shield_lock Privacidad

Política de privacidad

Última actualización: noviembre de 2026 | Responsable: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Principios

Procesamos datos personales de conformidad con el RGPD (UE) 2016/679. La protección de sus datos es una prioridad fundamental para nosotros. qr3.app ha sido desarrollado bajo el principio de Privacy by Design: las direcciones IP nunca se almacenan; se seudonimizan inmediatamente en el Edge (Cloudflare Workers) con HMAC-SHA-256, un secreto duradero, finalidad y día UTC antes de que los datos sean persistidos.

2. Datos procesados

2.1 Uso de la API (Usuarios registrados)

  • Datos de la cuenta: dirección de correo electrónico, nombre (a través de la autenticación de Clerk.com)
  • Datos de facturación: ID de cliente de Stripe, estado de la suscripción (sin datos de tarjeta de crédito; Stripe los procesa directamente)
  • Datos de uso: códigos QR creados, configuraciones del espacio de trabajo (Workspace)
  • Base legal: Art. 6, apdo. 1, letra b del RGPD (ejecución del contrato)

2.2 Análisis de escaneo (Usuarios finales que escanean códigos QR)

  • Seudónimo de IP: HMAC-SHA-256 con secreto duradero, finalidad y día UTC — dato personal seudonimizado; no se recupera directamente del hash, aunque quien posee el secreto puede recalcular una IP candidata conocida para ese día
  • Datos del dispositivo: tipo de dispositivo, sistema operativo, navegador (a partir del User-Agent, anonimizado)
  • Datos geográficos: país, ciudad (a partir de la cabecera Cloudflare CF-IPCountry — no se almacena la IP)
  • Base legal: Art. 6, apdo. 1, letra f del RGPD (interés legítimo de los propietarios de los códigos QR en obtener estadísticas)
  • Conservación: 90 días, después de los cuales se eliminan automáticamente

2.3 Visita al sitio web (qr3.app)

  • Sin cookies de seguimiento
  • Registros del servidor: Cloudflare procesa los datos de conexión de acuerdo con su política de privacidad

Para contar las visitas a las páginas por versión de idioma, qr3.app utiliza Cloudflare Web Analytics. El servicio no utiliza cookies ni ningún otro mecanismo de almacenamiento en el lado del cliente, no almacena direcciones IP y no crea perfiles de usuario. Datos recopilados, de forma agregada: ruta de la página, referente, tipo de navegador y dispositivo, y país. Proveedor: Cloudflare, Inc., como encargado del tratamiento (Anexo sobre el Tratamiento de Datos). Base jurídica: Art. 6, apdo. 1, letra f del RGPD — interés legítimo en el alcance por idioma. No se requiere ninguna cookie de exclusión voluntaria (opt-out), ya que no se almacenan datos en su dispositivo.

2.4 Estadísticas de uso y registros de webhooks (Usuarios registrados)

  • Estadísticas de uso: Actividad del dashboard por día (en qué días UTC un usuario abrió el dashboard de un Workspace) y contadores de uso de la API por operación y día (número de solicitudes de una clave de API por operación y resultado). En la actividad del dashboard se almacenan los identificadores de usuario, organización y workspace, el día UTC y la hora del primer acceso de ese día; en los contadores de la API, los identificadores de organización, workspace y clave de API, el día UTC, la operación, el resultado, el recuento y la hora de la primera y de la última solicitud del día: ninguna dirección IP y ningún User-Agent.
  • Registros de entrega de webhooks: Por cada intento de entrega: tipo de evento, hora, estado, código de estado HTTP y tiempo de respuesta, los datos del evento enviados y el primer kilobyte (1 KB) de la respuesta del receptor o un mensaje de error. En los eventos de escaneo, los datos del evento contienen el país, el tipo de dispositivo, el sistema operativo, el navegador y el idioma del visitante; en los eventos de códigos, el código completo con la URL de destino y las notas. No se almacenan la dirección IP ni el User-Agent de los visitantes, pero los datos del evento y la respuesta del receptor pueden contener datos personales.
  • Finalidad: Funcionamiento, resolución de errores y mejora del producto
  • Base legal: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en un funcionamiento seguro, la resolución de errores y el desarrollo continuo del servicio)
  • Conservación: 90 días (el día UTC en curso y los 89 anteriores), después de los cuales se eliminan automáticamente; con DELETE /v1/account, de inmediato

2.5 Registro de auditoría (Usuarios registrados)

  • Contenido: Por cada cambio en un espacio de trabajo (por ejemplo en códigos, claves API, miembros o webhooks): fecha y hora, acción, recurso afectado, los valores modificados y quién actuó (ID de usuario o de la clave API). En las llamadas directas a la API, además, el seudónimo de IP (HMAC-SHA-256 por día UTC, finalidad propia) y el user agent. No se almacenan direcciones IP, secretos ni claves API.
  • Finalidad: Trazabilidad de los cambios para el equipo de un espacio de trabajo y seguridad del servicio
  • Base legal: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en cambios trazables y en la seguridad del servicio)
  • Conservación: seudónimo de IP y user agent 90 días, la entrada 365 días (en cada caso el día UTC en curso y los anteriores), después eliminación automática; con DELETE /v1/account las entradas de las organizaciones propias se eliminan de inmediato y en otros equipos se suprimen el seudónimo de IP y el user agent

3. Transferencia de datos a terceros

Solo transferimos datos a los siguientes proveedores de servicios. Salvo que se indique lo contrario, tratan los datos por encargo nuestro (Art. 28 del RGPD). Cuando los datos llegan a EE. UU., ello se basa en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), en el que están certificadas las sociedades estadounidenses de estos proveedores (decisión de adecuación, Art. 45 del RGPD), y subsidiariamente en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en sus contratos de encargo del tratamiento (Art. 46, apdo. 2, letra c del RGPD).

  • Cloudflare, Inc. (EE. UU.) — infraestructura, CDN, Workers: alojamiento del sitio web, el dashboard y la API, base de datos, almacenamiento de archivos y colas, envío de los correos del sistema (Cloudflare Email Service) y Web Analytics (apartado 2.3)
  • Clerk, Inc. (EE. UU.) — autenticación: dirección de correo electrónico, nombre, datos de inicio de sesión y de sesión (incluidos la dirección IP, la ubicación derivada de ella y el navegador) y correos de confirmación. En el registro, Clerk integra una protección contra registros automatizados (Cloudflare Turnstile). Si inicia sesión con una cuenta de Google, Clerk recibe de esa cuenta su nombre y su dirección de correo electrónico.
  • Stripe Payments Europe, Ltd. (Irlanda) — procesamiento de pagos y facturas. Stripe recoge los datos de pago directamente; nosotros no recibimos datos de tarjetas. Stripe es responsable por sí misma de la prevención del fraude, de sus propias obligaciones legales y del desarrollo de sus productos.
  • Functional Software, Inc. (Sentry) (EE. UU., almacenamiento en la UE) — análisis de errores para la API, las redirecciones y el dashboard: mensajes de error y muestras de solicitudes (método, ruta sin parámetros, código de estado, duración, identificadores internos). Eliminamos direcciones IP, cabeceras, cookies y parámetros antes del envío; las direcciones de correo y las claves dentro del texto se ocultan. Base legal: Art. 6, apdo. 1, letra f del RGPD (interés legítimo en un funcionamiento sin errores y seguro)
  • Google Cloud EMEA Ltd. (Irlanda; Google Cloud Web Risk) — comprobación de direcciones de destino frente a phishing y malware: al crear o modificar un código, en una comprobación a través de la API y en la revisión nocturna, la dirección de destino del código o los enlaces de su landing page. Solo se envía la dirección, sin datos de cuentas ni de visitantes; si la propia dirección contiene datos personales (por ejemplo, en un parámetro), estos se envían con ella. Base legal: Art. 6, apdo. 1, letra f del RGPD (protección de los visitantes frente a destinos fraudulentos y seguridad del servicio)
  • Microsoft (Microsoft 365) — el buzón office@qr3.app: los correos que nos envía, incluidas las respuestas a correos del sistema, y nuestras respuestas. Base legal: Art. 6, apdo. 1, letra b del RGPD (consultas sobre el contrato) o letra f (otras consultas)

No se realiza ninguna transferencia de datos con fines publicitarios.

4. Sus derechos (RGPD Art. 15–22)

  • Acceso (Art. 15): GET /v1/account/privacy o correo electrónico a office@qr3.app
  • Portabilidad de datos (Art. 20): GET /v1/account/export — exportación en formato JSON de todos los datos
  • Supresión (Art. 17): DELETE /v1/account o correo electrónico. Su cuenta se borra de inmediato: las organizaciones de las que es propietario, con todos sus espacios de trabajo, códigos, pasaportes de producto, archivos y estadísticas (si una de esas organizaciones tiene otro administrador de la organización, este la asume con sus datos y su suscripción), sus membresías en otras organizaciones, su inicio de sesión en Clerk y su registro de cliente en Stripe. Una suscripción en curso finaliza de inmediato, sin reembolso proporcional. En cuentas muy grandes, el borrado concluye en pocas horas. En las copias de seguridad de la base de datos (Cloudflare D1 Time Travel), los datos borrados siguen siendo recuperables durante un máximo de 30 días; después se eliminan definitivamente. Quedan exceptuadas las facturas, que conservamos en Stripe durante el plazo legal de conservación de siete años (§ 132 BAO), y las denuncias de terceros sobre códigos abusivos (prevención de abusos).
  • Limitación (Art. 18): correo electrónico a office@qr3.app
  • Oposición (Art. 21): en cualquier momento por motivos de interés legítimo

5. Cookies

qr3.app utiliza exclusivamente cookies de sesión técnicamente necesarias (autenticación a través de Clerk). No se utilizan cookies de marketing ni de seguimiento. Por lo tanto, no se requiere el consentimiento según la directiva de cookies. Cloudflare Web Analytics (véase la sección 2.3) tampoco utiliza cookies.

6. Seguridad de los datos

Todos los datos se transmiten de forma cifrada (TLS 1.3). Cifrado de la base de datos en reposo (at-rest) a través de Cloudflare D1. Las claves de API se almacenan con hash. Firmas de webhook a través de HMAC-SHA256.

7. Derecho de reclamación

Tiene derecho a presentar una reclamación ante la autoridad de protección de datos de Austria:
Autoridad de Protección de Datos (dsb.gv.at), Barichgasse 40-42, 1030 Viena

8. Contacto de protección de datos

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app