Política de privacidad

Responsable del tratamiento

El responsable del tratamiento de datos en este sitio y en el servicio de auditoría es:
Ingo Christ, empresario individual (marca picjoy)
Luisenstraße 15
44787 Bochum
Alemania
ingo.christ@picjoy.de

Delegado de protección de datos

No se ha designado un delegado de protección de datos ni existe obligación de hacerlo: conforme al § 38 apdo. 1 de la Ley Federal alemana de Protección de Datos, la obligación solo surge cuando al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos personales. La empresa no tiene empleados. Las consultas sobre protección de datos las responde el propio responsable.

Qué datos tratamos

Al acceder y utilizar este sitio se generan los siguientes datos:

• Datos de conexión: el sitio se entrega a través de Cloudflare. Se generan dirección IP, fecha y hora, dirección solicitada, volumen de datos transmitido, dirección de procedencia e identificador del navegador y del sistema operativo. La base jurídica es el art. 6 apdo. 1 letra f) del RGPD — interés legítimo en el funcionamiento y la seguridad del sitio.
• La dirección del sitio que usted introduce al iniciar una auditoría. Se trata para llevar a cabo la comprobación y mostrar el resultado. La base jurídica es el art. 6 apdo. 1 letra b) del RGPD.
• Un seudónimo de su dirección IP al iniciar una auditoría o solicitar un informe. No se almacena la IP, sino un hash SHA-256 con sal aleatoria secreta; sin ese valor la IP no puede recalcularse. La finalidad es exclusivamente la limitación de peticiones y la prevención del abuso. La base jurídica es el art. 6 apdo. 1 letra f) del RGPD.
• Su dirección de correo electrónico cuando solicita el informe completo, junto con la fecha y la dirección IP de la solicitud y de la confirmación, como prueba del doble opt-in. La base jurídica es el art. 6 apdo. 1 letra b) del RGPD y, para la prueba, el art. 6 apdo. 1 letra c) en relación con el art. 7 apdo. 1.
• Su consentimiento para recibir publicidad, si ha marcado la casilla correspondiente. La base jurídica es el art. 6 apdo. 1 letra a) del RGPD.

El informe y la publicidad están separados

Usted recibe el informe con independencia de que consienta o no la publicidad. El consentimiento es voluntario y no condiciona el informe (prohibición de vinculación, art. 7 apdo. 4 del RGPD). Informe y publicidad son dos entradas distintas en nuestro registro de consentimientos.

Su dirección de correo se confirma mediante doble opt-in: primero recibe un correo de confirmación que no contiene publicidad alguna; solo tras pulsar el enlace que incluye enviamos el informe y —si ha consentido— más mensajes. Si no se pulsa, la solicitud se elimina por completo transcurridas 72 horas.

Como prueba almacenamos, por cada finalidad: fecha y dirección IP de la solicitud, fecha y dirección IP de la confirmación, el identificador del navegador, el origen y la versión del texto de consentimiento. Lo exige el deber de responsabilidad proactiva del art. 7 apdo. 1 del RGPD; un hash carecería de valor probatorio.

Puede retirar el consentimiento en cualquier momento con efectos para el futuro, sin formalidades por correo electrónico o mediante el enlace de baja presente en cada mensaje, que funciona también como baja de un solo clic según la RFC 8058. La retirada bloquea la publicidad; puede seguir solicitando informes. Una casilla de publicidad ya retirada no vuelve a activarse con el siguiente formulario. La licitud del tratamiento anterior a la retirada no se ve afectada.

Entrega, rebotes y lista de bloqueo

Los mensajes no entregables y las reclamaciones por correo no deseado se analizan. Las direcciones afectadas pasan a una lista de bloqueo interna y no vuelven a recibir mensajes. La base jurídica es el art. 6 apdo. 1 letra f) del RGPD: el interés legítimo en no escribir a nadie contra su voluntad y las exigencias de nuestro proveedor de envío.

Si solicita la supresión de sus datos, ese bloqueo se mantiene; solo se eliminan sus detalles. Suprimirlo también borraría precisamente la instrucción de no volver a escribir a esa dirección.

Sin herramientas de terceros

Este sitio no carga tipografías, scripts ni hojas de estilo desde servidores ajenos y no integra servicios de analítica, redes publicitarias ni redes sociales. No se instalan cookies con fines analíticos o publicitarios ni se elaboran perfiles. El pago de las suscripciones se realiza en las páginas del proveedor de pago Stripe (véase más abajo); este sitio no carga ningún script de terceros para ello.

Pedido y suscripción

Quien encarga una suscripción indica la oferta, el tramo de facturación, el dominio y la dirección de correo electrónico, y confirma su condición de empresario y la aceptación de las condiciones generales. Guardamos estos datos junto con el momento del pedido, la versión de las condiciones generales, un indicador seudonimizado de la dirección IP (protección contra abusos, 7 días) y los datos contractuales transmitidos por Stripe: identificador de cliente, nombre de la empresa, país de la dirección de facturación, número de identificación fiscal a efectos del IVA, identificador de la suscripción, duración y estado. Los datos de pago, como el número de tarjeta o los datos bancarios, nunca llegan a nuestro servidor.

La base jurídica es el art. 6, apdo. 1, letra b) del RGPD (medidas precontractuales y ejecución del contrato); para la conservación de los datos de facturación y del contrato, el art. 6, apdo. 1, letra c) del RGPD en relación con el § 147 del Código Tributario alemán (AO) y el § 14b de la Ley alemana del IVA (UStG) (diez años).

Los pedidos abandonados se eliminan a los 30 días; los datos del contrato se conservan durante la vigencia de este y, después, durante el plazo legal de conservación. La confirmación del pedido y los avisos sobre la auditoría y el contrato son comunicación contractual, no publicidad; para la publicidad sigue rigiendo el consentimiento independiente.

Encargados del tratamiento y destinatarios

Recurrimos a tres prestadores, en todos los casos sobre la base de un contrato de encargo del tratamiento conforme al art. 28 del RGPD:

• Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, EE. UU.) entrega el sitio, lo protege frente a sobrecargas y establece la conexión cifrada entre el sitio y nuestro servidor de auditoría. En ello se tratan datos de conexión, incluida la dirección IP.
• Amazon Simple Email Service (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburgo) envía los correos de confirmación y los informes. Se tratan la dirección de correo, el contenido y el estado de entrega del mensaje; el envío se realiza a través de la región de Fráncfort del Meno (eu-central-1).
• Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, D02 H210, Irlanda) tramita el pago de las suscripciones y emite las facturas. Stripe trata en ello el nombre, la empresa, la dirección de facturación, la dirección de correo electrónico, el número de identificación fiscal a efectos del IVA, los datos de pago y la dirección IP. Para el procesamiento de pagos, la prevención del fraude y sus propias obligaciones legales, Stripe es responsable del tratamiento por cuenta propia; más información en https://stripe.com/es/privacy.

Los tres prestadores pertenecen a grupos con sede en EE. UU.; no cabe descartar un acceso desde un tercer país. Toda transferencia se basa en la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (art. 45 del RGPD) y, con carácter complementario, en las cláusulas contractuales tipo (art. 46 apdo. 2 letra c).

La auditoría propiamente dicha y la base de datos funcionan en hardware propio situado en Alemania. Ni los resultados ni los listados de direcciones se alojan en un proveedor de nube.

Plazos de conservación

Conservamos cada dato solo mientras dura su finalidad. Un programa aplica los plazos automáticamente cada hora:

• Contadores de limitación de peticiones (IP seudonimizada): 24 horas — la finalidad termina con la ventana temporal.
• IP seudonimizada asociada al encargo de auditoría: 7 días — es tiempo suficiente para perseguir un abuso.
• Solicitud de informe no confirmada (dirección e IP): 72 horas — sin confirmación no hay consentimiento y, por tanto, ninguna razón para conservar.
• Resultados de auditoría e informes: 90 días — bastante para atender consultas y poco para no generar un expediente permanente sobre sitios ajenos. Excepción: los resultados a los que remite públicamente un sello activo; son la prueba de la página pública de auditoría y permanecen mientras se lleve el sello. Al terminar el contrato de auditoría, la página de auditoría permanece 12 meses como estado de archivo, señalada claramente como finalizada, y los resultados asociados permanecen con ella. Motivo: el antiguo cliente conserva la prueba de un control continuo —justo lo que preguntaría una autoridad de vigilancia— y los enlaces externos no quedan rotos. Después se borran ambos, antes si el antiguo cliente lo pide. Si somos nosotros quienes resolvemos por incumplimiento de las reglas, no hay estado de archivo.
• Consentimiento otorgado y la IP que lo acredita: mientras el consentimiento siga vigente (responsabilidad proactiva, art. 7 apdo. 1 del RGPD).
• Prueba tras la retirada: 3 años — el plazo ordinario de prescripción del § 195 del Código Civil alemán.
• Consentimiento publicitario sin uso: transcurridos 24 meses sin contacto se considera extinguido y ya no se utiliza.
• Detalles de mensajes no entregables (texto de diagnóstico, identificador del mensaje): 12 meses.
• Bloqueo tras una dirección permanentemente no entregable: sin plazo. Es la instrucción «no volver a escribir nunca» y no deja de ser cierta con el tiempo; solo se guardan la dirección y una anotación.

Sus derechos

El Reglamento General de Protección de Datos le reconoce los siguientes derechos:

• Acceso a los datos almacenados sobre usted (art. 15)
• Rectificación de datos inexactos (art. 16)
• Supresión (art. 17)
• Limitación del tratamiento (art. 18)
• Portabilidad de los datos (art. 20)
• Oposición a tratamientos basados en intereses legítimos (art. 21)
• Retirada del consentimiento otorgado (art. 7 apdo. 3)

Para el acceso y la supresión basta un correo sin formalidades a ingo.christ@picjoy.de. Ambos están previstos aquí como un procedimiento definido y no se resuelven a mano.

Además puede presentar una reclamación ante una autoridad de control: la de su residencia habitual o la del responsable. En nuestro caso es la Comisionada para la Protección de Datos y la Libertad de Información de Renania del Norte-Westfalia, Kavalleriestraße 2–4, 40213 Düsseldorf, Alemania.

Auditoría de sitios ajenos

Cuando usted introduce una dirección para auditar, nuestro sistema solicita las páginas correspondientes como un navegador corriente y analiza técnicamente el código entregado. No se recogen deliberadamente datos personales del sitio auditado; lo que se almacena es el resultado técnico, no la página.

Nuestro sistema se identifica como Scanready en el identificador del navegador y respeta los bloqueos de acceso en lugar de eludirlos. Los avisos de cookies no se cierran de forma automatizada, porque eso sería emitir una declaración de voluntad en nombre ajeno. La misma dirección se vuelve a auditar como máximo una vez por hora, lo que también protege a los sitios auditados.