Política de privacidad

1.Quién es el responsable

El responsable del tratamiento descrito aquí es:

skycraft GmbH
Leibnizstraße 5
01187 Dresden
Alemania

Director general: Dr. David Urbansky. Para cualquier pregunta sobre protección de datos, escribe a [email protected].

2.Este sitio web

Alojamiento

simmerset.com está alojado en Cloudflare Pages, un servicio de Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, EE. UU. Para entregar una página, Cloudflare trata tu dirección IP, la página solicitada, la hora, el agente de usuario de tu navegador y la página de la que vienes, y usa estos datos para proteger el sitio frente a ataques. Cloudflare actúa para nosotros como encargado del tratamiento en virtud de un contrato de encargo del tratamiento. La base jurídica es el artículo 6.1.f) del RGPD: nuestro interés legítimo en un sitio web seguro que cargue rápido.

Plausible Analytics

Contamos las visitas con Plausible Analytics, un servicio de Plausible Insights OÜ, Tartu (Estonia). Plausible no instala cookies, no almacena nada en tu dispositivo y no crea ningún perfil sobre ti. De cada página vista registra la dirección de la página, el sitio del que vienes, tu navegador, tu sistema operativo y tu tipo de dispositivo, y el país, la región y la ciudad que deduce de tu dirección IP.

Para contar los visitantes únicos por día, Plausible calcula un hash a partir de tu dirección IP, el agente de usuario de tu navegador, el dominio del sitio web y un valor aleatorio que cambia cada 24 horas y después se borra. Plausible nunca guarda tu dirección IP ni tu agente de usuario, así que ni Plausible ni nosotros podemos reconocerte más adelante ni en otros sitios web.

En este sitio web también contamos los clics en los botones que abren la aplicación, junto con la posición del botón en la página y el enlace que abre. Estos eventos no contienen ningún dato sobre ti. En la aplicación, Plausible cuenta del mismo modo algunos pasos, como una semana planificada o una suscripción iniciada, junto con cifras como cuántas cenas se planificaron y si la facturación es mensual o anual. La aplicación indica a Plausible qué tipo de pantalla se ha abierto (por ejemplo, la página de una receta) y nunca la dirección de una receta, una lista o una invitación concretas.

Plausible guarda los datos en la UE, en servidores de Hetzner en Falkenstein (Alemania), y usa Bunny, una red europea con sede en Eslovenia, para entregar su servicio y protegerlo frente a ataques. Usamos Plausible en virtud de un contrato de encargo del tratamiento. La base jurídica es el artículo 6.1.f) del RGPD: nuestro interés legítimo es saber cómo llega la gente a Simmerset y cómo lo usa, sin rastrear a nadie. Plausible no almacena información en tu dispositivo ni la lee, por lo que no necesita consentimiento conforme al artículo 25 de la Ley alemana de protección de datos en las telecomunicaciones y los servicios digitales (TDDDG). Puedes oponerte en cualquier momento (consulta tus derechos), y un bloqueador de contenido también detiene el script de Plausible.

Etiquetas de campaña en los enlaces

Si llegas a través de un enlace con etiquetas de campaña (parámetros utm), por ejemplo desde uno de nuestros anuncios, el sitio web añade esas etiquetas a los enlaces de la página, también a los que llevan a la aplicación, para que podamos ver qué campaña te trajo. Para ello no se almacena nada en tu dispositivo, e ignoramos identificadores de clic como gclid. No usamos píxeles publicitarios.

Supervisión de errores con Sentry

Para encontrar y corregir errores en este sitio web, en la aplicación y en nuestra API, usamos Sentry, un servicio de Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, EE. UU. Nunca le decimos a Sentry quién eres: no recibe de nosotros ningún nombre, dirección de correo electrónico ni número de cuenta.

Cada página de este sitio web carga el script de Sentry desde los servidores de Sentry. Si la página falla, tu navegador envía a Sentry un informe de error: el mensaje de error, el lugar de nuestro código donde se produjo, tu navegador y tu sistema operativo, la dirección de la página sin ningún parámetro y la hora.

La aplicación envía el mismo tipo de informe de error y mide cuánto tarda en cargarse una de cada cinco pantallas. Indica a Sentry qué tipo de pantalla estaba abierta (por ejemplo, la página de una receta) y nunca la dirección de una receta, una lista o una invitación concretas.

Además, la aplicación guarda una grabación de los últimos 60 segundos en pantalla en la memoria de tu navegador. Solo si se produce un error envía esa grabación a Sentry, como replay, y después sigue grabando hasta que termina la visita: tras 15 minutos sin actividad o, como máximo, tras 60 minutos. El replay muestra cómo se veían las pantallas y dónde tocaste o te desplazaste. Todos los textos y todo lo que escribes quedan ocultos en él, así que nadie puede leer tus planes, tus listas, tus alergias ni tus dietas. Las fotos también quedan ocultas y el replay no registra de dónde proceden.

Nuestra API comunica sus propios errores a Sentry: el error, el tipo de solicitud que falló (por ejemplo, cargar una semana), la hora y un número de referencia de la solicitud. En una de cada cinco solicitudes también registra cuánto tardó. Nunca envía el contenido de tus solicitudes, tu dirección de correo electrónico ni tus tokens de inicio de sesión.

Sentry ve tu dirección IP cuando tu navegador carga su script o le envía un informe, como cualquier servidor. Hemos configurado Sentry para que no guarde direcciones IP, pero aún puede usar la tuya para deducir una ubicación aproximada, como el país, antes de descartarla.

Sentry guarda los informes en la UE, en Fráncfort (Alemania), y los borra a los 30 días. Como empresa estadounidense, puede acceder a ellos desde EE. UU., por ejemplo cuando pedimos ayuda a su soporte. La sección 12 explica cómo se protegen estas transferencias.

Usamos Sentry en virtud de un contrato de encargo del tratamiento. La base jurídica es el artículo 6.1.f) del RGPD: nuestro interés legítimo en un sitio web y una aplicación que funcionen y sigan siendo seguros. Sentry no instala cookies ni almacena o lee información en tu dispositivo, por lo que no necesita consentimiento conforme al artículo 25 de la TDDDG. Puedes oponerte en cualquier momento (consulta tus derechos), y un bloqueador de contenido también detiene los informes.

Asistente de chat

El botón de chat de la esquina inferior derecha de cada página abre nuestro asistente de IA. El asistente es Yoonoo, un servicio de chat de skycraft GmbH, la empresa que gestiona Simmerset, y funciona en nuestros servidores de Hetzner en Alemania. Cada página carga el script y la imagen del chat desde yoonoo.ai a través de Cloudflare, que ve tu dirección IP como se describe en Alojamiento. Lo que escribes solo llega al asistente cuando envías un mensaje.

Cuando envías un mensaje, Yoonoo transmite la conversación, junto con los fragmentos de este sitio web relacionados con tu pregunta, a OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlanda, que redacta la respuesta. Yoonoo también usa OpenAI para valorar lo útil que fue cada conversación y para resumirnos las conversaciones de la semana. OpenAI actúa para nosotros como encargado del tratamiento en virtud de su contrato de encargo del tratamiento. Guarda los mensajes hasta 30 días para prestar el servicio y detectar abusos, no los usa para entrenar sus modelos y puede tratarlos en EE. UU.; la sección 12 explica cómo se protegen estas transferencias.

Guardamos cada conversación (tus mensajes, las respuestas y cuándo se enviaron) durante 90 días, para ver qué se pregunta y mejorar el asistente y este sitio web, y después la borramos. No guardamos con ella ninguna dirección IP, ningún nombre ni ninguna dirección de página. El chat no instala cookies ni almacena nada en tu dispositivo. Las respuestas las escribe una IA y pueden ser erróneas; lo que cuenta es lo que dice este sitio web. Por favor, no escribas en el chat datos de salud, contraseñas ni datos de pago.

La base jurídica es el artículo 6.1.f) del RGPD: nuestro interés legítimo en responder preguntas sobre Simmerset. El chat no almacena ni lee información en tu dispositivo, por lo que no necesita consentimiento conforme al artículo 25 de la TDDDG. Puedes oponerte en cualquier momento (consulta tus derechos), y un bloqueador de contenido también detiene el chat.

3.La antigua lista de espera

Antes de que Simmerset abriera, se podía dejar la dirección de correo electrónico en una lista de espera. Eliminamos esas direcciones y los datos guardados con ellas sin usarlos, y lo que quede en nuestras copias de seguridad nocturnas desaparece a los 14 días. La base jurídica para guardarlas era el consentimiento dado al apuntarse (artículo 6.1.a) del RGPD). Ya no recogemos direcciones de este modo.

4.Tu cuenta

Las cuentas y el inicio de sesión los gestiona Clerk, Inc., 660 King Street, Unit 345, San Francisco, CA 94107, EE. UU., como encargado del tratamiento. Clerk guarda tu dirección de correo electrónico, te envía por correo los códigos de inicio de sesión y mantiene tu sesión. Para proteger las cuentas frente a usos indebidos, también trata tu dirección IP e información sobre tu dispositivo. Si inicias sesión con Google, donde se ofrezca esa opción, Google comparte con Clerk tu nombre, tu dirección de correo electrónico y tu foto de perfil.

En nuestra propia base de datos guardamos la dirección de correo electrónico y el nombre que nos transmite Clerk, tu idioma y la última vez que usaste la aplicación.

La base jurídica es el artículo 6.1.b) del RGPD, porque necesitamos una cuenta para prestarte Simmerset.

5.Tu hogar y tus planes

Para planificar cenas, guardamos lo que introduces en la aplicación:

• tu hogar, sus miembros y sus funciones, y las personas sin cuenta que añades (por ejemplo, un niño), con sus nombres y tamaños de ración
• raciones, cenas por semana, días de cocina, tiempo por noche y utensilios de cocina
• alergias, dietas y lo que no gusta, del hogar y de cada persona
• semanas planificadas, listas de la compra y lo que marcas en ellas, y favoritos
• las cenas que marcas como cocinadas, tus valoraciones de recetas y los comentarios opcionales
• las recetas que añades o importas, y los avisos de problemas en recetas con una nota opcional

Todos los miembros de un hogar ven la semana, la lista, los favoritos, las alergias, las dietas y lo que no gusta en ese hogar. Invitas a otras personas con un enlace que compartes tú. No enviamos correos de invitación y solo guardamos una huella (hash) del enlace.

Cuando importas una receta desde una página web, nuestro servidor descarga esa página una vez y guarda el enlace, el nombre del sitio, la hora de la descarga y la receta que ha encontrado.

Cuando pruebas Simmerset sin cuenta, tus respuestas, incluidas las alergias, van a nuestro servidor para planificar la vista previa. El servidor no las guarda. Tu navegador las conserva hasta 7 días para que puedas seguir donde lo dejaste.

La base jurídica es el artículo 6.1.b) del RGPD, porque necesitamos estos datos para prestar Simmerset. Sobre las alergias y otros datos de salud, consulta la sección siguiente. Si introduces datos sobre otras personas, por ejemplo las alergias de tu hijo, asegúrate de que puedes compartirlos con nosotros.

6.Alergias, dietas y otros datos de salud

Las alergias y las intolerancias son datos relativos a tu salud, y también lo son las dietas que sigues por motivos médicos y los objetivos nutricionales, como un límite de sal. El RGPD protege estos datos de forma especial (artículo 9 del RGPD). Solo los tratamos con tu consentimiento explícito (artículos 9.2.a) y 6.1.a) del RGPD), que la aplicación te pide antes de guardarlos.

Usamos estos datos solo para elegir recetas para tu hogar y para mostrarte tus objetivos, nunca con fines publicitarios, y no los compartimos con anunciantes. Todos los miembros de tu hogar los ven.

Puedes retirar tu consentimiento en cualquier momento, con efectos para el futuro. Quita las alergias, las dietas y los objetivos en Preferencias, o elimina tu cuenta. Entonces borramos estos datos, y Simmerset ya no puede mantener esos alimentos fuera de tus planes. La retirada del consentimiento no afecta a la licitud del tratamiento realizado hasta ese momento.

7.Pagos

Plus se factura a través de Stripe. Para los clientes del Espacio Económico Europeo, la empresa de Stripe responsable es Stripe Payments Europe, Limited, Dublín (Irlanda).

En la página de pago de Stripe introduces tus datos de pago y tu dirección de facturación. Stripe los usa para cobrar el pago, calcular los impuestos (Stripe Tax) y prevenir el fraude. Tu número de tarjeta va a Stripe y nunca nos llega a nosotros.

Facilitamos a Stripe tu dirección de correo electrónico, tu idioma y números de referencia internos de tu hogar. Stripe nos indica si tu suscripción está activa y nos envía los datos de facturación que le diste, como tu nombre, tu dirección de correo electrónico y tu dirección de facturación, pero nunca tu número de tarjeta completo.

Para el pago en sí, Stripe actúa para nosotros como encargado del tratamiento. Cuando la ley lo exige, por ejemplo para prevenir el fraude y el blanqueo de capitales, Stripe actúa como responsable del tratamiento independiente. La política de privacidad de Stripe está en stripe.com/privacy.

La base jurídica es el artículo 6.1.b) del RGPD para el pago, y el artículo 6.1.c) del RGPD para los registros que la normativa fiscal y mercantil nos obliga a conservar.

8.Dónde se almacenan tus datos

Cloudflare Pages entrega la aplicación en app.simmerset.com. Nuestra API y nuestra base de datos funcionan en nuestro propio servidor, alquilado a Hetzner Online GmbH, Gunzenhausen (Alemania), en un centro de datos de Falkenstein (Alemania). Las solicitudes a la API pasan por la red de Cloudflare, que cifra la conexión y protege el servidor frente a ataques. Por eso Cloudflare ve tu dirección IP y tus solicitudes.

Las imágenes de las recetas se cargan desde img.spoonacular.com, el servidor de imágenes de la base de datos de recetas Spoonacular, que también gestionamos nosotros. También las entrega Cloudflare.

Nuestro servidor escribe registros de acceso con la hora, la dirección solicitada y datos técnicos de cada solicitud. Los conservamos durante 14 días. Hacemos una copia de seguridad de la base de datos cada noche y conservamos cada copia durante 14 días.

La aplicación y nuestra API también comunican errores a Sentry, como se describe en la sección 2.

La base jurídica es el artículo 6.1.f) del RGPD: nuestro interés legítimo en que Simmerset funcione de forma segura y en poder restaurarlo tras una avería.

9.Almacenamiento en tu dispositivo

El sitio web no instala cookies ni almacena nada en tu dispositivo.

La aplicación almacena en tu dispositivo lo que necesita para funcionar. Esto está permitido sin consentimiento conforme al artículo 25, apartado 2, punto 2, de la TDDDG:

• las cookies de inicio de sesión de Clerk, que mantienen tu sesión iniciada
• tu idioma, el modo claro u oscuro, el hogar que has seleccionado y el progreso de la receta que estás cocinando
• un número de dispositivo aleatorio que evita que un cambio se guarde dos veces
• una copia de la semana actual, la lista de la compra y las recetas planificadas, para que puedas consultarlas sin conexión
• tus respuestas mientras pruebas Simmerset sin cuenta, durante un máximo de 7 días
• durante el pago, la referencia de Stripe para ese proceso de pago

10.Exportación y eliminación

En Cuenta, dentro de la aplicación, puedes descargar tus datos en un archivo JSON: tu perfil, tu hogar con sus miembros y preferencias, alergias y dietas, semanas, listas, tus propias recetas, favoritos, y tu historial de cocina y valoraciones. El archivo también incluye lo que otros miembros introdujeron para el hogar. El enlace de descarga funciona durante 72 horas y después el archivo se borra.

También puedes eliminar tu cuenta en Cuenta. Para tu protección, debes haber iniciado sesión en los últimos 10 minutos. La eliminación se realiza en segundo plano y tarda unos minutos. Borra tus datos, tus datos de inicio de sesión en Clerk y cualquier exportación guardada, y cancela un plan Plus en curso al final del período que ya has pagado. Si eres propietario de un hogar con otros miembros, primero lo traspasas a uno de ellos o lo eliminas. Lo que añadiste a un hogar que sigue existiendo se queda en ese hogar.

Si lo prefieres, puedes pedirnos por correo electrónico que eliminemos tu cuenta de Simmerset: escribe a [email protected] desde la dirección con la que inicias sesión y la eliminamos como se describe arriba.

Solo conservamos lo que exige la ley: la documentación de facturación, hasta 10 años según la normativa fiscal y mercantil alemana, y el registro de tus consentimientos como prueba. También conservamos una marca con un número interno y sin tu dirección de correo electrónico, para que un mensaje tardío de Stripe o de Clerk no pueda volver a crear la cuenta eliminada. Stripe conserva sus propios registros de pago conforme a las obligaciones que se le aplican.

11.Cuánto tiempo conservamos los datos

• Datos de la cuenta y del hogar: hasta que los elimines o elimines tu cuenta.
• Exportaciones de datos: 72 horas.
• Registros del servidor: 14 días.
• Copias de seguridad: 14 días.
• Documentación de facturación: hasta 10 años, como exige la normativa fiscal y mercantil alemana.
• Estadísticas de Plausible: no contienen datos personales y siguen disponibles mientras usemos Plausible.
• Informes de Sentry: 30 días, incluidos los tiempos de carga y los replays.
• Conversaciones del chat: 90 días.

12.Proveedores de servicios y transferencias fuera de la UE

Estos proveedores de servicios tratan datos personales por encargo nuestro, cada uno en virtud de un contrato de encargo del tratamiento:

• Cloudflare, Inc., EE. UU.: alojamiento del sitio web y de la aplicación, entrega y protección de la API y de las imágenes de las recetas.
• Clerk, Inc., EE. UU.: cuentas e inicio de sesión, incluidos los correos de inicio de sesión.
• Stripe Payments Europe, Limited, Irlanda: pagos y cálculo de impuestos. Cuando la ley lo exige, Stripe también es responsable del tratamiento independiente.
• Hetzner Online GmbH, Alemania: los servidores de nuestra API, de nuestra base de datos y del asistente de chat.
• Plausible Insights OÜ, Estonia: estadísticas de visitas sin datos personales.
• Functional Software, Inc. (Sentry), EE. UU.: informes de error del sitio web, la aplicación y la API, y tiempos de carga de la aplicación y la API, todo almacenado en Fráncfort (Alemania).
• OpenAI Ireland Limited, Irlanda: respuestas, valoraciones y resúmenes semanales del asistente de chat de este sitio web.

Cloudflare, Clerk y Stripe (a través de Stripe, Inc.) también tratan datos en EE. UU. Sentry guarda nuestros informes en Fráncfort, pero puede acceder a ellos desde EE. UU., por ejemplo para el soporte. La Comisión Europea ha adoptado una decisión de adecuación según la cual las empresas certificadas conforme al EU-U.S. Data Privacy Framework garantizan un nivel adecuado de protección de datos (artículo 45 del RGPD), y Cloudflare, Clerk, Stripe y Sentry están certificadas. Nuestros contratos con ellas incluyen además las cláusulas contractuales tipo de la UE (artículo 46.2.c) del RGPD). OpenAI también puede tratar los mensajes del chat en EE. UU., sobre la base de las cláusulas contractuales tipo de la UE incluidas en su contrato de encargo del tratamiento.

13.Tus derechos

Tienes derecho a:

• saber qué datos tuyos tenemos (artículo 15 del RGPD)
• que se corrijan los datos incorrectos (artículo 16 del RGPD)
• que se supriman tus datos (artículo 17 del RGPD)
• que se limite el tratamiento (artículo 18 del RGPD)
• recibir tus datos en un formato de uso común y lectura mecánica (artículo 20 del RGPD)
• retirar un consentimiento en cualquier momento, con efectos para el futuro (artículo 7.3 del RGPD)

Derecho de oposición

Cuando tratamos datos sobre la base de un interés legítimo (artículo 6.1.f) del RGPD), puedes oponerte en cualquier momento por motivos relacionados con tu situación particular (artículo 21 del RGPD). Entonces dejamos de tratarlos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre tus intereses o que necesitemos los datos para formular, ejercer o defender reclamaciones.

Cómo ejercer tus derechos

Escribe a [email protected]. Buena parte puedes hacerla directamente en la aplicación: cambia o borra tus datos en Preferencias, y descarga tus datos o elimina tu cuenta en Cuenta.

También puedes presentar una reclamación ante una autoridad de control de protección de datos (artículo 77 del RGPD), en particular en el país de la UE en el que vivas o trabajes. La autoridad competente para nosotros es:

Sächsische Datenschutz- und Transparenzbeauftragte
Maternistraße 17
01067 Dresden
Alemania

Sitio web: www.datenschutz.sachsen.de

14.Las aplicaciones para Android e iOS

Esta política también cubre las aplicaciones Simmerset para Android y para iOS (iPhone y iPad). Las dos aplicaciones dan acceso al mismo servicio que app.simmerset.com, así que todo lo que dice esta política se aplica también a ellas.

Google distribuye la aplicación para Android a través de Google Play. Cuando la descargas o la actualizas, Google trata tus datos según su propia política de privacidad, como responsable del tratamiento independiente y no como nuestro encargado del tratamiento. Google nos facilita estadísticas e informes de fallos que no te identifican, como el número de instalaciones por país.

Apple distribuye la aplicación para iOS a través del App Store. Cuando la descargas o la actualizas, Apple trata tus datos según su propia política de privacidad, como responsable del tratamiento independiente y no como nuestro encargado del tratamiento. Apple nos facilita estadísticas e informes de fallos que no te identifican, como el número de descargas por país. Los informes de fallos y las estadísticas sobre el uso de la aplicación proceden solo de las personas que han aceptado compartir datos de análisis con los desarrolladores de aplicaciones.

Si valoras alguna de las aplicaciones en Google Play o en el App Store, vemos tu reseña y el nombre que aparece con ella, y podemos responderte allí. La base jurídica es el artículo 6.1.f) del RGPD: nuestro interés legítimo en responder a las opiniones sobre Simmerset.

En las aplicaciones no se puede comprar nada. Inicias sesión con tu dirección de correo electrónico y un código; las aplicaciones no ofrecen el inicio de sesión con Google ni con Apple.

Las aplicaciones etiquetan lo que envían a Plausible con su plataforma ("android" o "ios"), y los informes de error que envían a Sentry con la plataforma y el número de versión de la aplicación, para que podamos distinguir las aplicaciones del sitio web. Estas etiquetas no te identifican.

15.Otras cuestiones

No tienes obligación de facilitarnos ningún dato. Sin embargo, sin una dirección de correo electrónico no podemos crear una cuenta, y sin datos de pago no puedes contratar Plus. Las alergias y las dietas son opcionales, pero sin ellas Simmerset no puede mantener esos alimentos fuera de tus planes.

No tomamos decisiones automatizadas que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar (artículo 22 del RGPD). Simmerset propone cenas de forma automática, y tú decides qué cocinar.

Simmerset no está pensado para que lo usen por su cuenta menores de 16 años.

No vendemos datos personales, no mostramos publicidad y no usamos seguimiento publicitario ni de redes sociales.

16.Cambios en esta política

Actualizamos esta política cuando cambian Simmerset o la ley. La fecha de arriba indica cuándo entró en vigor la versión actual.