Política de privacidad
Esta política se aplica a los datos personales tratados a través del sitio web de FixTheWeek, la PWA instalada y cualquier aplicación oficial ofrecida conforme a esta política, para personas en la UE/EEE y el Reino Unido.
1. Responsable del tratamiento y contacto
Responsable del tratamiento: Aleksandar Mladenov, que opera con el nombre comercial FixTheWeek, empresario individual (sole trader) establecido en el Reino Unido, domicilio 5 Brayford Square, London E1 0SG, United Kingdom. Contacto, también para consultas sobre datos personales: contact@fixtheweek.com. Inscrito en el registro de la Information Commissioner’s Office (ICO) del Reino Unido con el número ZC276257.
Aplicamos el RGPD de la UE cuando se cumple su ámbito de aplicación territorial, y el RGPD del Reino Unido (UK GDPR) y la Data Protection Act 2018, en su versión modificada, cuando se cumple su ámbito de aplicación. Las referencias que figuran a continuación a las bases jurídicas del RGPD abarcan las disposiciones correspondientes de la UE y del Reino Unido, cuando proceda. El responsable del tratamiento está establecido en el Reino Unido.
Representante en la UE/EEE (artículo 27 del RGPD): hemos designado a Data Protection Representative Limited (trading as DataRep) como nuestro representante en la Unión Europea y el Espacio Económico Europeo. Si se encuentra en la UE/EEE, puede ponerse en contacto con nosotros a través de DataRep en relación con sus datos personales o sus derechos de protección de datos: por correo electrónico a datarequest@datarep.com, indicando «FixTheWeek» en el asunto; mediante el formulario web en www.datarep.com/data-request; o por correo postal dirigido a DataRep en la dirección correspondiente a su país, que figura a continuación. Dirija las cartas a «DataRep», no a FixTheWeek, o es posible que no nos lleguen. Para cualquier otra cuestión, o si se encuentra en el Reino Unido, póngase en contacto directamente con nosotros en contact@fixtheweek.com.
- Alemania: DataRep, 3rd and 4th floor, Altmarkt 10 B/D, Dresden, 01067, Germany
- Austria: DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Bélgica: DataRep, Rue des Colonies 11, Brussels, 1000, Belgium
- Bulgaria: DataRep, 25 Vitosha blvd. Fl. 2, office 4, 1000, Sofia, Bulgaria
- Chipre: DataRep, Victory House, 205 Archbishop Makarios Avenue, Limassol, 3030, Cyprus
- Croacia: DataRep, Ground & 9th Floor, Hoto Tower, Savska cesta 32, Zagreb, 10000, Croatia
- Dinamarca: DataRep, Lautruphøj 1-3, Ballerup, 2750, Denmark
- Eslovaquia: DataRep, Apollo Business Centre II, Block E / 9th floor, 4D Prievozska, Bratislava, 821 09, Slovakia
- Eslovenia: DataRep, Trg. Republike 3, Floor 3, Ljubljana, 1000, Slovenia
- España: DataRep, Calle de Manzanares 4, Madrid, 28005, Spain
- Estonia: DataRep, 2nd Floor, Tornimae 5, Tallinn, 10145, Estonia
- Finlandia: DataRep, Luna House, 5.krs, Mannerheimintie 12 B, Helsinki, 00100, Finland
- Francia: DataRep, 72 rue de Lessard, Rouen, 76100, France
- Grecia: DataRep, Ippodamias Sq. 8, 4th floor, Piraeus, Attica, Greece
- Hungría: DataRep, 1054 Honved street, 8 1/2, Budapest, Hungary
- Irlanda: DataRep, 77 Camden Street Lower, Dublin, D02 XE80, Ireland
- Islandia: DataRep, Laugavegur 13, 101 Reykjavik, Iceland
- Italia: DataRep, Viale Giorgio Ribotta 11, Piano 1, Rome, Lazio, 00144, Italy
- Letonia: DataRep, 4th & 5th floors, 14 Terbatas Street, Riga, LV-1011, Latvia
- Liechtenstein: DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Lituania: DataRep, 44A Gedimino Avenue, 01110 Vilnius, Lithuania
- Luxemburgo: DataRep, BPM 335368, Banzelt 4 A, 6921, Roodt-sur-Syre, Luxembourg
- Malta: DataRep, Tower Business Centre, 2nd floor, Tower Street, Swatar, BKR4013, Malta
- Noruega: DataRep, C.J. Hambros Plass 2c, Oslo, 0164, Norway
- Países Bajos: DataRep, De Nieuwe Erven 3 Unit – 15162, 5431 NV Cuijk, Netherlands
- Polonia: DataRep, Budynek Fronton ul Kamienna 21, Krakow, 31-403, Poland
- Portugal: DataRep, Torre de Monsanto, Rua Afonso Praça 30, 7th floor, Algès, Lisbon, 1495-061, Portugal
- República Checa: DataRep, Platan Office, 28. Října 205/45, Floor 3&4, Ostrava, 70200, Czech Republic
- Rumanía: DataRep, 15 Piaţa Charles de Gaulle, nr. 1-T, Bucureşti, Sectorul 1, 011857, Romania
- Suecia: DataRep, S:t Johannesgatan 2, 4th floor, Malmo, SE - 211 46, Sweden
2. Qué datos recogemos
Cuando usted se registra: su nombre, su dirección de correo electrónico, el identificador de la cuenta, el hash de la contraseña, el estado de verificación del correo electrónico y marcas de tiempo. Por motivos de seguridad, tratamos su sesión, su dirección IP, datos del navegador y claves temporales que limitan los intentos de inicio de sesión.
Para la planificación: el objetivo que elija, la dieta, las calorías, los objetivos de macros, las recetas, los menús, las recetas favoritas y ocultas, los ingredientes que evitar, los electrodomésticos de cocina de que disponga, sus ajustes y su lista de la compra. Si decide introducir datos corporales, tratamos su edad, sexo, altura, peso, nivel de actividad y una categoría aproximada de grasa corporal. No hay campos específicos para un diagnóstico, un embarazo, una alergia ni un peso objetivo. No obstante, los ingredientes que usted evita pueden revelar una alergia o intolerancia, por lo que se tratan como datos de salud y solo se almacenan con su consentimiento explícito.
Para crear una cuenta es obligatorio facilitar su nombre, su correo electrónico y una contraseña, aceptar las condiciones y confirmar que tiene al menos 18 años. Sin ellos no puede crearse una cuenta. Las preferencias de planificación tienen valores predeterminados y pueden modificarse. Los datos corporales, las exclusiones de ingredientes y el consentimiento para comunicaciones comerciales son opcionales: si rechaza el consentimiento para el tratamiento de datos de salud, la planificación manual sigue disponible, pero no pueden guardarse los datos corporales ni las exclusiones relacionadas con la salud. También almacenamos sus preferencias de notificaciones por correo electrónico, su programación, su zona horaria y las marcas de tiempo de los últimos envíos. Los recordatorios del menú semanal y de la lista de la compra se activan al crear la cuenta; puede desactivarlos en los Ajustes de notificaciones o darse de baja desde un correo de recordatorio. Los mensajes sobre nuevas recetas requieren activar su ajuste específico; las noticias y ofertas requieren el consentimiento para comunicaciones comerciales.
Si contrata Premium o su prueba gratuita, conservamos sus identificadores de cliente y de suscripción de Stripe, el plan, la moneda y el estado (prueba, activa, pago fallido o cancelada), la fecha de inicio de la suscripción (desde la que corre el plazo de desistimiento), las fechas de fin de la prueba y del periodo de facturación, y si la suscripción está programada para terminar. Nunca recibimos ni conservamos el número de su tarjeta ni sus datos de pago completos; los recogen Link y Stripe en el momento del pago. Si nos pide que le avisemos cuando se lance Premium, conservamos esa elección, su fecha y su idioma. Para mostrar los precios en libras o en euros y comprobar que se encuentra en el Reino Unido o en la UE/EEE, donde se ofrece FixTheWeek, utilizamos el país de su conexión, que Cloudflare deduce de su dirección IP en cada solicitud; no lo conservamos.
3. Finalidades y bases jurídicas
El acceso a la cuenta, los ajustes del perfil, los menús, los correos con la lista de la compra que usted solicite y los recordatorios del servicio seleccionados se tratan para prestar el servicio (artículo 6.1.b) del RGPD). La autenticación, la prevención de abusos y los contadores de seguridad se basan en el artículo 6.1.f): nuestro interés en proteger las cuentas y el servicio, ponderado con sus derechos. El registro de la aceptación de las condiciones sustenta el contrato de la cuenta. Los registros mínimos de consentimiento sirven para cumplir nuestras obligaciones de responsabilidad proactiva previstas en los artículos 5.2 y 7.1, y el artículo 6.1.c) se aplica a esa obligación concreta; no constituye una base general para todos los registros. Los correos opcionales sobre nuevas recetas se basan en su elección expresa de recibirlos conforme al artículo 6.1.a), con sujeción a las normas aplicables sobre comunicaciones comerciales electrónicas. Las noticias y ofertas requieren un consentimiento separado para comunicaciones comerciales conforme al artículo 6.1.a), que puede retirarse en la cuenta o mediante el enlace de baja del correo electrónico.
Tratamos los datos corporales y las exclusiones de ingredientes o recetas como datos potencialmente relacionados con la salud y solo los guardamos tras obtener su consentimiento explícito conforme a los artículos 6.1.a) y 9.2.a) del RGPD. El consentimiento se registra por separado de la aceptación de las condiciones. Si lo retira en «Privacidad y datos», se eliminan los datos corporales y las exclusiones relacionadas con la salud guardados en la cuenta activa y en la copia local de recuperación del navegador que esté utilizando; ello no afecta al tratamiento lícito realizado anteriormente. Los demás navegadores y los archivos que haya descargado deben borrarse por separado. No introduzca diagnósticos en campos de texto libre.
La planificación automática utiliza los objetivos, las calorías, los objetivos de macros, la dieta, las exclusiones y las preferencias de recetas que usted elija para calcular objetivos y clasificar o seleccionar comidas. Esta personalización puede constituir elaboración de perfiles. No adopta decisiones que produzcan efectos jurídicos o le afecten significativamente de modo similar en el sentido del artículo 22 del RGPD de la UE, y no diagnostica ninguna afección. Puede modificar los datos de partida, elegir objetivos manuales y editar las comidas propuestas.
En el caso de Premium, el registro de la suscripción, el correo que le recuerda que la prueba está a punto de terminar y los mensajes sobre su suscripción son necesarios para prestar la suscripción que ha solicitado (artículo 6.1.b) del RGPD). El uso del país de su conexión para mostrar los precios en la moneda en la que pagará, y para ofrecer FixTheWeek solo en el Reino Unido y en la UE/EEE, se basa en el artículo 6.1.f): nuestro interés en mostrarle el precio correcto y en ofrecer el servicio solo donde está disponible. El único correo de lanzamiento de Premium se basa en su consentimiento conforme al artículo 6.1.a), otorgado mediante una casilla separada sin marcar; puede retirarlo en cualquier momento con «No me envíes el correo» en la pestaña Suscripción. Los registros de clientes y facturas de nuestra cuenta de Stripe se conservan para cumplir obligaciones fiscales y contables (artículo 6.1.c)).
Cuando usted se registra, utilizamos el país de su conexión para sumar uno a un recuento mensual de cuentas nuevas en el Reino Unido, en la UE/EEE o en otros lugares. Solo se conservan los totales mensuales, que no están vinculados a su cuenta. Los utilizamos para saber cuántas personas usan FixTheWeek en cada región, también para nuestro representante en la UE (artículo 6.1.f) del RGPD, nuestro interés legítimo).
4. Cookies, analítica y marketing
Las cookies de sesión son necesarias para iniciar sesión y por motivos de seguridad, y la cookie «locale» recuerda el idioma que usted ha elegido para el sitio web. Su elección de tema y sus preferencias de cookies se almacenan en su navegador. La versión actual no tiene activo ningún rastreador analítico ni publicitario. Si se añade alguno, los opcionales no se cargarán antes de obtener el consentimiento adecuado. Los mensajes comerciales son una opción separada y opcional. Los detalles figuran en la Política de cookies.
Para los usuarios de la UE/EEE se aplican también las normas nacionales sobre privacidad electrónica (ePrivacy) aplicables; para los usuarios del Reino Unido se aplican las Privacy and Electronic Communications Regulations (PECR). Utilizamos un consentimiento previo y separado (opt-in) para las noticias y ofertas, y en esta versión no nos acogemos a la excepción de «soft opt-in» para comunicaciones comerciales. Los correos de seguridad y de la cuenta y los recordatorios del servicio seleccionados descritos anteriormente son independientes de los mensajes promocionales. No debemos añadir contenido promocional a un recordatorio del servicio para eludir las preferencias sobre comunicaciones comerciales.
5. Destinatarios y transferencias internacionales
Cloudflare presta el alojamiento, la entrega a través de su red, el Worker y la base de datos D1. Esto abarca las solicitudes al sitio web y los metadatos de seguridad, así como los datos de la cuenta y de planificación almacenados en D1. Resend gestiona los correos salientes de verificación de la cuenta y de restablecimiento de la contraseña, las listas de la compra que usted solicite y las notificaciones activadas. Recibe la dirección del destinatario y el contenido de los mensajes; un correo con la lista de la compra puede revelar preferencias alimentarias. El código también admite un enlace (binding) de correo saliente de Cloudflare, si se configura.
Premium se vende a través de Link, el servicio de Stripe en el que Link actúa como vendedor oficial («Sold through Link»): Link le vende la suscripción, cobra los pagos, calcula e ingresa el IVA y envía los recibos, las facturas y los correos sobre pagos, y una sociedad del grupo Stripe procesa los pagos. Para la venta y el pago, Link y Stripe tratan su nombre, dirección de correo electrónico, país y dirección de facturación, método de pago y datos de prevención del fraude como responsables independientes, conforme a sus propias políticas de privacidad: https://link.com/privacy y https://stripe.com/privacy. Facilitamos a Stripe su dirección de correo electrónico y el identificador de su cuenta de FixTheWeek para que los pagos se asocien a su cuenta, y recibimos a cambio los datos de suscripción descritos en el apartado 2. Para los registros de clientes y suscripciones de nuestra cuenta de Stripe, Stripe actúa por cuenta nuestra. Stripe puede tratar datos fuera del Reino Unido y del EEE con sus propias garantías para las transferencias.
Adónde van sus datos: Cloudflare, Inc. aloja el servicio conforme a su adenda de tratamiento de datos (Data Processing Addendum); nuestra base de datos se almacena en Europa Occidental, mientras que el tráfico de red y los registros (logs) pueden tratarse en la red mundial de Cloudflare, incluidos los Estados Unidos. Resend (Plus Five Five, Inc.) envía nuestros correos electrónicos desde la UE (Irlanda) conforme a su adenda de tratamiento de datos; la empresa y algunos de sus subencargados están en los Estados Unidos. Stripe trata por cuenta nuestra los registros de clientes y suscripciones de nuestra cuenta de Stripe conforme a su acuerdo de tratamiento de datos (Data Processing Agreement) y puede tratar datos en todo el mundo, incluidos los Estados Unidos. Los correos electrónicos que envíe a contact@fixtheweek.com se reciben en nuestro buzón de Microsoft Outlook.com, que Microsoft presta conforme a sus propias condiciones y puede almacenar fuera del Reino Unido y del EEE. Nuestro representante en la UE/EEE, DataRep, está en Irlanda.
Las transferencias a los Estados Unidos se basan en el Marco de Privacidad de Datos UE-EE. UU. (EU–US Data Privacy Framework), y en su extensión para el Reino Unido (UK Extension) en el caso de los datos del Reino Unido, cuando el proveedor está certificado, con las cláusulas contractuales tipo de la UE (y el UK Addendum para los datos del Reino Unido) del contrato del proveedor como alternativa subsidiaria. Los datos personales de los usuarios de la UE/EEE nos llegan en el Reino Unido al amparo de la decisión de adecuación de la UE relativa al Reino Unido. Puede solicitarnos más información sobre estas garantías, o una copia de ellas, en contact@fixtheweek.com.
6. Conservación y seguridad
Los siguientes plazos se aplican a la base de datos de la aplicación en producción. Los datos de la cuenta, los ajustes de planificación, los menús guardados, los electrodomésticos seleccionados, las preferencias de notificaciones, los registros de la suscripción y el historial mínimo de eventos relativos a las condiciones, la mayoría de edad y el consentimiento se conservan mientras exista la cuenta, salvo que usted los modifique o elimine antes. La eliminación verificada de la cuenta borra la cuenta y los registros vinculados de dicha base de datos. El historial de consentimientos no se conserva en un archivo separado tras la eliminación. La retirada del consentimiento para datos de salud elimina los campos concretos descritos anteriormente sin necesidad de eliminar la cuenta.
Las sesiones de inicio de sesión caducan a los 30 días y pueden renovarse con el uso continuado; al cerrar sesión se revoca la sesión actual. Los enlaces de verificación del correo electrónico y de restablecimiento de la contraseña caducan al cabo de una hora. La tarea de mantenimiento que se ejecuta cada hora elimina las filas de sesiones y verificaciones caducadas, así como los contadores de límite de intentos de autenticación transcurridos 30 días desde su última solicitud registrada. Los contadores de correos con la lista de la compra se eliminan transcurridos 30 días desde el inicio registrado de su ventana. Si falla una ejecución programada, la limpieza se reanuda en la siguiente ejecución correcta; las credenciales caducadas siguen sin ser válidas.
El almacenamiento en el navegador tiene los plazos y los controles de eliminación indicados en la Política de cookies. El cierre de una cuenta no permite borrar a distancia las copias existentes en otros navegadores ni los archivos exportados. Cloudflare conserva los registros de solicitudes durante un máximo de 7 días y las copias de seguridad de la base de datos durante 30 días; Resend conserva los datos de los correos electrónicos durante 30 días. Si alguna vez restauramos la base de datos a partir de una copia de seguridad, primero registramos qué cuentas existen y, tras la restauración, volvemos a eliminar cualquier cuenta que se haya eliminado entretanto.
En el caso de Premium, el registro de la suscripción se conserva mientras exista la cuenta y se elimina con ella, después de cancelar cualquier suscripción en curso. Los identificadores de los eventos de Stripe procesados se eliminan a los 30 días, y la elección sobre el lanzamiento de Premium, 30 días después de enviarse su correo. Los registros de clientes y facturas de nuestra cuenta de Stripe se conservan durante el tiempo que exija la normativa fiscal y contable, normalmente al menos cinco años después del plazo de la declaración fiscal correspondiente; Link y Stripe conservan sus propios registros de las transacciones conforme a sus propias políticas.
El acceso se limita a su propia cuenta y a los operadores autorizados; utilizamos conexiones cifradas, contraseñas protegidas mediante hash y controles de acceso. Ningún sistema puede garantizar una seguridad absoluta.
7. Sus derechos
Usted tiene derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad cuando proceda, oposición al tratamiento basado en el interés legítimo y retirada del consentimiento. Utilice «Privacidad y datos» en su cuenta o escriba a contact@fixtheweek.com. Debemos responder sin dilación indebida y, por lo general, en el plazo de un mes a partir de la recepción de la solicitud. Cuando lo justifiquen la complejidad o el número de solicitudes, este plazo podrá prorrogarse otros dos meses como máximo; debemos explicarle la prórroga dentro del primer mes. Podemos solicitar una confirmación proporcionada de su identidad cuando existan dudas razonables. Si se deniega una solicitud o se aplica una excepción legal, debemos indicarle los motivos e informarle sobre las posibilidades de presentar una reclamación y de ejercer acciones judiciales.
Los usuarios de la UE/EEE pueden presentar una reclamación ante la autoridad de protección de datos competente, en particular en el país de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción. La autoridad de Bulgaria es la Comisión para la Protección de Datos Personales: https://cpdp.bg/. Para el tratamiento sujeto a la legislación de protección de datos del Reino Unido, puede presentar una reclamación ante la Information Commissioner’s Office (ICO): https://ico.org.uk/make-a-complaint/. Estos derechos no se limitan a Bulgaria y no excluyen el acceso a la tutela judicial.
8. Reclamaciones en materia de protección de datos
Presente las reclamaciones en materia de protección de datos a través de contact@fixtheweek.com. Indíquenos qué ha ocurrido y qué resultado desea; no es necesario utilizar terminología jurídica. En el caso de las reclamaciones sujetas al Derecho del Reino Unido, debemos acusar recibo en un plazo de 30 días, investigar y adoptar las medidas adecuadas sin dilación indebida, mantenerle informado y explicarle el resultado sin dilación indebida. Esto es distinto del plazo de, por lo general, un mes aplicable a una solicitud de ejercicio de derechos individuales.
Requisitos sobre reclamaciones en el Reino Unido: ICO: reclamaciones en materia de protección de datos
9. Cambios
Si las finalidades o el tratamiento cambian de forma significativa, publicaremos una nueva versión y, cuando sea necesario, lo notificaremos a los usuarios o solicitaremos un nuevo consentimiento. La versión y la fecha se indican a continuación.