Política de Privacidad

1. Responsable del Tratamiento

El responsable del tratamiento de tus datos personales es aimag.me. Para consultas sobre protección de datos, contacta: aimag.me/contact.

2. Qué Datos Recopilamos

Como parte de la prestación del servicio, recopilamos los siguientes datos:

• Dirección de correo electrónico — necesaria para la creación de cuenta e inicio de sesión.
• Lecturas de tarot — preguntas, cartas extraídas e interpretaciones generadas, almacenadas en la cuenta del usuario.
• Datos de uso — número de lecturas por día, fecha del último inicio de sesión, preferencias de idioma.
• Preferencias — idioma elegido (PL/EN/ES), configuración de visualización.
• Datos de pago — procesados exclusivamente por Stripe. No almacenamos números de tarjeta ni datos de pago en nuestros servidores.
• Datos de autenticación — si inicias sesión a través de Google o Apple, recibimos tu nombre y foto de perfil. No recibimos ni almacenamos tu contraseña de proveedores externos.
• Declaraciones de cancelación y de desistimiento — cuando usas «Cancelar contratos aquí» o «Desistir del contrato aquí»: nombre, dirección de correo electrónico, el contrato y su descripción, el motivo y la fecha de fin solicitada si los indicas, el momento de recepción y, para proteger el formulario contra abusos, un hash de tu dirección IP y el identificador de tu navegador.

3. Finalidad y Base Legal del Tratamiento

Tratamos tus datos sobre las siguientes bases legales:

• Ejecución de un contrato (Art. 6(1)(b) RGPD) — necesario para prestar el servicio de lectura de tarot y mantener tu cuenta.
• Interés legítimo del responsable (Art. 6(1)(f) RGPD) — análisis de uso para mejorar el servicio, prevención de abusos.
• Autenticación de terceros — el procesamiento se basa en tu consentimiento al elegir iniciar sesión a través de Google o Apple (Art. 6(1)(a) RGPD).
• Consentimiento para correos de marketing (Art. 6(1)(a) RGPD) — si lo marcas al iniciar sesión o crear tu cuenta, o te suscribes al boletín, te enviamos por correo electrónico novedades, consejos y ofertas de aimag.me. Puedes retirarlo en cualquier momento con el enlace de cada uno de esos correos o escribiéndonos; sin él solo enviamos correos sobre tu cuenta y tus pagos.
• Obligación legal y defensa de reclamaciones (Art. 6(1)(c) y (f) RGPD) — recepción y confirmación de una declaración de cancelación o de desistimiento, y conservación de la prueba en caso de disputa.

4. Período de Retención de Datos

• Lecturas anónimas (sin cuenta) — eliminadas automáticamente después de 30 días.
• Datos de cuenta — almacenados hasta que el usuario elimine la cuenta. Tras la eliminación, los datos se borran en un plazo de 30 días.
• Datos de facturación — almacenados de acuerdo con los requisitos de la legislación fiscal (5 años desde el final del año en que se realizó la transacción).
• Declaraciones de cancelación y de desistimiento — 3 años desde el final del año en que se realizaron, también después de eliminar la cuenta (prueba en caso de disputa); después se eliminan automáticamente. El hash de la dirección IP y el identificador del navegador se eliminan a los 30 días, y los envíos rechazados como automáticos, por completo a los 30 días.
• Copias de seguridad — conservamos las copias de seguridad de la base de datos hasta 30 días y las instantáneas cifradas de las copias hasta 6 meses. Los datos eliminados del servicio pueden permanecer en estas copias hasta que caduquen: como máximo 7 meses después de su eliminación.

5. Tus Derechos

Según el RGPD, tienes los siguientes derechos:

• Derecho de acceso — puedes preguntar qué datos tratamos sobre ti.
• Derecho de rectificación — puedes solicitar la corrección de datos inexactos.
• Derecho de supresión ("derecho al olvido") — puedes solicitar la eliminación de tus datos.
• Derecho a la portabilidad de datos — puedes descargar tus datos en formato JSON.
• Derecho a la limitación del tratamiento — puedes solicitar la limitación del tratamiento en determinadas situaciones.
• Derecho a retirar el consentimiento — cuando el tratamiento se basa en el consentimiento, puedes retirarlo en cualquier momento. La retirada no afecta la licitud del tratamiento realizado antes de la retirada.
• Derecho de oposición — puedes oponerte al tratamiento de tus datos basado en intereses legítimos (Art. 21 RGPD). Cesaremos el tratamiento a menos que demostremos motivos legítimos imperiosos.
• Derecho a presentar una reclamación — puedes presentar una reclamación ante una autoridad supervisora (en tu país de residencia dentro de la UE, o ante la Autoridad de Protección de Datos correspondiente).

6. Cookies

Solo utilizamos cookies esenciales: una cookie de sesión (PHPSESSID) para mantener tu sesión de inicio de sesión y una cookie de preferencia de idioma. No utilizamos cookies publicitarias, de seguimiento ni de análisis basadas en cookies. El análisis (Plausible) funciona sin cookies.

7. Terceros

Para gestionar aimag.me utilizamos los siguientes proveedores de servicios (destinatarios de tus datos):

• Hetzner Online GmbH (Alemania) — alojamiento de la aplicación, la base de datos, las copias de seguridad y nuestra herramienta de estadísticas propia. OVH SAS (Gravelines, Francia) — alojamiento de una copia sincronizada de la aplicación y de la base de datos, que toma el relevo si falla el servidor principal.
• Cloudflare, Inc. (EE. UU.) — red de distribución de contenidos y proxy de seguridad para todo el tráfico hacia aimag.me, incluida la verificación Turnstile en los formularios de inicio de sesión y de contacto. Trata tu dirección IP y los datos de las solicitudes.
• Google Firebase Authentication (Google LLC, EE. UU.) — gestiona el inicio de sesión con correo electrónico y contraseña, con Google o con Apple. Trata tu dirección de correo electrónico, el identificador de la cuenta y los datos recibidos de Google o Apple al iniciar sesión. Si inicias sesión con Google o Apple, estas empresas también tratan tu inicio de sesión como responsables independientes, conforme a sus propias políticas de privacidad.
• Resend (Plus Five Five, Inc., EE. UU.) — envío de correos transaccionales (cuenta, pagos, notificaciones); trata tu dirección de correo electrónico y el contenido del mensaje. Nuestros buzones de correo están alojados en Proton AG (Suiza), que recibe los mensajes que nos envías mediante el formulario de contacto o por correo electrónico, y en Google LLC (EE. UU.), que recibe nuestras notificaciones de operador sobre nuevas cuentas y pagos; estas pueden incluir tu dirección de correo electrónico.
• Stripe — procesa los pagos. Introduces los datos de tu tarjeta directamente en Stripe y nunca llegan a nuestros servidores; conservamos los registros de transacciones exigidos a efectos contables y fiscales.
• OpenRouter, Inc. (EE. UU.) — dirige las solicitudes de IA a los proveedores de modelos indicados a continuación. Recibe tu pregunta y las cartas extraídas; en lecturas posteriores en tu cuenta, también tus preguntas anteriores y fragmentos de tus lecturas anteriores y, en una pregunta de seguimiento, la lectura a la que se refiere. No adjuntamos tu dirección de correo electrónico ni el identificador de tu cuenta. Configuramos OpenRouter para que envíe estas solicitudes únicamente a los servicios propios de OpenAI y Anthropic y excluya a los proveedores que, según OpenRouter, recopilan datos de los usuarios.
• OpenAI (a través de OpenRouter) — los modelos GPT generan las lecturas de los planes Free y Seeker y la segunda etapa de las lecturas Mystic. Recibe los datos descritos para OpenRouter y, en la segunda etapa de una lectura Mystic, también el texto de su primera etapa.
• Anthropic PBC (a través de OpenRouter) — los modelos Claude generan la primera etapa de las lecturas Mystic y actúan como modelo de respaldo en todos los planes. Recibe los datos descritos para OpenRouter.
• Plausible Analytics — herramienta de estadísticas de tráfico que funciona en nuestro propio servidor (Hetzner, arriba); no se envían datos al desarrollador de Plausible. No utiliza cookies.
• Pushover, LLC (EE. UU.) — envía al operador de aimag.me alertas técnicas y de seguridad. Las alertas pueden incluir identificadores de cuenta y de suscripción, plan, importe del pago, país, direcciones IP de tráfico sospechoso y detalles técnicos de errores.

8. Contacto

Para consultas sobre protección de datos, puedes contactarnos en: aimag.me/contact. Respondemos a las consultas en un plazo de 30 días.

9. Transferencias internacionales de datos

Algunos proveedores indicados en la sección 7 se encuentran fuera del Espacio Económico Europeo. En Estados Unidos: OpenRouter, Inc., OpenAI y Anthropic PBC (lecturas de IA), Google LLC (inicio de sesión y buzón del operador), Resend (Plus Five Five, Inc.; correo electrónico), Cloudflare, Inc. (CDN y seguridad), Pushover, LLC (alertas para el operador) y Stripe, LLC (pagos; nuestra contraparte contractual es Stripe Payments Europe, Limited, Irlanda). Las transferencias a Stripe, Cloudflare y Resend están cubiertas por las cláusulas contractuales tipo adoptadas por la Comisión Europea o, en el caso de Stripe, por el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), según lo establecido en sus condiciones de tratamiento de datos. Google declara en sus condiciones de tratamiento de datos de Firebase que Google LLC está autocertificada en virtud de dicho marco, y Cloudflare y Resend declaran en sus acuerdos de tratamiento de datos que lo cumplen. Según su propia política de privacidad, OpenRouter se basa en decisiones de adecuación y cláusulas contractuales tipo; OpenAI y Anthropic tratan las solicitudes como proveedores de modelos a los que recurre OpenRouter. Según su propia política de privacidad, Pushover se basa, cuando la ley lo exige, en mecanismos como las cláusulas contractuales tipo. Proton AG tiene su sede en Suiza; la Comisión Europea ha reconocido a este país un nivel de protección adecuado. No vendemos tus datos personales.

10. Residentes de California

Si resides en California, el CCPA/CPRA te otorga derechos adicionales: derecho a saber, derecho de eliminación, derecho a rechazar la venta (no vendemos tus datos), derecho a la no discriminación. Contacto: aimag.me/contact.

11. Toma de decisiones automatizada

Nuestro servicio utiliza inteligencia artificial para generar interpretaciones de tarot. Esto constituye un procesamiento automatizado sin efectos legales, ya que las interpretaciones se proporcionan únicamente con fines de entretenimiento. Tienes derecho a oponerte al procesamiento basado en interés legítimo (Art. 21 RGPD) — contáctanos en aimag.me/contact.

12. Privacidad de los menores

Nuestro servicio no está destinado a personas menores de 18 años. No recopilamos conscientemente datos personales de menores. Si eres padre o tutor y crees que tu hijo nos ha proporcionado datos personales, contáctanos en aimag.me/contact — eliminaremos dichos datos de inmediato.

13. Monitoreo de seguridad y prevención de fraude

Para proteger nuestro Servicio y a nuestros usuarios de actividades fraudulentas, abusos y accesos no autorizados, procesamos ciertos datos técnicos sobre la base de nuestros intereses legítimos (Artículo 6(1)(f) RGPD). Los datos procesados con fines de seguridad incluyen: direcciones IP asociadas al acceso a la cuenta y a las transacciones (conservadas hasta 90 días, luego anonimizadas o eliminadas); identificadores técnicos derivados de los encabezados de solicitudes HTTP (conservados hasta 90 días); marcas de tiempo y frecuencia de las interacciones con el servicio; país de acceso derivado de la dirección IP; y dominio de correo electrónico utilizado para el registro para identificar proveedores de correo desechables o de alto riesgo. Nuestros sistemas pueden suspender automáticamente las cuentas cuando se detecta actividad fraudulenta. En tales casos, recibirás una notificación por correo electrónico en un plazo de 24 horas y podrás apelar contactándonos en aimag.me/contact. Las apelaciones son revisadas por un ser humano en un plazo de 5 días hábiles. Tienes derecho a solicitar la intervención humana, expresar tu punto de vista y impugnar la decisión (Artículo 22(3) RGPD). No utilizamos la huella digital del dispositivo basada en JavaScript más allá de lo estrictamente necesario para proporcionar el Servicio.

14. Análisis del servicio

Analizamos patrones de uso agregados (como la frecuencia de uso del servicio, la duración de las sesiones y el comportamiento de navegación) con el fin de mejorar el Servicio y detectar patrones de uso anormales que puedan indicar fraude o abuso. Este análisis se realiza sobre la base de nuestros intereses legítimos (Artículo 6(1)(f) RGPD) y no implica toma de decisiones automatizada con efectos legales sin revisión humana. Utilizamos Plausible Analytics, una herramienta de análisis respetuosa con la privacidad que no utiliza cookies y no realiza seguimiento entre sitios.

15. Aplicación móvil

Nuestra aplicación Android disponible en Google Play ("AI Tarot Reading — aiMag.me") es una Trusted Web Activity (TWA) — un envoltorio ligero que abre nuestro sitio web (aimag.me) en una vista de navegador a pantalla completa. La aplicación no recopila datos adicionales más allá de lo descrito en esta Política de Privacidad. Todo el procesamiento de datos se realiza a través de nuestro sitio web. La aplicación no utiliza Google Play Billing; todos los pagos se procesan a través de Stripe como se describe en la Sección 7.