Política de privacidad

1. Responsable del tratamiento y ámbito de aplicación

Esta política se aplica al sitio web de Wolkenworte, a la creación y el uso de eventos, a la nube de palabras en directo y a la configuración y el pedido opcional de productos personalizados. Para el sitio web público de JUSA se aplica la política publicada allí: política general de privacidad.

2. Alojamiento y registros del servidor

Wolkenworte se ofrece en wolkenworte.io a través de Fly.io, Inc. La instancia actual de la aplicación se ejecuta en Fráncfort del Meno. Fly.io trata los datos de conexión y registro técnicamente necesarios para prestar y proteger el servicio, en particular la dirección IP, la fecha y hora, la dirección solicitada, información del navegador y del dispositivo y datos de errores y seguridad.

Los datos de la aplicación y los archivos privados de imagen e impresión se almacenan en una base de datos Postgres y un almacenamiento privado de objetos proporcionados por Supabase, Inc. La aplicación utiliza conexiones cifradas y accede a la base de datos mediante un rol técnico restringido.

Nuestros registros estructurados de la aplicación solo contienen identificadores técnicos autorizados e información de estado, duración y errores. No se registran en ellos direcciones de envío, direcciones de correo de compradores, contenidos de mensajes ni direcciones IP sin transformar. Fly.io y Supabase mantienen además sus propios registros operativos y de seguridad conforme a sus condiciones. El tratamiento es necesario para prestar las funciones solicitadas de acuerdo con el artículo 6, apartado 1, letra b), del RGPD y para un funcionamiento seguro y estable de acuerdo con el artículo 6, apartado 1, letra f), del RGPD.

Encontrarás más información en los avisos de privacidad de Fly.io y Supabase.

3. Eventos y PIN del organizador

Al crear una nube de palabras, tratamos el título elegido, la dirección del evento generada y las fechas de creación y caducidad.

El PIN del organizador no se almacena en texto sin formato, sino que se deriva criptográficamente con una sal individual. Solo se transmite, verifica y descarta para la acción administrativa solicitada; Wolkenworte no emite ningún token de organizador reutilizable.

Para proteger frente a intentos automatizados de PIN, la dirección IP normalizada se seudonimiza con una clave secreta. Solo se almacenan este valor de comprobación irreversible, el número de intentos fallidos y el bloqueo temporal.

El tratamiento se realiza para proporcionar y gestionar el evento solicitado sobre la base del artículo 6, apartado 1, letra b) del RGPD y para proteger las funciones administrativas sobre la base del artículo 6, apartado 1, letra f) del RGPD.

4. Participantes, palabras y visualización en directo

Las personas participantes no necesitan una cuenta. Al abrir un evento se establece una conexión en tiempo real y el código del evento se procesa técnicamente. Las palabras enviadas se normalizan, se asignan al evento y se almacenan junto con su frecuencia y la fecha de su última actualización. Para que las personas participantes puedan eliminar su propia aportación, cada aportación se vincula además a un identificador técnico aleatorio de la sesión del navegador. Wolkenworte no almacena ninguna vinculación con una persona identificada por su nombre ni crea perfiles de participantes.

El título y la nube de palabras son visibles para cualquiera que conozca el enlace del evento. El identificador aleatorio de la dirección dificulta adivinarla, pero no sustituye a un control de acceso. Por tanto, no enviéis información confidencial, categorías especiales de datos personales ni contenidos sobre otras personas sin la autorización necesaria.

Si la persona organizadora restablece la nube de palabras, las palabras actuales se guardan como archivo y la nube visible se vacía. El tratamiento sirve para ofrecer la función en directo solicitada y la creación conjunta del evento conforme al artículo 6, apartado 1, letra f) del RGPD.

5. Diseño de productos y archivos de impresión

Cuando una nube de palabras se diseña para un producto, almacenamos una instantánea inmutable de las palabras junto con el producto, la cantidad, el tema de color, la disposición, las modificaciones y las dimensiones técnicas de impresión. A partir de esos datos se genera un archivo de impresión. La configuración se mantiene independiente de las aportaciones posteriores para que la vista previa, el pago y la fabricación utilicen el mismo diseño.

El tratamiento se realiza para preparar y tramitar el pedido solicitado conforme al artículo 6, apartado 1, letra b) del RGPD.

6. Dirección de entrega, cálculo del precio y Printful

Cuando solicitas una vista previa del producto, enviamos el diseño guardado a Printful antes de realizar un pedido.

Para calcular el precio, tratamos el nombre y los apellidos, la calle y el número, la segunda línea opcional de la dirección, el código postal, la localidad, el país y, cuando sea necesario, el estado o la región. También almacenamos los productos, las cantidades por dirección de entrega, los componentes del precio, la moneda, el periodo de validez y un identificador aleatorio del presupuesto.

Cuando solicitas comprobar la entrega, enviamos a Printful la dirección, variantes y cantidades para determinar los costes de producción, envío e impuestos y las opciones de entrega. Esto ocurre antes de realizar un pedido. Tras un pedido real pagado, Printful también recibe los datos del pedido y de impresión necesarios para producirlo y entregarlo.

El proveedor es Printful. Según el tratamiento, Printful puede actuar como encargado del tratamiento o como responsable independiente. Encontraréis más información en la política de privacidad de Printful. El tratamiento es necesario para preparar el presupuesto y ejecutar el contrato conforme al artículo 6, apartado 1, letra b) del RGPD.

7. Pago a través de Stripe y PayPal

Cuando seleccionas «Comprobar precios y entrega», enviamos a Stripe tu nombre y dirección de entrega, los importes de los productos y del envío, la moneda, la descripción del producto y los identificadores técnicos del pedido para calcular los impuestos y el importe total definitivo y preparar la página de pago. Stripe también utiliza la dirección de entrega para calcular los impuestos. Cuando abres posteriormente la página de pago, Stripe trata además los datos del medio de pago, la dirección IP, los datos del dispositivo y de prevención del fraude, los datos de contacto y, si procede, los de facturación. No recibimos los datos completos de la tarjeta.

De Stripe recibimos, en particular, las referencias de la página de pago y del pago, el estado del pago, el importe, la moneda y la hora del pago. Stripe también puede tratar datos bajo su propia responsabilidad para fines legales, normativos, de seguridad y de prevención del fraude.

Tras un pago correcto verificado mediante firma, recibimos de Stripe la dirección de correo electrónico confirmada del comprador. La utilizamos exclusivamente para los mensajes necesarios sobre pedidos, envíos, reembolsos y cancelaciones. Los destinatarios de la entrega no reciben la dirección de correo del comprador.

Para los clientes del Espacio Económico Europeo intervienen en particular entidades irlandesas de Stripe. Los detalles están disponibles en la Política de privacidad y en el Centro de privacidad de Stripe. La base jurídica es el artículo 6, apartado 1, letra b) del RGPD; tratamos los justificantes exigidos por la ley conforme al artículo 6, apartado 1, letra c) del RGPD.

Si eliges PayPal como método de pago, PayPal recibe a través de Stripe los datos del pedido necesarios para el pago, en particular el importe, la moneda y la referencia del pedido. PayPal también trata los datos de tu cuenta PayPal, los datos de contacto y direcciones facilitados a PayPal, los datos de pago y transacciones y los datos técnicos de conexión y del dispositivo como responsable independiente. No recibimos tus credenciales de acceso a PayPal.

El proveedor es PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburgo. Encontrarás más información en la declaración de privacidad de PayPal. El tratamiento de datos para el pago se basa en el artículo 6, apartado 1, letra b del RGPD.

8. Almacenamiento en el navegador

Los enlaces a las vistas previas solicitadas se guardan en Local Storage hasta doce horas para que volver a abrirlas no genere una nueva vista previa. Las imágenes se cargan directamente desde Printful.

Wolkenworte utiliza una cookie funcional de preferencia de idioma. También ofrecemos análisis de uso opcionales con Google Analytics 4. Sin tu consentimiento explícito, no cargamos código de Google Analytics ni enviamos datos de análisis a Google.

En Session Storage se almacena un identificador de sesión aleatorio y específico del evento. Su única finalidad es mostrar en este navegador sus propias aportaciones de palabras y permitir que solo se eliminen dichas aportaciones.

El idioma elegido se guarda en una cookie funcional. La paleta de colores personal de la nube de palabras, los emojis usados recientemente y los borradores de la cesta se guardan localmente para que se conserven en visitas posteriores y al cambiar entre la nube, el configurador y la dirección de entrega. El PIN del organizador no se almacena en el navegador.

Los borradores locales pueden restaurarse durante siete días; los registros caducados se eliminan en la siguiente visita. Los datos de entrega y las cantidades se guardan en la pestaña del navegador para restaurarlos durante un máximo de 24 horas. Esto no genera ningún pedido.

El acceso opcional guarda un identificador aleatorio y protegido en una cookie HttpOnly hasta 30 días. Las sesiones de recuperación e identificadores de Google duran diez minutos. Los tokens permanecen cifrados en el servidor. Los borradores de este navegador se vinculan a su cuenta y se eliminan aquí al cerrar sesión o borrarlos.

Este navegador recuerda la última nube de palabras abierta durante siete días para que podáis retomarla. Los identificadores técnicos de diseños comprados también se guardan hasta siete días para evitar que reaparezcan en el carrito al volver atrás.

Este almacenamiento es necesario para las funciones solicitadas expresamente. La base jurídica es el artículo 25, apartado 2, número 2 del TDDDG y el artículo 6, apartado 1, letra f del RGPD.

Análisis de uso opcionales

Si aceptas, Google Analytics 4 trata las visitas a páginas y determinados pasos, como la elección de productos, el carrito, la comprobación de precios y los pedidos confirmados. Transmitimos tipos de página generales en vez de enlaces o nombres de eventos individuales. No enviamos a Google palabras, direcciones de entrega, correos electrónicos, PIN ni identificadores de sesión de Stripe.

Google Analytics utiliza las cookies _ga y _ga_* para distinguir navegadores y visitas; caducan como máximo a los 180 días. Guardamos tu elección durante 180 días en una cookie aparte sin identificador de usuario. Google también trata datos técnicos de conexión y del dispositivo, así como el origen aproximado de la visita. Es posible que se realice un tratamiento posterior fuera del Espacio Económico Europeo.

El proveedor es Google Ireland Limited. Usamos Google Analytics únicamente para evaluar el uso de nuestro servicio y no para publicidad personalizada. La base jurídica del análisis y del acceso a tu dispositivo es tu consentimiento conforme al art. 6.1.a del RGPD y al art. 25.1 del TDDDG. Puedes retirarlo en cualquier momento mediante «Ajustes de privacidad» en cualquier página; después detenemos el análisis y eliminamos las cookies de Analytics de este navegador. El tratamiento anterior sigue siendo lícito.

La conservación de los datos individuales de eventos y usuarios en Google Analytics está configurada en dos meses; los informes agregados pueden permanecer disponibles más tiempo. Encontrarás más información en la política de privacidad de Google.

9. Correos de pedidos mediante Resend

Utilizamos Resend, un servicio de Plus Five Five, Inc., para los mensajes necesarios sobre pedidos, envíos, reembolsos y cancelaciones. Se transmiten a Resend el remitente, la dirección de correo del comprador, el asunto y el contenido HTML y de texto inmutable del mensaje. También tratamos el identificador del mensaje y los eventos de entrega comunicados por Resend para poder seguir el envío y resolver errores. El seguimiento de aperturas y clics está desactivado.

Resend almacena los mensajes y registros de entrega en Estados Unidos. La región de envío de la UE determina la ruta técnica, no el lugar de almacenamiento. Resend indica las cláusulas contractuales tipo de la UE y el Marco de Privacidad de Datos UE-EE. UU. como bases de las transferencias. Encontrarás más información sobre las garantías en política de privacidad de Resend.

El tratamiento es necesario para ejecutar el contrato conforme al artículo 6, apartado 1, letra b), del RGPD y para acreditar de forma fiable y proteger técnicamente la entrega conforme al artículo 6, apartado 1, letra f), del RGPD.

10. Destinatarios y transferencias internacionales

Los destinatarios son Fly.io para el alojamiento, Supabase para la base de datos, la autenticación y los archivos privados, Printful y los transportistas para la fabricación y la entrega, Stripe para los pagos y los impuestos, y Resend para los mensajes sobre pedidos y cuentas. PayPal también participa en los pagos con PayPal y Google en el inicio de sesión con Google. Debes proporcionar los datos de entrega y contacto necesarios para tramitar tu pedido.

Si das tu consentimiento, Google recibe los datos de análisis.

Cuando los proveedores tratan datos fuera del Espacio Económico Europeo, se aplican los requisitos de los artículos 44 y siguientes del RGPD. Según el proveedor, las transferencias se basan en particular en una decisión de adecuación como el Marco de Privacidad de Datos UE–EE. UU. o en las cláusulas contractuales tipo de la Unión Europea con medidas de protección complementarias.

Puedes solicitar información sobre las bases de las transferencias y una copia de las garantías aplicables en kontakt@jusa.io; encontrarás más detalles en la información de los proveedores enlazada arriba.

11. Periodo de conservación y eliminación

Los eventos, las palabras actuales y archivadas y los registros técnicos de aportaciones pasan a ser eliminables tras tres meses naturales sin modificaciones y se eliminan durante la limpieza diaria. Cada modificación realizada correctamente amplía este plazo; consultar la página no lo amplía. También se eliminan las configuraciones de productos no pagadas, salvo que sigan siendo necesarias para aclarar un pedido pendiente de resolver.

Los presupuestos incompletos de dirección y precio son válidos entre 5 y 120 minutos, 30 minutos de forma predeterminada. Los presupuestos caducados y no utilizados se eliminan automáticamente tras un periodo técnico adicional de un día. Los archivos de impresión pagados se conservan al menos 90 días desde su envío o 60 días después de la entrega; un bloqueo de soporte puede ampliar la conservación.

Los justificantes de pedidos y pagos necesarios a efectos fiscales, incluidos los datos de dirección necesarios, se conservan generalmente durante ocho años desde el final del año natural correspondiente. Las confirmaciones de pedido y reembolso también sirven como justificantes y se conservan durante ocho años; los mensajes de envío y cancelación, generalmente durante seis años desde el final del año. Determinadas obligaciones legales pueden exigir una conservación de diez años o más.

Las copias operativas adicionales de los datos de entrega y contacto y los diseños de productos guardados se eliminan tres años después del final del año en que se completó la tramitación. Los detalles técnicos de errores y proveedores que ya no sean necesarios se eliminan a los 90 días. Las compras confirmadas como no pagadas se eliminan 30 días después de su vencimiento confirmado; los pagos inciertos permanecen protegidos hasta su aclaración. Estos plazos más cortos no afectan a los justificantes exigidos por ley.

Las reclamaciones, los reembolsos, los litigios o las auditorías en curso pueden prolongar la conservación de los datos necesarios. Los bloqueos de eliminación correspondientes se revisan periódicamente. Los datos en Fly.io, Supabase, Stripe, PayPal, Printful y Resend también están sujetos a sus respectivos plazos de conservación y eliminación; su eliminación en nuestra aplicación no elimina automáticamente las copias que conservan esos proveedores.

Cuenta opcional y diseños guardados

El diseño, la participación y las compras funcionan sin cuenta. Si creas una, tratamos tu correo, datos de autenticación, idioma y fechas de creación, acceso y uso. Supabase gestiona la autenticación y almacena contraseñas derivadas criptográficamente. Resend envía mensajes de verificación, recuperación y seguridad.

Con «Continuar con Google», Supabase y Wolkenworte reciben el identificador de tu cuenta, correo y datos básicos del perfil como nombre y foto. No solicitamos acceso a Gmail ni otros contenidos de Google. También se aplica su política de privacidad en policies.google.com/privacy.

Solo un guardado expreso transfiere el diseño editable, nombre, producto, palabras, colores, fuentes, distribución, imágenes y vista previa a un almacenamiento privado. Los cambios posteriores no se guardan automáticamente. Cada cuenta admite 20 diseños y 100 MB en total. El tratamiento presta la función solicitada conforme al artículo 6(1)(b) RGPD; la seguridad y los registros técnicos limitados se basan en el artículo 6(1)(f).

Un diseño caduca tres meses naturales después de su última apertura completa, guardado expreso o compra confirmada. La fecha aparece junto al diseño. Acceder, ver la biblioteca y añadir al carrito no amplían el plazo. Las altas sin verificar se eliminan a los siete días; las cuentas verificadas sin diseños, tras doce meses sin uso.

Puedes eliminar definitivamente diseños o tu cuenta. El acceso termina de inmediato; los archivos y datos de autenticación se envían inmediatamente para su eliminación. Si falla un proveedor, se reintenta el borrado técnico. No hay papelera. Un identificador técnico se mantiene como bloqueo hasta 35 días para impedir que accesos en curso restauren la cuenta. Los registros temporales de almacenamiento y envío se limpian al día. Las copias del carrito y los justificantes necesarios de pedidos tienen sus propios plazos.

En «Mi cuenta» puedes cambiar correo y contraseña, descargar tus datos y diseños editables y eliminar la cuenta tras verificar de nuevo tu identidad. Contacta con kontakt@jusa.io para ejercer otros derechos. Los registros de proveedores y copias de seguridad siguen plazos separados; no reactivan cuentas ni diseños eliminados en el servicio normal.

12. Tus derechos

Conforme al RGPD tienes, en particular, los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición. Puedes retirar en cualquier momento el consentimiento otorgado con efecto para el futuro. Cuando un tratamiento se base en el artículo 6, apartado 1, letra f) del RGPD, puedes oponerte por motivos relacionados con tu situación particular.

También tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos. El Comisionado de Protección de Datos y Libertad de Información de Baden-Wurtemberg es una de las autoridades competentes respecto de nosotros.

13. Solicitudes sobre privacidad y cambios

Envía las solicitudes sobre privacidad a kontakt@jusa.io. Si es posible, incluye el enlace del evento y no envíes el PIN del organizador por correo electrónico. Para evitar divulgaciones no autorizadas, podemos solicitar una prueba adecuada de tu autorización o identidad.

Actualizamos esta declaración cuando Wolkenworte, los proveedores o los requisitos legales cambian sustancialmente.