Política de privacidad

1. Quién es responsable (el responsable del tratamiento)

El responsable del tratamiento de los datos personales aquí descritos es willithurt.me, operado por Scott Agirs, Riga, Letonia. Contacto para cualquier cuestión de privacidad: privacy@willithurt.me.

Somos un servicio pequeño e independiente y no estamos obligados a nombrar un delegado de protección de datos; la dirección anterior llega directamente a la persona responsable.

2. Qué datos recopilamos

Solo recopilamos lo que el servicio necesita para funcionar. Según cómo uses willithurt.me, eso es:

• Datos de la cuenta — al iniciar sesión: tu dirección de correo electrónico, un nombre visible opcional, tu idioma y país preferidos y el método de inicio de sesión usado (enlace mágico por correo o Google). De Google no se importa nada más que tu correo y tu nombre.
• Identificador de sesión anónimo — antes de iniciar sesión, creamos una cuenta anónima aleatoria para que tu historial de escaneos te acompañe en el mismo dispositivo. No contiene ni nombre ni correo. Si más tarde inicias sesión, el historial anónimo se fusiona con tu cuenta.
• Historial de escaneos — los códigos de barras que consultas, cuándo, el país y el idioma de la solicitud y el producto al que llevaron. Esto alimenta tu página de Historial.
• Contribuciones — cuando añades o corriges un producto: las fotos que subes (código de barras, frontal del envase, etiqueta de ingredientes), el texto que escribes y el hecho de que tu cuenta hizo la contribución. Las fotos deben mostrar solo el envase; por favor, no incluyas personas, tickets ni nada personal.
• Informes — cuando informas de un problema: el motivo y los detalles que indicas, un correo de contacto opcional, el identificador de tu cuenta (incluidas las anónimas) y un hash unidireccional de tu dirección IP que solo se usa para limitar abusos.
• Registros técnicos — registros de servidor estándar (ruta de la solicitud, marca de tiempo, agente de usuario, estado de la respuesta), con la dirección IP almacenada solo como hash unidireccional con sal, conservados por seguridad y limitación de frecuencia. No creamos perfiles a partir de estos registros.
• Datos de procesamiento por IA — las fotos de etiquetas y el texto de ingredientes que envías se transmiten a un proveedor de IA para leer la etiqueta y elaborar el análisis (ver sección 5). El texto del análisis se guarda con el producto, no contigo.

No recopilamos datos de pago, ubicación precisa, contactos ni identificadores de dispositivo, y no usamos identificadores publicitarios de ningún tipo.

3. Para qué los usamos y con qué base jurídica

Según el RGPD, todo uso de datos personales necesita una base jurídica. Las nuestras son:

• Prestar el servicio que solicitaste (art. 6.1.b RGPD — contrato): crear y mantener tu cuenta, mostrar tu historial de escaneos, almacenar y mostrar tus contribuciones, responder a tus informes.
• Nuestros intereses legítimos (art. 6.1.f RGPD): mantener el servicio seguro y libre de abusos (limitación de frecuencia, registros de IP con hash, registros de auditoría de acciones de moderación), mejorar la base de datos de productos y los análisis mediante contribuciones de la comunidad, y entender el uso agregado sin cookies. Hemos ponderado estos intereses frente a los tuyos y creemos que el impacto sobre ti es mínimo; puedes oponerte en cualquier momento (sección 9).
• Tu consentimiento (art. 6.1.a RGPD): funciones opcionales que están desactivadas hasta que las activas — por ejemplo, iniciar sesión con Google o darnos un correo de contacto al enviar un informe. Puedes retirar el consentimiento en cualquier momento; esto no afecta al tratamiento ya realizado.
• Obligaciones legales (art. 6.1.c RGPD): conservar registros de decisiones de moderación de contenido e informes, como exige la Ley de Servicios Digitales de la UE, y responder a solicitudes legítimas de las autoridades.

4. Cookies y almacenamiento local

willithurt.me solo usa cookies estrictamente necesarias: una cookie de sesión que mantiene tu sesión iniciada (incluida la sesión anónima) y una cookie de corta duración que protege los formularios de inicio de sesión. Son necesarias para que el sitio funcione y no requieren banner de consentimiento según las normas de ePrivacy.

No usamos cookies de seguimiento, publicitarias ni de terceros. Las estadísticas de uso agregadas se recogen con Vercel Analytics, que no usa cookies y no identifica a visitantes individuales.

Tu navegador también puede guardar localmente una copia de la aplicación (un «service worker») y tu elección de idioma para que el sitio cargue sin conexión. Estos datos nunca salen de tu dispositivo y puedes borrarlos desde la configuración del navegador.

5. Con quién compartimos datos (encargados del tratamiento)

No vendemos datos personales ni los compartimos con anunciantes. Para operar el servicio dependemos de un pequeño número de proveedores que tratan datos en nuestro nombre bajo acuerdos escritos de tratamiento de datos:

• Vercel Inc. — alojamiento, red edge y analítica sin cookies. Servidores en la UE cuando están disponibles; algunas ubicaciones edge pueden estar fuera de la UE (ver sección 8).
• Neon Inc. — la base de datos Postgres que almacena cuentas, historial de escaneos, contribuciones e informes. Región: UE (Fráncfort, Alemania).
• Cloudflare Inc. (R2) — almacenamiento de las fotos de productos subidas. Región: UE.
• Anthropic PBC — procesamiento por IA de fotos y texto de etiquetas de ingredientes para leer la etiqueta y generar el análisis. Anthropic no usa los datos enviados a través de su API para entrenar sus modelos. Las fotos se envían solo para su procesamiento y Anthropic no las conserva más allá de lo necesario para prestar el servicio.
• Resend Inc. — envía únicamente correos transaccionales (enlaces de inicio de sesión, respuestas a tus informes). Ningún correo de marketing.
• Google LLC — solo si eliges «Iniciar sesión con Google». La política de privacidad de Google se aplica a ese paso de inicio de sesión.

Los datos abiertos que devolvemos a las bases de datos públicas (ver las Condiciones y la página de Fuentes de datos) nunca incluyen los datos de tu cuenta — solo datos de productos y fotos de envases, atribuidos a una cuenta genérica de willithurt.me.

También podemos revelar datos cuando la ley lo exija, por ejemplo para cumplir una orden judicial o para ejercer o defender reclamaciones legales.

6. Cuánto tiempo conservamos los datos

• Historial de escaneos — hasta que lo borres (Historial → Borrar, o eliminando tu cuenta).
• Sesiones anónimas — 30 días desde la última actividad, salvo que se conviertan en una cuenta con sesión iniciada.
• Datos de la cuenta — mientras exista tu cuenta. Cuando eliminas tu cuenta, sus datos se borran y tus contribuciones se anonimizan (los datos del producto se mantienen, sin ningún vínculo contigo).
• Contribuciones y fotos de productos — se conservan como parte de la base de datos de productos; el vínculo con tu cuenta se elimina cuando borras la cuenta.
• Informes — 24 meses desde la decisión, para poder demostrar cómo hemos gestionado las notificaciones si se nos pide.
• Registros de auditoría de acciones de moderación y administración — 12 meses.
• Registros técnicos (IP con hash) — hasta 30 días.
• Contadores de limitación de frecuencia — ventanas móviles de una hora como máximo.

7. Seguridad

Todo el tráfico se cifra en tránsito (TLS). Los datos en reposo los cifran nuestros proveedores de alojamiento. El acceso a los datos de producción está limitado al operador y queda registrado. Las direcciones IP se almacenan solo como hashes con sal. El inicio de sesión usa enlaces mágicos de un solo uso o Google; nunca almacenamos contraseñas.

Ningún sistema es perfectamente seguro. Si tenemos conocimiento de una violación de datos personales que pueda ponerte en riesgo, te lo notificaremos a ti y a la autoridad de control, como exige el RGPD.

8. Transferencias internacionales

Elegimos regiones de la UE cuando nuestros proveedores las ofrecen (la base de datos y el almacenamiento de imágenes están en la UE). Algunos proveedores — Vercel, Anthropic, Resend, Cloudflare y Google — están establecidos en Estados Unidos u operan infraestructura edge en todo el mundo, por lo que algunos datos pueden transferirse fuera del Espacio Económico Europeo.

Cuando eso ocurre, nos basamos en las cláusulas contractuales tipo (CCT) de la Comisión Europea incorporadas al acuerdo de tratamiento de datos de cada proveedor, en el Marco de Privacidad de Datos UE–EE. UU. cuando el proveedor está certificado, y en medidas complementarias como el cifrado. Puedes pedirnos una copia de las garantías correspondientes en la dirección de contacto indicada arriba.

9. Tus derechos

Tienes los siguientes derechos respecto a tus datos personales. La mayoría puedes ejercerlos tú mismo desde la página de Cuenta; para el resto, escribe a privacy@willithurt.me. Respondemos en el plazo de un mes.

• Acceso (art. 15) — ver qué datos tenemos sobre ti. Cuenta → Exportar tus datos descarga una copia legible por máquina.
• Rectificación (art. 16) — corregir datos inexactos. Puedes editar tu nombre, idioma y país en Cuenta.
• Supresión (art. 17) — Cuenta → Eliminar cuenta borra tu cuenta, tu historial de escaneos y los vínculos personales con tus contribuciones.
• Portabilidad (art. 20) — la exportación anterior está en JSON, un formato común legible por máquina.
• Limitación (art. 18) y oposición (art. 21) — puedes oponerte al tratamiento basado en nuestros intereses legítimos y pedirnos que limitemos el tratamiento mientras lo estudiamos. Escríbenos e indícanos a qué te opones.
• Retirar el consentimiento — para las funciones opcionales, en cualquier momento, sin afectar al tratamiento anterior.

No tomamos decisiones sobre ti con efectos jurídicos o significativamente similares basadas únicamente en el tratamiento automatizado. Los veredictos de productos se generan automáticamente, pero tratan sobre productos, no sobre ti.

Si crees que estamos tratando tus datos de forma ilícita, tienes derecho a presentar una reclamación ante una autoridad de control. Nuestra autoridad principal es la Inspección Estatal de Datos de Letonia: Datu valsts inspekcija, Elijas iela 17, Riga, LV-1050, Letonia — www.dvi.gov.lv. También puedes reclamar ante la autoridad del país de la UE en el que vives o trabajas.

10. Menores

willithurt.me no está dirigido a menores de 16 años y no recopilamos a sabiendas datos personales de ellos. Si crees que un menor ha creado una cuenta, contáctanos y la eliminaremos.

11. Cambios en esta política

Actualizaremos esta página cuando cambie nuestro tratamiento y ajustaremos la fecha de «última actualización» indicada arriba. Para cambios importantes mostraremos un aviso en la aplicación. Las versiones anteriores están disponibles bajo petición.