Política de Privacidad

La presente Política de Privacidad regula el tratamiento de los datos personales de los usuarios del sitio web y de la aplicación RecipeRewriter Pro, de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

• Responsable: [COMPLETAR: nombre o razón social]
• NIF/CIF: [COMPLETAR]
• Domicilio: [COMPLETAR]
• Email de contacto: info@reciperewriterpro.com

2. Datos que recogemos

• Datos de registro: email, contraseña (cifrada), nombre, restaurante (opcional), país.
• Contenido del usuario: recetas que introduces (texto, fotos, PDF, Word) y fichas técnicas generadas.
• Datos de uso: fecha y tipo de fichas generadas, idioma, tokens consumidos, créditos.
• Datos de facturación: en caso de compra, los datos necesarios para emitir factura (gestionados por nuestro proveedor de pago).
• Datos técnicos: dirección IP, navegador, registros de error.

3. Finalidades y base jurídica

• Prestación del Servicio (ejecución de contrato): gestionar tu cuenta, generar fichas técnicas, guardar tu biblioteca, traducir, exportar PDF/Word.
• Facturación y obligaciones fiscales (obligación legal): emisión de facturas, conservación contable.
• Soporte al usuario (ejecución de contrato): responder a tus consultas.
• Mejora del Servicio y seguridad (interés legítimo): detección de errores, prevención de fraude.
• Comunicaciones comerciales (consentimiento): solo si lo aceptas expresamente.

4. Plazos de conservación

Conservamos tus datos mientras mantengas tu cuenta activa. Tras la baja, los datos se bloquean durante los plazos legales (hasta 6 años para datos contables/fiscales) y luego se eliminan. Las recetas guardadas se eliminan al cerrar la cuenta, salvo que solicites su exportación previa.

5. Destinatarios y encargados del tratamiento

Para prestar el Servicio recurrimos a proveedores que actúan como encargados del tratamiento bajo contrato conforme al art. 28 RGPD:

• Infraestructura cloud y base de datos: Lovable Cloud / Supabase (UE).
• Procesamiento de IA: proveedores de modelos de lenguaje a través de Lovable AI Gateway. El contenido de las recetas se envía cifrado para su procesamiento y no se utiliza para entrenar modelos.
• Pagos: [COMPLETAR: Stripe / Paddle u otro proveedor].
• Email transaccional: [COMPLETAR si aplica].

Algunos proveedores pueden estar ubicados fuera del EEE; en tal caso se aplican garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea).

6. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos enviando un email a info@reciperewriterpro.com indicando "RGPD" en el asunto y acreditando tu identidad:

• Acceso, rectificación, supresión ("derecho al olvido").
• Oposición y limitación del tratamiento.
• Portabilidad de tus datos en formato estructurado.
• Retirar el consentimiento en cualquier momento.
• Reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras vulnerados tus derechos.

7. Medidas técnicas y organizativas de seguridad

De conformidad con el artículo 32 del RGPD, implementamos las siguientes medidas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento:

• Cifrado en tránsito: todo el tráfico entre el usuario y nuestros servidores se transmite mediante TLS 1.3 (HTTPS). Las conexiones a la base de datos interna también están cifradas.
• Cifrado de contraseñas: las contraseñas de acceso se almacenan mediante algoritmos de hash seguros (bcrypt) gestionados por el proveedor de autenticación. Nosotros nunca almacenamos contraseñas en texto plano.
• Control de acceso basado en roles (RBAC): cada usuario solo puede acceder a sus propias recetas y datos de perfil. La base de datos utiliza Row Level Security (RLS): las recetas están aisladas por usuario y solo el propietario puede consultarlas, modificarlas o eliminarlas.
• Autenticación segura: utilizamos tokens JWT de corta duración con renovación automática (refresh token rotation). La sesión se almacena de forma segura en el navegador.
• Logs de auditoría: registramos de forma automática cada generación de ficha (usuario, timestamp, tokens consumidos) para control de créditos y prevención de fraude. Estos logs solo son accesibles por el responsable de seguridad.
• Copias de seguridad: la base de datos cuenta con backups automáticos diarios con retención de 7 días, gestionados por el proveedor cloud.
• Accesos controlados: el acceso administrativo a la infraestructura está restringido al responsable de seguridad. No se comparten credenciales.
• Proveedores con garantías: los encargados del tratamiento (infraestructura cloud, procesamiento de IA) han suscrito acuerdo de tratamiento conforme al artículo 28 RGPD y, cuando operan fuera del EEE, se aplican Cláusulas Contractuales Tipo de la Comisión Europea.
• Actualizaciones de seguridad: el proveedor de infraestructura aplica parches de seguridad de forma automática y monitoriza vulnerabilidades conocidas.

8. Menores

El Servicio no está dirigido a menores de 14 años. No recogemos conscientemente datos de menores.

9. Cambios en esta política

Podemos actualizar esta política. Te avisaremos por email o mediante un aviso en la app antes de aplicar cambios sustanciales.

10. Inventario de actividades de tratamiento

De conformidad con el artículo 30 del RGPD, mantenemos un registro de las actividades de tratamiento que incluye:

• Responsable del tratamiento: [COMPLETAR: nombre o razón social]
• Finalidades: (1) prestación del servicio SaaS de generación de fichas técnicas; (2) facturación y obligaciones fiscales; (3) soporte al usuario; (4) mejora del servicio y seguridad.
• Categorías de interesados: usuarios registrados (chefs, cocineros, restauradores).
• Categorías de datos: identificativos (email, nombre), contenido (recetas, fichas generadas), financieros (datos de facturación gestionados por el pasarela de pago), técnicos (IP, navegador).
• Categorías de destinatarios: encargados del tratamiento (proveedor cloud, procesador de pagos, proveedor de IA).
• Transferencias internacionales: solo si el proveedor de IA o cloud opera fuera del EEE; en tal caso se aplican Cláusulas Contractuales Tipo.
• Plazos de conservación: datos de cuenta mientras se mantenga la relación; datos fiscales 6 años; logs de auditoría 2 años.
• Medidas de seguridad: cifrado en tránsito y en reposo, control de acceso basado en roles, autenticación segura, backups, logs de auditoría.

11. Responsable de seguridad

El responsable de seguridad de la información y protección de datos es:

• Nombre: [COMPLETAR: nombre completo del responsable o DPO]
• Email: info@reciperewriterpro.com
• Dirección postal: [COMPLETAR]

Si eres autónomo y actúas como responsable del tratamiento, puedes designarte a ti mismo como responsable de seguridad. Si el tratamiento es de gran volumen o sensible, se recomienda designar un Delegado de Protección de Datos (DPO), aunque no es obligatorio para la mayoría de pymes según la AEPD.

12. Notificación a la AEPD

Actualmente no realizamos tratamiento masivo de datos personales de especial sensibilidad (salud, ideología, etc.) ni vigilancia sistemática de áreas públicas. El tratamiento se limita a datos identificativos y contenido profesional de usuarios que contratan un servicio SaaS.

Si en el futuro se amplía el alcance del tratamiento (por ejemplo, procesamiento de datos de salud relacionados con alérgenos de forma masiva y automatizada), se evaluará la necesidad de notificar el registro de actividades a la Agencia Española de Protección de Datos (AEPD). En cualquier caso, puedes consultar las guías de la AEPD en www.aepd.es o contactarnos para mayor información.