Esta política explica qué datos personales tratamos y para qué cuando visitas inbestplanners.com o inbestplanners.es sin cuenta, cuando te suscribes al boletín semanal y cuando te registras y contratas un plan: qué recogemos, con qué base jurídica, cuánto tiempo lo conservamos, con quién lo compartimos y cómo puedes ejercer tus derechos.
1. Responsable del tratamiento
No estamos obligados a designar un delegado de protección de datos (art. 37 RGPD), pero tenemos un punto de contacto para la protección de datos: para cualquier consulta sobre tus datos personales, escríbenos al correo electrónico indicado.
2. Qué datos recogemos
2.1 Datos que nos proporcionas
| Dato | Cuándo | Obligatorio |
|---|---|---|
| Correo electrónico | Registro | Sí |
| Contraseña | Registro | Sí, salvo si entras con Google (guardamos solo un hash bcrypt, nunca la contraseña) |
| Universos seleccionados | Configuración de la cuenta | No |
| Preferencias de alertas | Configuración de notificaciones | No |
| Valores incluidos en tu cartera o watchlist (identificador del valor, sentido y fecha de la anotación) | Uso de la herramienta de seguimiento de cartera | No |
| Participación en la Liga: alias público, señales seleccionadas y sus resultados | Activación voluntaria de la Liga | No |
| Correo electrónico e idioma, sin cuenta | Suscripción al boletín semanal desde la web | No |
| Motivo de la cancelación y comentario opcional (texto libre) | Al cancelar la suscripción desde la web | No |
| Nombre de usuario (es también tu alias público si participas en la Liga) | Configuración del perfil | No |
| Idioma preferido | Registro o cambio de idioma en la web | No |
| Verificación en dos pasos: el secreto del código temporal (cifrado) y los códigos de respaldo (guardados como hash) | Si activas la verificación en dos pasos | No |
| Alertas que configuras (valor, tipo de alerta y precio o puntuación objetivo) | Al crear una alerta | No |
| Favoritos, búsquedas guardadas del screener, comparaciones guardadas y artículos guardados | Al guardarlos | No |
| Los correos que nos envías (consultas, ejercicio de derechos) y lo que incluyas en ellos | Cuando nos escribes | No |
2.2 Datos de pago
| Dato | Cuándo | Quién lo gestiona |
|---|---|---|
| Datos de tarjeta de crédito/débito | Suscripción | Stripe (no nosotros) |
| Historial de pagos | Suscripción | Stripe + nosotros (importe, fecha, estado) |
| Nombre (o razón social, si compras como empresa), dirección de facturación y país, para la factura y el cálculo del IVA | Pago en Stripe Checkout | Stripe; figuran en tus facturas |
| Registro antiabuso de pruebas gratuitas: hash con clave (un seudónimo que no se puede revertir sin la clave) de tu correo electrónico normalizado y de la huella de tu tarjeta | Al iniciar una prueba gratuita | Nosotros (no guardamos ni el correo electrónico ni el número de tarjeta en claro; la huella la facilita Stripe) |
| Número de identificación fiscal (NIF o número de IVA), solo si lo indicas | Pago en Stripe Checkout (opcional) | Stripe; figura en tus facturas |
Importante: No almacenamos números de tarjeta ni CVV. Estos datos son procesados exclusivamente por Stripe bajo los estándares PCI-DSS.
2.3 Datos de uso
| Dato | Finalidad |
|---|---|
| Direcciones IP | Seguridad, prevención de fraude |
| Peticiones al servidor (dirección solicitada y resultado), en los registros técnicos | Seguridad y diagnóstico de errores |
| Funcionalidades que usas en tu cuenta | Prestar el servicio contratado. Analítica de uso y medición de anuncios, solo con tu consentimiento (Google Analytics, Google Ads y el píxel de Meta, ver sección 9) |
| Fecha y hora de acceso; en tu cuenta, la fecha de tu último inicio de sesión y la de tu último uso (se anota como mucho una vez al día) | Seguridad, registros y el plazo de conservación de las cuentas sin uso (sección 5) |
| Tipo de navegador y dispositivo | Compatibilidad |
| Suscripción a notificaciones push | Envío de notificaciones push del navegador |
| Contadores de intentos fallidos de inicio de sesión (un hash de tu correo electrónico y la IP) y de verificación en dos pasos (tu cuenta) | Seguridad: bloquear temporalmente los intentos repetidos |
| Procedencia de tu alta: los parámetros utm de la dirección por la que llegaste a la web en la visita en que te registras (origen, medio, campaña, anuncio y término), el sitio desde el que llegaste (solo su dominio) y la primera página que viste (sin parámetros) | Saber, en conjunto, qué campañas y canales nos traen altas (sección 3) |
2.4 Datos de autenticación externa (OAuth)
Si te registras o entras con Google, Google nos facilita:
| Dato | Uso |
|---|---|
| Google ID | Vincular cuenta |
| Correo electrónico de tu cuenta de Google | Identificación |
No accedemos a tu contraseña de Google ni a ningún otro dato de tu cuenta de Google. Google LLC trata el inicio de sesión como responsable independiente (sección 6).
2.5 Datos que NO recogemos
- Datos financieros personales distintos de los que decidas anotar en la herramienta de seguimiento de cartera: no recogemos información sobre tu patrimonio, ingresos, posiciones mantenidas fuera de la Plataforma ni extractos de tus cuentas o brokers. Los valores que anotes en tu cartera o watchlist se tratan conforme a las secciones 2.1, 3 y 4.
- Datos de salud
- Datos biométricos
- Datos sobre origen étnico, religión u orientación sexual
- Datos de geolocalización precisa
2.6 Fuentes de datos de mercado
Los datos bursátiles mostrados en la Plataforma (precios, datos históricos, indicadores técnicos y métricas fundamentales) se obtienen de proveedores externos de datos de mercado que agregan información financiera de acceso público. Estos datos son procesados por nuestros algoritmos automatizados para generar análisis, señales y puntuaciones. No recogemos ni procesamos datos personales a través de estas fuentes de datos de mercado.
3. Cómo utilizamos tus datos
Crear y gestionar tu cuenta
Datos: Correo electrónico, hash de la contraseña, nombre de usuario, idioma y, si la activas, la verificación en dos pasos
Base jurídica: Ejecución del contrato
Prestar el servicio contratado
Datos: Universos seleccionados, alertas y sus preferencias, favoritos, búsquedas, comparaciones y artículos guardados, suscripción a notificaciones push y las funcionalidades que usas
Base jurídica: Ejecución del contrato
Procesar pagos
Datos: Datos de pago (a través de Stripe)
Base jurídica: Ejecución del contrato
Mostrarte los precios y cobrarte en la divisa del país desde el que accedes (libras en el Reino Unido, dólares en América, reales en Brasil, euros en el resto)
Datos: El país que se deduce de tu IP en ese momento, con una base de datos que está en nuestro propio servidor (DB-IP); la IP no se guarda para esto ni se envía a nadie
Base jurídica: Ejecución del contrato y medidas precontractuales
Enviar correos transaccionales
Datos: Correo electrónico, idioma
Base jurídica: Ejecución del contrato
Enviar alertas de inversión
Datos: Alertas configuradas y sus preferencias; correo electrónico o suscripción a notificaciones push
Base jurídica: Ejecución del contrato
Detectar y corregir fallos técnicos de la web y la API
Datos: Datos técnicos del error (navegador, página sin sus parámetros, traza) y una muestra del 10 % de las mediciones de rendimiento, sin datos de la cuenta (Sentry no almacena la IP); y los registros técnicos del servidor
Base jurídica: Interés legítimo
Comprobar que quien envía el formulario de registro, del boletín o de recuperación de contraseña es una persona
Datos: IP y señales técnicas del navegador durante la comprobación (Cloudflare Turnstile), solo al usar esos formularios
Base jurídica: Interés legítimo
Prevenir fraude y abusos
Datos: IP, registros técnicos y contadores de intentos fallidos de inicio de sesión
Base jurídica: Interés legítimo
Cumplir obligaciones legales
Datos: Los datos de facturación y fiscales, y los que nos requiera un juez o una autoridad competente
Base jurídica: Obligación legal
Mostrarte tus valores seguidos y las señales que les afecten
Datos: Valores anotados en tu cartera o watchlist
Base jurídica: Ejecución del contrato
Gestionar tu participación en la Liga y mostrar tu perfil público a otros usuarios
Datos: Alias público, señales seleccionadas y sus resultados
Base jurídica: Consentimiento
Enviar el boletín semanal a quien se suscribe sin cuenta
Datos: Correo electrónico, idioma
Base jurídica: Consentimiento
Impedir pruebas gratuitas repetidas (cláusula 7.1 de los Términos y condiciones)
Datos: Hash con clave (seudónimo) del correo electrónico normalizado y de la huella de la tarjeta
Base jurídica: Interés legítimo
Conservar, bloqueada, la evidencia de tus consentimientos tras eliminar la cuenta
Datos: Aceptaciones de documentos (documento, versión, fecha, IP, navegador) y solicitud de inicio inmediato del servicio
Base jurídica: Obligación legal
Conservar prueba de los correos enviados, incluidas las comunicaciones obligatorias
Datos: Destinatario, tipo de correo, asunto, fecha, resultado del envío y, si falló, el error
Base jurídica: Interés legítimo
Entender por qué se cancelan las suscripciones
Datos: Motivo y comentario de la cancelación
Base jurídica: Interés legítimo
Enviar a los suscriptores los resúmenes semanales del servicio
Datos: Correo electrónico, idioma, preferencias de correo
Base jurídica: Ejecución del contrato
Tramitar tu desistimiento y, si procede, su reembolso
Datos: Correo electrónico, contrato, fecha de la solicitud e importes
Base jurídica: Obligación legal
Registrar tu elección de cookies para poder demostrar qué elegiste y cuándo
Datos: Elección, fecha, dirección IP y navegador
Base jurídica: Obligación legal
Avisarte una vez, a las 24 horas, de que tu alta no se completó: que la cuenta sin pago se borrará a las 48 horas y cómo completarla
Datos: Correo electrónico, idioma
Base jurídica: Medidas precontractuales a tu petición (art. 6.1.b RGPD)
Medir cómo se usa la web (Google Analytics), solo si aceptas las cookies de analítica
Datos: Páginas visitadas, sitio de procedencia, dispositivo y navegador, ubicación aproximada (país y ciudad), un identificador seudónimo guardado en la cookie _ga y los pasos del alta (registro y su método, paso al pago, inicio de la prueba o compra) con el plan, su precio y el identificador de la sesión de pago de Stripe, que solo nosotros podemos relacionar con tu cuenta. Nunca tu correo electrónico ni tu identificador de usuario. Google Signals y la personalización de anuncios están desactivados; los pasos del alta solo llegan a Google Ads si aceptas también la medición de anuncios (fila siguiente)
Base jurídica: Consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento desde la configuración de cookies
Medir qué anuncios nuestros en Google, Instagram y Facebook traen altas (Google Ads y el píxel de Meta), solo si aceptas la medición de anuncios
Datos: Google Ads: el identificador del clic en el anuncio, guardado en las cookies _gcl. Píxel de Meta: un identificador seudónimo guardado en las cookies _fbp y _fbc (esta, con el identificador del clic si llegas desde un anuncio de Meta), las páginas que visitas, el sitio de procedencia, tu navegador y dispositivo y tu dirección IP, que Meta recibe con cada petición. En los dos, si esa visita acaba en un registro, el paso al pago, el inicio de una prueba o una compra, con el plan y su precio. Nunca tu correo electrónico, tu nombre ni tu identificador de usuario. Nosotros no lo usamos para mostrarte anuncios personalizados ni para crear listas de público o de remarketing; Meta trata los datos de su píxel también para sus propios fines, como responsable independiente (sección 6)
Base jurídica: Consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento desde la configuración de cookies
Saber qué campañas y canales nos traen altas, contadas en conjunto
Datos: Los parámetros utm de la dirección por la que llegaste en la visita en que te registras, el dominio del sitio desde el que llegaste y la primera página que viste, guardados en tu cuenta. No usamos cookies de medición ni de publicidad para ello: el navegador lo conserva en memoria solo durante esa visita (si te registras con Google, viaja en la dirección de vuelta a nuestra web), y no lo compartimos con plataformas de anuncios
Base jurídica: Interés legítimo (art. 6.1.f RGPD): decidir en qué publicidad invertir sin hacer seguimiento entre sitios. Puedes oponerte escribiéndonos (sección 8) y lo borramos de tu cuenta
Atender los correos que nos envías y tus solicitudes de ejercicio de derechos
Datos: Correo electrónico y contenido del mensaje
Base jurídica: Interés legítimo (responderte); obligación legal cuando ejerces tus derechos (art. 12 RGPD) y de conservar la correspondencia del negocio (art. 30 del Código de Comercio)
| Finalidad | Datos utilizados | Base jurídica |
|---|---|---|
| Crear y gestionar tu cuenta | Correo electrónico, hash de la contraseña, nombre de usuario, idioma y, si la activas, la verificación en dos pasos | Ejecución del contrato |
| Prestar el servicio contratado | Universos seleccionados, alertas y sus preferencias, favoritos, búsquedas, comparaciones y artículos guardados, suscripción a notificaciones push y las funcionalidades que usas | Ejecución del contrato |
| Procesar pagos | Datos de pago (a través de Stripe) | Ejecución del contrato |
| Mostrarte los precios y cobrarte en la divisa del país desde el que accedes (libras en el Reino Unido, dólares en América, reales en Brasil, euros en el resto) | El país que se deduce de tu IP en ese momento, con una base de datos que está en nuestro propio servidor (DB-IP); la IP no se guarda para esto ni se envía a nadie | Ejecución del contrato y medidas precontractuales |
| Enviar correos transaccionales | Correo electrónico, idioma | Ejecución del contrato |
| Enviar alertas de inversión | Alertas configuradas y sus preferencias; correo electrónico o suscripción a notificaciones push | Ejecución del contrato |
| Detectar y corregir fallos técnicos de la web y la API | Datos técnicos del error (navegador, página sin sus parámetros, traza) y una muestra del 10 % de las mediciones de rendimiento, sin datos de la cuenta (Sentry no almacena la IP); y los registros técnicos del servidor | Interés legítimo |
| Comprobar que quien envía el formulario de registro, del boletín o de recuperación de contraseña es una persona | IP y señales técnicas del navegador durante la comprobación (Cloudflare Turnstile), solo al usar esos formularios | Interés legítimo |
| Prevenir fraude y abusos | IP, registros técnicos y contadores de intentos fallidos de inicio de sesión | Interés legítimo |
| Cumplir obligaciones legales | Los datos de facturación y fiscales, y los que nos requiera un juez o una autoridad competente | Obligación legal |
| Mostrarte tus valores seguidos y las señales que les afecten | Valores anotados en tu cartera o watchlist | Ejecución del contrato |
| Gestionar tu participación en la Liga y mostrar tu perfil público a otros usuarios | Alias público, señales seleccionadas y sus resultados | Consentimiento |
| Enviar el boletín semanal a quien se suscribe sin cuenta | Correo electrónico, idioma | Consentimiento |
| Impedir pruebas gratuitas repetidas (cláusula 7.1 de los Términos y condiciones) | Hash con clave (seudónimo) del correo electrónico normalizado y de la huella de la tarjeta | Interés legítimo |
| Conservar, bloqueada, la evidencia de tus consentimientos tras eliminar la cuenta | Aceptaciones de documentos (documento, versión, fecha, IP, navegador) y solicitud de inicio inmediato del servicio | Obligación legal |
| Conservar prueba de los correos enviados, incluidas las comunicaciones obligatorias | Destinatario, tipo de correo, asunto, fecha, resultado del envío y, si falló, el error | Interés legítimo |
| Entender por qué se cancelan las suscripciones | Motivo y comentario de la cancelación | Interés legítimo |
| Enviar a los suscriptores los resúmenes semanales del servicio | Correo electrónico, idioma, preferencias de correo | Ejecución del contrato |
| Tramitar tu desistimiento y, si procede, su reembolso | Correo electrónico, contrato, fecha de la solicitud e importes | Obligación legal |
| Registrar tu elección de cookies para poder demostrar qué elegiste y cuándo | Elección, fecha, dirección IP y navegador | Obligación legal |
| Avisarte una vez, a las 24 horas, de que tu alta no se completó: que la cuenta sin pago se borrará a las 48 horas y cómo completarla | Correo electrónico, idioma | Medidas precontractuales a tu petición (art. 6.1.b RGPD) |
| Medir cómo se usa la web (Google Analytics), solo si aceptas las cookies de analítica | Páginas visitadas, sitio de procedencia, dispositivo y navegador, ubicación aproximada (país y ciudad), un identificador seudónimo guardado en la cookie _ga y los pasos del alta (registro y su método, paso al pago, inicio de la prueba o compra) con el plan, su precio y el identificador de la sesión de pago de Stripe, que solo nosotros podemos relacionar con tu cuenta. Nunca tu correo electrónico ni tu identificador de usuario. Google Signals y la personalización de anuncios están desactivados; los pasos del alta solo llegan a Google Ads si aceptas también la medición de anuncios (fila siguiente) | Consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento desde la configuración de cookies |
| Medir qué anuncios nuestros en Google, Instagram y Facebook traen altas (Google Ads y el píxel de Meta), solo si aceptas la medición de anuncios | Google Ads: el identificador del clic en el anuncio, guardado en las cookies _gcl. Píxel de Meta: un identificador seudónimo guardado en las cookies _fbp y _fbc (esta, con el identificador del clic si llegas desde un anuncio de Meta), las páginas que visitas, el sitio de procedencia, tu navegador y dispositivo y tu dirección IP, que Meta recibe con cada petición. En los dos, si esa visita acaba en un registro, el paso al pago, el inicio de una prueba o una compra, con el plan y su precio. Nunca tu correo electrónico, tu nombre ni tu identificador de usuario. Nosotros no lo usamos para mostrarte anuncios personalizados ni para crear listas de público o de remarketing; Meta trata los datos de su píxel también para sus propios fines, como responsable independiente (sección 6) | Consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento desde la configuración de cookies |
| Saber qué campañas y canales nos traen altas, contadas en conjunto | Los parámetros utm de la dirección por la que llegaste en la visita en que te registras, el dominio del sitio desde el que llegaste y la primera página que viste, guardados en tu cuenta. No usamos cookies de medición ni de publicidad para ello: el navegador lo conserva en memoria solo durante esa visita (si te registras con Google, viaja en la dirección de vuelta a nuestra web), y no lo compartimos con plataformas de anuncios | Interés legítimo (art. 6.1.f RGPD): decidir en qué publicidad invertir sin hacer seguimiento entre sitios. Puedes oponerte escribiéndonos (sección 8) y lo borramos de tu cuenta |
| Atender los correos que nos envías y tus solicitudes de ejercicio de derechos | Correo electrónico y contenido del mensaje | Interés legítimo (responderte); obligación legal cuando ejerces tus derechos (art. 12 RGPD) y de conservar la correspondencia del negocio (art. 30 del Código de Comercio) |
3.1 Comunicaciones que recibirás
Transaccionales
Ejemplos: Confirmación de registro, restablecimiento de contraseña, facturas
Baja: No (esenciales)
Servicio
Ejemplos: Cambios en el servicio, mantenimiento, seguridad
Baja: No (esenciales)
Alertas de inversión
Ejemplos: Las alertas que configuras en la página de Alertas (precio, señal, nuevas entradas en los rankings o nuevas señales de alta convicción), por notificación push o correo electrónico
Baja: Sí, en la página de Alertas o en Ajustes > Notificaciones
Boletín semanal (sin cuenta)
Ejemplos: Las señales sorteadas esa semana
Baja: Sí, con un clic en cada boletín
Resúmenes semanales del servicio (suscriptores)
Ejemplos: El resumen semanal de señales y, si participas en la Liga, su ranking semanal. Forman parte del servicio contratado y se envían salvo que te des de baja
Baja: Sí, con un clic en cada correo o en Ajustes > Notificaciones
Aviso de alta sin completar
Ejemplos: Un único correo informativo, a las 24 horas, si empezaste un alta y no llegaste a completar el pago: te dice que la cuenta sin pago se borrará a las 48 horas y cómo completarla
Baja: No (es un aviso único sobre tu propia alta)
| Tipo | Ejemplos | ¿Puedes darte de baja? |
|---|---|---|
| Transaccionales | Confirmación de registro, restablecimiento de contraseña, facturas | No (esenciales) |
| Servicio | Cambios en el servicio, mantenimiento, seguridad | No (esenciales) |
| Alertas de inversión | Las alertas que configuras en la página de Alertas (precio, señal, nuevas entradas en los rankings o nuevas señales de alta convicción), por notificación push o correo electrónico | Sí, en la página de Alertas o en Ajustes > Notificaciones |
| Boletín semanal (sin cuenta) | Las señales sorteadas esa semana | Sí, con un clic en cada boletín |
| Resúmenes semanales del servicio (suscriptores) | El resumen semanal de señales y, si participas en la Liga, su ranking semanal. Forman parte del servicio contratado y se envían salvo que te des de baja | Sí, con un clic en cada correo o en Ajustes > Notificaciones |
| Aviso de alta sin completar | Un único correo informativo, a las 24 horas, si empezaste un alta y no llegaste a completar el pago: te dice que la cuenta sin pago se borrará a las 48 horas y cómo completarla | No (es un aviso único sobre tu propia alta) |
Los correos y avisos del servicio se gestionan en Ajustes > Notificaciones y en la página de Alertas; el boletín, con el enlace de baja de cada envío.
4. Base jurídica del tratamiento
Tratamos tus datos sobre la base de:
| Base jurídica | Cuándo se aplica |
|---|---|
| Ejecución del contrato (art. 6.1.b RGPD) | Crear y gestionar tu cuenta y prestar el servicio contratado: la cartera y la watchlist, las alertas, los favoritos, las búsquedas, comparaciones y artículos guardados y las notificaciones push; procesar los pagos; enviar los correos transaccionales y los resúmenes semanales del servicio. Como medida precontractual a tu petición, el aviso único de un alta sin completar |
| Consentimiento (art. 6.1.a RGPD) | Participación en la Liga y publicación de tu perfil de participante: puedes retirarlo en cualquier momento con «Salir de la Liga», desde la página de la Liga; la retirada elimina el perfil público y no afecta al resto del servicio. Boletín semanal para quien se suscribe sin cuenta: lo confirmas desde el correo que te enviamos y lo retiras con un clic en cualquier boletín, lo que borra tu dirección. Google Analytics, solo si aceptas las cookies de analítica: lo retiras en la configuración de cookies |
| Interés legítimo (art. 6.1.f RGPD) | Seguridad y prevención de fraude y abusos (registros técnicos, contadores de intentos de inicio de sesión); detección y corrección de errores técnicos (Sentry); la comprobación antibots de los formularios (Turnstile); el registro antiabuso que impide repetir la prueba gratuita (cláusula 7.1 de los Términos y condiciones); la conservación durante 5 años del registro de envíos de correo para poder acreditar las comunicaciones enviadas; el motivo de la cancelación, para entender por qué se cancelan las suscripciones; responder a los correos que nos envías; y la procedencia de cada alta (qué campaña o canal la trajo), para decidir en qué publicidad invertir. Hemos evaluado que estos intereses son necesarios, proporcionados y no prevalecen sobre tus derechos (test de ponderación del art. 6.1.f documentado internamente) |
| Obligación legal (art. 6.1.c RGPD) | Conservar las facturas y los datos fiscales y contables (art. 30 del Código de Comercio y normativa tributaria); tramitar tu desistimiento y, si procede, su reembolso; registrar tu elección de cookies para poder demostrarla (art. 7.1 RGPD); conservar bloqueada la evidencia de tus consentimientos tras eliminar la cuenta (art. 32 LOPDGDD) durante el plazo de prescripción de las acciones civiles (art. 1964 del Código Civil); atender el ejercicio de tus derechos (art. 12 RGPD) y los requerimientos de jueces y autoridades |
4.1 Consentimiento
Cuando la base jurídica sea el consentimiento:
- Te lo solicitaremos de forma clara y separada.
- Puedes revocarlo en cualquier momento sin efecto retroactivo.
- La revocación no afecta a la licitud del tratamiento previo.
5. Cuánto tiempo conservamos tus datos
| Dato | Plazo de conservación |
|---|---|
| Datos de la cuenta | Mientras tengas un contrato en vigor y mientras uses la cuenta. Si cancelas la suscripción, o una prueba antes de su primer cobro, la cuenta se conserva sin plan, con sus datos, hasta que la elimines tú o hasta que pasen 24 meses sin que la uses (sin iniciar sesión ni entrar con tu sesión abierta). En ese caso te avisamos por correo electrónico 30 días antes, con la fecha; basta con entrar antes de esa fecha para conservarla. Si no, se elimina como si la hubieras eliminado tú (cláusula 17 de los Términos y condiciones). Una cuenta cuya alta nunca se completa sigue la fila «Altas iniciadas y no completadas» |
| Datos tras la eliminación de la cuenta | Se eliminan de inmediato al eliminar la cuenta; no hay período de recuperación. Solo se conservan los registros que indican las filas de consentimientos, registro antiabuso de pruebas gratuitas, solicitudes de desistimiento, registro de envíos de correo y facturas. Las copias de seguridad cifradas conservan los datos eliminados hasta que rotan, en un plazo de unos 12 meses (fila «Copias de seguridad») |
| Facturas y datos fiscales y contables | 6 años desde el último asiento (art. 30 del Código de Comercio; la normativa tributaria exige al menos 4). Se conservan íntegros e identificables, porque así lo exige su finalidad; no se anonimizan hasta que expira el plazo |
| Datos de pago en Stripe | Ficha de cliente y facturas: 6 años desde el último asiento, que para la ficha de cliente es su última factura (art. 30 del Código de Comercio), también si eliminas la cuenta. Al eliminarla cancelamos la suscripción y marcamos la ficha como cerrada, pero no la borramos, porque la ley obliga a conservar las facturas (art. 17.3.b RGPD). Si la cuenta nunca llegó a pagar, no hay facturas que conservar: al purgarla o eliminarla borramos también su ficha de cliente en Stripe. Los datos de la tarjeta los custodia Stripe según su propia política |
| Registros de seguridad | Rotan por volumen y se sobrescriben a medida que entran otros nuevos: los de la API ocupan como máximo unos 170 MB (sus dos ficheros de registro, de 60 MB cada uno, y 50 MB de salida de su contenedor) y los de cada uno de los demás servicios, 50 MB. Los de las tareas programadas se rotan cada semana, o al llegar a 10 MB, y se conservan los 12 últimos |
| Consentimientos | Mientras la cuenta esté activa. Al eliminarla, la evidencia de tus consentimientos (las aceptaciones de los Términos y condiciones y de la Política de privacidad, con documento, versión, fecha, IP y navegador, y tu solicitud de inicio inmediato del servicio) se conserva bloqueada (art. 32 LOPDGDD) durante 5 años, el plazo de prescripción de las acciones civiles (art. 1964 del Código Civil), solo para defender reclamaciones o atender una solicitud de desistimiento, y después se destruye. Las elecciones de cookies registradas con la sesión iniciada se eliminan con la cuenta; las de los visitantes sin cuenta tienen su propia fila más abajo |
| Suscripción al boletín | Mientras sigas suscrito; al darte de baja se borra la dirección. Una solicitud no confirmada en 7 días se borra |
| Registro antiabuso de pruebas gratuitas | 24 meses desde tu última prueba. Se conserva aunque elimines la cuenta y después se borra automáticamente |
| Solicitudes de desistimiento | 5 años desde el último paso de la solicitud (el reembolso, o su fecha límite si es posterior), plazo de prescripción de las acciones civiles (art. 1964 del Código Civil). Se conservan también tras eliminar la cuenta y después se borran automáticamente |
| Registro de envíos de correo | 5 años desde cada envío (plazo de prescripción de las acciones civiles, art. 1964 del Código Civil), se conserva también tras eliminar la cuenta y después se borra automáticamente |
| Copias de seguridad | Copias cifradas fuera del servidor que rotan: 30 diarias, 8 semanales y 12 mensuales. Un dato eliminado desaparece de todas las copias en un plazo de unos 12 meses |
| Altas iniciadas y no completadas | Una cuenta cuya alta no se completa en Stripe, ni con un pago ni iniciando la prueba con tarjeta, se elimina a las 48 horas, junto con su ficha de cliente en Stripe, sin bloquear evidencia de consentimientos; solo quedan las anotaciones de los correos que se le enviaron, en el registro de envíos |
| Elecciones de cookies de visitantes sin cuenta | 24 meses desde el último cambio de la elección, para poder demostrar qué elegiste y cuándo (el registro guarda la elección, su fecha, la dirección IP y el navegador), y después se borran automáticamente |
| Datos de uso de la web (Google Analytics) | 14 meses desde su recogida; después Google los elimina. Las cookies _ga caducan a los 13 meses o en cuanto retiras el consentimiento. Google Analytics no almacena tu dirección IP |
| Errores técnicos (Sentry) | Sentry los conserva como máximo 90 días y después los elimina |
| Comprobación antibots (Turnstile) | No conservamos nada propio de la comprobación: nuestro servidor recibe un código de un solo uso, lo comprueba con Cloudflare junto con tu IP y lo descarta; la petición solo queda en los registros técnicos (fila «Registros de seguridad»). Cloudflare trata la IP y las señales del navegador para hacer la comprobación, según su adenda de privacidad de Turnstile, y su cookie __cf_bm dura 30 minutos |
| Contadores de intentos fallidos de inicio de sesión | 24 horas desde el último intento fallido; después se borran solos |
| Correos que nos envías | En el buzón, 6 años desde la fecha de cada correo, junto con nuestra respuesta: es correspondencia del negocio, que el art. 30 del Código de Comercio obliga a conservar ese plazo. Después se borran automáticamente, salvo los que deban guardarse más tiempo por una reclamación o un procedimiento en curso, y solo mientras dure |
| Datos de medición de anuncios (Google Ads y Meta) | Las cookies _gcl, _fbp y _fbc caducan a los 90 días o en cuanto retiras el consentimiento. Google y Meta conservan los datos de conversión según sus propias políticas de privacidad |
Cuando los datos ya no son necesarios, los eliminamos o los anonimizamos de forma irreversible; los eliminados permanecen en las copias de seguridad cifradas hasta que estas rotan.
6. Con quién compartimos tus datos
6.1 Proveedores de servicios (encargados del tratamiento)
Estos proveedores tratan datos por cuenta nuestra para prestar el servicio:
Stripe Payments Europe, Ltd. (con Stripe, Inc. como subencargado)
Servicio: Procesamiento de pagos
Datos compartidos: Correo electrónico, nombre, dirección de facturación y país, NIF o número de IVA si lo indicas, y datos de pago
Ubicación: Irlanda (UE); acceso desde EE. UU. con garantías DPF
IONOS SE
Servicio: Envío de correos (transaccionales, resúmenes y boletín) y buzón en el que recibimos los que nos envías
Datos compartidos: Correo electrónico y contenido de los correos
Ubicación: Alemania (UE)
Hetzner Online GmbH
Servicio: Alojamiento de la aplicación y de la base de datos
Datos compartidos: Todos los datos de cuenta, cartera y uso; IP y registros técnicos
Ubicación: Alemania (UE)
Functional Software, Inc. (Sentry)
Servicio: Registro de errores técnicos de la web y la API
Datos compartidos: Datos técnicos del error (navegador, página sin sus parámetros, traza) y una muestra del 10 % de las mediciones de rendimiento; no almacena la IP y no recibe datos de la cuenta
Ubicación: UE (Fráncfort, Alemania); empresa de EE. UU., ver sección 7
Cloudflare, Inc.
Servicio: Comprobación antibots (Turnstile) en los formularios de registro, boletín y recuperación de contraseña. Gestiona también los DNS de nuestros dominios, sin que el tráfico de la web pase por Cloudflare
Datos compartidos: IP y señales técnicas del navegador durante la comprobación
Ubicación: EE. UU. (con garantías DPF)
Cloudflare, Inc. (R2)
Servicio: Copias de seguridad de la base de datos fuera del servidor
Datos compartidos: Copia íntegra de la base de datos (todos los datos de cuenta, cartera y uso), cifrada con age en nuestro servidor antes de enviarse; la clave para descifrarla se guarda fuera de línea y Cloudflare no puede leerla
Ubicación: UE (jurisdicción europea de R2); empresa de EE. UU., ver sección 7
Google Ireland Limited (Google Analytics)
Servicio: Medición del uso de la web, solo con tu consentimiento a las cookies de analítica
Datos compartidos: Identificador seudónimo, páginas visitadas, dispositivo, ubicación aproximada y los pasos del alta con el plan, su precio y el identificador de la sesión de pago; nunca tu correo electrónico ni tu identificador de usuario. Con Google Signals y la personalización de anuncios desactivados y sin almacenar la IP. Si aceptas la medición de anuncios, la propiedad comparte esos pasos del alta con Google Ads (ver la nota sobre Google Ads)
Ubicación: Irlanda (UE); acceso desde EE. UU. con garantías DPF
| Proveedor | Servicio | Datos compartidos | Ubicación |
|---|---|---|---|
| Stripe Payments Europe, Ltd. (con Stripe, Inc. como subencargado) | Procesamiento de pagos | Correo electrónico, nombre, dirección de facturación y país, NIF o número de IVA si lo indicas, y datos de pago | Irlanda (UE); acceso desde EE. UU. con garantías DPF |
| IONOS SE | Envío de correos (transaccionales, resúmenes y boletín) y buzón en el que recibimos los que nos envías | Correo electrónico y contenido de los correos | Alemania (UE) |
| Hetzner Online GmbH | Alojamiento de la aplicación y de la base de datos | Todos los datos de cuenta, cartera y uso; IP y registros técnicos | Alemania (UE) |
| Functional Software, Inc. (Sentry) | Registro de errores técnicos de la web y la API | Datos técnicos del error (navegador, página sin sus parámetros, traza) y una muestra del 10 % de las mediciones de rendimiento; no almacena la IP y no recibe datos de la cuenta | UE (Fráncfort, Alemania); empresa de EE. UU., ver sección 7 |
| Cloudflare, Inc. | Comprobación antibots (Turnstile) en los formularios de registro, boletín y recuperación de contraseña. Gestiona también los DNS de nuestros dominios, sin que el tráfico de la web pase por Cloudflare | IP y señales técnicas del navegador durante la comprobación | EE. UU. (con garantías DPF) |
| Cloudflare, Inc. (R2) | Copias de seguridad de la base de datos fuera del servidor | Copia íntegra de la base de datos (todos los datos de cuenta, cartera y uso), cifrada con age en nuestro servidor antes de enviarse; la clave para descifrarla se guarda fuera de línea y Cloudflare no puede leerla | UE (jurisdicción europea de R2); empresa de EE. UU., ver sección 7 |
| Google Ireland Limited (Google Analytics) | Medición del uso de la web, solo con tu consentimiento a las cookies de analítica | Identificador seudónimo, páginas visitadas, dispositivo, ubicación aproximada y los pasos del alta con el plan, su precio y el identificador de la sesión de pago; nunca tu correo electrónico ni tu identificador de usuario. Con Google Signals y la personalización de anuncios desactivados y sin almacenar la IP. Si aceptas la medición de anuncios, la propiedad comparte esos pasos del alta con Google Ads (ver la nota sobre Google Ads) | Irlanda (UE); acceso desde EE. UU. con garantías DPF |
Todos los encargados de la tabla:
- Tratan los datos solo por cuenta nuestra y siguiendo nuestras instrucciones, conforme al contrato de encargo del tratamiento que exige el art. 28 RGPD (las condiciones de tratamiento de datos de cada proveedor).
- Ofrecen garantías adecuadas de protección de datos.
- Solo acceden a los datos necesarios para su función.
Inicio de sesión con Google: si eliges registrarte o entrar con Google, Google LLC (EE. UU.) no es encargado nuestro: trata los datos de tu cuenta de Google y del propio inicio de sesión como responsable independiente, según su política de privacidad, y está adherida al Data Privacy Framework. Nosotros solo recibimos de Google lo indicado en la sección 2.4.
Google Ads: solo si aceptas la medición de anuncios, Google Ireland Limited (Irlanda) recibe el identificador del clic en un anuncio nuestro y si esa visita acabó en un registro, una prueba o una compra, con el plan y su precio (sección 3). Para medir anuncios Google no es encargado nuestro: trata esos datos como responsable independiente, conforme a las condiciones de protección de datos entre responsables de Google Ads y a su política de privacidad. Su matriz, Google LLC (EE. UU.), está adherida al Data Privacy Framework.
Píxel de Meta: solo si aceptas la medición de anuncios, Meta Platforms Ireland Limited (Irlanda) recibe a través de su píxel los datos que indica la sección 3. Somos corresponsables con Meta de la recogida de esos datos en nuestra web y de su transmisión a Meta (art. 26 RGPD), conforme al anexo para responsables del tratamiento de las Condiciones de las herramientas de Meta para empresas: nosotros te informamos y recogemos tu consentimiento, y puedes ejercer tus derechos ante nosotros o ante Meta. Una vez recibidos, Meta los trata como responsable independiente, según su política de privacidad, también para sus propios fines publicitarios. Su matriz, Meta Platforms, Inc. (EE. UU.), está adherida al Data Privacy Framework.
Notificaciones push del navegador: si las activas, cada aviso viaja a través del servicio de push que usa tu navegador (Google Firebase Cloud Messaging en Chrome, Mozilla en Firefox, Apple en Safari, Microsoft en Edge). Ese servicio recibe el identificador de tu suscripción y el aviso cifrado de extremo a extremo, que no puede leer. Lo elige tu navegador, no nosotros, y puede estar ubicado fuera del EEE. Puedes desactivar las notificaciones en cualquier momento desde Ajustes > Notificaciones o desde tu navegador.
6.2 Terceros con los que NO compartimos datos
No vendemos ni alquilamos tus datos personales, y no los cedemos a terceros fuera de los casos del apartado 6.3.
6.3 Excepciones
Podremos comunicar tus datos cuando:
- Lo exija la ley o una autoridad judicial.
- Sea necesario para proteger nuestros derechos legales.
- Sea necesario para proteger la seguridad de los usuarios.
7. Transferencias internacionales
Varios de nuestros proveedores son empresas de EE. UU. o tienen allí su matriz, que puede acceder a los datos desde EE. UU. aunque se alojen en la Unión Europea; eso es una transferencia internacional fuera del Espacio Económico Europeo (EEE).
7.1 Garantías
Cada transferencia fuera del EEE se ampara en estos mecanismos:
| Proveedor | Mecanismo de garantía |
|---|---|
| Stripe | Data Privacy Framework (DPF) |
| Cloudflare | Data Privacy Framework (DPF). Las copias de R2 viajan y se guardan cifradas, y Cloudflare no puede leerlas |
| Functional Software (Sentry) | Data Privacy Framework (DPF) y cláusulas contractuales tipo, para el acceso desde EE. UU. a datos alojados en la UE |
| Google (Google Analytics) | Data Privacy Framework (DPF) y cláusulas contractuales tipo |
| Google (Google Ads) | Data Privacy Framework (DPF); Google actúa como responsable independiente |
| Meta (píxel de Meta) | Data Privacy Framework (DPF); una vez recibidos los datos, Meta actúa como responsable independiente |
El Data Privacy Framework es el mecanismo de adecuación reconocido por la Comisión Europea (Decisión de 10 de julio de 2023).
7.2 Copia de las garantías
Puedes pedirnos una copia de las garantías aplicables escribiendo a admin@inbestplanners.com.
8. Tus derechos
El RGPD te reconoce los siguientes derechos:
Acceso
Conocer qué datos tenemos sobre ti
→ Correo electrónico, o Ajustes > Perfil > Exportar datos
Rectificación
Corregir datos inexactos
→ Ajustes > Perfil
Supresión
Eliminar tus datos ("derecho al olvido")
→ Ajustes > Perfil > Eliminar cuenta
Limitación
Restringir el uso de tus datos
→ Correo electrónico
Portabilidad
Recibir en un formato estructurado (JSON) todos tus datos personales, salvo las credenciales: el hash de la contraseña, los secretos de la verificación en dos pasos, las claves de las notificaciones push y los tokens de un solo uso
→ Ajustes > Perfil > Exportar datos, o correo electrónico
Oposición
Oponerte a determinados tratamientos
→ Correo electrónico; para los correos del servicio, Ajustes > Notificaciones o el enlace de baja de cada correo
Retirada del consentimiento
Revocar los consentimientos otorgados
→ Liga: «Salir de la Liga», en la página de la Liga. Google Analytics y medición de anuncios (Google Ads y Meta): configuración de cookies (enlace en el pie de página) o Ajustes > Privacidad. Boletín: el enlace de baja de cada envío
Decisiones automatizadas
No ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ti o te afecte significativamente de modo similar
→ Aplicamos una: al iniciar una prueba gratuita comprobamos automáticamente si ese correo electrónico o esa tarjeta ya disfrutaron de una (cláusula 7.1 de los Términos y condiciones). Es necesaria para celebrar el contrato en sus términos (art. 22.2.a RGPD). Si se te deniega, puedes pedir que la revise una persona, expresar tu punto de vista e impugnarla escribiendo a admin@inbestplanners.com
| Derecho | En qué consiste | Cómo ejercerlo |
|---|---|---|
| Acceso | Conocer qué datos tenemos sobre ti | Correo electrónico, o Ajustes > Perfil > Exportar datos |
| Rectificación | Corregir datos inexactos | Ajustes > Perfil |
| Supresión | Eliminar tus datos ("derecho al olvido") | Ajustes > Perfil > Eliminar cuenta |
| Limitación | Restringir el uso de tus datos | Correo electrónico |
| Portabilidad | Recibir en un formato estructurado (JSON) todos tus datos personales, salvo las credenciales: el hash de la contraseña, los secretos de la verificación en dos pasos, las claves de las notificaciones push y los tokens de un solo uso | Ajustes > Perfil > Exportar datos, o correo electrónico |
| Oposición | Oponerte a determinados tratamientos | Correo electrónico; para los correos del servicio, Ajustes > Notificaciones o el enlace de baja de cada correo |
| Retirada del consentimiento | Revocar los consentimientos otorgados | Liga: «Salir de la Liga», en la página de la Liga. Google Analytics y medición de anuncios (Google Ads y Meta): configuración de cookies (enlace en el pie de página) o Ajustes > Privacidad. Boletín: el enlace de baja de cada envío |
| Decisiones automatizadas | No ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ti o te afecte significativamente de modo similar | Aplicamos una: al iniciar una prueba gratuita comprobamos automáticamente si ese correo electrónico o esa tarjeta ya disfrutaron de una (cláusula 7.1 de los Términos y condiciones). Es necesaria para celebrar el contrato en sus términos (art. 22.2.a RGPD). Si se te deniega, puedes pedir que la revise una persona, expresar tu punto de vista e impugnarla escribiendo a admin@inbestplanners.com |
8.1 Cómo ejercer tus derechos
Opción 1 - Desde tu cuenta:
- Rectificación: Ajustes > Perfil
- Supresión: Ajustes > Perfil > Eliminar cuenta
- Retirar consentimientos: la Liga, con «Salir de la Liga» en la página de la Liga; las cookies de analítica y las de medición de anuncios, en la configuración de cookies (pie de página) o en Ajustes > Privacidad; el boletín, con el enlace de baja de cada envío
- Correos y avisos del servicio (resúmenes, alertas, notificaciones push): Ajustes > Notificaciones y la página de Alertas
Opción 2 - Por correo electrónico:
- Envía un correo a admin@inbestplanners.com
- Asunto: «Protección de datos - [derecho que deseas ejercer]»
- Indica el correo electrónico con el que te registraste o te suscribiste al boletín
- Responderemos en el plazo de un mes desde la recepción de tu solicitud. Ese plazo podrá prorrogarse dos meses más cuando la complejidad o el número de solicitudes lo requieran; te informaremos de la prórroga y de sus motivos dentro del primer mes (art. 12.3 RGPD).
8.2 Reclamación ante la autoridad de control
Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante:
Agencia Española de Protección de Datos (AEPD)
C/ Jorge Juan, 6, 28001 Madrid, España
www.aepd.es
Si resides en otro país de la UE, también puedes contactar con tu autoridad de control local.
10. Seguridad de los datos
Aplicamos medidas técnicas y organizativas para proteger tus datos:
10.1 Medidas técnicas
| Medida | Descripción |
|---|---|
| Cifrado en tránsito | HTTPS/TLS en todas las conexiones |
| Contraseñas con hash | bcrypt con sal; nunca guardamos la contraseña |
| Tokens seguros | JWT con expiración |
| Acceso restringido | Solo personas autorizadas acceden a los datos |
| Copias de seguridad | Copias de seguridad diarias, cifradas con age antes de salir del servidor y guardadas fuera de él (plazos en la sección 5) |
10.2 Medidas organizativas
- Acceso a datos solo cuando es estrictamente necesario.
- Revisión periódica de accesos y permisos.
- Concienciación continua sobre buenas prácticas en protección de datos.
10.3 Incidentes de seguridad
En caso de brecha de seguridad que afecte a tus datos:
- Notificaremos a la AEPD en un plazo de 72 horas (si procede).
- Te informaremos si existe un alto riesgo para tus derechos.
11. Menores de edad
InbestPlanners no está dirigido a menores de 18 años.
No recogemos datos de menores de forma deliberada. Si detectamos que un menor se ha registrado, eliminaremos su cuenta y sus datos.
Si eres padre, madre o tutor y crees que tu hijo o hija nos ha facilitado datos, escríbenos a admin@inbestplanners.com.
12. Cambios en esta política
Podemos actualizar esta Política de Privacidad para reflejar cambios en nuestras prácticas o en la legislación.
| Tipo de cambio | Cómo te informaremos |
|---|---|
| Menor (redacción, aclaraciones) | Actualización en el sitio web |
| Significativo (nuevos usos, nuevos terceros) | Correo electrónico y aviso en el sitio web |
La fecha de "última actualización" en la parte superior de este documento indica cuándo fue modificado por última vez.
Si quieres consultar una versión anterior de esta política, pídela por correo electrónico a admin@inbestplanners.com y te la enviaremos.
13. Contacto
Para cualquier consulta relacionada con esta Política de Privacidad o el tratamiento de tus datos:
Correo electrónico
admin@inbestplanners.com
Dirección postal
Juan José Cirera Ortiz
Calle Rioja 13, 1º C
41001 Sevilla, España
Para ejercer tus derechos, sigue el procedimiento de la sección 8.1, que indica también los plazos de respuesta.