Política de privacidad

1. Responsable del tratamiento

[REVISAR CON ABOGADO: nombre/razón social, NIF, domicilio y email de contacto del responsable — los mismos datos del Aviso legal. Valorar si es obligatorio DPO (previsiblemente no, por volumen y tipo de datos).]

2. Qué datos tratamos

• Cuenta: email, nombre (opcional), rol, fecha de alta y de último acceso.
• Autenticación: tokens de sesión y enlaces de acceso de un solo uso, almacenados como hash (SHA-256) y con caducidad (sesiones y magic links).
• Solicitudes de acceso: email y nombre que facilitas al pedir acceso, y el estado de la solicitud.
• Uso del servicio: tu lista de seguimiento de valores (watchlist), asociada a tu cuenta.
• Analítica: usamos Plausible Analytics, que no usa cookies ni identifica usuarios individuales (datos agregados).
• Los datos financieros y análisis de empresas que muestra la aplicación son comunes a todos los usuarios y no contienen datos personales.

3. Finalidad y base legal

• Prestar el servicio y gestionar tu cuenta y sesiones — ejecución de contrato (art. 6.1.b RGPD).
• Gestionar solicitudes de acceso — medidas precontractuales a petición del interesado (art. 6.1.b RGPD).
• Seguridad del servicio (control de acceso, prevención de abuso) — interés legítimo (art. 6.1.f RGPD). [REVISAR CON ABOGADO: ponderación de interés legítimo.]

4. Destinatarios y encargados

Usamos los siguientes proveedores, que actúan como encargados del tratamiento:

• Railway (hosting de la aplicación y base de datos)
• Resend (envío de emails de acceso)
• Plausible (analítica web sin cookies)

Los proveedores de IA y datos financieros (Anthropic, OpenAI, Financial Modeling Prep, SEC EDGAR) procesan únicamente información financiera de empresas cotizadas, no datos personales de usuarios.

[REVISAR CON ABOGADO: transferencias internacionales — Railway/Resend/Anthropic/ OpenAI son proveedores de EE. UU.; verificar adhesión al EU-U.S. Data Privacy Framework o cláusulas contractuales tipo de cada uno, y reflejarlo aquí.]

5. Plazos de conservación

• Datos de cuenta: mientras la cuenta esté activa.
• Sesiones y magic links: hasta su caducidad o revocación.
• [REVISAR CON ABOGADO: plazo de conservación de solicitudes de acceso rechazadas y de logs del servidor.]

6. Tus derechos (RGPD)

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad:

• Supresión (autoservicio): desde Mi cuenta puedes eliminar tu cuenta y todos tus datos personales de forma inmediata e irreversible.
• Resto de derechos: escribiendo a [REVISAR CON ABOGADO: email de contacto], acreditando tu identidad. Plazo de respuesta: un mes.
• Si consideras que no hemos atendido tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

7. Seguridad

Los tokens de autenticación se almacenan únicamente como hash, las comunicaciones van cifradas (HTTPS/TLS) y el acceso a la base de datos está restringido a la infraestructura del servicio.