Política de privacidad

1. Preámbulo

La presente Política de Privacidad describe la forma en que la sociedad E1 (en adelante "Onirelo", "nosotros") trata los datos personales de los usuarios (en adelante "tú") del servicio Onirelo, accesible en https://onirelo.com.

Onirelo es un diario de sueños. Por su propia naturaleza, nos confías contenidos especialmente personales y, en ocasiones, sensibles. Asumimos este compromiso con la máxima seriedad y hemos diseñado el Servicio para recoger el menor número posible de datos, conservarlos el tiempo estrictamente necesario y protegerlos mediante medidas técnicas y organizativas apropiadas.

2. Responsable del tratamiento

El responsable del tratamiento es la sociedad E1, EURL con un capital social de 1.000 €, cuyo domicilio social se encuentra en 12 rue Vauban, 69006 Lyon, Francia, inscrita en el Registro Mercantil de Lyon con el número 935 101 618.

3. Delegado de Protección de Datos (DPO)

Onirelo ha designado un delegado de protección de datos (DPO). Puedes ponerte en contacto con él para cualquier cuestión relativa a tus datos o al ejercicio de tus derechos:

• Correo electrónico: privacy@onirelo.com
• Nombre del DPO: [POR COMPLETAR]
• Correo postal: E1, a la atención del DPO, 12 rue Vauban, 69006 Lyon, Francia

4. Categorías de datos tratados

4.1. Datos facilitados por ti

Al crear tu cuenta y utilizar el Servicio, nos comunicas:

• datos de cuenta: dirección de correo electrónico, contraseña (de forma cifrada), identificador de Google o Apple si utilizas la conexión a través de esos proveedores;
• datos de perfil opcionales: género que indicas libremente en los ajustes;
• contenidos: relatos de sueños, títulos, notas y etiquetas personales que introduces libremente en tu diario.

4.2. Datos recogidos automáticamente

Durante el uso del Servicio, recogemos:

• datos técnicos estrictamente necesarios: identificadores de sesión, tokens de autenticación, dirección IP, tipo de navegador, idioma, zona horaria;
• datos de facturación cuando contratas una suscripción (tratados por Stripe: importes, fecha, estado del pago, tokens de tarjeta; el número de tarjeta no se nos transmite);
• datos de medición de audiencia y de diagnóstico únicamente tras tu consentimiento (consulta la Política de Cookies).

4.3. Datos potencialmente sensibles

Tus relatos de sueños pueden, por su propia naturaleza, contener o dejar entrever información sensible en el sentido del artículo 9 del RGPD, en particular información relativa a tu salud física o mental. Tú decides en todo momento qué escribir en tu diario y eres libre de no consignar lo que no desees compartir.

Cuando introduces este tipo de contenidos, el tratamiento se basa en tu consentimiento explícito al amparo del artículo 9, apartado 2, letra a) del RGPD. Puedes retirar este consentimiento en cualquier momento suprimiendo los contenidos afectados o tu cuenta.

5. Finalidades y bases jurídicas

| Finalidad | Base jurídica | |---|---| | Creación y gestión de la cuenta, autenticación, seguridad del Servicio | Ejecución del contrato (art. 6.1.b RGPD) | | Prestación de las funciones del diario (registro, visualización, organización de los sueños) | Ejecución del contrato (art. 6.1.b RGPD) | | Generación de interpretaciones y etiquetas mediante inteligencia artificial | Ejecución del contrato (art. 6.1.b) y, para los contenidos sensibles, tu consentimiento explícito (art. 9.2.a) | | Facturación y gestión de la suscripción | Ejecución del contrato (art. 6.1.b) y obligación legal contable (art. 6.1.c) | | Envío de mensajes transaccionales (confirmación, seguridad, facturación) | Ejecución del contrato (art. 6.1.b) | | Medición de audiencia, estadísticas de uso no estrictamente necesarias | Tu consentimiento (art. 6.1.a) | | Prevención y detección de fraudes y abusos | Interés legítimo (art. 6.1.f) en proteger el Servicio y a sus usuarios | | Respuesta a las solicitudes de ejercicio de derechos, gestión de litigios | Obligación legal (art. 6.1.c) e interés legítimo |

Onirelo no realiza ningún tipo de publicidad dirigida y no efectúa elaboración de perfiles con fines de prospección.

6. Decisiones automatizadas e inteligencia artificial

El Servicio utiliza modelos de inteligencia artificial para producir interpretaciones, etiquetas y, en su caso, indicadores de estado de ánimo o bienestar a partir de tus sueños. Estos tratamientos no constituyen decisiones que produzcan efectos jurídicos respecto a ti o que te afecten significativamente en el sentido del artículo 22 del RGPD: tienen finalidad introspectiva y no intervienen en ninguna decisión contractual, médica o financiera que te concierna.

Conservas en todo momento:

• el derecho a obtener una intervención humana por nuestra parte;
• el derecho a expresar tu punto de vista;
• el derecho a impugnar los análisis producidos;
• el derecho a dejar de someter tus contenidos a la IA en cualquier momento.

Tus contenidos nunca se utilizan para entrenar los modelos de inteligencia artificial, ya sean los nuestros o los de nuestros proveedores.

7. Destinatarios y encargados del tratamiento

Tus datos son tratados por nuestro personal autorizado y por los siguientes proveedores, que actúan en calidad de encargados del tratamiento en el sentido del artículo 28 del RGPD:

| Proveedor | Función | Ubicación de los tratamientos | |---|---|---| | Laravel Cloud (Laravel Holdings, Inc.) | Alojamiento de aplicación y base de datos | Unión Europea | | Stripe Payments Europe, Ltd. | Procesamiento de pagos y facturación | Unión Europea, con transferencias a Estados Unidos | | Anthropic, PBC | Generación de interpretaciones mediante IA (modelos Claude) | Estados Unidos | | OpenAI Ireland Ltd. / OpenAI, L.L.C. | Generación de interpretaciones y etiquetas mediante IA | Estados Unidos | | Google Ireland Ltd. (Vertex AI) | Generación de interpretaciones mediante IA | Unión Europea o Estados Unidos según la región de llamada | | [Proveedor de envío de correos electrónicos: POR COMPLETAR] | Envío de correos transaccionales | [Unión Europea / otro: POR COMPLETAR] | | [Proveedor de supervisión de errores: POR COMPLETAR] | Diagnóstico de incidentes técnicos | [POR COMPLETAR] | | [Herramienta de análisis de audiencia: POR COMPLETAR] | Medición de audiencia con consentimiento | [POR COMPLETAR] |

Cada uno de estos proveedores está vinculado por un contrato conforme al artículo 28 del RGPD y solo utiliza tus datos por cuenta de Onirelo, siguiendo sus instrucciones.

8. Transferencias fuera de la Unión Europea

Algunos de nuestros encargados (en particular Anthropic, OpenAI, así como Google y Stripe para determinados tratamientos) pueden tratar datos en Estados Unidos.

Estas transferencias se enmarcan de conformidad con el capítulo V del RGPD, mediante:

• la adhesión del destinatario al Data Privacy Framework UE–Estados Unidos, cuando esté certificado en él;
• en su defecto, la firma de las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión 2021/914);
• la aplicación, en su caso, de medidas complementarias (cifrado, restricción de accesos, seudonimización de los contenidos).

Puedes obtener una copia o un resumen de estas garantías escribiendo a privacy@onirelo.com.

9. Plazos de conservación

| Dato | Plazo de conservación | |---|---| | Cuenta de usuario, contenidos de sueños, etiquetas y perfil | Hasta la supresión de la cuenta por parte del usuario. La supresión conlleva un borrado definitivo e inmediato, sin período de gracia. | | Datos de facturación (facturas, justificantes) | 10 años desde el final del ejercicio contable correspondiente, en virtud de las obligaciones contables y fiscales (artículo L. 123-22 del Código de Comercio francés) | | Registros técnicos de conexión | 12 meses como máximo, conforme a las recomendaciones de la CNIL | | Datos de diagnóstico de errores (Sentry o equivalente) | 90 días como máximo | | Datos de medición de audiencia con consentimiento | Conforme a las recomendaciones de la CNIL (13 meses para los trazadores; 25 meses para las estadísticas anonimizadas derivadas) | | Solicitudes de ejercicio de derechos | 3 años desde la última interacción, con fines probatorios | | Cuentas inactivas (sin conexión durante 24 meses) | Notificación al usuario, seguida de la supresión de la cuenta a falta de respuesta en un plazo razonable |

10. Seguridad

Onirelo aplica las medidas técnicas y organizativas apropiadas para garantizar la seguridad de tus datos:

• cifrado de las conexiones (TLS) entre tu navegador y el Servicio;
• cifrado de los datos en reposo a nivel de base de datos y del sistema de alojamiento (Onirelo conserva las claves de descifrado necesarias para la explotación del Servicio; tus contenidos no están cifrados de extremo a extremo y siguen siendo técnicamente accesibles para nuestro personal autorizado);
• hash de las contraseñas;
• controles de acceso restrictivos, registro de los accesos administrativos;
• política de gestión de incidentes y notificación a la CNIL en caso de violación que presente un riesgo para tus derechos y libertades, en un plazo de 72 horas.

11. Tus derechos

De conformidad con el RGPD y la ley francesa "Informática y Libertades", dispones de los siguientes derechos:

• derecho de acceso a tus datos;
• derecho de rectificación de los datos inexactos o incompletos;
• derecho de supresión ("derecho al olvido");
• derecho a la limitación del tratamiento;
• derecho de oposición al tratamiento, en particular para los tratamientos basados en el interés legítimo;
• derecho a la portabilidad: puedes recibir tus datos en un formato estructurado, de uso común y de lectura mecánica;
• derecho a retirar tu consentimiento en cualquier momento cuando el tratamiento se base en el consentimiento, sin que ello afecte a la licitud de los tratamientos realizados con anterioridad;
• derecho a definir directrices relativas al destino de tus datos tras tu fallecimiento;
• derecho a presentar una reclamación ante la autoridad francesa de protección de datos (CNIL): 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Para ejercer estos derechos, escribe a privacy@onirelo.com justificando tu identidad en caso de duda razonable. Nos comprometemos a responder en un plazo de un mes, prorrogable por dos meses en caso de especial complejidad.

12. Exportación de tus datos

La exportación en autoservicio desde la interfaz aún no está disponible. Mientras tanto, puedes solicitar la exportación de tus datos (relatos, etiquetas, perfil) a privacy@onirelo.com. Nos comprometemos a proporcionarte un archivo estructurado en formato abierto en un plazo máximo de un mes desde tu solicitud.

13. Menores

El Servicio está reservado a personas que hayan cumplido al menos 16 años. No recogemos a sabiendas datos relativos a personas más jóvenes. Si consideras que un menor de 16 años ha creado una cuenta, escribe a privacy@onirelo.com para que la cuenta sea suprimida.

14. Cookies

El uso de cookies y demás trazadores en el Servicio se describe en detalle en la Política de Cookies, disponible por separado.

15. Modificaciones

La presente Política de Privacidad puede actualizarse para reflejar la evolución del Servicio, la legislación o nuestras prácticas. Toda modificación sustancial te será comunicada mediante un mensaje en el Servicio o por correo electrónico antes de su entrada en vigor.