Política de privacidad

Reditus es responsable del tratamiento de los datos personales descritos en esta política.

• Identidad utilizada por el servicio: Reditus.
• Sitio web: https://reditus.app.
• Contacto de privacidad: [email protected].

Las categorías dependen de las funciones que utilices:

• Cuenta e identidad: identificador interno, email, nombre y apellidos, hash de contraseña si usas acceso local, proveedor de autenticación, identificador de Google, moneda base, roles, estado de la cuenta y fechas de creación y último acceso.
• Cartera e inversiones: plataformas, activos, tickers, fechas y tipos de operación, cantidades, precios, comisiones, monedas, reglas de operaciones programadas, datos importados y métricas o instantáneas calculadas a partir de ellos.
• Suscripción y facturación: plan, estado y periodos de suscripción, e identificadores de cliente, suscripción y sesión de Stripe. Reditus no almacena números completos de tarjeta ni datos de pago íntegros.
• Comunicaciones: nombre, email, asunto y mensaje enviados mediante el formulario de contacto; también títulos, descripciones, respuestas y estado del feedback enviado desde una cuenta.
• Datos técnicos y de seguridad: dirección IP utilizada temporalmente para limitar solicitudes, identificadores de petición, método y ruta solicitada, identificador de usuario en registros autenticados y datos de sesión incluidos en el token JWT.
• Preferencias del navegador: idioma, tema y una indicación local de que existe una sesión autenticada.

Obtenemos los datos de las siguientes fuentes:

• Directamente de ti cuando te registras, completas tu perfil, registras o importas operaciones, contratas un plan o contactas con soporte.
• De Google, si eliges ese acceso, y de Stripe, cuando inicia o cambia el estado de una suscripción.
• De la actividad del servicio, por ejemplo registros de seguridad, posiciones, rendimientos, proyecciones y otras métricas derivadas de los datos de cartera.

Tratamos los datos solo cuando existe una base jurídica aplicable:

• Prestar el servicio, autenticarte, mantener tu cuenta y calcular las vistas de cartera: ejecución del contrato o medidas precontractuales (art. 6.1.b del RGPD).
• Gestionar pruebas, suscripciones, pagos y el portal de facturación: ejecución del contrato (art. 6.1.b) y, cuando corresponda, cumplimiento de obligaciones legales (art. 6.1.c).
• Responder a consultas, recuperar contraseñas y tramitar feedback: ejecución del contrato, medidas precontractuales o interés legítimo en atender a los usuarios (arts. 6.1.b y 6.1.f).
• Prevenir abuso, aplicar límites de uso, proteger sesiones, investigar errores y mantener copias de seguridad: interés legítimo en asegurar la disponibilidad e integridad del servicio (art. 6.1.f).
• Corregir fallos y mejorar funciones mediante información técnica y feedback: interés legítimo en mejorar Reditus (art. 6.1.f), ponderado frente a tus derechos.
• Atender obligaciones legales, reclamaciones y solicitudes de autoridades: cumplimiento de una obligación legal o interés legítimo en formular y defender reclamaciones (arts. 6.1.c y 6.1.f).

No publicamos tus datos. Podemos comunicarlos a proveedores que los necesitan para prestar sus servicios:

• Google: autenticación opcional. Recibimos el identificador de cuenta, email verificado, nombre y apellidos asociados al token de identidad.
• Stripe: pagos y suscripciones. Le enviamos tu email, un identificador interno de usuario y metadatos de la sesión; Stripe recoge directamente los datos de pago.
• Proveedor SMTP: entrega de correos de recuperación y de mensajes enviados desde el formulario de contacto.
• Grafana: observabilidad de producción mediante registros y métricas técnicas, que pueden incluir identificadores de petición y de usuario.
• Cloudflare R2: almacenamiento cifrado de copias de seguridad en la jurisdicción de la Unión Europea.
• Yahoo Finance, Frankfurter, FRED y EODHD: obtención de precios, tipos de cambio y datos de mercado. El diseño del servicio les envía referencias de mercado, no tu identidad ni el contenido completo de tu cartera.
• Proveedores de alojamiento, base de datos y comunicaciones necesarios para operar Reditus bajo instrucciones del responsable.
• Administraciones, tribunales o fuerzas de seguridad cuando una norma lo exija o sea necesario para proteger derechos legítimos.

Reditus no vende tus datos personales ni los utiliza para publicidad personalizada.

Google, Stripe, Grafana u otros proveedores pueden tratar datos fuera del Espacio Económico Europeo. Sus ubicaciones y subencargados pueden cambiar con el tiempo.

Cuando sea aplicable, exigimos una base válida para la transferencia, como una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo, junto con medidas complementarias apropiadas. Las copias de seguridad de Reditus se configuran en la jurisdicción europea de Cloudflare R2.

Conservamos cada categoría solo durante el tiempo necesario para su finalidad:

• Los datos de cuenta y cartera permanecen mientras la cuenta esté activa. La eliminación de cuenta borra los registros asociados de la base de datos activa, salvo que exista una obligación legal o sea necesario conservar información limitada para reclamaciones. Cuando eliminas tu cuenta, Reditus cancela de forma automática e inmediata las suscripciones recurrentes relacionadas.
• La cancelación de la suscripción no borra los registros de facturación de Stripe. Stripe puede conservar esos registros y los justificantes de pago durante los plazos legales, fiscales, contables o de prevención del fraude que correspondan.
• Los enlaces de recuperación caducan, por defecto, en 60 minutos; los tokens se almacenan mediante hash y los caducados se eliminan diariamente.
• Los identificadores técnicos de eventos de Stripe procesados se conservan durante 45 días para detectar reenvíos y evitar duplicados.
• Los mensajes de contacto y el feedback se conservan mientras sea necesario para responder, gestionar la incidencia y atender posibles responsabilidades.
• Las copias están cifradas y sujetas a ciclos automáticos: las copias diarias expiran a los 35 días y las mensuales a los 400 días. Una eliminación puede permanecer en una copia hasta que esta expire.
• Los registros técnicos se mantienen durante el periodo operativo necesario para seguridad, diagnóstico e investigación de incidentes, con acceso restringido.

Reditus utiliza únicamente tecnologías necesarias o de preferencia en la versión auditada:

• access_token: cookie esencial de autenticación con JWT. Es HttpOnly, Secure en producción, SameSite=Lax y está limitada a la duración configurada de la sesión.
• authenticated: indicador técnico en localStorage que ayuda a gestionar redirecciones y se elimina al cerrar sesión; no contiene el token de acceso.
• El navegador puede recordar el idioma y el tema elegidos para mantener tus preferencias.
• No se han identificado cookies publicitarias ni herramientas de analítica de comportamiento en el código auditado. Si esto cambia, actualizaremos esta política y solicitaremos consentimiento cuando sea obligatorio.

Conforme al RGPD y a la normativa aplicable, puedes solicitar:

• Acceso a tus datos y una copia de la información tratada.
• Rectificación de datos inexactos o incompletos.
• Supresión de tus datos cuando ya no sean necesarios o concurra otra causa legal.
• Limitación del tratamiento en los supuestos previstos por la ley.
• Oposición a tratamientos basados en interés legítimo por motivos relacionados con tu situación particular.
• Portabilidad de los datos facilitados, cuando el tratamiento sea automatizado y se base en contrato o consentimiento.
• Retirada del consentimiento en cualquier momento, sin afectar a la licitud del tratamiento anterior.
• Reclamación ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de control de tu residencia o lugar de trabajo.

Puedes actualizar parte de tus datos y eliminar la cuenta desde tu perfil. Para cualquier otra solicitud, escribe al contacto indicado al final. Podremos pedir información razonable para verificar tu identidad.

Aplicamos medidas técnicas y organizativas proporcionales al riesgo: contraseñas con hash BCrypt, cookies HttpOnly y seguras en producción, control de acceso por roles, aislamiento de datos por usuario, limitación de solicitudes por IP, verificación de firmas de webhooks, conexiones HTTPS, copias cifradas y controles de acceso a producción. Ningún sistema puede garantizar seguridad absoluta.

Reditus no está dirigido a menores de 18 años ni pretende recoger conscientemente sus datos. Si crees que un menor nos ha facilitado información, contacta con nosotros para solicitar su revisión y eliminación.

Reditus calcula métricas, clasificaciones y proyecciones a partir de los datos de cartera, pero no adopta decisiones automatizadas que produzcan efectos jurídicos o similares sobre ti. Estas funciones son informativas y no constituyen asesoramiento financiero.

Podemos actualizar esta política para reflejar cambios legales, técnicos o del servicio. Publicaremos la versión vigente en esta página y modificaremos la fecha de actualización; si el cambio es relevante, utilizaremos un aviso adicional razonable.