Política de privacidad

Esta versión en español es una traducción de cortesía. La política de privacidad en alemán es jurídicamente vinculante.

Esta política cubre el sitio zeitlicht.app, la aplicación en start.zeitlicht.app y las apps para iOS y Android (juntos, «Zeitlicht»). Última actualización: 23 de septiembre de 2026.

1. Responsable

No se ha nombrado un delegado de protección de datos; no se alcanzan los umbrales del § 38 de la Ley Federal alemana de Protección de Datos (BDSG).

2. Resumen

El sitio de marketing zeitlicht.app no instala cookies, no usa almacenamiento local ni de sesión, no hace seguimiento y no carga analítica ni publicidad. No hay elaboración de perfiles. Para este sitio no hace falta consentimiento conforme al § 25 de la TDDDG (ley alemana de protección de datos en telecomunicaciones y servicios digitales).

La aplicación en start.zeitlicht.app trata datos personales en la medida necesaria para el registro, el contrato, el contenido de los espacios de trabajo, las invitaciones y el correo transaccional. No incluye servicios de analítica, de informes de fallos, de notificaciones push ni de publicidad.

3. Dónde se guardan tus datos

Zeitlicht se opera desde Alemania. Cuando el lugar lo elegimos nosotros, los datos se guardan en Alemania:

• Sitio zeitlicht.app: ALL-INKL, Friedersdorf, Alemania.
• Tareas, notas, adjuntos, sesiones del temporizador y funciones del servidor: Google Cloud, región europe-west3, Fráncfort.

Algunos servicios necesarios para hacer funcionar el producto están fuera de Alemania. Quedan cubiertos por las Cláusulas Contractuales Tipo (SCC) y, cuando procede, por el EU-US Data Privacy Framework:

• Inicio de sesión (Firebase Authentication): solo en Estados Unidos.
• Entrega de la aplicación (Firebase Hosting): CDN de Google, en todo el mundo.
• Correo transaccional (Resend): se envía desde Irlanda y se guarda en Estados Unidos.

Los detalles de los encargados del tratamiento están en la sección 12.

4. Alojamiento del sitio (ALL-INKL)

Este sitio está alojado en ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Alemania. Tenemos un contrato de encargo del tratamiento conforme al art. 28 del RGPD (GDPR) con ALL-INKL.

Cuando pides una página, el servidor web escribe archivos de registro. Suelen incluir la dirección IP, la fecha y la hora, la URL, la cantidad de datos transferidos, el estado HTTP, el referrer (si se envía) y el user agent. Base jurídica: art. 6, apartado 1, letra f, del RGPD (interés legítimo en la estabilidad, la seguridad y la prevención del abuso). Los registros se borran a más tardar a los 7 días, salvo que una revisión de seguridad concreta exija un plazo más corto o más largo. No se combinan con otros conjuntos de datos.

5. Alojamiento de la aplicación (Firebase Hosting)

La aplicación en start.zeitlicht.app se entrega a través de Firebase Hosting (Google Ireland Limited). Los archivos estáticos se sirven desde el CDN mundial de Google. Las solicitudes generan datos técnicos de acceso (en particular, dirección IP, fecha y hora, URL, user agent). Base jurídica: art. 6, apartado 1, letra f, del RGPD (operar y proteger la aplicación). Tenemos un contrato de encargo del tratamiento conforme al art. 28 del RGPD con Google.

La aplicación carga las fuentes y su biblioteca gráfica en local desde start.zeitlicht.app. No carga scripts de analítica ni de publicidad de terceros.

6. Contacto por correo

Si escribes a hello@zeitlicht.app, tratamos los datos que envías para responder. Base jurídica: art. 6, apartado 1, letra b, del RGPD cuando el mensaje se refiere a un contrato o a una consulta precontractual; en caso contrario, art. 6, apartado 1, letra f. Los correos se borran cuando el asunto queda cerrado, salvo que exista un deber legal de conservación.

7. Registro y cuenta (aplicación)

Usar start.zeitlicht.app exige una cuenta (correo electrónico, contraseña, nombre visible, avatar opcional). La autenticación usa Firebase Authentication (Google Ireland Limited); ese servicio trata los datos de la cuenta en Estados Unidos. También guardamos tu perfil en Fráncfort (nombre visible, avatar, correo en el perfil privado, idioma, estado de la introducción). Base jurídica: art. 6, apartado 1, letra b, del RGPD.

Tu dirección de correo se usa para verificar la cuenta y para restablecer la contraseña. Firebase Authentication también guarda direcciones IP y user agents durante unas semanas para evitar abusos (art. 6, apartado 1, letra f, del RGPD).

Después de iniciar sesión, la app guarda datos técnicos en local para que sigas con la sesión abierta y la interfaz funcione. Ese almacenamiento es estrictamente necesario para el servicio (§ 25, apartado 2, n.º 2, TDDDG, art. 6, apartado 1, letra b, del RGPD). No es una cookie de seguimiento. En concreto:

• La sesión de inicio a través de Firebase Authentication, normalmente en IndexedDB.
• Una caché sin conexión de Firestore (hasta 40 MB, normalmente en IndexedDB), para que el contenido siga disponible con una conexión débil.
• En el dispositivo, mediante Shared Preferences: el último espacio de trabajo y el último tablero usados, un enlace de invitación pendiente, el ajuste «Hiperfoco», el sonido elegido del temporizador y la elección de idioma. La elección de idioma se guarda antes de iniciar sesión, para que la interfaz pueda seguirla.

Puedes quitar estos datos locales cerrando la sesión, vaciando el almacenamiento del navegador o borrando la app.

8. Contenido del espacio de trabajo

Las tareas, notas, listas, temas, comentarios, adjuntos, membresías y sesiones del temporizador se guardan porque tú las creas. Base jurídica: art. 6, apartado 1, letra b, del RGPD. Los miembros de un espacio de trabajo pueden ver ese contenido según su rol, incluido el nombre visible y el correo de los demás miembros. No subas categorías especiales de datos (art. 9 del RGPD) salvo que sea necesario.

Los adjuntos se guardan en Cloud Storage, en Fráncfort. Las imágenes y los documentos pueden tener como máximo 10 MB, el audio y el vídeo como máximo 50 MB, y las miniaturas como máximo 300 KB. Entre los tipos permitidos están las imágenes, PDF, texto, ZIP, MP3 y MP4. El nombre, el tipo y el tamaño del archivo se guardan con el elemento.

Después de que canceles o borres la cuenta, los datos personales se eliminan o se anonimizan cuando ya no hacen falta para el contrato y no hay un deber de conservación. El contenido del espacio de trabajo que otros miembros sigan usando puede permanecer en su espacio cuando el contrato o el uso conjunto lo exijan. Puedes solicitar el borrado de la cuenta y el acceso a tus datos por correo a hello@zeitlicht.app.

9. Invitaciones

Si un miembro invita a otra persona a un espacio de trabajo por correo, guardamos la dirección introducida, el espacio de trabajo, el rol, quien invita y el enlace de invitación. La persona invitada recibe un correo con el enlace. Base jurídica frente a la persona invitada: art. 6, apartado 1, letra f, del RGPD (el interés legítimo del miembro que invita en colaborar). El correo de invitación le informa del tratamiento (art. 14 del RGPD). Quien no quiera ser invitado puede ignorar el correo o pedirnos en hello@zeitlicht.app que borremos los datos.

La invitación se guarda hasta que se acepta, se retira o deja de hacer falta. Entonces la borramos.

10. Datos de pago

En las suscripciones de pago, los datos de pago los trata el servicio de pago de esa compra. Nosotros no guardamos los números completos de las tarjetas. Base jurídica: art. 6, apartado 1, letra b, del RGPD y, para la conservación fiscal de las facturas, art. 6, apartado 1, letra c, del RGPD junto con la normativa fiscal alemana (por lo general, 10 años).

Según dónde te suscribas:

• Stripe Payments Europe, Ltd., Irlanda, para las suscripciones web. Los datos de la tarjeta se quedan en Stripe. Guardamos el identificador de cliente de Stripe, el identificador de la suscripción y el plan resultante.
• Apple (App Store) y Google (Google Play), para las suscripciones en las apps. Las tiendas tratan el pago como responsables independientes. Guardamos el identificador de la transacción o el token de compra solo para vincular la suscripción a tu cuenta, además del plan y la duración.

También guardamos tu código de invitación y, si canjeas uno, el vínculo con la cuenta que invita. Así se aplica el crédito de la invitación (art. 6, apartado 1, letra b, del RGPD). El código se conserva mientras exista la cuenta.

11. Protección contra el abuso del correo

Para que no se abuse de las invitaciones, las confirmaciones y los restablecimientos de contraseña, guardamos durante poco tiempo en Fráncfort una suma de comprobación (SHA-256) de la solicitud correspondiente, junto con un contador. De ahí no se puede leer la dirección de correo original. Base jurídica: art. 6, apartado 1, letra f, del RGPD (seguridad y prevención del abuso). Las entradas caducan cuando termina la ventana de tiempo.

12. Encargados del tratamiento

Usamos los siguientes encargados del tratamiento (cada uno con un contrato conforme al art. 28 del RGPD):

• ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Alemania: alojamiento del sitio zeitlicht.app, servidores en Alemania.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda:
  • Cloud Firestore, Cloud Storage y Cloud Functions: almacenamiento y tratamiento del contenido de los espacios de trabajo y de las funciones de servidor en la región europe-west3 (Fráncfort).
  • Firebase Hosting: entrega de start.zeitlicht.app a través del CDN de Google.
  • Firebase Authentication: inicio de sesión y seguridad de la cuenta. Este servicio funciona solo en centros de datos de Estados Unidos y trata el correo, la contraseña (con hash), el nombre visible y, durante un tiempo limitado, la dirección IP y el user agent. Tras el borrado, Google suele eliminar los datos de autenticación de los sistemas en activo y de las copias de seguridad en un plazo de 180 días; las direcciones IP se borran al cabo de unas semanas.
  Google puede usar subencargados, incluidas empresas vinculadas en Estados Unidos.
• Resend, Inc., Estados Unidos: envío de correo transaccional (verificación, restablecimiento de contraseña, invitaciones). La dirección del destinatario y el contenido del correo se transmiten a Resend. El correo se envía desde Irlanda (eu-west-1); Resend guarda los datos de la cuenta, los metadatos y los registros en Estados Unidos. Con Resend hay un contrato de encargo del tratamiento conforme al art. 28 del RGPD, prefirmado.
• Stripe Payments Europe, Ltd., Irlanda: tratamiento de los pagos de las suscripciones web, con un contrato conforme al art. 28 del RGPD. Stripe trata los datos de la tarjeta como responsable independiente o como encargado, según el paso.
• Apple Distribution International Ltd., Irlanda, y Google Ireland Limited (Google Play): compras dentro de la app. Apple y Google son responsables independientes de la cuenta de la tienda, no nuestros encargados del tratamiento.

13. Transferencias fuera del EEE (EEA)

Cuando Google, Resend, Stripe o Apple implican una transferencia a Estados Unidos u otro país tercero, esta se basa en las Cláusulas Contractuales Tipo de la Comisión Europea (art. 46, apartado 2, letra c, del RGPD) o en una decisión de adecuación si el destinatario está certificado conforme al EU-US Data Privacy Framework (art. 45 del RGPD). Para Resend, las SCC se aplican como Módulo 2 (de responsable a encargado). Puedes pedir una copia de las garantías en los datos de contacto de arriba.

14. Plazos de conservación

• Registros del servidor del sitio: véase la sección 4.
• Datos de la cuenta: hasta el borrado de la cuenta y, después, el borrado residual una vez pasados los plazos de conservación.
• Datos de Firebase Authentication: véase la sección 12.
• Invitaciones: hasta que se aceptan, se retiran o dejan de hacer falta.
• Datos de contrato y de factura: plazos legales, por lo general 6 años (Código de Comercio alemán, HGB) o 10 años (Ordenanza Tributaria alemana, AO).
• Correspondencia por correo: hasta que el asunto quede cerrado, salvo que rija un deber más largo.
• Almacenamiento local en el navegador o en el dispositivo: hasta que lo borres o cierres la sesión.

15. Sin cookies en zeitlicht.app, sin seguimiento

Este sitio de marketing no instala cookies, no guarda nada en el navegador y no carga scripts, fuentes ni medios de terceros. Las fuentes se alojan en local. El cambio de idioma es un enlace normal, sin una preferencia guardada. No hay banner de consentimiento, porque no hay almacenamiento no esencial ni seguimiento.

La aplicación en start.zeitlicht.app usa solo el almacenamiento técnico necesario para el inicio de sesión y el funcionamiento, no para publicidad ni para medir la audiencia. No incluye servicios de analítica, de informes de fallos, de notificaciones push ni de publicidad.

16. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas al riesgo. Entre ellas, en particular:

• Transferencia solo mediante TLS; HTTP Strict Transport Security.
• Cabeceras de seguridad en la aplicación (incluidas Content-Security-Policy, X-Frame-Options y Referrer-Policy).
• Acceso al contenido mediante reglas de Firestore y de Storage en el servidor, con un modelo basado en roles.
• Revocación de los tokens de inicio de sesión cuando se retira a un miembro de un espacio de trabajo.
• Límites a la frecuencia del correo y al tamaño de los adjuntos.

17. Sin decisiones automatizadas

No hay decisiones automatizadas, incluida la elaboración de perfiles, en el sentido del art. 22 del RGPD.

18. Tus derechos

Tienes derecho de acceso (art. 15 del RGPD), de rectificación (art. 16), de supresión (art. 17), de limitación (art. 18), de portabilidad (art. 20) y de oponerte al tratamiento basado en el art. 6, apartado 1, letra f (art. 21 del RGPD). Puedes oponerte de forma informal en hello@zeitlicht.app. Cuando el tratamiento se base en el consentimiento, puedes retirarlo con efectos para el futuro.

Puedes solicitar el acceso y el borrado de la cuenta por correo a hello@zeitlicht.app. Lo atenderemos sin dilación indebida.

Puedes presentar una reclamación ante una autoridad de control, en particular donde vives o donde estamos establecidos. La nuestra es: Comisionado de Hamburgo para la Protección de Datos y la Libertad de Información, Ludwig-Erhard-Straße 22, 20459 Hamburgo, https://datenschutz.hamburg.de.

19. Obligación de facilitar datos

Sin los datos de cuenta necesarios para el servicio (en particular, el correo y la contraseña) no podemos ejecutar el contrato de la aplicación. Puedes leer el sitio de marketing sin facilitar datos; tu navegador transmite igualmente los datos de la solicitud de la sección 4.

20. Cambios

Actualizamos esta política cuando cambian el tratamiento o la ley. Rige la versión publicada en esta página.