registros de facturación Verifactu deben conservarse durante los plazos legales aunque se solicite la supresión (art. 17.3.b RGPD). También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

5. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas (art. 32 RGPD): cifrado del tráfico, contraseñas con hash y sal, sesiones con tokens aleatorios, bloqueo ante intentos de acceso, aislamiento de datos por empresa, registro de auditoría, copias de seguridad diarias y contenedores con privilegios mínimos. El detalle está en el anexo de medidas de seguridad de los Términos del servicio.

6. Menores

La Plataforma es un servicio profesional no dirigido a menores de edad.