Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de datos en el marco de QRown es:

2. Qué datos recogemos

2.1 Datos de la cuenta

Al registrarte recogemos:

• Dirección de correo electrónico (necesaria para iniciar sesión y para la comunicación)
• Nombre y apellidos (opcional, modificable en cualquier momento en el perfil)
• Contraseña (almacenada como hash bcrypt, nunca en texto plano)
• Nombre de la empresa e idioma (opcional)
• Divisa preferida para las facturas (CHF / EUR)
• Dirección de facturación (opcional; aparece en tus facturas y se sincroniza con Stripe para que también sea correcta en los recibos de Stripe)

2.2 Contenido de los códigos QR

Al crear códigos QR almacenamos:

• Contenidos de los códigos QR (URL, textos, vCards, datos de wifi, etc.)
• Ajustes de diseño y de marca
• Archivos subidos (logotipos, imágenes, PDF para las cargas de archivos)

2.3 Analítica de escaneos (solo códigos QR dinámicos)

Cada vez que se escanea un código QR dinámico registramos:

• Marca de tiempo del escaneo
• Dirección IP: se anonimiza de inmediato (último octeto en IPv4, últimos 80 bits en IPv6); solo se almacena o se usa para la localización la forma anonimizada
• Ubicación aproximada a partir de la IP anonimizada: país, región/ciudad y coordenadas aproximadas a nivel de ciudad: no la posición GPS de tu dispositivo (nunca se accede a los servicios de localización del dispositivo)
• Cadena de agente de usuario del navegador y el tipo de dispositivo, el sistema operativo y la familia de navegador derivados de ella
• Idioma preferido del navegador (Accept-Language) y referente (si está disponible)

Los códigos QR estáticos se descodifican directamente en el dispositivo y no generan registros en el servidor. Al escanear se establece una cookie de sesión técnicamente necesaria para evitar recuentos dobles. Los registros de escaneos individuales se borran a los 90 días (véase la cláusula 7).

Reparto de funciones: En la medida en que facilitamos estadísticas de escaneo por cuenta de quien creó el código QR, tratamos estos datos como encargado del tratamiento (art. 28 RGPD); para los fines de seguridad, prevención de abusos y funcionamiento de la plataforma somos responsables autónomos. Los clientes empresariales que necesiten un contrato de encargo de tratamiento pueden dirigirse a la dirección indicada en la cláusula 1.

2.4 Datos técnicos

Al visitar el sitio web se registran automáticamente:

• Registros del servidor (IP, fecha, hora, URL solicitada, código de estado)
• Tipo y versión del navegador, sistema operativo
• Ajustes de idioma utilizados para seleccionar el idioma de la interfaz

2.5 Datos de pago

Los datos de tarjeta de crédito o bancarios son tratados exclusivamente por Stripe y nunca se almacenan en nuestros servidores (PCI-DSS nivel 1). Solo guardamos el identificador de cliente de Stripe, el importe de la factura, la divisa, el estado del pago y —si la has indicado— tu dirección de facturación para los PDF de las facturas.

2.6 Equipos e invitaciones

Si un usuario te invita a un equipo por correo electrónico, guardamos tu dirección únicamente para entregarte la invitación. El correo de invitación te informa del origen de tus datos (art. 14 RGPD). Si no aceptas la invitación, la dirección se borra automáticamente a los 7 días; si la rechazas, de inmediato. Las actividades del equipo se registran con IP anonimizada y se borran a los 180 días.

2.7 Creación masiva (importación en bloque)

En la importación en bloque mediante archivo CSV (por ejemplo, datos de contacto vCard), el archivo subido se elimina inmediatamente después del procesamiento; los contenidos se asignan a los códigos QR creados del cliente. El cliente es responsable, como responsable del tratamiento, de la licitud de los datos de terceros subidos; QRown los trata como encargado exclusivamente para crear los códigos QR.

2.8 Descargas de archivos mediante códigos QR

Al descargarse un archivo compartido mediante un código QR registramos la dirección IP anonimizada, el agente de usuario, la ubicación aproximada (país/ciudad) y el momento, para facilitar al creador estadísticas de descarga y detectar abusos.

2.9 Denuncias de abuso y comprobación de seguridad de URL

Las denuncias de abuso enviadas a través de nuestro formulario se conservan con una IP seudonimizada (hash) durante 12 meses. Comprobamos automáticamente las URL de destino de los códigos QR dinámicos en busca de phishing y malware (véase la cláusula 6.7) para proteger a quienes escanean nuestros códigos QR.

3. Fines del tratamiento

• Prestación y funcionamiento del generador de códigos QR y de la plataforma de gestión
• Autenticación y gestión de tu cuenta de usuario
• Facilitar estadísticas de escaneo para los códigos QR dinámicos
• Gestión de pagos, facturación y contabilidad
• Comunicación relacionada con el servicio (verificación de correo, facturas, soporte)
• Comunicación de marketing opcional (solo con tu consentimiento expreso)
• Seguridad (detección de abusos, protección antispam, registros de auditoría)
• Obligaciones legales (en particular, obligaciones mercantiles y fiscales de conservación)

4. Bases jurídicas

El tratamiento se basa en los siguientes fundamentos:

• Art. 6.1.b RGPD / art. 31.2.a nLPD: Ejecución del contrato: puesta a disposición de la plataforma.
• Art. 6.1.c RGPD: Obligaciones legales, por ejemplo la obligación de conservar las facturas durante diez años.
• Art. 6.1.f RGPD / art. 31.1 nLPD: Intereses legítimos: seguridad, prevención de abusos, mejora del servicio.
• Art. 6.1.a RGPD / art. 31.1 nLPD: Consentimiento, por ejemplo para el boletín, las cookies opcionales y Google OAuth.

Sin decisiones automatizadas: No se realizan decisiones individuales automatizadas, incluida la elaboración de perfiles en el sentido del art. 22 RGPD.

5. Cookies y seguimiento

Utilizamos cookies y tecnologías similares (almacenamiento local). Las cookies son pequeños archivos de texto que tu navegador guarda en tu dispositivo.

5.1 Cookies necesarias

Necesarias para el funcionamiento (cookie de sesión tras iniciar sesión, token CSRF, consentimiento de cookies, idioma y divisa seleccionados). Base jurídica: art. 6.1.f RGPD. No pueden rechazarse sin afectar al funcionamiento del sitio web.

5.2 Cookies analíticas (opcionales) — Google Analytics 4

Con tu consentimiento expreso otorgado mediante el banner de cookies utilizamos Google Analytics 4 (Google Ireland Limited, Dublín; matriz Google LLC, EE. UU.) para entender el uso de nuestro sitio web. Se establecen cookies como _ga y _ga_*. Google Analytics 4 no registra ni almacena direcciones IP; además enviamos la señal de truncamiento de IP. Sin consentimiento no se carga ningún script de Google. El consentimiento puede revocarse en cualquier momento en la página Ajustes de cookies (también enlazada en el pie de página).

Transferencia de datos a EE. UU. sobre la base de las cláusulas contractuales tipo y el Marco de Privacidad de Datos UE-EE. UU.

Registramos tu decisión sobre el consentimiento (concesión, modificación, revocación) en el servidor con una IP anonimizada como prueba conforme al art. 7.1 RGPD (conservación: 3 años). Si esta declaración cambia sustancialmente, el banner de cookies vuelve a mostrarse.

6. Terceros

6.1 Stripe (procesamiento de pagos)

Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, Irlanda. Stripe recibe el nombre, el correo electrónico, la dirección de facturación, el método y el importe del pago. Los datos de tarjeta o bancarios se tratan exclusivamente en infraestructura de Stripe certificada PCI-DSS y nunca se transmiten a QRown. La transferencia de datos a EE. UU. se basa en las cláusulas contractuales tipo de la UE y el Marco de Privacidad de Datos UE-EE. UU.

Contrato de encargo: stripe.com/legal/dpa, Política de privacidad: stripe.com/privacy.

6.2 Infomaniak (alojamiento y correo)

Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias, Suiza. Aloja nuestros servidores y envía los correos transaccionales (verificación, facturas, restablecimiento de contraseña). Los datos permanecen exclusivamente en Suiza.

Política de privacidad: infomaniak.com/legal.

6.3 Google OAuth (inicio de sesión opcional)

Si eliges iniciar sesión con Google, se transmiten a QRown tu dirección de correo, tu nombre, el identificador de usuario de Google y la URL de tu foto de perfil. No se solicita acceso a Drive, Gmail ni Calendar. Proveedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (matriz Google LLC, EE. UU.). Transferencia de datos sobre la base de las cláusulas contractuales tipo y el Marco UE-EE. UU.

Privacidad: policies.google.com/privacy.

6.4 Brevo (envío del boletín)

Enviamos nuestro boletín a través de Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 París, Francia; servidores en la UE). Brevo recibe tu dirección de correo, tu idioma y los eventos de entrega (rebote, baja, apertura/clic para medir la entregabilidad). Base jurídica: tu consentimiento (art. 6.1.a RGPD, doble opt-in). Existe un contrato de encargo de tratamiento conforme al art. 28 RGPD. Si eliminas tu cuenta o te das de baja del boletín, tu contacto en Brevo se elimina o se bloquea.

Privacidad: brevo.com/legal/privacypolicy.

6.5 Servicio GeoIP ipapi.co (resolución de ubicación)

Para determinar la ubicación aproximada en los escaneos de códigos QR (analítica) y para seleccionar automáticamente la divisa (CHF/EUR) consultamos el servicio ipapi.co (Kloudend Ltd., con sede en EE. UU.). Solo se transmite la dirección IP previamente anonimizada (último octeto o últimos 80 bits puestos a cero) a través de una conexión cifrada, nunca tu IP completa. Base jurídica: art. 6.1.f RGPD (estadísticas sobre base anonimizada). Transferencia sobre la base de las cláusulas contractuales tipo de la UE.

6.6 Google Web Risk (comprobación de seguridad de URL)

Comprobamos automáticamente las URL de destino de los códigos QR dinámicos frente a la base de datos Google Web Risk (Google LLC, EE. UU.) en busca de phishing y malware, antes o durante la redirección de quienes escanean. Solo se transmite la URL que se va a comprobar, ningún dato sobre la persona que escanea. Base jurídica: art. 6.1.f RGPD (protección de quienes escanean frente a enlaces abusivos). Transferencia sobre la base de las cláusulas contractuales tipo y el Marco UE-EE. UU.

6.7 VirusTotal (análisis de archivos)

Cuando está activado, los archivos subidos a la plataforma y compartidos públicamente se envían a VirusTotal (Chronicle LLC, filial de Google, EE. UU.) para su análisis antimalware antes de publicarse. No subas archivos con datos personales confidenciales si no deseas esta comprobación. Base jurídica: art. 6.1.f RGPD (seguridad de los destinatarios). Transferencia sobre la base de las cláusulas contractuales tipo.

6.8 Búsqueda de direcciones (OpenStreetMap / geo.admin.ch)

En los códigos QR de ubicación puedes buscar direcciones en el editor; la consulta se transmite al servicio Nominatim de la OpenStreetMap Foundation (Reino Unido). Si este no devuelve resultados, la consulta se envía además al servicio SearchServer de geo.admin.ch (Oficina Federal de Topografía swisstopo, Suiza), que cubre el registro oficial suizo de edificios. Base jurídica: art. 6.1.b RGPD (función solicitada por ti).

6.9 Fuentes y bibliotecas

Alojamos todas las fuentes (Inter, Font Awesome) y bibliotecas JavaScript localmente en nuestros propios servidores. Al visitar nuestras páginas no se cargan bibliotecas ni fuentes desde redes de distribución de contenidos externas.

7. Plazos de conservación

• Datos de la cuenta: Hasta que elimines tu cuenta (en cualquier momento en «Perfil → Eliminar cuenta»). Eliminamos automáticamente las cuentas inactivas: tras 23 meses sin iniciar sesión enviamos un aviso por correo; si no se inicia sesión en 30 días, la cuenta se elimina por completo.
• Contenido de los códigos QR: Mientras exista la cuenta o hasta que elimines el código QR.
• Códigos QR anónimos (sin inicio de sesión): 24 horas y después borrado automático, incluida la IP anonimizada; borradores anónimos en el editor, 12 horas.
• Registros de escaneos individuales: 90 días. Los contadores agregados y anónimos se conservan.
• Datos de pago y facturación: 10 años (obligación mercantil y fiscal de conservación).
• Boletín: Hasta la baja; las direcciones dadas de baja se mantienen 24 meses en una lista de exclusión.
• Pruebas de consentimiento: 3 años como prueba.
• Registros del servidor y de seguridad: Un máximo de 90 días (registros de eventos de seguridad hasta 180 días).
• Registro de envío de correos: 90 días después del envío.
• Invitaciones de equipo: 7 días (invitaciones pendientes) y después borrado automático; invitaciones completadas, a los 30 días.
• Archivos de importación en bloque (CSV): Se borran inmediatamente después del procesamiento.
• Tickets de soporte: 3 años tras su cierre.
• Denuncias de abuso: 12 meses.

8. Tus derechos

Tienes los siguientes derechos frente a QRown en relación con tus datos personales:

• Acceso (art. 15 RGPD / art. 25 nLPD): ¿qué datos tenemos sobre ti?
• Rectificación (art. 16 RGPD / art. 32 nLPD): corrección de datos incorrectos.
• Supresión (art. 17 RGPD / art. 32 nLPD): siempre que no existan obligaciones de conservación.
• Limitación del tratamiento (art. 18 RGPD).
• Portabilidad de los datos (art. 20 RGPD): exportación de tus datos en un formato estructurado y legible por máquina, disponible en cualquier momento si has iniciado sesión en «Perfil → Mis datos → Exportar datos».
• Oposición al tratamiento (art. 21 RGPD).
• Revocación del consentimiento en cualquier momento con efectos para el futuro.
• Reclamación ante una autoridad de control (Suiza: EFPDT, UE: autoridad de protección de datos competente).

Como usuario con la sesión iniciada obtienes el acceso a tus datos y su exportación de forma inmediata y sin solicitud, mediante el enlace de exportación en tu perfil. Para cualquier otra cuestión, dirígete a info@qrown.io. Respondemos en un plazo de 30 días.

9. Seguridad de los datos

Aplicamos las siguientes medidas técnicas y organizativas:

• Cifrado de transporte TLS 1.2+ en toda la plataforma
• Hash bcrypt de todas las contraseñas (factor de coste mínimo 12)
• Cabeceras HSTS, CSP, X-Frame-Options y X-Content-Type-Options
• Tokens CSRF para todas las solicitudes que modifican el estado
• Cookies SameSite (Lax) y marcas HttpOnly
• Seudonimización de las direcciones IP antes de su almacenamiento
• Principio de mínimo privilegio en el acceso a la base de datos
• Copias de seguridad diarias cifradas
• Registros de auditoría de las acciones administrativas
• Revisiones de seguridad periódicas y actualizaciones de dependencias

10. Transferencias a terceros países

Nuestros servidores están en Suiza (Infomaniak); esto también se aplica a nuestros dominios de redirección qrwn.ch y qron.ch, a través de los cuales se resuelven los enlaces cortos de los códigos QR: rigen esta política de privacidad y el mismo aviso legal. Algunos terceros (Stripe, Google, VirusTotal, ipapi.co) tratan datos también en EE. UU. Para estas transferencias nos basamos en:

• La decisión de adecuación de la Comisión Europea para Suiza (Suiza → UE)
• Las cláusulas contractuales tipo de la UE, incluidas medidas complementarias
• El Marco de Privacidad de Datos UE-EE. UU. (para proveedores estadounidenses certificados)

11. Menores

Nuestro servicio no está dirigido a menores de 16 años. No recogemos conscientemente datos personales de menores sin el consentimiento de su tutor legal. Si tenemos conocimiento de ello, borramos esos datos de inmediato.

12. Modificaciones de esta política de privacidad

Podemos adaptar esta política de privacidad si cambia el marco jurídico o nuestro tratamiento de datos. La versión vigente, con su fecha y número de versión, está siempre disponible en esta página. En caso de cambios sustanciales se vuelve a mostrar el banner de cookies y se solicita un nuevo consentimiento.