Declaración de protección de datos

1. Responsable

El responsable del tratamiento de datos personales en relación con la página web pública y las aplicaciones cliprio es:

Florian Leeser Softwareentwicklung
Propietario: Florian Leeser
Eintrachtstraße 50
42655 Solingen
Alemania

Correo electrónico: privacy@coderave.dev
Soporte general: support@coderave.dev

No se ha nombrado un encargado de protección de datos, ya que no existe una obligación legal para hacerlo.

2. Objeto de esta declaración

Esta declaración describe el tratamiento durante el uso de:

• la página web pública en https://cliprio.app, alojada por Vercel;
• la aplicación web en https://web.cliprio.app, alojada por Firebase Hosting;
• las aplicaciones cliprio para Android, iOS, macOS, Windows y Web;
• las funciones correspondientes de cuentas, transferencias, notificaciones, soporte y eliminación.

cliprio no utiliza rastreadores publicitarios, análisis de uso, perfiles publicitarios ni cookies de seguimiento. Los contenidos no se utilizan para publicidad o para el entrenamiento de modelos de inteligencia artificial. No se toman decisiones automatizadas exclusivamente basadas en criterios legales o similares y ningún perfilaje ocurre.

3. Acceso a las páginas web

Al acceder a la página web pública o a la aplicación web, los proveedores de alojamiento tratan datos técnicamente necesarios para la conexión. Estos pueden incluir dirección IP, fecha y hora, ruta solicitada, referrer, información del navegador y sistema operativo, tamaño de datos transferidos y datos de seguridad y errores.

El tratamiento se realiza para la entrega, estabilidad, análisis de errores y defensa contra el abuso. La base legal es el artículo 6, apartado 1, letra f del RGPD. Nuestros intereses legítimos son el funcionamiento seguro, confiable y económico de nuestros servicios web. Los registros técnicos se eliminan según las políticas de eliminación de los proveedores, a menos que sean necesarios por razones excepcionales para la investigación de un incidente de seguridad o para cumplir con obligaciones legales.

4. Creación y acceso a cuentas

cliprio trata durante la creación y acceso a cuentas:

• dirección de correo electrónico, prueba cifrada del contraseña y estado de confirmación;
• identificación del usuario en el servidor y fechas de creación y modificación;
• nombre de pantalla;
• datos de autenticación, confirmación, recuperación y sesiones;
• versiones aceptadas de los términos de uso y la versión conocida de esta declaración de protección de datos con fecha de tiempo del servidor.

La contraseña no es visible para nosotros en texto claro. Las confirmaciones de correo electrónico, los códigos únicos y los avisos de seguridad de la cuenta se generan mediante Supabase Auth y son entregados por Plus Five Five, Inc. (Resend). Por ello, Resend procesa la dirección del destinatario, el asunto, el cuerpo renderizado del mensaje, que puede contener un código único o una URL de acción, y los metadatos de entrega.

El tratamiento es necesario para crear la cuenta, autenticar a la persona, ejecutar el contrato de uso, prevenir el abuso y demostrar consentimientos o conocimiento. Las bases legales son los artículos 6, apartados 1, letras b y f del RGPD. Los datos obligatorios son necesarios para crear una cuenta; sin ellos no se puede proporcionar ninguna cuenta.

La aplicación mantiene la sesión autenticada localmente en el dispositivo para que puedas permanecer conectado. Al desconectarse, se eliminan los datos de sesión relacionados con la sesión, a menos que permanezcan en el sistema operativo o navegador según sus propias reglas.

5. Administración de dispositivos y datos locales de las aplicaciones

Para cada dispositivo registrado, cliprio trata una identificación aleatoria de instalación, una identificación del dispositivo en el servidor, el nombre de dispositivo asignado por ti, la plataforma, fechas de registro y última utilización, el código privado de ocho dígitos y la duración predeterminada de almacenamiento. Además, se pueden tratar conexiones conocidas de dispositivos y sesiones de códigos de recepción temporales.

Un código de recepción de seis dígitos es válido hasta una hora. Los intentos fallidos están limitados sin almacenar el código ingresado; los datos técnicos de limitación se eliminan después del período de protección.

La recepción rápida permite que una persona sin cuenta abra https://web.cliprio.app/quick. El navegador conserva solo un token aleatorio en el almacenamiento de sesión de esa pestaña; el código mostrado y los demás metadatos de recepción permanecen en memoria. El backend guarda únicamente un hash del token, claves HMAC seudónimas para limitar solicitudes, el estado de la sesión y, tras la entrega, referencias independientes al contenido. El acceso termina 24 horas después de la entrega; una limpieza reintentable cada hora elimina después las referencias vencidas. Cloudflare Turnstile procesa datos necesarios de conexión e integridad del navegador para evitar abusos automatizados. Las IP sin seudonimizar, los tokens y los códigos introducidos no se guardan en los registros de aplicación ni de limitación de cliprio. Las descargas explícitas usan una autorización privada de Storage de cinco minutos y un área OPFS separada; los artefactos verificados se eliminan tras exportar, cancelar, fallar, compartir o abandonar la página.

En el dispositivo, la aplicación almacena configuraciones necesarias como idioma, diseño, identificación de instalación y estado de solicitudes de notificaciones. Las aplicaciones nativas pueden retener aún no enviados borradores de texto e imágenes hasta un máximo de 24 horas; la implementación web solo mantiene los borradores en memoria.

Cuando abres, copias o descargas expresamente un archivo, la aplicación transmite el archivo autenticado a un almacenamiento temporal privado de la aplicación y verifica su tamaño y suma de comprobación antes de ponerlo a disposición de esa acción. Las aplicaciones nativas usan su directorio temporal; la aplicación Web usa el sistema de archivos privado del origen (OPFS) del navegador. Estos artefactos están aislados para la sesión autenticada y se eliminan después de la exportación, cancelación, error, expiración, cierre de la página, cierre de sesión o eliminación de cuenta exitosos, al iniciar la aplicación o al cambiar de cuenta. En una acción nativa de abrir o copiar, la aplicación programa la limpieza de mejor esfuerzo del artefacto privado 24 horas después de entregarlo al consumidor seleccionado del sistema operativo; un cierre de sesión exitoso, la eliminación de la cuenta, un cambio de cuenta, una limpieza posterior de artefactos vencidos o el siguiente inicio de la aplicación lo elimina antes. Si el sistema operativo suspende o termina la aplicación antes de la limpieza programada, el artefacto privado de la aplicación puede permanecer más de 24 horas hasta que se ejecute uno de esos límites de limpieza.

El tratamiento se realiza para proporcionar las funciones de administración de dispositivos, seguridad y transferencia. Las bases legales son los artículos 6, apartados 1, letras b y f del RGPD.

6. Contenidos y transferencias

Dependiendo de tu uso, cliprio trata:

• textos, imágenes y archivos transferidos;
• nombre de archivo, tipo de archivo, MIME-type, tamaño y título opcional;
• identificaciones de contenido, remitente, destinatario y dispositivo;
• fechas de creación, modificación, expiración y eliminación;
• duraciones predeterminadas seleccionadas, cantidades de liberación y estados técnicos.

Los archivos se almacenan en un bucket de almacenamiento privado de Supabase. El acceso se otorga solo para solicitudes autenticadas y autorizadas. Las notificaciones push no contienen el contenido ni los nombres de archivo, enlaces públicos, nombres de dispositivo o anuncios.

El tratamiento se realiza exclusivamente para ejecutar tus instrucciones de almacenamiento, visualización, redirección y eliminación. La base legal es el artículo 6, apartado 1, letra b del RGPD. Si los contenidos contienen datos personales de otras personas, eres responsable de transferirlos de manera legítima.

Al transferir a otro cuenta se crea una copia independiente bajo control del destinatario. Esta copia tiene su propia duración y no es recuperada por la eliminación posterior de la cuenta emisora. La identificación del remitente se elimina o neutraliza en la eliminación de la cuenta.

Automatización mediante API

Si activas la automatización mediante API, cliprio trata el nombre de la clave, la cuenta u organización titular, el identificador del creador, acciones y destinos permitidos, una restricción opcional de tamaño, caducidad, revocación, rotación y fechas mínimas de uso. Solo se almacena un hash seguro de la parte secreta del token; la clave completa se muestra una vez. Las claves de organización actúan para la organización y no dependen de la pertenencia de su creador. Las transferencias API usan el mismo almacenamiento privado y copias independientes del destinatario que la aplicación. Las solicitudes de control pasan por Vercel a Supabase; los archivos se envían directamente a Supabase Storage privado con autorizaciones breves vinculadas a la carga. El tratamiento permite la automatización solicitada y evita abusos conforme al artículo 6.1.b y f del RGPD. Los metadatos siguen disponibles para gestionar y revocar claves al terminar el acceso de pago y se eliminan con la cuenta u organización titular.

7. Notificaciones

Si activas las notificaciones push, cliprio trata tu configuración, plataforma y idioma, una identificación específica del dispositivo Firebase Cloud Messaging, información técnica de entrega y estados de notificación, lectura y error. La notificación de entrega contiene una identificación aleatoria única, un mensaje general localizado y posiblemente el número de notificaciones no leídas, pero no el contenido transferido.

La base legal es tu consentimiento según el artículo 6, apartado 1, letra a del RGPD. Puedes revocarlo en las configuraciones de cliprio o del sistema operativo con efecto futuro. La legitimidad de la procesamiento anterior permanece intacta. Las identificaciones de entrega no utilizadas se eliminan después de 90 días sin actualización.

8. Facturación y administración de suscripciones

Para vender, atribuir, aplicar y conciliar el acceso Free, Personal y Team, cliprio trata la cuenta u organización como sujeto de facturación, el plan y producto lógico, el paquete Team seleccionado y la capacidad de plazas adquirida, el período de facturación, un cambio de paquete actual o programado, los identificadores de derecho y cliente del proveedor, los identificadores de suscripción y compra, el estado y las fechas de eventos, la renovación, caducidad y cancelación, los reembolsos o contracargos, los fallos de pago y períodos de gracia, las membresías Team aceptadas necesarias para comprobar la capacidad y el uso de entregas correctas asignado a un mes UTC. Estos datos se mantienen separados del contenido transferido.

Las compras de Personal y Team en la Web y Windows usan directamente Stripe Managed Payments en el navegador del sistema. Después de un pago de Personal en la Web o Windows, RevenueCat refleja información de suscripción y derechos. RevenueCat también proporciona ofertas nativas y atribuye compras nativas. Apple o Google procesa las compras nativas de Personal y Team y proporciona el precio localizado de la tienda. Estos proveedores pueden tratar datos de contacto, país, impuestos, transacciones, instrumentos de pago, prevención del fraude, dispositivo y compra conforme a sus propios avisos. cliprio no recibe ni almacena datos completos de tarjetas o cuentas bancarias.

El tratamiento es necesario para ejecutar la suscripción de pago, asignar los límites del plan, administrar plazas de la organización, evitar atribuciones duplicadas o no autorizadas, recuperar pagos fallidos, conciliar eventos de proveedores, cumplir obligaciones fiscales y contables y formular o defender reclamaciones. Las bases legales son el artículo 6, apartado 1, letras b, c y f del RGPD. Nuestros intereses legítimos son la facturación segura, la prevención del fraude, un estado de derechos fiable y una conciliación auditable con los proveedores.

Una compra nativa en tienda se atribuye a la cuenta cliprio o a la organización seleccionada al comprar o restaurar y no se traslada automáticamente a otro sujeto de facturación. El estado de invitación y aceptación de Team se trata para comprobar si los miembros activos caben en el paquete adquirido. Una invitación nunca activa automáticamente una compra; los aumentos de paquete requieren una acción explícita del propietario y las reducciones aptas entran en vigor al renovar.

9. Eliminación pública

En la página web de eliminación pública, se envía la dirección de correo electrónico normalizada a Supabase Auth. Si existe una cuenta, se envía un código único mediante Resend. Después de la confirmación exitosa, la página crea una sesión temporal solo en memoria y activa así el servicio de autoeliminación existente.

La web desactiva la almacenamiento de sesiones y la renovación automática de tokens. No registra direcciones de correo electrónico, códigos únicos, tokens de acceso o detalles de la sesión de eliminación. Después del cierre, éxito o recarga, los datos temporales se eliminan. Los proveedores técnicos y backend pueden seguir procesando las conexiones de red necesarias.

La base legal es el artículo 6, apartado 1, letra b del RGPD así como la cumplimiento de obligaciones de eliminación según el artículo 6, apartado 1, letra c en combinación con el artículo 17 del RGPD.

10. Soporte, protección de datos y denuncias de contenido ilegal

Si nos contactas por correo electrónico, procesamos la dirección remitente, nombre, contenido de la notificación, anexos, fechas y las informaciones técnicas o de cuenta necesarias para su tratamiento. Nunca envíes contraseñas ni códigos de confirmación; al denunciar contenido ilegal, no adjuntes el contenido afectado innecesariamente.

El tratamiento se realiza para la resolución de consultas contractuales o precontractuales según el artículo 6, apartado 1, letra b del RGPD, para cumplir con obligaciones legales según el artículo 6, apartado 1, letra c del RGPD y en general por nuestro interés legítimo en una comunicación efectiva, prevención de abuso y defensa legal según el artículo 6, apartado 1, letra f del RGPD.

La correspondencia se archiva generalmente durante tres años después de la finalización del proceso. Las obligaciones de conservación legales o la reclamación, ejercicio o defensa de derechos pueden requerir una conservación más larga.

11. Receptores y procesadores encargados

Para proporcionar cliprio utilizamos principalmente los siguientes proveedores:

• Supabase, Inc. para autenticación, base de datos, almacenamiento privado de archivos y funciones Edge. El proyecto principal está instalado en la región Frankfurt (eu-central-1).
• Vercel Inc. — la página pública, documentación estática de la API y reenvío de solicitudes de control API; los archivos se cargan directamente a Supabase.
• Cloudflare, Inc. para la protección Turnstile contra bots y abusos al crear sesiones públicas de recepción rápida. Encontrarás más información sobre el tratamiento de datos personales por Cloudflare en el Turnstile Privacy Addendum.
• Google Ireland Limited o empresas asociadas de Google para Firebase Hosting, Firebase Cloud Messaging y compras nativas de Personal y Team mediante Google Play.
• Stripe y sus entidades relacionadas para Stripe Managed Payments, el pago Web y de Windows, el procesamiento de pagos, la gestión fiscal, la prevención del fraude, los reembolsos, los contracargos y los eventos de facturación.
• RevenueCat, Inc. para ofertas nativas y atribución de compras nativas, y para reflejar después del pago la información de suscripción y derechos de Personal en la Web y Windows.
• Apple Distribution International Limited o empresas asociadas de Apple para compras nativas de Personal y Team y la entrega de Apple Push Notification Service en dispositivos Apple.
• Plus Five Five, Inc. (Resend) para la entrega de correos de cuenta, confirmación, recuperación, avisos de seguridad y códigos de eliminación.
• IONOS SE para los buzones de soporte, privacidad y correo general de coderave.

Además, los datos pueden ser transmitidos a autoridades, tribunales o otras entidades si estamos legalmente obligados a hacerlo o es necesario para la persecución penal o defensa legal. Con procesadores encargados se aplican las acuerdos de protección de datos necesarios.

12. Transmisiones a terceros países

Algunos proveedores y sus subcontratistas tienen su sede o infraestructuras técnicas fuera del Espacio Económico Europeo, en particular en los Estados Unidos. Incluso con un proyecto Supabase instalado en Frankfurt, el soporte, la operación de seguridad o subcontratistas pueden tener una conexión a terceros países. Firebase Cloud Messaging, Stripe y RevenueCat pueden operar en infraestructura internacional. Resend almacena los datos de la cuenta, incluidos los metadatos de correo electrónico, los registros y los registros de API, en los Estados Unidos con independencia de la región de envío elegida.

Las transmisiones ocurren, si es necesario, sobre la base de acuerdos de adecuación, en particular del marco legal de privacidad UE-EE.UU. para receptores certificados o garantías apropiadas como las cláusulas contractuales estándar de la Comisión Europea y medidas adicionales de protección. Puedes solicitar información sobre las garantías utilizadas en cada caso a privacy@coderave.dev.

13. Duración del almacenamiento y eliminación

Se aplican los siguientes criterios:

• Datos de cuentas, perfiles, dispositivos y pruebas contractuales se tratan generalmente hasta la eliminación de la cuenta.
• Los contenidos se eliminan según la duración seleccionada después de 24 horas, 3 días, 7 días o 30 días, o, para contenido permanente, cuando lo elimines o se elimine la cuenta.
• Copias independientes reciben la duración y decisiones del destinatario.
• Los datos de sujeto de facturación, suscripción, atribución de compra, uso, paquete Team y capacidad se conservan mientras sean necesarios para ejecutar la suscripción y después durante los períodos legales fiscales, contables, de prevención del fraude, disputas, reembolsos, contracargos y reclamaciones. Después se eliminan o anonimizan cuando sea legal y técnicamente posible.
• El buzón técnico de eventos del proveedor conserva identificadores opacos de eventos, resúmenes y resultados de procesamiento durante un máximo de 30 días para la deduplicación segura de webhooks y la defensa contra repeticiones. Este buzón de corta duración está separado de los registros normalizados de facturación y contabilidad conservados conforme a la regla anterior.
• Datos de notificaciones se eliminan cuando los contenidos asociados ya no estén disponibles. Intentos de entrega tienen un plazo máximo de 24 horas técnicos.
• Sesiones de códigos de recepción son válidas hasta una hora. Limitaciones de seguridad se eliminan después del período de protección.
• Identificaciones de entrega push no utilizadas se eliminan después de 90 días sin actualización.
• Resend indica que conserva los datos de correo electrónico durante 30 días en sus planes estándar. Puedes dirigirnos las solicitudes relacionadas con datos de correos de Auth conservados por el proveedor; coordinamos su eliminación con el encargado del tratamiento, sin perjuicio de las obligaciones legales de conservación aplicables.
• Los datos técnicos de reproducción de operaciones de contenido finalizadas se eliminan después de ocho días. Las operaciones interrumpidas de clientes antiguos pueden liberarse después de 30 minutos. Las reservas incompletas de transferencia directa con el protocolo dos duran normalmente hasta 24 horas, pueden renovarse mientras continúa el procesamiento y nunca siguen vigentes más allá del límite absoluto de 48 horas; al expirar se libera la cuota no utilizada y se programa la limpieza de los objetos temporales.

La eliminación de objetos de archivos ocurre después del último borrado lógico mediante un proceso de eliminación técnico repetible. En copias de seguridad rotativas de los proveedores, datos eliminados pueden permanecer hasta la planificada sobrescritura. No se restauran para el uso normal y en una restauración se tratan nuevamente según las reglas vigentes de eliminación.

14. Seguridad

cliprio utiliza entre otras cosas transferencia cifrada, almacenamiento privado, autorización basada en cuenta y dispositivo, seguridad a nivel de fila, códigos limitados, restricciones de entrada y mensajes push datasauros. Ningún servicio basado en internet puede garantizar la seguridad absoluta.

15. Tus derechos

Según las disposiciones legales pertinentes, tienes el derecho a obtener información, rectificación, eliminación, restricción del tratamiento, portabilidad de datos y oposición. Las autorizaciones otorgadas puedes revocarlas en el futuro. En el caso de un tratamiento basado en el artículo 6, apartado 1, letra f del RGPD, puedes oponerte por razones que surgen de tu situación particular.

Dirígete a privacy@coderave.dev para solicitar información. Para evitar revelaciones no autorizadas, podemos pedir un identificación adecuada.

También tienes el derecho a presentar una queja ante una autoridad supervisora de protección de datos. La competente para nosotros es:

Oficina del Datos y Libertad de Información de Niedersachsen
Kavalleriestraße 2–4
40213 Düsseldorf
https://www.ldi.nrw.de

16. Cambios

Actualizaremos esta declaración de protección de datos si cliprio, los servicios utilizados o la legislación cambian significativamente. Informaremos adecuadamente sobre cambios importantes en la aplicación, en la página web o por correo electrónico.