Política de Privacidad

La presente Política de Privacidad regula el tratamiento de los datos personales de los usuarios del sitio web y de la aplicación RecipeRewriter Pro, de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

• Responsable: FAST RACE INVESTMENT, SL
• NIF/CIF: B88077680
• Domicilio: Paseo del Hontanar 1 - 79, 28223 Pozuelo de Alarcón (Madrid), España
• Email de contacto: info@reciperewriterpro.com

2. Datos que recogemos

• Datos de registro: email, contraseña (cifrada), nombre, restaurante (opcional), país.
• Contenido del usuario: recetas que introduces (texto, fotos, PDF, Word) y fichas técnicas generadas.
• Datos de uso: fecha y tipo de fichas generadas, idioma, tokens consumidos, créditos.
• Datos de facturación: en caso de compra, los datos necesarios para emitir factura (gestionados por nuestro proveedor de pago).
• Datos técnicos: dirección IP, navegador, registros de error.

3. Finalidades y base jurídica

• Prestación del Servicio (ejecución de contrato): gestionar tu cuenta, generar fichas técnicas, guardar tu biblioteca, traducir, exportar PDF/Word.
• Facturación y obligaciones fiscales (obligación legal): emisión de facturas, conservación contable.
• Soporte al usuario (ejecución de contrato): responder a tus consultas.
• Mejora del Servicio y seguridad (interés legítimo): detección de errores, prevención de fraude.
• Comunicaciones comerciales (consentimiento): solo si lo aceptas expresamente.

4. Plazos de conservación

Conservamos tus datos mientras mantengas tu cuenta activa. Tras la baja, los datos se bloquean durante los plazos legales (hasta 6 años para datos contables/fiscales) y luego se eliminan. Las recetas guardadas se eliminan al cerrar la cuenta, salvo que solicites su exportación previa.

5. Destinatarios y encargados del tratamiento

Para prestar el Servicio recurrimos a proveedores que actúan como encargados del tratamiento bajo contrato conforme al art. 28 RGPD:

• Infraestructura cloud y base de datos: Lovable Cloud / Supabase (UE).
• Procesamiento de IA: proveedores de modelos de lenguaje a través de Lovable AI Gateway. El contenido de las recetas se envía cifrado para su procesamiento y no se utiliza para entrenar modelos.
• Pagos: Stripe Payments Europe, Ltd. (Irlanda, UE). Se comparten datos mínimos de facturación (nombre, email, país, importe) para procesar los cobros.
• Email transaccional y de autenticación: enviado desde el subdominio notify.reciperewriterpro.com a través de la infraestructura de email de Lovable (proveedor: Mailgun / Sinch, UE). Se procesan email, nombre y contenido del mensaje.

Algunos proveedores pueden estar ubicados fuera del EEE; en tal caso se aplican garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea).

6. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos enviando un email a info@reciperewriterpro.com indicando "RGPD" en el asunto y acreditando tu identidad:

• Acceso, rectificación, supresión ("derecho al olvido").
• Oposición y limitación del tratamiento.
• Portabilidad de tus datos en formato estructurado.
• Retirar el consentimiento en cualquier momento.
• Reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras vulnerados tus derechos.

Eliminación directa desde la aplicación: puedes eliminar tu cuenta en cualquier momento desde el botón "Eliminar cuenta" en la parte superior de la aplicación (/app). Al hacerlo se borran de forma permanente tu perfil, tus recetas y tu historial de uso. Por obligación fiscal (art. 30 del Código de Comercio), las facturas de compras realizadas se conservan de forma anonimizada durante 6 años, sin datos que permitan identificarte.

Portabilidad directa desde la aplicación: puedes descargar una copia completa de tus datos personales (perfil, recetas guardadas, historial de uso y compras) en formato JSON estructurado desde el botón "Descargar mis datos" en la parte superior de la aplicación (/app). Este formato cumple el derecho a la portabilidad reconocido en el artículo 20 del RGPD y te permite transferir tus datos a otro servicio si lo deseas.

Prueba del consentimiento: para poder acreditar cuándo y cómo prestaste tu consentimiento (art. 7 RGPD) guardamos: (a) para comunicaciones comerciales, un registro en tu perfil con la fecha exacta en que marcaste la casilla durante el registro; (b) para el uso de cookies, un registro en tu navegador (localStorage) con la decisión (aceptar/rechazar), la versión de la política y la fecha. Puedes revocar cualquiera de estos consentimientos en cualquier momento contactando con info@reciperewriterpro.com o borrando las cookies del navegador.

7. Medidas técnicas y organizativas de seguridad

De conformidad con el artículo 32 del RGPD, implementamos las siguientes medidas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento:

• Cifrado en tránsito: todo el tráfico entre el usuario y nuestros servidores se transmite mediante TLS 1.3 (HTTPS). Las conexiones a la base de datos interna también están cifradas.
• Cifrado de contraseñas: las contraseñas de acceso se almacenan mediante algoritmos de hash seguros (bcrypt) gestionados por el proveedor de autenticación. Nosotros nunca almacenamos contraseñas en texto plano.
• Control de acceso basado en roles (RBAC): cada usuario solo puede acceder a sus propias recetas y datos de perfil. La base de datos utiliza Row Level Security (RLS): las recetas están aisladas por usuario y solo el propietario puede consultarlas, modificarlas o eliminarlas.
• Autenticación segura: utilizamos tokens JWT de corta duración con renovación automática (refresh token rotation). La sesión se almacena de forma segura en el navegador.
• Logs de auditoría: registramos de forma automática cada generación de ficha (usuario, timestamp, tokens consumidos) para control de créditos y prevención de fraude. Estos logs solo son accesibles por el responsable de seguridad.
• Copias de seguridad: la base de datos cuenta con backups automáticos diarios con retención de 7 días, gestionados por el proveedor cloud.
• Accesos controlados: el acceso administrativo a la infraestructura está restringido al responsable de seguridad. No se comparten credenciales.
• Proveedores con garantías: los encargados del tratamiento (infraestructura cloud, procesamiento de IA) han suscrito acuerdo de tratamiento conforme al artículo 28 RGPD y, cuando operan fuera del EEE, se aplican Cláusulas Contractuales Tipo de la Comisión Europea.
• Actualizaciones de seguridad: el proveedor de infraestructura aplica parches de seguridad de forma automática y monitoriza vulnerabilidades conocidas.

8. Menores

El Servicio no está dirigido a menores de 14 años. No recogemos conscientemente datos de menores.

9. Cambios en esta política

Podemos actualizar esta política. Cuando introduzcamos cambios sustanciales te lo notificaremos mediante un aviso destacado en la parte superior de la aplicación (/app) que deberás reconocer expresamente ("Entendido") antes de continuar usando el Servicio. El aviso incluye enlaces directos a la nueva versión de los Términos y de esta Política de Privacidad, así como la fecha de la actualización. Guardamos un registro local (localStorage del navegador) de la versión reconocida y la fecha, como prueba conforme al art. 13.3 del RGPD. En cambios que afecten a datos de facturación o base jurídica del tratamiento, además te enviaremos un email a la dirección asociada a tu cuenta.

10. Inventario de actividades de tratamiento

De conformidad con el artículo 30 del RGPD, mantenemos un registro de las actividades de tratamiento que incluye:

• Responsable del tratamiento: FAST RACE INVESTMENT, SL
• Finalidades: (1) prestación del servicio SaaS de generación de fichas técnicas; (2) facturación y obligaciones fiscales; (3) soporte al usuario; (4) mejora del servicio y seguridad.
• Categorías de interesados: usuarios registrados (chefs, cocineros, restauradores).
• Categorías de datos: identificativos (email, nombre), contenido (recetas, fichas generadas), financieros (datos de facturación gestionados por el pasedor de pago), técnicos (IP, navegador).
• Categorías de destinatarios: encargados del tratamiento (proveedor cloud, procesador de pagos, proveedor de IA).
• Transferencias internacionales: solo si el proveedor de IA o cloud opera fuera del EEE; en tal caso se aplican Cláusulas Contractuales Tipo.
• Plazos de conservación: datos de cuenta mientras se mantenga la relación; datos fiscales 6 años; logs de auditoría 1 año (purga automática semanal).
• Medidas de seguridad: cifrado en tránsito y en reposo, control de acceso basado en roles, autenticación segura, backups, logs de auditoría.

11. Responsable de seguridad

El responsable de seguridad de la información y protección de datos es:

• Nombre: Nerea Ruano
• Email: info@reciperewriterpro.com
• Dirección postal: Paseo del Hontanar 1 - 79, 28223 Pozuelo de Alarcón (Madrid), España

Si eres autónomo y actúas como responsable del tratamiento, puedes designarte a ti mismo como responsable de seguridad. Si el tratamiento es de gran volumen o sensible, se recomienda designar un Delegado de Protección de Datos (DPO), aunque no es obligatorio para la mayoría de pymes según la AEPD.

12. Notificación a la AEPD

Actualmente no realizamos tratamiento masivo de datos personales de especial sensibilidad (salud, ideología, etc.) ni vigilancia sistemática de áreas públicas. El tratamiento se limita a datos identificativos y contenido profesional de usuarios que contratan un servicio SaaS.

Si en el futuro se amplía el alcance del tratamiento (por ejemplo, procesamiento de datos de salud relacionados con alérgenos de forma masiva y automatizada), se evaluará la necesidad de notificar el registro de actividades a la Agencia Española de Protección de Datos (AEPD). En cualquier caso, puedes consultar las guías de la AEPD en www.aepd.es o contactarnos para mayor información.

13. Uso de inteligencia artificial

RecipeRewriter Pro utiliza modelos de lenguaje (LLM) y de visión (OCR) para transformar el contenido que introduces en fichas técnicas estructuradas. Como responsable del tratamiento, queremos ser totalmente transparentes sobre cómo se usa la IA:

• Qué contenido se envía a la IA: el texto, imágenes o documentos (PDF, Word) de la receta que introduces, además de los parámetros de configuración (idioma de salida, tipo de ficha, número de comensales, etc.). No se envía tu email, contraseña ni datos de facturación.
• Proveedores utilizados: accedemos a los modelos a través de Lovable AI Gateway, que enruta las peticiones a proveedores como Google (Gemini), OpenAI (GPT) y Anthropic (Claude), en función del tipo de tarea (redacción, visión, traducción). El listado de proveedores puede actualizarse; los cambios sustanciales se reflejarán en esta política.
• Entrenamiento de modelos: nuestros contratos con los proveedores prohíben expresamente el uso de tu contenido para entrenar sus modelos (opt-out contractual estándar para uso vía API/gateway). Tu receta no pasa a formar parte del corpus de entrenamiento.
• Retención en el proveedor: los proveedores conservan las peticiones durante un plazo corto (generalmente 30 días o menos) exclusivamente con fines de detección de abuso y luego las eliminan. RecipeRewriter Pro no accede a esos logs.
• Ubicación del procesamiento: los proveedores de IA pueden procesar los datos en centros ubicados fuera del EEE (principalmente EE. UU.). En esos casos se aplican garantías adecuadas: Cláusulas Contractuales Tipo de la Comisión Europea y, cuando procede, el marco EU–US Data Privacy Framework.
• Sin decisiones automatizadas con efecto jurídico: la IA genera una ficha técnica de apoyo profesional; no toma decisiones que produzcan efectos jurídicos ni te afecten significativamente en el sentido del artículo 22 del RGPD. El chef o responsable de cocina revisa, edita y firma la ficha final. Por tanto no existe elaboración de perfiles automatizada.
• Limitaciones: el contenido generado por IA puede contener imprecisiones (mermas orientativas, alérgenos inferidos, etiquetas nutricionales aproximadas). La responsabilidad de validar el resultado y su cumplimiento normativo (APPCC, R.E. 1169/2011 de alérgenos, etc.) corresponde siempre al usuario.

14. Sub-encargados del tratamiento

A continuación se detalla el listado actualizado de sub-encargados del tratamiento y la finalidad concreta para la que se comparten datos. Todos ellos han suscrito acuerdo de tratamiento conforme al artículo 28 del RGPD:

• Lovable / Supabase (Unión Europea) — infraestructura cloud, base de datos, autenticación y almacenamiento de recetas.
• Cloudflare (UE / EE. UU. con SCC + DPF) — red de distribución, CDN y protección frente a ataques.
• Stripe Payments Europe, Ltd. (Irlanda, UE) — procesamiento de pagos y emisión de facturas.
• Google LLC — Gemini (EE. UU., SCC + DPF) — generación y transcripción de fichas mediante IA.
• OpenAI, LLC — GPT (EE. UU., SCC + DPF) — generación de fichas mediante IA (uso vía API, opt-out de entrenamiento).
• Anthropic PBC — Claude (EE. UU., SCC + DPF) — generación de fichas mediante IA (uso vía API, opt-out de entrenamiento).
• Mailgun / Sinch Email (UE) — envío de correo transaccional desde notify.reciperewriterpro.com.

Actualizamos este listado cuando se incorpora o retira un proveedor. Si te opones a algún sub-encargado concreto, puedes escribirnos a info@reciperewriterpro.com; en tal caso valoraremos si el Servicio puede seguir prestándose sin ese proveedor.

15. Cookies y almacenamiento local

El detalle completo del uso de cookies y de localStorage se describe en nuestra Política de Cookies. En resumen, utilizamos únicamente:

• Cookies y tokens estrictamente necesarios para autenticación y funcionamiento de la sesión.
• localStorage para recordar el idioma seleccionado, la aceptación de cookies y de la política vigente.

No usamos cookies publicitarias, de tracking cross-site ni servicios de analítica de terceros que perfilen a usuarios individuales.