Política de privacidad

1. Responsable

El responsable del tratamiento de datos en este sitio web es:

Correo electrónico: hello@littleplans.de

2. En resumen

Little Plans es un servicio de invitaciones animadas. Solo tratamos los datos que necesitamos para ello. No vendemos datos ni usamos rastreadores publicitarios o de analítica.

3. Alojamiento y registros del servidor

El sitio web está alojado en Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, EE. UU.). Con cada visita a una página, Vercel trata datos técnicamente necesarios: dirección IP, hora, dirección solicitada, navegador y sistema operativo. Esto sirve para que el servicio funcione de forma segura y estable (art. 6, apdo. 1, letra f) del RGPD). Los registros se conservan solo durante poco tiempo.

Vercel está certificada conforme al Marco de Privacidad de Datos UE-EE. UU.; además, hemos firmado un contrato de encargo del tratamiento con cláusulas contractuales tipo. Más información: política de privacidad de Vercel.

4. Base de datos y almacenamiento de archivos

Las cuentas, invitaciones, fotos y respuestas se guardan en Supabase (Supabase Inc., EE. UU.), en un centro de datos en Irlanda (UE), con un contrato de encargo del tratamiento con cláusulas contractuales tipo. Más información: política de privacidad de Supabase.

5. Cuenta e inicio de sesión

Para tener una cuenta solo necesitas tu dirección de correo electrónico. Para iniciar sesión te enviamos un enlace o un código por correo. Tratamos tu dirección de correo electrónico para ofrecerte tu cuenta y enviarte los correos de inicio de sesión (art. 6, apdo. 1, letra b) del RGPD). Se conserva hasta que borres tu cuenta.

Si pones una contraseña, solo la guardamos como hash (bcrypt), nunca en texto plano. Si inicias sesión con Google (Google Ireland Limited, Irlanda) o Discord (Discord Inc., EE. UU.), la web te lleva a ese proveedor. Nos confirma tu dirección de correo y nos envía tu nombre y tu foto de perfil, que no usamos para nada más (art. 6, apdo. 1, letra b) del RGPD). Lo que trata el propio proveedor se rige por su política de privacidad: Google, Discord. Las transferencias a EE. UU. se basan en cláusulas contractuales tipo o en el Marco de Privacidad de Datos UE-EE. UU.

6. Invitaciones

Lo que escribes o subes en una invitación se guarda para poder mostrarla (art. 6, apdo. 1, letra b) del RGPD): plantilla, nombre de la persona invitada, pregunta, mensaje, icono, GIF, fotos, lugar, enlace de la canción e idioma de la invitación. Cualquiera que tenga el enlace puede ver la invitación; pedimos a los buscadores que no la indexen.

Las fotos se reducen en tu navegador antes de subirlas, lo que elimina metadatos como el lugar donde se hicieron. Las fotos que no usa ninguna invitación se borran automáticamente en un plazo máximo de dos días.

Las invitaciones gratuitas están activas 30 días; después, el enlace solo indica que la invitación ha caducado. El contenido se queda en tu cuenta hasta que borres la invitación o tu cuenta.

Sube fotos y nombres de otras personas solo si están de acuerdo.

Si invitas a varios amigos a una quedada, guardamos sus nombres y, si los indicas, sus direcciones de correo electrónico o números de teléfono, para que cada uno reciba su propio enlace y tú veas sus respuestas (art. 6, apdo. 1, letras b) y f) del RGPD). También guardamos cuándo se abrió por primera vez un enlace personal. Si nos lo pides, enviamos el enlace por correo; en el correo aparece tu dirección de correo electrónico como la persona que invita. Los SMS y WhatsApp se abren en tu propio dispositivo y no recibimos nada de ello. Estos datos se borran junto con la invitación.

7. Respuestas a las invitaciones

Quien responde a una invitación nos envía la respuesta (sí, quizá o no) y, si quiere, un nombre, un mensaje y una propuesta de hora. La persona que envió la invitación la ve (art. 6, apdo. 1, letras b) y f) del RGPD). Las respuestas se borran junto con la invitación. Para que puedas cambiar tu respuesta durante 24 horas (en cualquier momento a través de un enlace personal), tu navegador recuerda su identificador (almacenamiento local).

8. Visitas

Contamos cuántas veces se abre una invitación y guardamos la primera y la última vez. No guardamos nada sobre la persona que la abre. Para que una recarga no cuente dos veces, el navegador recuerda la visita mientras la pestaña esté abierta.

9. Prevención de abusos

Para evitar abusos (como el envío masivo de correos de inicio de sesión o adivinar enlaces de invitaciones), limitamos cuántas veces una dirección IP, una dirección de correo electrónico o una cuenta puede realizar ciertas acciones. Para ello guardamos estos datos solo como hash con clave secreta (que no se puede revertir) junto con un contador, y los borramos en un plazo máximo de dos días (art. 6, apdo. 1, letra f) del RGPD).

Si denuncias una invitación, guardamos el motivo, los datos que decidas darnos (descripción, dirección de correo electrónico) y un hash con clave secreta de tu dirección IP, para que cada persona pueda denunciar una invitación solo una vez. Lo usamos para revisar las denuncias y, si nos das tu correo, para confirmarte que hemos recibido la tuya (art. 6, apdo. 1, letra c) del RGPD en relación con el art. 16 del DSA, y art. 6, apdo. 1, letra f) del RGPD). Cuando tres personas distintas denuncian la misma invitación, esta se oculta automáticamente hasta que la hayamos revisado. Borramos las denuncias a los 180 días, o antes junto con la invitación.

10. Cookies y almacenamiento en el navegador

Solo usamos lo que el servicio necesita, y por eso no hay banner de cookies:

• Cookies de inicio de sesión (sb-…): mantienen tu sesión iniciada hasta que la cierres.
• Cookie de idioma (lp_locale, 1 año): recuerda el idioma que has elegido.
• Cookie de retorno (inviva_auth_return, 1 hora): te devuelve a la página correcta después de iniciar sesión.
• Almacenamiento local: el borrador de tu invitación, tu última respuesta a una invitación y si has elegido el modo claro u oscuro (lp_theme), solo en tu navegador.

La base jurídica es el § 25, apdo. 2, n.º 2 TDDDG y, para el tratamiento posterior, el art. 6, apdo. 1, letra b) o f) del RGPD.

11. GIFs de GIPHY

La búsqueda de GIFs en el editor pasa por nuestro servidor hasta GIPHY (Giphy, Inc., EE. UU.), que solo ve el término de búsqueda. Los GIFs en sí se cargan directamente desde los servidores de GIPHY, en el editor y en las invitaciones con GIF, por lo que GIPHY recibe tu dirección IP y datos de tu navegador (art. 6, apdo. 1, letra f) del RGPD, nuestro interés en ofrecer GIFs). Más información: política de privacidad de GIPHY.

12. Música de Spotify

Si una invitación tiene una canción, el reproductor de Spotify solo se carga cuando tocas «Reproducir la canción». Solo entonces Spotify AB (Regeringsgatan 19, 111 53 Estocolmo, Suecia) recibe tu dirección IP y datos de tu navegador, y puede instalar cookies. La base jurídica es tu consentimiento al tocar (art. 6, apdo. 1, letra a) del RGPD, § 25, apdo. 1 TDDDG), solo para esa visita. Más información: política de privacidad de Spotify.

13. Mapas

Si una invitación tiene un lugar, mostramos un botón «Ver mapa» y un enlace «Abrir en Mapas». No se envía nada a Google ni a Apple hasta que tocas uno de ellos.

Cuando tocas «Ver mapa», se carga un mapa de Google Maps (Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda). Solo entonces Google recibe tu dirección IP y datos de tu navegador, y puede instalar cookies; los datos pueden transferirse a EE. UU. (Marco de Privacidad de Datos UE-EE. UU.). La base jurídica es tu consentimiento al tocar (art. 6, apdo. 1, letra a) del RGPD, § 25, apdo. 1 TDDDG), solo para esa visita. Lo mismo se aplica en el editor cuando abres allí el mapa de tu lugar. Después de tocar «Abrir en Mapas», se aplica la política de privacidad de Apple o de Google. Más información: política de privacidad de Google.

14. Pagos a través de Stripe

Cuando compras Premium, pagas en una página de Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublín 2, Irlanda). Stripe trata tus datos de pago; nosotros nunca los recibimos. Solo guardamos un número de cliente, tu suscripción o tu pase y su duración (art. 6, apdo. 1, letra b) del RGPD). Conservamos las facturas durante el tiempo que exige la normativa fiscal y mercantil, normalmente diez años (art. 6, apdo. 1, letra c) del RGPD). Más información: política de privacidad de Stripe.

Si cancelas a través de «Cancelar contratos aquí», tratamos los datos del formulario (nombre, correo, contrato, tipo y fecha de la cancelación, hora de recepción) para tramitar y confirmar la cancelación (art. 6, apdo. 1, letras b) y c) del RGPD, § 312k BGB). Los conservamos como prueba hasta que termine el plazo de prescripción, normalmente tres años.

15. Correos electrónicos

Los avisos de respuestas a tus invitaciones, los enlaces de invitación a tus invitados, los correos de inicio de sesión y las confirmaciones de denuncias y de cancelaciones se envían a través de Resend (Resend, Inc., EE. UU.), con un contrato de encargo del tratamiento con cláusulas contractuales tipo (art. 6, apdo. 1, letra b) del RGPD). Más información: política de privacidad de Resend.

16. Tus derechos

Tienes derecho de acceso (art. 15 del RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición a los tratamientos basados en intereses legítimos (art. 21). Puedes retirar tu consentimiento en cualquier momento con efectos para el futuro (art. 7, apdo. 3). Escríbenos a hello@littleplans.de.

Puedes borrar tu cuenta tú mismo en cualquier momento, con todas sus invitaciones, respuestas y fotos: al final de la página «Mis invitaciones».

También puedes presentar una reclamación ante una autoridad de protección de datos, por ejemplo la de tu lugar de residencia o la de nuestra sede (art. 77 del RGPD).