Política de privacidad

1. Protección de datos de un vistazo

Indicaciones generales

Las siguientes indicaciones ofrecen una visión general sencilla de lo que sucede con sus datos personales cuando visita este sitio web. Los datos personales son todos aquellos datos con los que se le puede identificar personalmente. Para obtener información detallada sobre la protección de datos, consulte nuestra política de privacidad que figura a continuación de este texto.

¿Quién es responsable de la recogida de datos en este sitio web?

El tratamiento de datos en este sitio web lo lleva a cabo el operador del sitio web. Puede consultar sus datos de contacto en el apartado «Aviso sobre la entidad responsable» de esta política de privacidad.

¿Cómo recogemos sus datos?

Por un lado, sus datos se recogen cuando usted nos los facilita. Puede tratarse, p. ej., de datos que introduce al registrarse o en un formulario de contacto. Otros datos se recogen de forma automática o previo su consentimiento al visitar el sitio web mediante nuestros sistemas informáticos. Se trata, sobre todo, de datos técnicos (p. ej., navegador de Internet, sistema operativo u hora de la consulta de la página). La recogida de estos datos se produce de forma automática en cuanto accede a este sitio web.

¿Para qué utilizamos sus datos?

Una parte de los datos se recoge para garantizar una puesta a disposición del sitio web sin errores. Otros datos pueden utilizarse para analizar su comportamiento como usuario. En la medida en que a través del sitio web se puedan celebrar o iniciar contratos, los datos transmitidos también se tratan para ofertas contractuales, pedidos u otras solicitudes de encargo.

¿Qué derechos tiene usted respecto a sus datos?

Tiene derecho en todo momento a obtener gratuitamente información sobre el origen, los destinatarios y la finalidad de sus datos personales almacenados. Además, tiene derecho a solicitar la rectificación o supresión de estos datos. Si ha otorgado un consentimiento para el tratamiento de datos, puede revocarlo en cualquier momento con efectos para el futuro. Asimismo, tiene derecho, en determinadas circunstancias, a solicitar la limitación del tratamiento de sus datos personales. Además, le asiste el derecho a presentar una reclamación ante la autoridad de control competente. Para ello, así como para cualquier otra cuestión relacionada con la protección de datos, puede dirigirse a nosotros en cualquier momento.

2. Alojamiento

Alojamos los contenidos de nuestro sitio web en un proveedor externo. Los datos personales que se recogen en este sitio web se almacenan en los servidores del proveedor de alojamiento. Puede tratarse, sobre todo, de direcciones IP, solicitudes de contacto, metadatos y datos de comunicación, datos contractuales, datos de contacto, nombres, accesos al sitio web y otros datos generados a través de un sitio web.

El alojamiento externo se realiza con el fin de cumplir el contrato frente a nuestros usuarios y clientes potenciales y existentes (art. 6.1.b RGPD) y en interés de una puesta a disposición segura, rápida y eficiente de nuestra oferta en línea por parte de un proveedor profesional (art. 6.1.f RGPD). En la medida en que se haya solicitado el consentimiento correspondiente, el tratamiento se realiza exclusivamente sobre la base del art. 6.1.a RGPD y del § 25.1 TDDDG, siempre que el consentimiento abarque el almacenamiento de cookies o el acceso a información en el dispositivo del usuario (p. ej., device fingerprinting) en el sentido de la TDDDG. El consentimiento es revocable en cualquier momento.

Nuestro proveedor de alojamiento tratará sus datos únicamente en la medida necesaria para cumplir sus obligaciones de prestación y seguirá nuestras instrucciones respecto a dichos datos. Utilizamos el siguiente proveedor de alojamiento:

Encargo del tratamiento

Hemos celebrado un contrato de encargo del tratamiento (CET) para el uso del servicio mencionado anteriormente. Se trata de un contrato exigido por la normativa de protección de datos que garantiza que dicho proveedor trata los datos personales de los visitantes de nuestro sitio web únicamente conforme a nuestras instrucciones y respetando el RGPD.

3. Indicaciones generales e información obligatoria

Protección de datos

Los operadores de estas páginas se toman muy en serio la protección de sus datos personales. Tratamos sus datos personales de forma confidencial y conforme a las disposiciones legales de protección de datos, así como a esta política de privacidad. Cuando utiliza este sitio web, se recogen diversos datos personales. Los datos personales son datos con los que se le puede identificar personalmente. Esta política de privacidad explica qué datos recogemos y para qué los utilizamos. También explica cómo y con qué finalidad se hace. Le advertimos que la transmisión de datos por Internet (p. ej., en la comunicación por correo electrónico) puede presentar brechas de seguridad. No es posible una protección total de los datos frente al acceso de terceros.

Aviso sobre la entidad responsable

La entidad responsable del tratamiento de datos en este sitio web es:

• Teléfono: 040 – 69 63 86 3 - 20
• Correo electrónico: moin@elbcloud.de

Entidad responsable es la persona física o jurídica que, sola o junto con otras, decide sobre los fines y los medios del tratamiento de datos personales (p. ej., nombres, direcciones de correo electrónico o similares).

Delegado de protección de datos

Hemos designado a un delegado de protección de datos.

• Teléfono: +49 177 3100249
• Correo electrónico: datenschutz@elbcloud.de

Plazo de conservación

Salvo que en esta política de privacidad se haya indicado un plazo de conservación más específico, sus datos personales permanecerán con nosotros hasta que deje de existir la finalidad del tratamiento. Si usted ejerce una solicitud justificada de supresión o revoca un consentimiento para el tratamiento de datos, sus datos se suprimirán, siempre que no tengamos otros motivos legalmente admisibles para conservar sus datos personales (p. ej., plazos de conservación fiscales o mercantiles); en este último caso, la supresión se realizará una vez desaparezcan dichos motivos.

Indicaciones generales sobre las bases jurídicas del tratamiento de datos en este sitio web

En la medida en que usted haya consentido el tratamiento de datos, tratamos sus datos personales sobre la base del art. 6.1.a RGPD o del art. 9.2.a RGPD, en caso de que se traten categorías especiales de datos conforme al art. 9.1 RGPD. En caso de un consentimiento expreso para la transferencia de datos personales a terceros países, el tratamiento se realiza además sobre la base del art. 49.1.a RGPD. En la medida en que usted haya consentido el almacenamiento de cookies o el acceso a información en su dispositivo (p. ej., mediante device fingerprinting), el tratamiento de datos se realiza adicionalmente sobre la base del § 25.1 TDDDG. El consentimiento es revocable en cualquier momento. Si sus datos son necesarios para el cumplimiento de un contrato o para la ejecución de medidas precontractuales, tratamos sus datos sobre la base del art. 6.1.b RGPD. Además, tratamos sus datos, en la medida en que sean necesarios para el cumplimiento de una obligación legal, sobre la base del art. 6.1.c RGPD. El tratamiento de datos también puede realizarse sobre la base de nuestro interés legítimo conforme al art. 6.1.f RGPD. Sobre las bases jurídicas aplicables en cada caso concreto se informa en los siguientes párrafos de esta política de privacidad.

Destinatarios de datos personales

En el marco de nuestra actividad empresarial colaboramos con diversas entidades externas. En ocasiones es necesaria también la transmisión de datos personales a estas entidades externas. Solo transmitimos datos personales a entidades externas cuando ello es necesario en el marco del cumplimiento de un contrato, cuando estamos legalmente obligados a ello (p. ej., transmisión de datos a las autoridades tributarias), cuando tenemos un interés legítimo conforme al art. 6.1.f RGPD en la transmisión o cuando otra base jurídica permite la transmisión de datos. Cuando recurrimos a encargados del tratamiento, transmitimos datos personales de nuestros clientes únicamente sobre la base de un contrato válido de encargo del tratamiento. En caso de un tratamiento conjunto, se celebra un contrato de corresponsabilidad del tratamiento.

Revocación de su consentimiento para el tratamiento de datos

Muchas operaciones de tratamiento de datos solo son posibles con su consentimiento expreso. Puede revocar en cualquier momento un consentimiento ya otorgado. La licitud del tratamiento de datos realizado hasta la revocación no se ve afectada por esta.

Derecho de oposición a la recogida de datos en casos especiales y a la publicidad directa (art. 21 RGPD)

Derecho a presentar una reclamación ante la autoridad de control competente

En caso de infracciones del RGPD, los afectados tienen derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la presunta infracción. Este derecho de reclamación existe sin perjuicio de cualquier otro recurso administrativo o judicial.

Derecho a la portabilidad de los datos

Tiene derecho a que los datos que tratamos de forma automatizada sobre la base de su consentimiento o en cumplimiento de un contrato se le entreguen a usted o a un tercero en un formato común y legible por máquina. En la medida en que solicite la transmisión directa de los datos a otro responsable, esto solo se realizará siempre que sea técnicamente posible.

Información, rectificación y supresión

En el marco de las disposiciones legales vigentes, tiene derecho en todo momento a obtener gratuitamente información sobre sus datos personales almacenados, su origen y destinatarios y la finalidad del tratamiento de datos y, en su caso, derecho a la rectificación o supresión de estos datos. Para ello, así como para cualquier otra cuestión relacionada con los datos personales, puede dirigirse a nosotros en cualquier momento.

Derecho a la limitación del tratamiento

Tiene derecho a solicitar la limitación del tratamiento de sus datos personales. Para ello puede dirigirse a nosotros en cualquier momento. El derecho a la limitación del tratamiento existe en los siguientes casos:

• Si usted cuestiona la exactitud de sus datos personales almacenados por nosotros, normalmente necesitamos tiempo para comprobarlo. Durante el tiempo que dure la comprobación, tiene derecho a solicitar la limitación del tratamiento de sus datos personales.
• Si el tratamiento de sus datos personales se produjo o se produce de forma ilícita, puede solicitar la limitación del tratamiento de datos en lugar de la supresión.
• Si ya no necesitamos sus datos personales, pero usted los necesita para el ejercicio, la defensa o la formulación de reclamaciones, tiene derecho a solicitar la limitación del tratamiento de sus datos personales en lugar de la supresión.
• Si usted ha presentado una oposición conforme al art. 21.1 RGPD, debe realizarse una ponderación entre sus intereses y los nuestros. Mientras no se haya determinado qué intereses prevalecen, tiene derecho a solicitar la limitación del tratamiento de sus datos personales.

Si usted ha limitado el tratamiento de sus datos personales, dichos datos —al margen de su almacenamiento— solo podrán tratarse con su consentimiento o para la formulación, el ejercicio o la defensa de reclamaciones o para la protección de los derechos de otra persona física o jurídica o por razones de un interés público importante de la Unión Europea o de un Estado miembro.

Cifrado SSL o TLS

Por motivos de seguridad y para proteger la transmisión de contenidos confidenciales, como por ejemplo pedidos o solicitudes que usted nos envía como operador del sitio, esta página utiliza un cifrado SSL o TLS. Puede reconocer una conexión cifrada por el hecho de que la línea de direcciones del navegador cambia de «http://» a «https://» y por el símbolo del candado en la barra de su navegador. Cuando el cifrado SSL o TLS está activado, los datos que nos transmite no pueden ser leídos por terceros.

4. Recogida de datos en este sitio web

Cookies

Nuestras páginas de Internet utilizan las denominadas «cookies». Las cookies son pequeños paquetes de datos y no causan ningún daño en su dispositivo. Se almacenan en su dispositivo de forma temporal durante una sesión (cookies de sesión) o de forma permanente (cookies permanentes). Las cookies de sesión se eliminan automáticamente al finalizar su visita. Las cookies permanentes permanecen almacenadas en su dispositivo hasta que usted mismo las elimine o se produzca una eliminación automática por parte de su navegador web.

Las cookies pueden proceder de nosotros (cookies propias o de origen) o de terceras empresas (las denominadas cookies de terceros). Las cookies de terceros permiten la integración de determinados servicios de terceras empresas dentro de las páginas web. Las cookies tienen diversas funciones. Numerosas cookies son técnicamente necesarias, ya que determinadas funciones del sitio web no funcionarían sin ellas (p. ej., el almacenamiento de su estado de inicio de sesión). Otras cookies pueden utilizarse para evaluar el comportamiento del usuario o con fines publicitarios.

Las cookies que son necesarias para llevar a cabo el proceso de comunicación electrónica, para poner a disposición determinadas funciones deseadas por usted (p. ej., para la función de inicio de sesión) o para optimizar el sitio web (cookies necesarias) se almacenan sobre la base del art. 6.1.f RGPD, siempre que no se indique otra base jurídica. El operador del sitio web tiene un interés legítimo en el almacenamiento de cookies necesarias para la puesta a disposición técnicamente correcta y optimizada de sus servicios. En la medida en que se haya solicitado un consentimiento para el almacenamiento de cookies y tecnologías de reconocimiento similares, el tratamiento se realiza exclusivamente sobre la base de dicho consentimiento (art. 6.1.a RGPD y § 25.1 TDDDG); el consentimiento es revocable en cualquier momento.

Puede configurar su navegador de modo que se le informe sobre la instalación de cookies y permitir las cookies solo en casos concretos, excluir la aceptación de cookies para determinados casos o de forma general, así como activar la eliminación automática de las cookies al cerrar el navegador. En caso de desactivar las cookies, la funcionalidad de este sitio web puede verse limitada.

Consentimiento de cookies (banner de consentimiento)

Este sitio web utiliza una herramienta de consentimiento propia (de origen) («banner de cookies») para recabar su consentimiento al almacenamiento de determinadas cookies no necesarias o al uso de determinadas tecnologías y documentarlo de forma conforme con la protección de datos. Al acceder al sitio web puede realizar su selección: puede aceptar todas las cookies opcionales, rechazarlas o permitir de forma selectiva categorías concretas. Las cookies necesarias, imprescindibles para el funcionamiento técnico del sitio web (p. ej., para el almacenamiento de su estado de inicio de sesión), se instalan sin consentimiento. La medición de alcance sin cookies (véase «Medición de alcance»), en cambio, no se basa en un consentimiento, sino en nuestro interés legítimo; puede oponerse a ella con la misma herramienta. En nuestras apps, el banner no se abre por sí solo; los mapas y los reproductores integrados se cargan allí, igual que en el sitio web, solo tras su consentimiento o su clic.

Su selección se almacena exclusivamente de forma local en su navegador, así como en una cookie propia en su dispositivo, para que no tengamos que volver a solicitarle el consentimiento en una visita posterior. En este proceso no se transmiten datos a terceros. Puede revocar o modificar su consentimiento en cualquier momento con efectos para el futuro, volviendo a abrir la configuración de cookies: a través del enlace «Configuración de cookies» en el pie de página del sitio web, en el menú de su cuenta o, en nuestras apps, debajo del inicio de sesión y del registro.

El almacenamiento del consentimiento se realiza para poder acreditar los consentimientos exigidos legalmente para el uso de determinadas tecnologías. La base jurídica para ello es el art. 6.1.c RGPD.

Archivos de registro del servidor

El proveedor de las páginas recoge y almacena automáticamente información en los denominados archivos de registro del servidor, que su navegador nos transmite automáticamente. Estos son:

• Tipo y versión del navegador
• Sistema operativo utilizado
• URL de referencia (Referrer URL)
• Nombre de host del equipo que accede
• Hora de la solicitud al servidor
• Dirección IP

No se realiza ninguna combinación de estos datos con otras fuentes de datos. La recogida de estos datos se realiza sobre la base del art. 6.1.f RGPD. El operador del sitio web tiene un interés legítimo en la presentación técnicamente correcta y en la optimización de su sitio web; para ello deben recogerse los archivos de registro del servidor.

Registro de errores

Si al utilizar este sitio web se produce un error técnico, ya sea en nuestro servidor o en una función que se ejecuta en su navegador (p. ej. al crear una imagen para compartir), almacenamos, para poder corregirlo, el mensaje técnico de error, la página afectada (sin parámetros de consulta), el identificador del navegador (user agent), la versión de nuestro software y la fecha y hora. No se almacena su dirección IP, no se vincula con ninguna cuenta de usuario y las direcciones de correo electrónico se eliminan de los mensajes de error. Los errores del mismo tipo se agrupan y solo se contabilizan. No se establecen cookies ni se almacena o lee información en su dispositivo; por tanto, no es de aplicación el § 25 TDDDG. La base jurídica es el art. 6.1.f RGPD: nuestro interés legítimo en el funcionamiento sin errores del sitio web. Las entradas de error que no se hayan repetido durante 90 días se eliminan automáticamente.

El registro de errores incluye también los avisos que su navegador nos envía por sí mismo cuando una de nuestras páginas carga o ejecuta algo que nuestra política de seguridad de contenidos (Content Security Policy) no prevé. De estos avisos almacenamos la regla afectada de la política, el destino (en el caso de direcciones de servidores ajenos, solo su nombre; en el de nuestras propias direcciones, además la primera parte de la ruta), la página afectada y el archivo de script del que partió la infracción, en ambos casos sin parámetros de consulta, la línea y la columna en él, en el caso de código incrustado directamente en una página o generado en tiempo de ejecución, su comienzo (como máximo 80 caracteres), el identificador del navegador (user agent) y la versión de nuestro software. Descartamos los avisos de extensiones del navegador, los relativos a páginas que no pertenecen a este sitio web y los de accesos reconociblemente automatizados. Utilizamos su dirección IP solo como valor hash que cambia a diario y que se mantiene en la memoria de trabajo, para limitar el número de avisos; no se almacena. Por lo demás, a estos avisos se les aplica lo mismo que al resto del registro de errores, incluida la eliminación automática tras 90 días sin un nuevo aviso.

Registros de diagnóstico del servidor

Además del registro de errores, nuestro servidor lleva dos archivos de registro con los que reconstruimos incidencias. El registro de inicios de sesión y envíos anota, con fecha y hora, procesos relacionados con cuentas y correos electrónicos: intentos de inicio de sesión rechazados con su motivo, la confirmación de direcciones de correo, el restablecimiento de contraseñas, el cambio de la dirección de correo y las eliminaciones a petición, cada correo enviado con su tipo y su identificador técnico (Message-ID), las solicitudes rechazadas o frenadas, así como las incidencias de estos y otros procesos técnicos, por ejemplo al enviar notificaciones push. Nombra las cuentas por su identificador interno, nunca por su nombre de usuario, y un inicio de sesión rechazado con Apple o Google, por el identificador que el proveedor transmitió para ello. El registro de errores en forma de archivo recoge errores técnicos de nuestro servidor, con el método y la dirección de la página solicitada y el mensaje de error junto con su traza técnica. En ambos archivos, las direcciones de correo solo aparecen abreviadas al primer carácter y al dominio (p. ej. «m***@example.com»); un identificador introducido al iniciar sesión que no contiene «@» solo aparece como indicación de su longitud. No escribimos su dirección IP en estos archivos. Eliminamos automáticamente las entradas que tengan más de 30 días. Comprobamos una vez al día si corresponde eliminar entradas; por eso la eliminación puede producirse hasta un día más tarde. El servidor escribe además las mismas entradas en la salida en curso de la aplicación, que nuestro entorno de servidor conserva como registro propio; a esta salida no se le aplica el plazo de 30 días. La base jurídica es nuestro interés legítimo en un funcionamiento seguro y correcto (art. 6.1.f RGPD).

Protección contra abusos (contadores de corta duración)

Para frenar la adivinación automatizada de contraseñas, el envío masivo de correos, la sobrecarga de nuestro servidor mediante solicitudes masivas y abusos similares, nuestro servidor cuenta con qué frecuencia se activan determinadas acciones en poco tiempo: según la acción, por separado según la dirección IP o la red desde la que llega una solicitud (en parte solo como valor hash que cambia a diario), según la dirección de correo a la que debe enviarse un correo, según el identificador introducido al iniciar sesión o según su cuenta. Cuando se alcanza un límite, rechazamos los siguientes intentos durante un tiempo. Mantenemos estos contadores exclusivamente en la memoria de trabajo del servidor; no los escribimos en la base de datos ni en archivos. Estos contadores no incluyen el seudónimo de la red que guardamos con las reservas en listas de deseos compartidas (véase «Lista de deseos compartida, reservas y chat de grupo»). Cada contador solo vale para una ventana de tiempo fija de 24 horas como máximo; en el caso de intentos fallidos de inicio de sesión, hasta una hora después del último intento fallido, y en el de la carga de imágenes que nuestro servidor convierte para su visualización, hasta 15 segundos después de la última carga. Después lo eliminamos de la memoria de trabajo como muy tarde a los diez minutos; cada reinicio de la aplicación elimina todos los contadores. La base jurídica es nuestro interés legítimo en proteger su cuenta y nuestra oferta frente a abusos (art. 6.1.f RGPD).

Medición de alcance (estadística propia, sin cookies)

Para medir el alcance de nuestra oferta y mejorar su visibilidad (optimización para buscadores), recogemos datos de uso mediante una función estadística operada por nosotros mismos. Al acceder a una página pública tratamos: la página visitada, el origen de la visita (únicamente el dominio de la página de referencia, p. ej. un buscador), el identificador del navegador (user agent, entre otras cosas para detectar accesos automatizados), el idioma de visualización seleccionado, así como la fecha y hora del acceso. Además, contamos cuántas veces se hace clic en los distintos enlaces y botones de las páginas públicas; para ello solo guardamos la página, la denominación del elemento o el destino del enlace (en destinos externos, únicamente el dominio) y un contador diario, sin seudónimo y sin asociación a una visita. Las páginas de las áreas con sesión iniciada (p. ej. el panel de control) no se registran. La única excepción es la búsqueda de lugares al añadir un lugar: allí contamos, por día natural e idioma de visualización, cuántas veces se buscó, cuántas búsquedas no dieron resultados y cuántas veces se eligió después crear el lugar por cuenta propia, exclusivamente como contadores, sin el término de búsqueda, sin la dirección IP y sin vínculo con su cuenta ni con su visita. No se utilizan proveedores terceros ni se transmiten datos a terceros.

La medición se realiza sin cookies y sin almacenar información en su dispositivo ni acceder a ella; por tanto, el § 25 TDDDG no es aplicable. Su dirección IP no se almacena. Para estimar el número de visitantes calculamos un seudónimo de corta duración (hash) a partir de la dirección IP, el identificador del navegador, el día natural correspondiente y una clave secreta. Como el día natural forma parte del cálculo, el seudónimo cambia cada día; quien no conozca la clave no puede atribuírselo a usted ni enlazarlo a lo largo de varios días. La clave en sí no cambia y está en nuestro poder. Técnicamente, podríamos por tanto volver a calcular el seudónimo para una combinación de dirección IP e identificador del navegador que ya conozcamos; se trata, pues, de datos seudonimizados, no anónimos. No realizamos tal atribución; en particular, no combinamos la estadística con los archivos de registro del servidor. Dentro de un mismo día natural evaluamos las páginas vistas de un seudónimo únicamente de forma agregada, para saber en qué páginas comienzan las visitas, en qué orden se ven las páginas y en qué página terminan las visitas (páginas de entrada y de salida, duración de la visita). No se crean perfiles de uso. Los datos brutos recogidos se eliminan automáticamente, a más tardar, tras 90 días.

La base jurídica es el art. 6.1.f RGPD. Nuestro interés legítimo reside en el análisis estadístico del uso para mejorar los contenidos, la técnica y la visibilidad de nuestra oferta. La medición no requiere consentimiento y, por ello, comienza ya con la primera página vista, antes de que usted haya hecho una selección en el banner de cookies. Puede oponerse a ella en cualquier momento con efectos futuros eligiendo «Solo necesarias» en el banner de cookies o desactivando la categoría «Estadísticas» en la configuración de cookies; su visita dejará entonces de contabilizarse en este dispositivo.

Caché del navegador (service worker)

Este sitio web utiliza un llamado service worker, un script que su navegador registra en su primera visita. Crea una caché en el almacenamiento de su navegador. En la primera visita, solo guarda de antemano una página de aviso sin conexión y un icono del sitio web (en total, menos de 50 KB). Todo lo demás lo guarda solo mientras navega, en cuanto se carga: archivos de programa y fuentes del sitio web, imágenes, los datos de las páginas que abre o que su navegador carga de antemano, otras respuestas de nuestro servidor y contenidos de otros servidores integrados en nuestras páginas, por ejemplo teselas cartográficas. Cada una de estas entradas caduca, a más tardar, un tiempo determinado después de su último uso: los contenidos de otros servidores, tras una hora; los datos de páginas, los archivos de programa y otras respuestas de nuestro servidor, tras 24 horas; las fuentes, tras 7 días, y las imágenes, tras 30 días. Las entradas caducadas no se eliminan de inmediato, sino solo la próxima vez que el service worker accede a la misma parte de la caché, es decir, solo cuando vuelve a utilizar el sitio web; hasta entonces, permanecen en su dispositivo. Si en ese momento se necesita precisamente una entrada caducada, puede utilizarse una vez más. El service worker no guarda páginas completas, el panel de control, el feed ni las respuestas de nuestras interfaces (/api). La finalidad es una carga más rápida de las páginas y, si se interrumpe la conexión, una página de aviso en lugar de un mensaje de error del navegador. Si utiliza el sitio web con la sesión iniciada, entre los datos de páginas y las imágenes almacenados en caché también pueden encontrarse contenidos de su cuenta.

La caché se encuentra exclusivamente en su dispositivo; su contenido no se transmite ni a nosotros ni a terceros. Puede eliminarla en cualquier momento borrando en su navegador los datos del sitio web almacenados para shinelists.com; en nuestras apps se elimina junto con la app. En la medida en que se traten datos personales, la base jurídica es el art. 6.1.f RGPD; nuestro interés legítimo reside en una carga rápida de las páginas y en un aviso comprensible cuando se interrumpe la conexión.

Consulta por correo electrónico, teléfono o a través del formulario de contacto/soporte

Si se pone en contacto con nosotros por correo electrónico, teléfono o a través de un formulario de contacto o soporte, su consulta, incluidos todos los datos personales que de ella se deriven (nombre, consulta), se almacenará y tratará con nosotros con el fin de gestionar su solicitud. No transmitimos estos datos sin su consentimiento.

El tratamiento de estos datos se realiza sobre la base del art. 6.1.b RGPD, siempre que su consulta esté relacionada con el cumplimiento de un contrato o sea necesaria para la ejecución de medidas precontractuales. En todos los demás casos, el tratamiento se basa en nuestro interés legítimo en la gestión eficaz de las consultas que se nos dirigen (art. 6.1.f RGPD) o en su consentimiento (art. 6.1.a RGPD), siempre que este se haya solicitado; el consentimiento es revocable en cualquier momento.

Los datos que nos haya enviado permanecerán con nosotros hasta que nos solicite su supresión, revoque su consentimiento para el almacenamiento o deje de existir la finalidad del almacenamiento de datos (p. ej., una vez finalizada la gestión de su solicitud). Las disposiciones legales imperativas —en particular los plazos legales de conservación— no se ven afectadas.

Los avisos de errores e ideas que nos envíe con la sesión iniciada mediante «Reportar un error o idea» los guardamos junto con sus datos, la página a la que se refieren, el identificador de su navegador (user agent), las imágenes adjuntas y los comentarios que usted y nuestro equipo escriban al respecto. Los eliminamos, con sus adjuntos y comentarios, doce meses después de que se hayan resuelto o rechazado y nadie haya vuelto a escribir sobre ellos; si nos lo pide, antes. Si elimina su cuenta, se conservan hasta entonces sin vinculación con su cuenta.

Notificaciones sobre contenidos

Si nos notifica un contenido —con la sesión iniciada mediante «Reportar» o sin cuenta a través de nuestra página «Notificar un contenido»—, guardamos su notificación: a qué contenido se refiere, el motivo y su explicación; con «Reportar», junto con su cuenta; en la página «Notificar un contenido», con el nombre y la dirección de correo electrónico si los indica. Además guardamos nuestra decisión y su motivación. Necesitamos estos datos para examinar la notificación, informarle a usted y a la persona cuyo contenido se ve afectado sobre nuestra decisión y poder examinar una reclamación contra la decisión. La base jurídica es el cumplimiento de nuestras obligaciones derivadas de la Ley de Servicios Digitales (art. 6.1.c RGPD en relación con los artículos 16 y 17 del Reglamento (UE) 2022/2065) y nuestro interés legítimo en una moderación comprensible (art. 6.1.f RGPD).

Eliminamos las notificaciones decididas doce meses después de nuestra última decisión sobre ellas. Si alguien presenta una reclamación contra una decisión, volvemos a examinar la notificación; mientras tanto no la eliminamos, y los doce meses vuelven a empezar con la nueva decisión. Lo mismo se aplica a los avisos que nuestra revisión automática de textos públicos envía a nuestro equipo. Las notificaciones que haya enviado con la sesión iniciada mediante «Reportar» se eliminan además junto con su cuenta; las notificaciones a través de la página «Notificar un contenido» se conservan hasta que venza el plazo, sin vinculación con su cuenta.

Registro en este sitio web

Puede registrarse en este sitio web para utilizar funciones adicionales (p. ej., un perfil propio, listas, valoraciones y recomendaciones). Los datos introducidos para ello los utilizamos únicamente con el fin de usar la oferta o el servicio correspondiente para el que se ha registrado. Los datos obligatorios solicitados en el registro (en particular, dirección de correo electrónico, contraseña, así como un nombre para mostrar o nombre de usuario) deben facilitarse de forma completa. De lo contrario, rechazaremos el registro.

Para confirmar su registro y para protegerle frente a abusos, utilizamos un procedimiento de doble opt-in: tras su registro recibirá un correo electrónico con un enlace de confirmación. Su cuenta no se activará hasta que haya confirmado su dirección de correo electrónico a través de dicho enlace. Las entradas que cree ya durante el registro permanecen privadas hasta entonces. Almacenamos el momento del registro y de la confirmación para poder rastrear un posible uso indebido. Para las cuentas creadas a partir del 7 de octubre de 2026 se aplica además lo siguiente: si la dirección no se confirma en un plazo de 14 días y no ha iniciado sesión en ningún momento durante ese tiempo, eliminamos automáticamente la cuenta junto con dichas entradas. Las cuentas nunca confirmadas que se crearon antes de esa fecha también se eliminan automáticamente una vez transcurridos esos mismos 14 días, siempre que no conste ningún inicio de sesión y no contengan ningún contenido: ni entradas (sea cual sea su visibilidad) ni datos de perfil, fotos o conexiones con otros usuarios. Las cuentas con contenido se mantienen.

Como alternativa, puede iniciar sesión sin contraseña con un código que le enviamos por correo electrónico. El código tiene seis dígitos y es válido durante diez minutos y una sola vez; no lo guardamos en texto claro, sino solo como valor de comprobación criptográfico junto con su dirección de correo, y lo eliminamos al canjearlo o, a más tardar, un día después de que caduque. Si aún no existe una cuenta para su dirección, la creamos al canjear el código, con su dirección de correo, un nombre de usuario generado al azar y sin nombre visible; su perfil permanece vacío hasta que usted añada algo. Introducir el código sustituye a la confirmación mediante enlace. Si para esa dirección se había fijado antes una contraseña que nunca se confirmó, la descartamos, porque no es posible saber quién la puso. Las cuentas sin contraseña confirman su eliminación con un código enviado a su dirección.

Puede cambiar la dirección de correo electrónico de su cuenta en los ajustes. Confirma el cambio con su contraseña; en las cuentas sin contraseña basta con haber iniciado sesión en los diez minutos anteriores y, si no, con un código enviado a su dirección actual; a la nueva dirección le enviamos un enlace de confirmación válido durante 24 horas. Hasta la confirmación guardamos la nueva dirección junto con este enlace; si no se confirma, eliminamos ambos como muy tarde un día después de que caduque. Solo con la confirmación la nueva dirección sustituye a la anterior en su cuenta. A continuación enviamos a la dirección anterior un aviso del cambio, en el que la nueva dirección solo aparece abreviada, para que pueda advertir un cambio que no haya hecho usted. La base jurídica es la puesta a disposición de su cuenta (art. 6.1.b RGPD) y, para el aviso a la dirección anterior, nuestro interés legítimo en la seguridad de su cuenta (art. 6.1.f RGPD).

Si alguien nos pide por correo electrónico que eliminemos su cuenta –por ejemplo, porque ya no puede iniciar sesión–, primero enviamos a la dirección de correo electrónico guardada en su cuenta un enlace válido durante 24 horas y una sola vez; con él confirma usted mismo la eliminación. Hasta entonces guardamos el enlace solo como valor de comprobación criptográfico junto con el identificador de su cuenta; lo eliminamos junto con su cuenta o como muy tarde un día después de que caduque. Si ya no puede acceder a esa dirección o su cuenta no tiene ninguna, solo la eliminamos si acredita de forma verosímil, con al menos dos pruebas independientes entre sí, que le pertenece, por ejemplo con datos no públicos de su cuenta; para ello no le pedimos copia de ningún documento de identidad. De cada uno de estos pasos dejamos constancia en un registro: cuándo se realizó, quién lo llevó a cabo por nuestra parte y si eliminó usted mismo la cuenta mediante el enlace o lo hicimos nosotros; en el segundo caso, también qué tipos de pruebas había, junto con una breve justificación sin contenidos de su cuenta ni de su mensaje. Su cuenta solo aparece en él como valor de comprobación criptográfico de su nombre de usuario, no con su nombre ni su dirección de correo electrónico. La base jurídica es el art. 6.1.c RGPD en relación con los arts. 12.6, 17 y 5.2 RGPD: tenemos que asegurarnos de que la solicitud procede de usted y poder demostrar que la hemos tramitado. Eliminamos el registro al cabo de tres años.

Además, guardamos en su cuenta el momento de su último inicio de sesión y el día de su última visita con la sesión iniciada (en cada caso solo el valor más reciente, que se sobrescribe la próxima vez). Utilizamos estos datos para garantizar la seguridad de su cuenta, detectar cuentas que ya no se utilizan y evaluar el uso de nuestro servicio de forma agregada (p. ej. cuántas cuentas estuvieron activas en los últimos 30 días). No guardamos con este fin un registro de sus páginas vistas, su dirección IP ni datos de su dispositivo. La base jurídica es nuestro interés legítimo en un funcionamiento seguro y correcto del servicio (art. 6.1 f RGPD). Estos datos se eliminan al borrar su cuenta.

El tratamiento de los datos introducidos en el registro se realiza con el fin de ejecutar la relación de uso establecida mediante el registro y, en su caso, para iniciar otros contratos (art. 6.1.b RGPD). Los datos recogidos en el registro los almacenamos mientras esté registrado en este sitio web y, a continuación, se suprimen. Los plazos legales de conservación no se ven afectados.

Inicio de sesión con Google o Apple (inicio de sesión único)

En lugar de con dirección de correo electrónico y contraseña, también puede registrarse o iniciar sesión con una cuenta existente de Google o Apple («Iniciar sesión con Google», «Iniciar sesión con Apple»). Los proveedores son Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda, y Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. Su uso es voluntario; el registro con dirección de correo electrónico y contraseña sigue estando a su disposición en todo momento.

En el sitio web se le redirige para ello a una página de inicio de sesión del proveedor. En nuestras apps para iPhone y Android, el inicio de sesión se realiza en cambio mediante la función de inicio de sesión de su dispositivo o del proveedor. En ambos casos no conocemos su contraseña en el proveedor. El proveedor nos confirma el inicio de sesión con un justificante de inicio de sesión firmado; de él tomamos un identificador permanente de su cuenta en el proveedor, su dirección de correo electrónico junto con la indicación de si el proveedor la ha verificado y, en su caso, su nombre como nombre para mostrar de una cuenta recién creada. Con Apple puede optar por ocultar su dirección de correo electrónico; en ese caso recibimos una dirección de reenvío generada por Apple. No adoptamos la foto de perfil del proveedor. Almacenamos en su cuenta el identificador y los datos técnicos de inicio de sesión (tokens) emitidos al iniciar sesión a través del sitio web, para reconocerle en su próximo inicio de sesión. Si inicia sesión con Apple en nuestra app para iPhone, canjeamos ante Apple el código de inicio de sesión de un solo uso que Apple emite en ese momento por dichos tokens y también los almacenamos en su cuenta, para poder revocar también ante Apple el inicio de sesión con Apple cuando se elimine su cuenta. Si ya existe una cuenta con la misma dirección de correo electrónico verificada por el proveedor, vinculamos el inicio de sesión a esa cuenta.

El proveedor sabe así que usted inicia sesión en ShineLists y trata el inicio de sesión como responsable independiente conforme a sus propias condiciones. En este proceso pueden transmitirse datos personales a EE. UU. Google LLC está certificada conforme al EU-U.S. Data Privacy Framework; según sus propias indicaciones, Apple basa las transferencias desde la UE en las cláusulas contractuales tipo de la Comisión Europea.

El inicio de sesión a través de servicios externos y los tratamientos de datos asociados se realizan sobre la base de su consentimiento (art. 6.1.a RGPD), así como de nuestro interés legítimo en una posibilidad de inicio de sesión sencilla y segura (art. 6.1.f RGPD). En la medida en que se haya solicitado un consentimiento, este es revocable en cualquier momento con efectos para el futuro. La vinculación termina con la eliminación de su cuenta; además, puede retirar el acceso en la configuración de la cuenta del proveedor. Para el tratamiento de datos por parte del proveedor correspondiente se aplican sus disposiciones de protección de datos: Google (https://policies.google.com/privacy) y Apple (https://www.apple.com/legal/privacy/).

Enlaces de invitación y la conexión con quien invita

Las personas usuarias pueden recomendar ShineLists. Un enlace de invitación de este tipo contiene el nombre de usuario de quien invita como parámetro («?ref=…»). Si abre un enlace así, guardamos ese nombre de usuario en una cookie propia («sl_ref») en su dispositivo. La cookie contiene únicamente ese nombre de usuario: ningún identificador de su dispositivo ni dato alguno sobre su comportamiento en este sitio web. Caduca a los 30 días, no puede leerse mediante scripts (httpOnly) y se elimina en cuanto se ha canjeado.

Ese almacenamiento es necesario para poder atribuir la invitación aunque usted no se registre de inmediato o pase por un inicio de sesión con un tercero (single sign-on); sin él, la atribución se perdería en el camino hacia el proveedor. Por ello consideramos esta cookie estrictamente necesaria para el servicio que usted ha solicitado (artículo 25, apartado 2, n.º 2 TDDDG); se establece sin consentimiento.

Si a continuación crea una cuenta, anotamos en ella a la persona que le invitó. Una invitación ya anotada no se sobrescribe: vale la primera.

En cuanto se confirma su dirección de correo electrónico — o usted inicia sesión con un proveedor externo que ya la ha confirmado — ocurren dos cosas: su cuenta sigue a la cuenta de quien le invitó, y esa persona recibe una notificación (en la aplicación y, si la ha activado, también como mensaje push) con su nombre visible o de usuario y un enlace a su perfil público. Además le abonamos puntos de experiencia (puntos de juego sin valor económico).

El seguimiento se produce deliberadamente en UNA sola dirección. Quien invita no le sigue automáticamente de vuelta; esa sigue siendo su propia decisión. Así quedan protegidos los contenidos que usted comparte solo con personas conectadas mutuamente. Si usted y quien invita se han bloqueado mutuamente, no se crea ni conexión ni notificación.

La base jurídica es nuestro interés legítimo en que personas que ya se conocen no queden desconectadas en un servicio que vive de las recomendaciones personales (art. 6.1.f RGPD). Puede deshacer el seguimiento en su cuenta en cualquier momento; la anotación de quien le invitó desaparece a más tardar al eliminar su cuenta.

Si el enlace de entrada lleva además una marca de canal (parámetro «src=…», por ejemplo «wishlist»), la anotamos una sola vez como procedencia de su cuenta. Consiste en una palabra clave corta y fija, no contiene dato alguno sobre su persona, no se transmite a terceros y sirve únicamente para nuestro propio análisis agregado de qué páginas de entrada dan origen a las cuentas (art. 6.1.f RGPD).

Lista de deseos compartida, reservas y chat de grupo

Las personas registradas pueden compartir su lista de deseos mediante un enlace. El enlace contiene una cadena aleatoria imposible de adivinar; la página correspondiente está excluida de los buscadores. Solo se ven los deseos que no estén marcados como «privados» ni se hayan quitado de la lista, además de deseos redactados libremente (por ejemplo «aceite de oliva para freír»). Opcionalmente puede añadirse una fecha de la ocasión, que aparece en la página y en la vista previa del enlace.

Quien recibe el enlace puede ver los deseos sin iniciar sesión. Ver qué está ya reservado, comprometerse a regalar un deseo («esto lo regalo yo»), sumarse a un regalo en grupo o aportar algo y participar en el chat de grupo solo es posible, desde el 3 de octubre de 2026, con la sesión iniciada —también con Google, Apple o un código por correo— y nunca para la persona dueña de la lista. Solo así podemos evitar que se haga pasar por invitada y mire. Las reservas hechas antes sin cuenta las seguimos reconociendo mediante una cookie propia («sl_wish_gift») con una cadena generada al azar, válida un año y no legible mediante scripts (httpOnly); en nuestra base de datos guardamos solo un valor hash criptográfico, que no nos permite identificarle. Ya no colocamos cookies nuevas de este tipo. La cookie es necesaria para la función que usted ha solicitado (artículo 25, apartado 2, n.º 2 TDDDG).

Asignamos sus reservas a su cuenta, para que las encuentre en cualquier dispositivo en el que haya iniciado sesión. Las reservas que hizo antes sin cuenta en un navegador solo se vinculan a su cuenta si usted lo indica expresamente con un clic, y solo para la lista correspondiente; al hacerlo, eliminamos de esas reservas el identificador del navegador. Las reservas como invitado en otras listas siguen separadas.

Puede indicar voluntariamente un nombre visible (por ejemplo «Abuela») para que el resto de destinatarios del enlace puedan coordinarse entre sí; si organiza un regalo en grupo, también una breve nota para los demás participantes. Estas indicaciones son libres y no las comprobamos; su nombre de cuenta nunca se muestra en lugar del nombre visible. Sin nombre, su reserva aparece de forma anónima.

Chat de grupo: cada lista de deseos compartida tiene un chat para todos los que la abren con la sesión iniciada, nunca para la persona dueña de la lista, ni siquiera después de la ocasión. Quien abre la lista con la sesión iniciada figura como participante. Para ello guardamos la participación, hasta cuándo ha leído, si ha silenciado el chat, un nombre que puede elegir para este chat, así como sus mensajes (texto, si quiere una foto, una respuesta a otro mensaje o una referencia a un deseo) y sus reacciones. Los demás participantes ven sus mensajes, sus reacciones, su nombre en el chat (si no elige uno, su nombre visible o de usuario) y su foto de perfil. Reducimos las fotos antes de guardarlas y eliminamos sus metadatos (por ejemplo, el lugar donde se tomaron); no son públicas y solo se entregan a los participantes de este chat con la sesión iniciada y, si se nos avisa de un mensaje, también a nuestro equipo (véase más abajo). Le avisamos de los mensajes nuevos con una notificación, también como notificación push si la ha permitido; no menciona ni al remitente, ni el contenido, ni a la persona dueña de la lista, llega como máximo una vez hasta que vuelva a entrar y no llega si silencia el chat. Puede editar sus propios mensajes durante 15 minutos y eliminarlos en cualquier momento; el texto y la foto se eliminan entonces de inmediato. Si la persona dueña de la lista restablece su enlace, termina la participación de todos los participantes anteriores. Eliminamos los mensajes junto con sus fotos y reacciones doce meses después de enviarlos, y de inmediato al eliminar su cuenta; con la cuenta de la persona dueña de la lista termina el chat completo. Si nos avisa de un mensaje mediante «Reportar» en el propio mensaje o mediante «Informar de un problema», nuestro equipo puede eliminar mensajes concretos. Para decidir sobre un aviso, nuestro equipo ve el mensaje del que nos avisa con el nombre de la cuenta de la que procede, los datos de su aviso (con «Reportar», también su nombre de usuario) y, si hace falta, el historial anterior de este chat sin fotos; con un aviso mediante «Reportar», además la foto del mensaje, mientras el aviso siga abierto (art. 6.1.f RGPD). Si una de dos personas participantes ha bloqueado a la otra, ninguna de las dos ve ya los mensajes ni las reacciones de la otra. Si bloquea a una persona desde el chat de grupo, guardamos con ese bloqueo el nombre con el que escribió en el chat, para que su lista de bloqueos y su exportación de datos muestren ese nombre en lugar de su nombre de usuario. Por lo demás, la base jurídica es la prestación de la función que usted utiliza (art. 6.1.b RGPD). Sus propios mensajes aparecen en la información de datos de su cuenta.

Las reservas y el chat de grupo permanecen ocultos para la persona dueña de la lista: ese es el sentido de la función. Si hay una ocasión fijada, el día siguiente a la ocasión, en cuanto haya terminado en todo el mundo, esa persona sabe qué deseos se reservaron y con qué nombre visible, para poder dar las gracias; la página lo indica antes de cada reserva. Para que hasta entonces las reservas sigan ocultas también cuando abra su propio enlace sin haber iniciado sesión, guardamos en su navegador otra cookie propia («sl_wish_mine», un año, httpOnly) con un identificador no reversible de su cuenta (ni un enlace ni un identificador de cuenta en texto claro). Se coloca cuando gestiona el enlace o ha iniciado sesión en ese navegador, y puede contener los identificadores de varias personas que usan el mismo navegador. Esta cookie solo puede ocultar información, nunca revelarla. Quien comparta un navegador marcado así y haya iniciado sesión en él con su propia cuenta puede confirmar que no es la persona dueña de la lista; después, ese navegador muestra el estado a cualquier otra cuenta que inicie sesión en él; la página lo advierte antes. Recordamos esa confirmación en otra cookie propia («sl_wish_seen», un año, httpOnly) con identificadores no reversibles de los enlaces correspondientes. Sin iniciar sesión, ni siquiera enviamos el estado a su navegador. Ambas cookies son necesarias para la función (artículo 25, apartado 2, n.º 2 TDDDG).

Tras una reserva puede descargar un archivo de calendario que le recuerda la ocasión con antelación. Lo generamos a petición suya y no lo guardamos. No menciona ni a la persona ni el regalo, pero sí contiene un enlace a la lista de deseos; quien pueda leer su calendario verá, por tanto, que usted va a comprar algo para esa lista. Si la persona quita de su lista un deseo que usted había reservado, guardamos para usted un aviso con el título del deseo, que verá en su próxima visita y podrá descartar; con cuenta recibe además una notificación que no menciona el deseo y no se envía como notificación push. Si se elimina la cuenta de la persona que pidió los deseos, su lista desaparece junto con todas las reservas; con cuenta recibe entonces una notificación con los títulos de los deseos que había reservado, sin el nombre de la persona y no como notificación push, salvo que la ocasión para la que reservó ya haya pasado. Los archivos de calendario anteriores (hasta el 2 de octubre de 2026) contenían un enlace personal con el que se podían recuperar sus reservas en otro navegador; solo aceptamos esos enlaces hasta la ocasión de la reserva correspondiente.

Con una cuenta, además le enviamos a su dirección confirmada un recordatorio de su reserva unos días antes de la ocasión. Nombra a la persona dueña de la lista y la fecha, pero no qué ni cuánto ha reservado, y solo incluye un enlace a la lista si usted la conoce a través de ese enlace. Para ello guardamos en la reserva cuándo se envió el recordatorio y en el enlace compartido cuándo se restableció por última vez. La base jurídica es la prestación de la función que usted utiliza (art. 6.1.b RGPD); el recordatorio no contiene publicidad. Puede darse de baja en cualquier momento mediante el enlace de cada correo —sin iniciar sesión— o en los ajustes.

Además contamos cuántas veces se ha abierto un enlace compartido. Solo se guarda un número en el propio enlace, ningún dato sobre quién lo ha abierto.

La base jurídica es la prestación de la función que usted utiliza (art. 6.1.b RGPD) y nuestro interés legítimo en una coordinación operativa entre quienes regalan (art. 6.1.f RGPD). La persona dueña de la lista puede desactivar o restablecer su enlace en cualquier momento. Una reserva se elimina en cuanto usted la retira o el deseo sale de la lista (cumplido, eliminado, marcado como privado u oculto); después de la ocasión, la persona también puede liberarla como «no recibido». Como máximo 60 días después de la ocasión para la que se hizo, eliminamos una reserva; si aún participan en la reserva otras personas cuya ocasión es posterior o no está fijada, la más antigua de ellas asume la reserva y se eliminan los datos de la persona anterior. En las reservas sin ocasión, eliminamos a los doce meses el nombre visible y la nota; la reserva en sí se mantiene hasta que se retire o el deseo salga de la lista, porque de lo contrario nadie quedaría avisado ante una compra duplicada. Eliminamos los avisos sobre deseos retirados a los 90 días. Para evitar que alguien bloquee una lista con reservas inventadas, guardamos además con cada reserva un seudónimo de la red de la que procede: un valor hash de la dirección IP (en IPv6 solo la parte inicial que identifica la conexión), de la lista correspondiente, de una clave que no se guarda en la base de datos y de un secreto aleatorio que solo vale un día y se borra a los dos días; a partir de entonces el seudónimo ya no puede asociarse a ninguna dirección IP. La única excepción son las copias de seguridad de la base de datos, que conservamos para emergencias y sobrescribimos de forma periódica; no las utilizamos para asociar seudónimos. La dirección IP en sí no la guardamos. Eliminamos el seudónimo a los siete días. Si se nos comunica un abuso, nuestro equipo puede eliminar reservas, nombres visibles o notas concretos (art. 6.1.f RGPD). Si está registrada con nosotros, sus reservas aparecen además en la información de datos de su cuenta. Si elimina su cuenta, quitamos de sus reservas su nombre visible, su nota y el seudónimo de red, y terminamos su participación en regalos en grupo de otras personas; si otras personas participan en una de sus reservas, la más antigua de ellas la asume. Sus demás reservas se mantienen sin ninguna relación con usted, para que nadie compre dos veces el mismo deseo.

Enlaces de consejos para planificar viajes (sin cuenta)

Las personas registradas pueden crear un enlace de consejos para un viaje y compartirlo, por ejemplo, en una story de Instagram. El enlace contiene una cadena aleatoria imposible de adivinar, está abierto 24 horas (puede ampliarse o terminarse antes en cualquier momento) y está excluido de los buscadores. La página solo muestra el nombre, la foto de perfil y el destino de la persona: ni fechas de viaje ni plan de viaje.

Quien abra el enlace puede enviar un consejo sin cuenta y sin dirección de correo electrónico: un sitio o un enlace, opcionalmente un motivo y un nombre de libre elección que no comprobamos. Solo lo ve la persona que creó el enlace. Si añade un consejo a su plan de viaje, sus compañeros de viaje verán allí el sitio, el motivo y el nombre.

Al enviar un consejo, colocamos en su navegador una cookie propia («sl_tipp_gast») con una cadena generada al azar, válida siete días y no legible mediante scripts (httpOnly). En nuestra base de datos guardamos solo un valor hash criptográfico de ella; sirve únicamente para que pueda ver, firmar con un nombre y retirar sus propios consejos (art. 25, apdo. 2, n.º 2 TDDDG). Para evitar abusos, utilizamos su dirección IP y el identificador de su navegador solo de forma transitoria, como un valor hash que cambia a diario y se guarda en la memoria de trabajo; no se almacenan. Las visitas al enlace solo se cuentan como un número en el propio enlace.

La página no carga servicios de análisis ni de publicidad ni medios externos; por eso no aparece allí ningún banner de consentimiento. Los consejos no añadidos se eliminan 30 días después del final de la ronda, junto con el enlace; si se elimina el viaje, el enlace y los consejos desaparecen de inmediato. La base jurídica es la prestación de la función utilizada por la persona con cuenta (art. 6, apdo. 1, letra b del RGPD) y nuestro interés legítimo en permitir que quienes dan consejos compartan sin cuenta (art. 6, apdo. 1, letra f del RGPD).

Listas compartidas (colaboración e invitaciones)

Quien ha creado una lista puede invitar a otras personas con cuenta a colaborar en ella. La persona invitada recibe una notificación con el nombre de quien la invita y el título de la lista —en la aplicación y, si lo ha permitido, como notificación push— y puede aceptar o rechazar la invitación. Solo cuando la acepta colabora en la lista, y quien la invitó recibe una notificación al respecto. Si la rechaza, no avisamos a nadie y eliminamos la invitación junto con su notificación; quien envió la invitación solo ve que ya no está abierta. Aparte de la persona invitada, las invitaciones abiertas solo las ve quien las envió. Esa persona puede retirar una invitación en cualquier momento; también en ese caso eliminamos la invitación junto con su notificación. Las invitaciones que no se aceptan en un plazo de 30 días caducan; las eliminamos junto con su notificación en nuestra comprobación diaria. Quien colabora ve la lista con independencia de su visibilidad y puede añadir sus propias entradas; los nombres y las fotos de perfil de quienes colaboran aparecen en la lista para todas las personas que pueden verla. La base jurídica es la prestación de la función que utiliza (art. 6.1.b RGPD).

Pedir recomendaciones (preguntas, respuestas y Shines)

Las personas registradas pueden pedir recomendaciones a otras en nuestra página «Recomendaciones» (por ejemplo, «¿Qué zapatillas para el día a día?»), responder a esas preguntas y enlazar, tanto en la pregunta como en la respuesta, hasta cinco productos, lugares, apps o listas públicas. Para ello guardamos el texto, la visibilidad elegida, los enlaces, el momento y la asignación a su cuenta. Lo que se enlaza es la entrada de nuestro catálogo o la lista pública, no su propia reseña: el hilo solo muestra su nombre, su imagen y un dato breve como la marca o la ciudad y, en las listas, el nombre de usuario de la persona a la que pertenece la lista. Al enlazar, le proponemos primero sus propias entradas; esas propuestas solo las ve usted.

En cada pregunta usted decide quién la ve. «Pública» significa que cualquiera que visite la página puede consultar la pregunta y todas sus respuestas, también sin cuenta. «Solo amigos» significa que solo sus amigos —las personas a las que usted sigue y que le siguen— pueden verla y responderla. En cada caso son visibles el nombre visible o de usuario y la foto de perfil de quienes preguntan y responden, el momento, los textos, los enlaces y el número de Shines. Si una de dos personas ha bloqueado a la otra, ninguna de las dos ve las preguntas y respuestas de la otra ni puede responder a sus preguntas. Las preguntas de personas a las que se sigue pueden aparecer además durante un tiempo en la parte superior del feed; las preguntas solo para amigos, solo a los amigos. Las páginas están marcadas para que los buscadores no las indexen.

Cuando usted hace una pregunta, hasta 50 de sus amigos reciben una notificación con su nombre y el comienzo de la pregunta, también si es pública. Por cada respuesta de otra persona, quien preguntó recibe una notificación con el nombre de quien responde y el comienzo de la respuesta o, si no tiene texto, los nombres de lo enlazado. Con un Shine usted indica que le gusta una entrada recomendada o una respuesta. Los demás solo ven el número; quien recomendó primero la entrada o escribió la respuesta recibe una notificación con su nombre. Si enlaza algo en una respuesta, eso cuenta también como su Shine. Además, en el hilo figura junto a cada entrada recomendada quién la recomendó primero. Las notificaciones aparecen en la aplicación y, si los destinatarios lo han permitido, como notificación push (véase «Notificaciones push»). Además, comprobamos automáticamente si las preguntas públicas y sus respuestas infringen nuestras normas; las preguntas solo para amigos, no (véase «Registro de productos asistido por IA»).

Puede eliminar sus preguntas y respuestas y retirar sus Shines en cualquier momento. Al eliminar una pregunta se elimina el hilo completo, incluidas las respuestas de otras personas; como persona que preguntó, también puede eliminar respuestas concretas de su hilo. Al eliminar una respuesta desaparece también el Shine que generó su enlace, salvo que recomiende lo mismo en otra respuesta; los Shines que otras personas hayan dado a la misma entrada se mantienen. Si una lista enlazada deja de ser pública, ya no aparece en ningún hilo. Nuestro equipo puede eliminar preguntas y respuestas que infrinjan nuestras normas, por ejemplo tras un aviso mediante «Reportar» (art. 6.1.f RGPD). Aparte de eso, no hay un plazo fijo de eliminación: las preguntas, respuestas y Shines se conservan hasta que se eliminan y, como máximo, hasta que se elimina su cuenta; con ella se eliminan también sus preguntas junto con las respuestas de otras personas. Al eliminar una pregunta eliminamos también todas las notificaciones enviadas sobre ella; al eliminar una respuesta, la notificación sobre ella y las notificaciones sobre Shines para ella o para una entrada que esa respuesta fue la primera en recomendar. Esto se aplica a todos los destinatarios, también cuando nuestro equipo elimina una pregunta o respuesta o cuando esta se elimina junto con la cuenta a la que pertenece. No obstante, no podemos recuperar las notificaciones push ya enviadas. Sus preguntas, respuestas y Shines aparecen en la información de datos de su cuenta. Por lo demás, la base jurídica es la prestación de la función que usted utiliza (art. 6.1.b RGPD).

Check-ins (visitas a lugares)

Si hace check-in en un lugar que ha añadido, guardamos un check-in, es decir, una visita en ese día. Si hace check-in con «Estoy aquí» en la página del lugar o en la vista «¿Dónde estás ahora?», la página solicita la ubicación actual de su dispositivo, solo después de que usted confirme la solicitud de su navegador o sistema operativo (véase «Búsqueda de lugares y direcciones»); sin ubicación, el check-in funciona igual. A partir de la posición transmitida, nuestro servidor calcula la distancia a ese lugar. Solo guardamos esa distancia y la precisión de la localización comunicada por su dispositivo, ambas en metros enteros, así como la marca «en el sitio» si la distancia, teniendo en cuenta la precisión, es lo bastante pequeña. No almacenamos sus coordenadas ni las cedemos a terceros para calcular la distancia. Las demás visitas no llevan ninguna medición de este tipo, por ejemplo las que añade a posteriori o cuya fecha corrige, y la visita que cuenta cuando, tras «¡Por fin!», valora un lugar que había añadido como deseo. Si abre la vista de check-in «¿Dónde estás ahora?», esta le sugiere además lugares cercanos; para ello, nuestro servidor consulta la API Overpass con su posición (véase «Búsqueda de lugares y direcciones»).

La única finalidad es esa marca: indica si su dispositivo estaba cerca del lugar al hacer check-in y se basa únicamente en los datos de su dispositivo; la distancia y la precisión permiten comprender por qué se puso o no. En sus propias visitas, solo usted ve la marca. Los demás solo la ven sumada y sin nombres: en el apartado «¿Qué pedir?» de la página del lugar y en las páginas de resumen de platos concretos, y allí solo para visitas a entradas públicas en las que se indicaron platos. No mostramos a nadie la distancia ni la precisión; solo aparecen en la información de datos de su cuenta. Los tres datos forman parte del check-in correspondiente y se eliminan con él: cuando usted retira el check-in, cuando elimina su entrada sobre el lugar y con su cuenta. La base jurídica es la prestación de la función que usted utiliza (art. 6.1.b RGPD); la solicitud de ubicación propiamente dicha solo se realiza con su confirmación (art. 6.1.a RGPD).

Orden de los eventos y lugares cerca de usted

Con la sesión iniciada, la página «Descubrir» le muestra eventos y lugares recomendados en su zona. Para que lo que más probablemente le interese aparezca más arriba, la página calcula en cada visita, a partir de sus propios datos, qué tipos de eventos y lugares prefiere. Solo se tienen en cuenta las categorías (por ejemplo, concierto, mercado o vida nocturna) de los eventos en los que ha tocado «Me apunto» en los últimos doce meses, de los lugares en los que ha hecho check-in en los últimos doce meses y de los lugares que recomienda, también de los que solo usted ve. El resultado solo influye en el orden. Sin embargo, como la página muestra solo un número limitado de eventos y lugares, contribuye así a decidir cuáles de ellos aparecen primero o si aparecen. Solo actúa dentro de su selección: en los eventos, dentro del radio, el periodo y las categorías que usted ha elegido; en los lugares, dentro del radio; lo que queda fuera no se añade por ello. Al ordenar, una categoría preferida cuenta como máximo como si estuviera a la mitad de distancia; siempre se muestra la distancia real. Además, los eventos en los que ha tocado «Me apunto» aparecen en su día antes que todos los demás. Encima de los eventos, la página indica las categorías según las que se ha ordenado. Con las mismas reglas ordenamos las tarjetas «Evento cerca de ti» y «Recomendado cerca de ti» que su feed muestra después de las publicaciones de las personas a las que sigue; allí se aplican su radio y sus categorías de la página «Descubrir» y, para los eventos, los próximos 14 días.

No almacenamos este perfil; se calcula de nuevo en cada visita y solo sirve para su propia vista. Los demás usuarios no ven ni sus «Me apunto» ni el orden en que se le muestran los eventos y lugares. Guardamos sus «Me apunto» (evento, categoría y momento), así como el radio, el periodo y las categorías que elige, para que estos ajustes se apliquen en todos sus dispositivos. Para retirar un «Me apunto», vuelva a tocar; si se elimina un evento, conservamos su «Me apunto» solo con la categoría y el momento. Eliminamos un «Me apunto» doce meses después de tocarlo, pero no antes de que haya terminado el evento. Mientras no haya una ubicación de su dispositivo, la página estima el centro de su zona a partir de la ubicación de los lugares que añadió más recientemente; también esto se calcula solo para cada visita. Al eliminar su cuenta, eliminamos todos estos datos. La base jurídica es nuestro interés legítimo en mostrarle los eventos y lugares en un orden adecuado para usted (art. 6.1.f RGPD). Puede oponerse a esta ordenación en cualquier momento (art. 21 RGPD) desactivando el interruptor «Ordenar según mis preferencias» en la página «Descubrir»; entonces la página le muestra los eventos por día y distancia y los lugares por distancia, sin evaluar para ello sus «Me apunto», check-ins y recomendaciones, y guarda esta elección en su cuenta, igual que el radio, el periodo y las categorías. El interruptor se aplica igualmente a estas tarjetas de su feed.

Aviso legal para creadores sin sitio web propio

Los usuarios que necesitan un aviso legal (Impressum) pero no tienen sitio web propio —por ejemplo, creadores— pueden guardar con nosotros, en la configuración de su cuenta (apartado «Legal»), el texto de su aviso legal y, si lo desean, sus propias indicaciones de privacidad. En cuanto se introduce un texto de este tipo, lo publicamos en la dirección del perfil con el añadido «/impressum» o «/datenschutz» y lo enlazamos al final del perfil. Un aviso legal suele contener nombre, dirección postal y datos de contacto como dirección de correo electrónico o número de teléfono. Las páginas pueden consultarse en el sitio web sin iniciar sesión, para que la identificación del prestador (§ 5 DDG) sea fácilmente accesible, pero están marcadas para que los buscadores no las indexen; no se traducen automáticamente. La persona que ha guardado el contenido es responsable de él. Guardamos los textos hasta que se modifican o se vacían y, como máximo, hasta que se elimina la cuenta; aparecen en la información de datos de la cuenta. La base jurídica es la prestación de la función utilizada (art. 6.1.b RGPD).

Suscripciones a novedades en perfiles de creadores (email)

En los perfiles públicos de creadores, los visitantes pueden suscribirse por correo electrónico a las novedades del creador correspondiente. Para ello almacenamos la dirección de correo introducida, el creador a cuyas novedades se suscribe, el idioma de visualización seleccionado, una clave generada aleatoriamente para los enlaces de confirmación y de baja, así como los momentos del alta, de la última modificación de la entrada y de la confirmación. Para la verificación utilizamos un procedimiento de doble opt-in: la suscripción solo se activa cuando completa la confirmación a través del enlace de confirmación del correo enviado; los momentos almacenados sirven como prueba del consentimiento.

Ponemos la dirección de correo confirmada a disposición del creador correspondiente (visible y exportable en su panel), para que pueda informar a sus suscriptores sobre novedades. No se cede a otros terceros ni se utiliza para publicidad propia de ShineLists.

La base jurídica del tratamiento es su consentimiento (art. 6.1.a RGPD). Puede revocarlo en cualquier momento con efectos para el futuro utilizando el enlace de baja del correo o poniéndose en contacto con nosotros; al darse de baja, su dirección se elimina de la lista de suscriptores. Las entradas no confirmadas no se utilizan para novedades. Si no confirma una entrada, la eliminamos 14 días después de haberle enviado por última vez el correo de confirmación. Comprobamos una vez al día si corresponde eliminar entradas; por eso la eliminación puede producirse hasta un día más tarde. El creador puede eliminar entradas de su lista de suscriptores; si se elimina su cuenta, eliminamos todas las suscripciones correspondientes. Para la suscripción no necesita una cuenta con nosotros; depende únicamente de su dirección de correo. Si tiene una cuenta con la misma dirección confirmada, sus suscripciones aparecen en la información de datos de esa cuenta. Si elimina esa cuenta o cambia su dirección, las suscripciones no se ven afectadas.

Recordatorios de drops («Avísame»)

Quien tiene una cuenta puede crear una página propia para un lanzamiento suyo, por ejemplo una canción o un vídeo, o para un evento; la llamamos «drop». Hasta el inicio, esta página muestra el formulario «Avísame», salvo que el creador lo haya desactivado. A través de él puede pedir que le recordemos el drop por correo electrónico, también sin cuenta. Para ello almacenamos la dirección de correo introducida, el drop, el idioma en el que utiliza la página (para que nuestros correos le lleguen en ese idioma), una clave generada aleatoriamente para los enlaces de confirmación y de baja, así como los momentos del alta, de la última modificación de la entrada, de la confirmación y del envío del recordatorio. Para la verificación utilizamos un procedimiento de doble opt-in: primero le enviamos un correo con el título del drop, el nombre del creador y un enlace de confirmación; el recordatorio solo se activa cuando completa la confirmación a través de ese enlace. Los momentos almacenados sirven como prueba de su consentimiento.

Tras su confirmación le enviamos un único recordatorio por correo electrónico: en el caso de un lanzamiento, en el momento que el creador ha indicado como fecha de publicación; en el caso de un evento, unas 24 horas antes del inicio indicado. Si confirma después de ese momento, se envía con la siguiente comprobación posterior a su confirmación. Comprobamos una vez por hora qué recordatorios corresponde enviar; por eso el correo puede llegar hasta una hora más tarde. Contiene el título del drop y un enlace a su página. Si para entonces el drop ya ha terminado o ya no está publicado, no enviamos ningún recordatorio. Si el envío falla, lo intentamos de nuevo en la siguiente comprobación. En su panel, el creador solo ve cuántos recordatorios confirmados hay para su drop, pero no su dirección de correo. No cedemos su dirección ni a él ni a otros terceros, ni la utilizamos para publicidad propia.

La base jurídica es su consentimiento (art. 6.1.a RGPD). Puede revocarlo en cualquier momento con efectos para el futuro utilizando el enlace de baja que figura en cada uno de estos correos —también en el propio recordatorio— o poniéndose en contacto con nosotros; al darse de baja, eliminamos la entrada por completo. Si se elimina el drop o la cuenta del creador, eliminamos todos los recordatorios correspondientes. Por lo demás, eliminamos las entradas según plazos fijos: si no confirma una entrada, la eliminamos 14 días después de haberle enviado por última vez el correo de confirmación; hasta entonces solo la utilizamos para ese correo. Tras el envío del recordatorio, eliminamos la entrada 30 días después. Si 30 días después del inicio indicado del drop todavía no se ha enviado ningún recordatorio, por ejemplo porque el drop ya había terminado o ya no estaba publicado, eliminamos también la entrada. Ninguna entrada permanece almacenada más de dos años después de su confirmación, aunque el drop empiece más tarde. Comprobamos una vez al día si corresponde eliminar entradas; por eso la eliminación puede producirse hasta un día más tarde. Para el recordatorio no necesita una cuenta con nosotros; depende únicamente de su dirección de correo. Si tiene una cuenta con la misma dirección confirmada, sus recordatorios aparecen en la información de datos de esa cuenta. Si elimina esa cuenta o cambia su dirección, los recordatorios no se ven afectados; un recordatorio todavía pendiente se seguirá enviando a la dirección con la que se dio de alta.

Fotos subidas por los usuarios

Los usuarios pueden subir fotos propias a valoraciones, visitas (check-ins), productos y perfiles. Las fotos pueden contener datos personales, tanto en la imagen (personas representadas) como en los metadatos del archivo (EXIF: momento de la toma, modelo del dispositivo y, según su configuración, coordenadas GPS).

Al subirlas eliminamos los metadatos del archivo en el servidor antes de almacenar la imagen; previamente solo se aplica la orientación de la imagen. Por tanto, el lugar y el momento de la toma ya no pueden leerse en una foto almacenada por nosotros. Si esa limpieza falla técnicamente, se cancela la subida en lugar de almacenar el archivo original.

Según nuestras Condiciones de Uso, solo pueden subirse fotos propias, y las personas reconocibles deben haber consentido su publicación (§§ 22, 23 KUG, art. 6.1.a RGPD); de ese consentimiento responde quien sube la foto. La base jurídica del almacenamiento y la visualización de las fotos es la ejecución del contrato de uso (art. 6.1.b RGPD) y nuestro interés legítimo en la explotación de la plataforma (art. 6.1.f RGPD). Las fotos configuradas como públicas son accesibles para cualquiera y pueden utilizarse —también por otros usuarios— en imágenes para compartir generadas automáticamente para redes sociales; los detalles figuran en la cláusula 8 de las Condiciones de Uso y en nuestras Reglas para fotos.

Las fotos se eliminan cuando se elimina la aportación correspondiente o la cuenta de usuario; las fotos de producto del catálogo común se conservan conforme a la cláusula 8 de las Condiciones de Uso. Si apareces en una foto y no lo deseas, o si tu foto se subió sin permiso, puedes notificárnoslo sin necesidad de cuenta: retiramos sin demora las imágenes afectadas tras su examen.

• Notificar una foto (sin cuenta)
• Reglas para fotos

Publicación de fotos en Instagram (Meta)

Gestionamos un canal propio de Instagram en el que presentamos lugares. Las publicaciones se generan en nuestra área de administración y se transmiten a Instagram a través de la interfaz de programación oficial. El proveedor es Meta Platforms Ireland Limited, Merrion Road, Dublín 4, D04 X2K5, Irlanda.

Se transmiten las fotos que integran la publicación, el texto que la acompaña —incluido un texto de valoración escrito por ti, en la medida en que se incorpore— así como el nombre y la localidad del lugar presentado. Se trata de datos personales sobre todo porque las fotos proceden de ti y te mencionamos como autor siempre que el formato lo permita. Para la transmisión depositamos los archivos de imagen terminados de forma pública durante un breve periodo, ya que Instagram los descarga por sí mismo; inmediatamente después los eliminamos.

La base jurídica es exclusivamente tu consentimiento (art. 6.1.a RGPD), que otorgas de forma separada en los ajustes de tu cuenta y puedes retirar allí en cualquier momento con efectos para el futuro. Sin ese consentimiento no transmitimos ninguna foto tuya a Instagram. No utilizamos para estas publicaciones fotos en las que haya personas reconocibles.

Con la transmisión concedemos a Meta los derechos de uso que Meta exige para la publicación según sus condiciones: en particular un derecho mundial, gratuito, transferible y sublicenciable de uso de los contenidos transmitidos. Por ello tu consentimiento abarca expresamente también esta concesión de derechos; los detalles figuran en la cláusula 8 de las Condiciones de Uso.

Meta trata después los contenidos transmitidos como responsable independiente y conforme a sus propias condiciones; no tenemos influencia sobre ese tratamiento. Ello implica una transferencia a EE. UU. La basamos en la decisión de adecuación de la Comisión Europea relativa al EU-U.S. Data Privacy Framework, bajo el cual Meta Platforms, Inc. está certificada, y subsidiariamente en cláusulas contractuales tipo conforme al art. 46.2.c RGPD, así como en tu consentimiento explícito conforme al art. 49.1.a RGPD.

Si retiras tu consentimiento o eliminas tu cuenta, dejaremos de utilizar tus fotos para nuevas publicaciones. Una publicación ya difundida permanece en principio en Instagram; a petición tuya la retiramos en la medida en que nos resulte posible y razonable. Para saber siquiera qué publicación contiene qué fotos, registramos de cada publicación difundida: su identificador y dirección en Instagram, el texto que la acompaña, las fotos utilizadas, la cuenta de la que proceden y el momento y la persona de la autorización. Este registro sirve únicamente como prueba y para la retirada; se elimina en cuanto la publicación deja de existir.

Encontrarás más información sobre el tratamiento de datos por parte de Meta en la política de privacidad de Instagram en: https://privacycenter.instagram.com/policy

5. Plugins y herramientas

Mapas (OpenStreetMap y CARTO)

Los mapas interactivos integrados en este sitio web se basan en los datos cartográficos del proyecto «OpenStreetMap» (OSM). El proveedor de los datos de OpenStreetMap es la OpenStreetMap Foundation (OSMF), St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Reino Unido. Las teselas cartográficas en sí — las secciones de imagen que carga su navegador — no las entrega OpenStreetMap, sino CARTO.

Todas las vistas de mapa interactivas (entre otras, el radar de lugares, la planificación de viajes, la selección de lugares, las rutas de SUP y los mapas creados por los propios usuarios) cargan sus teselas cartográficas del servicio «CARTO» (CARTO, Inc., Nueva York, EE. UU., y CARTO DB S.L., Madrid, España). También en este caso, al cargar las teselas se transmite su dirección IP al servidor de teselas correspondiente. En la medida en que con ello se transfieran datos personales a EE. UU., esto se realiza sobre la base de su consentimiento expreso (art. 49.1.a RGPD): las teselas solo se cargan después de que usted haya dado su consentimiento a la categoría «Medios externos» o haya cargado activamente el mapa correspondiente mediante un clic; por la presente le informamos del posible riesgo para la protección de datos que supone una transferencia a EE. UU. sin una decisión de adecuación.

Cuando carga uno de estos mapas, se transmiten, entre otros, su dirección IP y otra información sobre su comportamiento en este sitio web a los servidores del servicio de teselas cartográficas (tile server). Para ello, el proveedor puede, en determinadas circunstancias, almacenar cookies en su navegador o emplear tecnologías de reconocimiento comparables.

En cambio, las imágenes de mapa no interactivas (p. ej., el mapa general de las páginas de lugares y el mapa de los informes de viaje) se generan en nuestro propio servidor a partir de teselas de OpenStreetMap y se entregan desde nuestro propio dominio. Su navegador no establece ninguna conexión con OpenStreetMap ni con CARTO; su dirección IP no se transmite a esos servicios.

El uso de estos mapas se realiza en interés de una presentación atractiva de nuestras ofertas en línea y de una fácil localización de los lugares que indicamos en el sitio web. Esto constituye un interés legítimo en el sentido del art. 6.1.f RGPD. En la medida en que se haya solicitado el consentimiento correspondiente, el tratamiento se realiza exclusivamente sobre la base del art. 6.1.a RGPD y del § 25.1 TDDDG, siempre que el consentimiento abarque el almacenamiento de cookies o el acceso a información en el dispositivo del usuario (p. ej., device fingerprinting) en el sentido de la TDDDG. El consentimiento es revocable en cualquier momento.

Las teselas cartográficas solo se cargan después de que usted haya dado su consentimiento a la categoría «Medios externos» o haya cargado activamente el mapa correspondiente mediante un clic (solución de dos clics). Sin su consentimiento no se recuperan teselas cartográficas de servidores de terceros y no se transmite ninguna dirección IP a OpenStreetMap ni a CARTO.

Encontrará más información sobre el tratamiento de los datos de los usuarios en la política de privacidad de OpenStreetMap en: https://wiki.osmfoundation.org/wiki/Privacy_Policy

Búsqueda de lugares y direcciones (geocodificación a través de nuestro servidor)

Para la búsqueda de lugares y direcciones (p. ej., al crear un lugar, en la búsqueda de alrededores o al usar «Usar ubicación actual») utilizamos servicios geográficos basados en OpenStreetMap: el servicio de geocodificación «Nominatim» de la OpenStreetMap Foundation (OSMF), St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Reino Unido; el servicio «Photon» de komoot GmbH, Friedrich-Ebert-Straße 27, 14469 Potsdam, Alemania; así como otros servicios del entorno de OpenStreetMap (la API Overpass de FOSSGIS e. V., Alemania; enrutamiento OSRM).

Estos servicios se consultan exclusivamente desde nuestro servidor: su navegador no establece ninguna conexión directa con los proveedores y su dirección IP no se les transmite. Solo se transmiten los contenidos necesarios para la consulta: el texto de búsqueda introducido o, en el caso de la función de ubicación, las coordenadas que su dispositivo envía a nuestro servidor con su autorización (solicitud de su navegador o, en nuestras apps, de su sistema operativo). En las apps, el sistema operativo determina la posición con sus propios servicios de ubicación según la configuración de su dispositivo; nosotros solo recibimos las coordenadas. Para el Reino Unido existe una decisión de adecuación de la Comisión Europea (art. 45 RGPD).

La base jurídica es la ejecución del contrato de uso o la puesta a disposición de la función solicitada por usted (art. 6.1.b RGPD), así como nuestro interés legítimo en una búsqueda de lugares que funcione correctamente (art. 6.1.f RGPD). La determinación de la ubicación propiamente dicha solo se realiza tras su confirmación expresa de la solicitud de su navegador o sistema operativo (art. 6.1.a RGPD) y no se almacena de forma permanente. Una excepción es la función «Información práctica» (p. ej., añadir un aseo): si elige allí «Mi ubicación», la posición determinada se guarda como ubicación de la instalación añadida y se muestra públicamente en la página de la ciudad junto con su nombre de usuario — como dato sobre esa instalación, no como su paradero. Puede retirar la entrada usted mismo en cualquier momento. En los check-ins no guardamos la posición, sino solo la distancia al lugar y la precisión de la localización (véase «Check-ins (visitas a lugares)»).

Reproductores de YouTube y Spotify (solución de dos clics)

Los usuarios pueden integrar en sus perfiles vídeos de YouTube y música de Spotify. Los proveedores son Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (YouTube, integrado a través del dominio más respetuoso con la privacidad youtube-nocookie.com) y Spotify AB, Regeringsgatan 19, 111 53 Estocolmo, Suecia.

El mero acceso a una página con uno de estos reproductores NO transmite ningún dato a YouTube ni a Spotify: los reproductores solo se cargan después de que usted haya dado su consentimiento a la categoría «Medios externos» o haya iniciado activamente el reproductor correspondiente mediante un clic (solución de dos clics). Solo entonces su navegador establece una conexión con el proveedor correspondiente; en ese momento se transmiten su dirección IP y, en su caso, otra información del dispositivo, y el proveedor puede utilizar cookies o tecnologías similares. En el caso de YouTube, también puede producirse una transferencia a EE. UU.; Google está certificada conforme al EU-US Data Privacy Framework.

La base jurídica es su consentimiento (art. 6.1.a RGPD, § 25.1 TDDDG). Puede revocar el consentimiento en cualquier momento con efecto para el futuro desactivando la categoría «Medios externos» en la configuración de cookies (enlace en el pie de página o en el menú de su cuenta); los reproductores y mapas ya cargados se eliminan entonces de inmediato. Se aplican las políticas de privacidad de Google (https://policies.google.com/privacy) y de Spotify (https://www.spotify.com/es/legal/privacy-policy/).

Nuestras apps para iPhone y Android

Las apps de ShineLists para iPhone y Android muestran este sitio web en una ventana de navegador integrada; por ello, al uso de las apps se aplica esta política de privacidad en su totalidad. Para que nuestro servidor pueda entregar páginas adecuadas para la app, esta incluye un identificador («ShineListsApp» con número de versión) en el identificador del navegador (user agent). Sin iniciar sesión, la app solo muestra el inicio de sesión, el registro, el restablecimiento de la contraseña, la confirmación de la dirección de correo electrónico, la página para confirmar y darse de baja de nuestros correos electrónicos, los textos legales, el procedimiento de notificación de contenidos, la página de ayuda, las instrucciones para eliminar una cuenta, la página en la que se confirma, mediante el enlace de eliminación enviado, la eliminación de una cuenta solicitada por correo electrónico, las listas de deseos compartidas (véase «Lista de deseos compartida, reservas y chat de grupo») y los calendarios de disponibilidad compartidos («¿Cuándo tienes tiempo?»), que, además del nombre y la foto de perfil de la persona que los comparte, solo muestran en qué días está libre u ocupada, sin destinos ni otros detalles del viaje. Además del sitio web, la app utiliza las siguientes funciones de su dispositivo, descritas en los apartados correspondientes: notificaciones push a través del servicio del sistema operativo (véase «Notificaciones push»), el inicio de sesión con Apple o Google mediante la función de inicio de sesión del dispositivo (véase «Inicio de sesión con Google o Apple»), la solicitud de ubicación del sistema operativo (véase «Búsqueda de lugares y direcciones» y «Check-ins (visitas a lugares)») y, para las fotos, el selector de imágenes del sistema y, en el iPhone, la cámara y el guardado de imágenes en su fototeca; solo recibimos las fotos que usted selecciona o toma, y la app no accede a sus demás fotos (véase «Fotos subidas por los usuarios»). En Android, la app utiliza además el menú de compartir del sistema; para ello guarda la imagen que se va a compartir en la caché de la app en su dispositivo, y usted decide en el menú de compartir a quién se envía. Puede revocar en cualquier momento los permisos de notificaciones, ubicación, cámara y fototeca en la configuración de su dispositivo.

Notificaciones push (navegador y apps)

Los usuarios con sesión iniciada pueden suscribirse a notificaciones (p. ej., sobre nuevos mensajes o actividades) en forma de notificaciones web push. La suscripción solo se produce si usted confirma expresamente la solicitud correspondiente de su navegador. Por motivos técnicos, la entrega se realiza a través del servicio push del fabricante del navegador correspondiente (p. ej., Google, Mozilla o Apple); los contenidos de nuestras notificaciones se transmiten cifrados, de modo que el servicio push no puede leerlos.

En nuestras apps, la entrega se realiza a través del servicio push del sistema operativo: en el iPhone mediante el Apple Push Notification service (APNs) de Apple y en Android mediante Firebase Cloud Messaging (FCM) de Google. Si activa las notificaciones en la app, su sistema operativo le pide primero su permiso. Si lo concede, el servicio push asigna un identificador del dispositivo (token push), que asociamos a su cuenta junto con la plataforma (iPhone o Android) y almacenamos. Con cada notificación transmitimos al servicio push este identificador, así como el título, el texto y la página de destino de la notificación. A diferencia del web push, estos contenidos no están cifrados de forma que el servicio push no pueda leerlos; la transmisión en sí está cifrada. En este proceso pueden transmitirse datos personales a EE. UU.; Google LLC está certificada conforme al EU-U.S. Data Privacy Framework y, según sus propias indicaciones, Apple basa las transferencias desde la UE en las cláusulas contractuales tipo de la Comisión Europea.

La base jurídica es su consentimiento (art. 6.1.a RGPD, § 25.1 TDDDG). Puede desactivar las notificaciones push en cualquier momento en la configuración de notificaciones de su cuenta, en la configuración de sitios web de su navegador o en la configuración de notificaciones de su dispositivo; la dirección push o el identificador del dispositivo almacenados se eliminarán entonces o dejarán de utilizarse. Eliminamos automáticamente los identificadores de dispositivo que hayan dejado de ser válidos; todos se eliminan al eliminar su cuenta.

Consejos y novedades por correo electrónico

Los usuarios con sesión iniciada pueden solicitar, al registrarse o en los ajustes de su cuenta, recibir aproximadamente una vez por semana un correo electrónico con consejos sobre las funciones de ShineLists y novedades sobre nuestro servicio. Para elegir un consejo adecuado, evaluamos qué funciones ha utilizado ya la cuenta (p. ej., si ya se han creado lugares, productos, listas o diarios de viaje). No se elabora ningún perfil de uso más allá de eso, y la selección no tiene más efectos sobre la cuenta. Guardamos el momento del consentimiento, la versión del texto de consentimiento y qué consejos se enviaron y cuándo.

La base jurídica es su consentimiento (art. 6.1.a RGPD, § 7.2 n.º 2 UWG). El consentimiento es voluntario y no es condición para usar la cuenta. Puede revocarlo en cualquier momento con efecto para el futuro — mediante el enlace de baja incluido en cada uno de estos correos (sin iniciar sesión) o en los ajustes de su cuenta. Tras la revocación no recibirá más correos con consejos; conservamos el registro del consentimiento otorgado y de los correos enviados como prueba de licitud hasta la eliminación de la cuenta.

Imágenes almacenadas externamente en contenidos de usuarios

En casos aislados, los contenidos de usuarios pueden incluir imágenes que no están almacenadas en nuestros sistemas, sino en los de un proveedor externo (p. ej., cuando un socio publicitario indica una dirección de imagen de su propia tienda). Al mostrarse una página de este tipo, su navegador carga la imagen directamente desde el servidor externo correspondiente; en ese momento se transmite su dirección IP a dicho servidor. No transmitimos ningún otro dato y suprimimos la transmisión de la página de origen (política de referencia «no-referrer»). La base jurídica es nuestro interés legítimo en la presentación de los contenidos publicados por los usuarios (art. 6.1.f RGPD). En cambio, las imágenes de perfil y las fotos que los usuarios suben a nuestra plataforma se almacenan íntegramente en nuestros propios servidores.

Web Fonts (alojamiento local)

Para una presentación uniforme de los tipos de letra, este sitio web utiliza las denominadas web fonts. Estos tipos de letra se cargan al abrir la página de forma local desde el directorio de distribución de nuestra aplicación y no se cargan desde servidores de terceros (p. ej., Google). En este proceso no se establece ninguna conexión con servidores de terceros; su dirección IP no se transmite a terceros con esta finalidad.

La base jurídica para la integración local de los tipos de letra es nuestro interés legítimo en una presentación uniforme y respetuosa con la minimización de datos de nuestra oferta en línea (art. 6.1.f RGPD).

Traducción automática (Microsoft Azure AI Translator)

Para que el contenido generado por los usuarios (p. ej., reseñas y descripciones de lugares, eventos y productos) resulte comprensible para los visitantes en su idioma de visualización, utilizamos el servicio de traducción automática «Azure AI Translator». El proveedor es Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda.

Cuando un usuario abre un contenido en un idioma en el que aún no está disponible, solo se transmite el contenido de texto correspondiente al endpoint de la UE del servicio con fines de traducción y se procesa allí. No se transmiten otros datos personales (p. ej., nombre, nombre de usuario o su dirección IP con fines de identificación). Las traducciones ya generadas se almacenan en caché por nuestra parte, de modo que un texto solo debe transmitirse una vez por idioma.

Según el proveedor, los textos transmitidos se procesan únicamente para realizar la traducción, no se almacenan de forma permanente y no se utilizan para entrenar modelos («no trace»). El tratamiento se realiza en servidores dentro de la Unión Europea.

Utilizamos este servicio en nuestro interés por ofrecer el contenido de nuestra oferta en línea en varios idiomas y con la menor barrera posible. Esto constituye un interés legítimo en el sentido del art. 6.1.f RGPD.

Existe un contrato de encargo del tratamiento (CET) con el proveedor; las condiciones de protección de datos forman parte del Microsoft Products and Services Data Protection Addendum (DPA). Encontrará más información en la declaración de privacidad de Microsoft en: https://privacy.microsoft.com/es-es/privacystatement

Registro de productos asistido por IA (Microsoft Azure OpenAI Service)

Al crear un producto, los usuarios registrados pueden subir una foto o pegar un enlace y recibir sugerencias de nombre, marca, descripción y categoría a partir de ello. Para estas sugerencias utilizamos el servicio «Azure OpenAI Service». El proveedor es Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda.

La función se ejecuta únicamente a petición suya. Solo se transmiten la foto del producto que usted ha subido o la dirección pegada y los datos públicamente accesibles de la página del producto enlazada (título, descripción), así como nuestra lista de categorías; al escribir el nombre de un producto en el formulario, el texto introducido puede transmitirse adicionalmente para sugerir productos ya existentes en el catálogo; igualmente el término de búsqueda en la página de resultados de nuestra búsqueda, para encontrar lugares y productos por su significado y no solo por el texto. No se transmiten otros datos personales (p. ej., nombre, nombre de usuario o su dirección IP con fines de identificación). Las sugerencias se le muestran para su revisión y solo se aplican cuando usted guarda.

Además, generamos una única vez breves descripciones de imagen (los llamados textos alternativos) para las fotos de lugares y productos mostradas en la plataforma, para que las personas que utilizan un lector de pantalla puedan captar el contenido de la imagen. Para ello se transmite al servicio una copia reducida de la foto correspondiente junto con el nombre del lugar o del producto; no se envían datos sobre la persona que la subió. La descripción se elimina en cuanto se elimina la foto. La base jurídica es nuestro interés legítimo en una oferta accesible (art. 6, apdo. 1, letra f del RGPD).

También únicamente a petición suya, puede pedir una propuesta de borrador de texto en el editor de un informe de viaje. Para ello se transmiten al servicio sus notas del diario del periodo del viaje, los lugares incluidos en el informe con sus propias reseñas, sus días de visita y los platos registrados, así como los textos ya existentes del informe — sin su nombre ni su nombre de usuario. El borrador se le muestra y solo pasa a formar parte del informe cuando usted lo adopta y lo guarda; sus notas del diario no se ven afectadas y siguen siendo privadas. La base jurídica es la prestación de la función solicitada por usted (art. 6, apdo. 1, letra b del RGPD).

También únicamente a petición suya, puede pedir al planificador de viajes con IA una propuesta de plan día a día para un viaje. Para ello se transmiten al servicio los datos que introduce allí — destino, fechas del viaje, intereses elegidos, ritmo, grupo de viaje, presupuesto y un campo de texto libre opcional con deseos —, sin su nombre ni su nombre de usuario. La propuesta se guarda en su cuenta para que pueda volver a abrirla más tarde y guardarla como viaje; solo usted puede verla y se elimina junto con su cuenta. La base jurídica es la prestación de la función solicitada por usted (art. 6, apdo. 1, letra b del RGPD).

Para cumplir nuestras obligaciones de detectar contenidos ilícitos o contrarios a nuestras normas (cf. art. 16 y ss. de la Ley de Servicios Digitales), comprobamos automáticamente con el Azure OpenAI Service los textos públicos de usuarios recién publicados (reseñas, comentarios, preguntas y respuestas sobre productos, peticiones públicas de recomendaciones y sus respuestas; las preguntas visibles solo para amigos no se comprueban) en busca de spam, publicidad, discurso de odio, acoso e infracciones similares. Solo se transmite el texto en sí — sin nombre, nombre de usuario ni otros datos de la cuenta. La comprobación automática no elimina ningún contenido: únicamente genera un aviso para nuestro equipo, que revisa y decide cada caso por sí mismo; no se produce ninguna decisión basada únicamente en el tratamiento automatizado en el sentido del art. 22 del RGPD. La base jurídica es nuestro interés legítimo en una oferta segura y conforme a las normas (art. 6, apdo. 1, letra f del RGPD).

Según el proveedor, los contenidos transmitidos no se utilizan para entrenar modelos ni se comparten con otros clientes. El procesamiento se realiza en servidores dentro de la Unión Europea. Para detectar abusos, el proveedor puede almacenar entradas y salidas durante un máximo de 30 días.

La base jurídica es la prestación de la función solicitada por usted (art. 6, apdo. 1, letra b del RGPD) y nuestro interés legítimo en un registro sencillo y con pocos errores de los datos de productos (art. 6, apdo. 1, letra f del RGPD). Le rogamos que no suba para esta función fotos en las que sean reconocibles otras personas.

Existe un contrato de encargo de tratamiento con el proveedor; las disposiciones de protección de datos forman parte del Microsoft Products and Services Data Protection Addendum (DPA). Encontrará más información en la declaración de privacidad de Microsoft en: https://privacy.microsoft.com/es-es/privacystatement

Enlaces de afiliado a ofertas de viaje (GetYourGuide, Booking.com)

En nuestra página Descubrir, al buscar una ciudad mostramos un enlace a actividades y tours correspondientes del proveedor GetYourGuide. Mostramos el mismo enlace en nuestras páginas de ciudad, en las páginas de lugares concretos (allí, bien hacia entradas para ese lugar, bien hacia actividades en la ciudad correspondiente) y en el planificador de viajes en una tarjeta de actividades para vuestro destino y para los lugares que hayáis recopilado como ideas. El término de búsqueda correspondiente forma parte de la URL de búsqueda: según la superficie, el nombre de la ciudad o del lugar procedente de nuestra base de datos, o el destino que hayáis introducido. El proveedor es GetYourGuide Deutschland GmbH, Sonnenburger Straße 73, 10437 Berlín, Alemania.

El mero hecho de cargar nuestra página NO transmite ningún dato a GetYourGuide ni establece ninguna cookie de GetYourGuide. Se trata de una simple referencia (hipervínculo), no de una función integrada: no cargamos scripts, mapas ni otros contenidos de GetYourGuide en nuestra página. Por ello no se requiere consentimiento a través del banner de cookies.

Solo cuando hace clic activamente en el enlace se le redirige a getyourguide.com. El enlace contiene un identificador de socio (el parámetro «partner_id») para que GetYourGuide pueda atribuirnos una posible reserva y recibamos una comisión por ello (programa de afiliados). Al hacerlo, GetYourGuide puede establecer cookies o tecnologías similares en su propio sitio web; GetYourGuide es el único responsable de ello. Se aplica su política de privacidad: https://www.getyourguide.com/c/privacy-policy/

Enlazamos con la búsqueda de hoteles del proveedor Booking.com (Booking.com B.V., Herengracht 597, 1017 CE Ámsterdam, Países Bajos) en la tarjeta de alojamiento del planificador de viajes, al final de los relatos de viaje publicados y en las páginas de lugares concretos. Aquí se aplica lo mismo: se trata de una simple referencia (hipervínculo); al cargar nuestra página no se transmite ningún dato a Booking.com ni se cargan contenidos de Booking.com en nuestra página. Solo cuando hace clic activamente en el enlace se le redirige a booking.com. Lo que se transmite como parte de la URL de búsqueda depende de la superficie: en el planificador de viajes, los parámetros de búsqueda introducidos (destino, fechas, número de personas); en las páginas de relatos y de lugares, únicamente el nombre del destino o de la ciudad procedente de nuestra base de datos y el idioma de la página consultada. El programa de socios de Booking.com se gestiona a través de la red de afiliados CJ Affiliate (Commission Junction LLC, EE. UU.): en ese caso, el clic se redirige a booking.com a través de un dominio de seguimiento de CJ (p. ej., anrdoezrs.net), o el enlace contiene un identificador de socio, para que una reserva realizada allí pueda atribuírsenos y recibamos una comisión. CJ puede utilizar cookies o tecnologías similares en sus propios dominios; CJ es el único responsable de ello, y los datos pueden tratarse en EE. UU. Este tratamiento solo tiene lugar cuando usted hace clic activamente en el enlace y accede así a los dominios de CJ o de Booking.com; en la medida en que nosotros mismos transfiramos datos personales a EE. UU., ello se realiza únicamente sobre la base de garantías adecuadas conforme al art. 46 RGPD (cláusulas contractuales tipo de la UE) o de su consentimiento expreso (art. 49.1.a RGPD). Se aplican el aviso de privacidad de CJ (https://www.cj.com/legal/privacy-policy-services) y, para el tratamiento de datos en booking.com, la política de privacidad de Booking.com: https://www.booking.com/content/privacy.html

Programa de afiliados de Amazon (Amazon Afiliados)

Participamos en el programa de afiliados de Amazon (Amazon Afiliados / Amazon PartnerNet). Por ello, los enlaces de compra a amazon.de que los usuarios o nosotros hayamos guardado en las páginas de productos, perfiles y listas pueden contener nuestro identificador de socio (el parámetro de URL «tag»). Solo añadimos este identificador si el enlace guardado aún no lleva un identificador de socio; señalizamos dichos enlaces como publicidad. El proveedor es Amazon EU S.à r.l., 38 avenue John F. Kennedy, L-1855 Luxemburgo.

También aquí se trata de una simple referencia (hipervínculo): al cargar nuestra página NO se transmite ningún dato a Amazon, no se carga ningún contenido de Amazon en nuestra página y no se establecen cookies de Amazon. Solo cuando hace clic activamente en el enlace se le redirige a amazon.de; Amazon puede entonces atribuirnos un pedido realizado allí a través del identificador de socio para que recibamos una comisión. Amazon es responsable exclusivo del tratamiento de datos en amazon.de; se aplica su política de privacidad: https://www.amazon.de/gp/help/customer/display.html?nodeId=GX7NJQ4ZB8MHFRNJ

Aviso conforme a las condiciones de participación del programa: En calidad de Afiliados de Amazon, obtenemos ingresos por las compras adscritas que cumplen los requisitos aplicables.

La base jurídica para facilitar estos enlaces de afiliado es nuestro interés legítimo en financiar nuestra oferta (art. 6, apdo. 1, letra f, RGPD). Señalizamos dichos enlaces como publicidad. Para minimizar la información de referente transmitida a los proveedores al hacer clic, los enlaces llevan el atributo rel="noreferrer".

Fuente

Partes de esta política de privacidad se han elaborado a partir de textos modelo de eRecht24 y se han adaptado para ShineLists.