Política de privacidad

Artículo 1 — Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos en la Aplicación Yin Shi es Ludovic Dumay, autónomo, SIRET 47966970700065.

Correo electrónico: contact@yinshi.app Teléfono: +33 6 82 21 65 53

Al tratarse de un autónomo que ejerce por su cuenta, el Editor no está sujeto a la obligación de designar un Delegado de Protección de Datos (DPD). Toda solicitud relativa a la protección de datos debe dirigirse a contact@yinshi.app.

Artículo 2 — Datos recogidos, finalidades y bases legales

Categoría de datos	Finalidad	Base legal (RGPD art. 6)	Plazo de conservación
Correo electrónico, contraseña (cifrada), nombre mostrado, idioma preferido	Creación y gestión de la cuenta, autenticación	Ejecución del contrato (6.1.b)	Duración de la cuenta + 3 años tras la supresión
Estado de la suscripción, periodo de prueba, historial de facturación	Gestión de las suscripciones Premium y de la prueba gratuita	Ejecución del contrato (6.1.b)	Duración de la suscripción + 5 años (obligación contable)
Listas de recomendaciones alimentarias guardadas, preferencias	Prestación de las funcionalidades Premium	Ejecución del contrato (6.1.b)	Duración de la cuenta
Datos de pago (Stripe / Google Play)	Tratamiento de los pagos y gestión de las suscripciones	Ejecución del contrato (6.1.b)	Conservados por Stripe / Google (véanse sus políticas)
Dirección IP, user agent, marca de tiempo, registros de errores	Seguridad, prevención del fraude, supervisión (Sentry)	Interés legítimo (6.1.f)	90 días
Datos analíticos anonimizados (GA4 sin cookies)	Medición de audiencia, mejora del servicio	Consentimiento (6.1.a)	13 meses (recomendación de la CNIL)
Preferencia de tema, idioma, consentimiento de cookies	Personalización de la experiencia, trazabilidad del consentimiento	Consentimiento / interés legítimo	13 meses (consentimiento) / duración de la cuenta (preferencias)
Solicitudes de soporte, correos intercambiados	Tratamiento de solicitudes y reclamaciones	Interés legítimo (6.1.f)	3 años tras el cierre

El Editor no recoge datos sensibles (salud, religión, opiniones políticas, etc.). La información alimentaria y MTC introducida por el Usuario en la Aplicación se considera preferencia personal y no dato de salud en el sentido del RGPD.

Artículo 3 — Destinatarios de los datos

Los datos son accesibles para:

• El Editor (Ludovic Dumay), único responsable del tratamiento.
• Supabase Inc. — autenticación, base de datos, almacenamiento (encargado de tratamiento, DPA firmado).
• Stripe Payments Europe, Ltd. — tratamiento de los pagos Web (encargado de tratamiento, DPA firmado).
• Google Ireland Limited — pagos a través de Google Play Store (encargado de tratamiento).
• Sentry (Functional Software, Inc.) — supervisión de errores (encargado de tratamiento, DPA firmado).
• Google LLC — Google Analytics 4 sin cookies (encargado de tratamiento, únicamente si el Usuario ha dado su consentimiento).
• DreamHost Inc. — alojamiento estático del sitio (encargado de tratamiento).
• Las autoridades administrativas y judiciales, previa requisitoria legal.

El Editor no vende, alquila ni cede nunca los datos a terceros con fines comerciales.

Artículo 4 — Transferencias de datos fuera de la UE

Algunos encargados de tratamiento tienen su sede social en Estados Unidos o tratan datos fuera de la Unión Europea. Las transferencias se ajustan a las garantías apropiadas previstas por el RGPD (artículo 46):

• Supabase Inc. (Delaware, EE. UU.) — datos alojados en Fráncfort (Alemania, eu-central-1). Al tener la sede en Estados Unidos, puede aplicarse el CLOUD Act. Garantía: cláusulas contractuales tipo (CCC) + DPA.
• Sentry (Functional Software, Inc., EE. UU.) — datos alojados en Fráncfort. Garantía: Data Privacy Framework (DPF) + CCC.
• Google LLC (EE. UU., para GA4) — Garantía: DPF. Nota: la validez del DPF para Google es objeto de un recurso ante el TJUE (asunto C-703/25 P).
• Google Ireland Limited (Irlanda, para Google Play) — datos tratados en la UE para los usuarios europeos.
• Stripe Payments Europe, Ltd. (Irlanda) — datos tratados en la UE para los usuarios europeos.
• DreamHost Inc. (EE. UU.) — alojamiento estático (archivos HTML/CSS/JS sin datos personales directos). Garantía: DPF.

Artículo 5 — Medidas de seguridad

El Editor aplica las siguientes medidas técnicas y organizativas:

• Cifrado TLS/HTTPS para todas las comunicaciones.
• Contraseñas cifradas por Supabase (bcrypt).
• Autenticación Supabase con tokens JWT de caducidad breve.
• Acceso a la base de datos limitado y autenticado (RLS — Row Level Security).
• Supervisión de errores a través de Sentry (sin datos personales sensibles).
• Copias de seguridad automáticas de la base de datos de Supabase.
• Ningún almacenamiento de números de tarjeta bancaria (los trata Stripe).

Artículo 6 — Sus derechos (RGPD)

Conforme al RGPD (artículos 15 a 22), dispone de los siguientes derechos:

• Derecho de acceso — obtener una copia de sus datos.
• Derecho de rectificación — corregir datos inexactos.
• Derecho de supresión («derecho al olvido») — solicitar la eliminación de sus datos.
• Derecho a la limitación — restringir temporalmente el tratamiento.
• Derecho a la portabilidad — recibir sus datos en un formato estructurado.
• Derecho de oposición — rechazar el tratamiento fundado en el interés legítimo.
• Derecho a retirar su consentimiento en cualquier momento (analítica, cookies).

Para ejercer estos derechos, escriba a contact@yinshi.app. El Editor responde en un plazo de un mes (artículo 12 del RGPD), prorrogable en dos meses en caso de solicitudes complejas.

Artículo 7 — Derecho de reclamación (CNIL)

Si considera que el tratamiento de sus datos vulnera sus derechos, puede presentar una reclamación ante la CNIL (Commission nationale de l'informatique et des libertés, autoridad francesa de protección de datos):

CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07 Teléfono: 01 53 73 22 22 Sitio web: cnil.fr/fr/plaintes

Artículo 8 — Cookies y rastreadores

El uso de cookies y rastreadores se describe en la Política de cookies.

Artículo 9 — Actualización

La presente Política de privacidad puede modificarse en cualquier momento. Se notifica por correo electrónico a los Usuarios registrados las modificaciones significativas. La versión aplicable es la publicada en línea a la fecha de uso del servicio.