Política de privacidad

Este documento describe qué datos personales trata Peter Valašik como responsable en el marco del servicio VNORIA conforme al Reglamento (UE) 2016/679 (RGPD). Se basa en los flujos de datos reales de la aplicación — sin proveedores ni plazos inventados.

1. Responsable y contacto

Peter Valašik, Obrancov mieru 2005/10, 953 01 Zlaté Moravce, Slovensko, IČO 50058045, DIČ 1121257951.

Contacto en materia de datos personales: vnoria.slavic.oracle@gmail.com · +421 948 616 012.

El responsable no está obligado a designar un Delegado de Protección de Datos (DPO).

2. Categorías de datos tratados (según las funciones reales)

2.1 Cuenta y correo electrónico

Al registrarte guardamos: dirección de correo, identificador de acceso, opcionalmente el nombre y avatar del acceso con Google/Apple, la fecha técnica de creación de la cuenta y el idioma de la interfaz. El correo se usa exclusivamente para autenticación, comunicaciones transaccionales (compras, avisos legales) y para responder tus solicitudes.

2.2 Preguntas del usuario (texto libre)

Las preguntas que introduces en Vaticinio Personal, Susurro de Sueños, Cartas del Destino u otros campos de texto se envían al modelo de IA (Google Gemini vía Lovable AI Gateway) y se guardan en tu Libro del Destino. Si los textos pueden contener datos sobre salud, vida sexual, orientación, creencias o estado psíquico, los tratamos solo con tu consentimiento expreso y separado (art. 9.2.a RGPD).

Texto exacto del consentimiento (v1): «Consiento expresamente el tratamiento de datos sensibles que aporte voluntariamente, únicamente para generar la lectura solicitada y almacenarla según mis ajustes».

2.3 Libro del Destino

Línea de tiempo privada con tus lecturas, notas, símbolos favoritos y valoraciones. Solo tu cuenta accede a ellos (Row-Level Security). Puedes eliminar entradas o lecturas concretas en cualquier momento — ábrelas en el Libro del Destino y pulsa «Eliminar». La eliminación completa se realiza en Cuenta → Privacidad.

2.4 Lecturas generadas

Los resultados de la IA (texto, símbolos, imagen de la carta) se guardan junto con tu pregunta. Si desactivaste el almacenamiento de memoria («memory») en la cuenta, las lecturas no alimentan ningún contexto a largo plazo.

2.5 Datos de pago

Los pagos los procesa exclusivamente Stripe. Solo guardamos el identificador de la transacción, importe, moneda, producto, estado (paid/refunded), tipo (único/suscripción) y fecha. Nunca guardamos el número de tarjeta, CVV ni datos bancarios.

2.6 Registros de seguridad

La dirección IP, hora y encabezado del navegador se tratan a corto plazo para rate-limiting, protección frente a ataques y auditoría de cambios de cuenta. Base legal: interés legítimo — seguridad del servicio (art. 6.1.f).

2.7 Cookies y analítica

Antes del consentimiento solo cargamos cookies estrictamente necesarias (sesión, idioma, guardado del propio consentimiento). Google Analytics 4, PostHog Cloud EU, píxeles de marketing y demás analítica opcional se cargan solo con tu consentimiento expreso. Detalles y gestión: Cookies.

2.8 Comunicación con soporte

Los mensajes del formulario de contacto, reclamaciones, desistimientos y solicitudes RGPD se guardan junto con tu identificación (nombre, correo) y contenido para poder atenderlos y acreditar los procesos legales.

3. Fines y bases legales

• Prestación del servicio y ejecución del contrato — art. 6.1.b (cuenta, lecturas, pagos).
• Obligaciones legales — art. 6.1.c (contabilidad, reclamaciones, desistimientos).
• Interés legítimo — art. 6.1.f (seguridad, prevención del abuso).
• Consentimiento — art. 6.1.a (cookies analíticas, newsletter, análisis del blog) y art. 9.2.a para categorías especiales (datos sensibles en texto libre).

4. Destinatarios y encargados del tratamiento

Encargados realmente activos:

• Supabase Inc. — base de datos, autenticación, almacenamiento de cuentas y Libro del Destino. Ubicación: UE (Fráncfort, Alemania). Política.
• Cloudflare, Inc. — hosting y runtime serverless (Workers), CDN y protección frente a ataques. Ubicación: red global, principalmente regiones UE. Transferencia: cláusulas contractuales tipo (SCC). Política.
• Stripe Payments Europe, Ltd. — procesamiento de pagos, gestión de suscripciones, justificantes. Ubicación: Irlanda (UE), infraestructura global de Stripe. Transferencia: SCC. Política.
• Google LLC — Gemini API (vía Lovable AI Gateway) — generación de lecturas por IA. Las entradas no se usan para entrenar el modelo. Ubicación: EE. UU. / infraestructura global de Google. Transferencia: SCC. Política.
• Lovable, Inc. — AI Gateway — intermediación de llamadas a modelos de IA y agregación de mediciones de uso. Ubicación: UE / EE. UU. Transferencia: SCC. Política.
• Google Ireland Ltd. — Google Analytics 4 — analítica de tráfico anonimizada; se carga solo con consentimiento. Ubicación: UE / EE. UU. Transferencia: SCC. Política.
• PostHog, Inc. — PostHog Cloud EU — analítica de pasos del producto sin texto libre ni grabación de sesiones; solo con consentimiento. Los datos se almacenan en la UE (Fráncfort, Alemania). Política.

5. Transferencias fuera de la UE/EEE

Parte de la infraestructura (Google/Gemini, Cloudflare, Stripe, Lovable AI Gateway, GA4) puede tratar datos también fuera de la UE/EEE. La transferencia siempre se garantiza mediante cláusulas contractuales tipo (SCC) del art. 46 RGPD firmadas con el encargado.

6. Plazos de conservación

• Cuenta y correo: hasta la baja de la cuenta y 30 días adicionales por copias técnicas.
• Lecturas de IA y Libro del Destino: guardadas en el Libro del Destino hasta que las elimines o cierres la cuenta.
• Documentos contables: 10 años desde el fin del ejercicio (Ley de contabilidad eslovaca).
• Mensajes de contacto: 12 meses desde la última comunicación.
• Consentimientos (incluidos datos sensibles): durante la vigencia de la cuenta + 3 años para acreditar el consentimiento.
• Registros de seguridad: 30 días, luego se eliminan o agregan.
• Cookies: ver Cookies.

7. Tus derechos

• Derecho de acceso, rectificación, supresión («derecho al olvido») y limitación del tratamiento.
• Derecho a la portabilidad (exportación JSON directamente en la cuenta).
• Derecho de oposición al tratamiento basado en interés legítimo.
• Derecho a retirar cualquier consentimiento en cualquier momento — gratis y sin efectos sobre el acceso al servicio.
• Derecho a reclamar ante la autoridad de control: Oficina para la Protección de Datos Personales de la República Eslovaca, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk.

Herramientas prácticas: exportar datos y eliminar cuenta, formulario de solicitud RGPD, retirar consentimientos individuales.

8. Análisis del blog — opt-in voluntario separado

Desactivado por defecto. Sin tu consentimiento no usamos tus entradas para ningún análisis del blog. Si lo otorgas: no se usan entradas anteriores al consentimiento; nunca se introducen textos crudos ni fragmentos en la analítica; solo guardamos categorías anónimas amplias y conteos; una categoría no puede vincularse a un usuario concreto; al retirar el consentimiento dejamos de usar los datos para este fin. La negativa no afecta al acceso al servicio.

Texto exacto (v1): «Consiento que Vnoria analice el contenido de mis entradas únicamente para crear temas anónimos agregados para el blog. Mis textos, identidad y citas directas no se publicarán».

9. Newsletter

Desactivado por defecto. La suscripción se inicia solo tras marcar una casilla separada, no preseleccionada. Cada correo incluye un enlace gratuito para darse de baja; también puedes hacerlo en Cuenta → Privacidad.

Texto exacto (v1): «Consiento el envío del newsletter VNORIA a mi dirección de correo. Puedo retirar el consentimiento gratuitamente en cualquier momento mediante el enlace de cada correo o en mi Cuenta».

10. IA y decisiones automatizadas

La aplicación usa IA generativa (Google Gemini vía Lovable AI Gateway) para crear lecturas, interpretaciones de sueños y símbolos. Conforme al AI Act, te comunicas con un sistema de IA y las salidas son generadas por máquina. No realizamos decisiones automatizadas con efectos jurídicos o significativos análogos en el sentido del art. 22 RGPD. Las salidas son informativas y reflexivas — no constituyen consejo médico, legal, financiero ni equivalente. Detalles: Información sobre IA.

11. Seguridad

Usamos comunicación cifrada (HTTPS/TLS), roles separados, políticas RLS estrictas en la base de datos (cada usuario solo ve sus registros), copias de seguridad regulares y auditoría de cambios críticos. El acceso administrativo está protegido con autenticación fuerte.

12. Menores

El servicio no está dirigido a menores de 16 años.

13. Cambios

Podemos actualizar este documento. La versión y la fecha de vigencia figuran en la cabecera y el pie. Los cambios sustanciales se te comunicarán por correo o en la aplicación.