Política de Privacidad

2. Finalidades del tratamiento y bases jurídicas

En la siguiente tabla se detallan las operaciones de tratamiento de datos personales realizadas en la plataforma, sus fines y la base legal que legitima cada una de conformidad con el artículo 6 del RGPD:

3. Encargados del tratamiento y destinatarios de datos

Para prestar el servicio recurrimos a proveedores tecnológicos de primer nivel bajo acuerdos de encargo del tratamiento (DPA, artículo 28 del RGPD) o como responsables independientes según la naturaleza del servicio:

• Google Cloud / Firebase (Google Ireland Limited): Provee la infraestructura de almacenamiento de datos en Firestore y el motor de inferencia estadística, alojados en la región de Madrid, España (europe-southwest1), así como el despliegue y servicio de la aplicación web alojada en los Países Bajos (europe-west4). Se informa de que el servicio de autenticación de usuarios (Firebase Authentication) puede tratar datos de acceso y autenticación fuera de la Unión Europea con arreglo a los acuerdos de transferencia internacional de Google.
• Stripe (Stripe Payments Europe, Ltd.): Gestiona la pasarela de pago, el cálculo de impuestos con Stripe Tax y la emisión de recibos y facturas en el portal del cliente. Actúa como encargado del tratamiento para el cobro y como responsable independiente para la detección y prevención del fraude financiero y bancario.
• Sentry (Functional Software, Inc.): Servicio de telemetría y detección de incidencias técnicas. Los registros de eventos de Sentry no se transmiten de forma indiscriminada; se minimizan y filtran estrictamente antes de su envío (mediante directivas beforeSend) para descartar datos personales innecesarios, cabeceras de autorización, cookies y el texto de las consultas médicas.
• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.): Proveedor de modelos de inteligencia artificial empleado hoy exclusivamente para clasificar el texto de la consulta del usuario mediante vectores de embedding.Regla estricta: a OpenAI se remite únicamente el texto de la consulta introducida, sin identificadores de usuario, sin direcciones IP ni correos electrónicos.
• Google Analytics (GA4): Medición estadística del tráfico web. Requiere el consentimiento previo y expreso otorgado a través del panel de gestión de preferencias de cookies.
• Cloudflare Turnstile (Cloudflare, Inc.): Actualmente no se usa, porque analizar exige una cuenta. Si volviera a usarse, sería un mecanismo de verificación de seguridad técnica anti-bots para proteger la plataforma frente a accesos automatizados maliciosos, sin elaborar perfiles biométricos ni rastreo entre sitios.
• Publicidad digital (Google AdSense y Google Ad Manager): Actualmente MIRómetro no muestra publicidad y no carga estos servicios. Si en el futuro volviera a mostrarla, Google AdSense y Google Ad Manager operarían como responsables independientes para suministrar anuncios y gestionar consentimientos conforme a sus propias políticas de privacidad, siempre con tu consentimiento previo, y lo indicaríamos aquí antes.
• Amazon Afiliados ES (Amazon Europe Core S.à r.l.): Actualmente la plataforma no muestra enlaces al programa de afiliación de Amazon Afiliados en España. Si volviera a incluirlos, conducirían directamente a los servidores de Amazon, entidad que trata los datos de navegación y transacciones generadas al visitar su plataforma de comercio electrónico bajo su propia política de privacidad.

4. Transferencias internacionales de datos

Determinados proveedores de servicios (como Google, Stripe, Functional Software u OpenAI) tienen sus casas matrices o infraestructuras secundarias ubicadas en Estados Unidos. Se utiliza el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework o DPF) cuando el proveedor estadounidense se encuentre formalmente certificado en dicho marco.

En caso de que el proveedor no figure certificado bajo el DPF o este no resulte directamente de aplicación a un servicio concreto, las transferencias internacionales se fundamentan en la suscripción de las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, acompañadas de las medidas técnicas y organizativas complementarias pertinentes.

5. Prevención del fraude, control de cuentas compartidas y revisión humana (Art. 22 RGPD)

MIRómetro analiza señales de riesgo técnico (concurrencia simultánea inusual de sesiones, ritmo desproporcionado de peticiones o indicios de automatización) con el único fin de proteger la seguridad del sistema y verificar el cumplimiento de las condiciones del servicio.

Ninguna medida restrictiva grave o suspensión permanente de una cuenta de pago se adopta de forma puramente automatizada sin intervención humana. Conforme al artículo 22 del RGPD, el usuario tiene derecho a solicitar la revisión humana de cualquier decisión técnica que le afecte significativamente, a formular alegaciones y a expresar su punto de vista dirigiéndose a [PENDIENTE CP7].

6. Derechos del usuario y reclamación ante la autoridad de control (AEPD)

El interesado puede ejercitar en cualquier momento y de forma gratuita los siguientes derechos reconocidos por el RGPD y la LOPDGDD:

• Acceso: Conocer qué datos personales tratamos sobre su persona.
• Rectificación: Solicitar la corrección de datos inexactos o incompletos.
• Supresión ("Derecho al olvido"): Pedir la eliminación de sus datos personales cuando ya no sean necesarios para los fines contratados.
• Limitación del tratamiento: Solicitar la suspensión temporal del tratamiento en los casos legalmente previstos.
• Portabilidad: Recibir los datos personales aportados en un formato estructurado, de uso común y lectura mecánica.
• Oposición: Oponerse al tratamiento basado en el interés legítimo.

Autonomía en el área personal: Desde el panel de gestión de cuenta del usuario (/cuenta), la persona interesada puede exportar por sí misma una copia descargable de sus datos personales y solicitar o ejecutar la supresión íntegra de su cuenta y sus datos vinculados.

Para ejercer estos derechos mediante comunicación por correo electrónico dirigida a [PENDIENTE CP7], no es preceptivo adjuntar copia del documento de identidad con carácter general; únicamente se solicitará documentación adicional para acreditar la identidad del solicitante en caso de que concurran dudas razonables sobre la misma, de conformidad con el artículo 12.6 del RGPD.

Si el usuario considera que sus derechos de protección de datos han sido vulnerados o no han sido atendidos debidamente, tiene derecho a presentar una reclamación formal ante la autoridad de control competente: la Agencia Española de Protección de Datos (AEPD), a través de su sede electrónica en www.aepd.es o por vía postal en C/ Jorge Juan, 6, 28001 Madrid.

7. Tratamiento de datos de menores y límites de edad

De conformidad con el artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de los datos personales de un menor de edad solo podrá fundarse en su consentimiento cuando sea mayor de 14 años. En virtud de ello, el registro y acceso a los servicios gratuitos de MIRómetro está habilitado a partir de los 14 años de edad.

No obstante lo anterior, la contratación formal de planes de pago (MIRómetro Premium) y el tratamiento de datos personales asociado a la recepción de publicidad personalizada en la plataforma quedan reservados de manera estricta y exclusiva a personas mayores de 18 años.