Política de privacidad

1. Responsable y contacto

Codepun GmbH
c/o factory300 GmbH
Peter-Behrens-Platz 10
4020 Linz, Österreich
FN 687503 i, Landesgericht Linz
Correo electrónico: kontakt@wichtlify.com
Web: https://wichtlify.com

Para solicitudes de privacidad, escríbenos a la dirección indicada arriba. Esta política se aplica a wichtlify.com, a la aplicación web y a las apps de iOS y Android cuando utilizan servicios backend de Wichtlify.

2. Resumen

Wichtlify trata datos personales para que puedas crear grupos, invitar miembros, realizar sorteos, gestionar deseos, recibir notificaciones y usar funciones Pro.

Wichtlify no está pensado para tratar categorías especiales de datos personales del artículo 9 del RGPD. No introduzcas esos datos en nombres de grupo, campos de texto libre, descripciones de deseos, imágenes o mensajes.

3. Finalidades y bases jurídicas

Prestación de la plataforma: cuenta, inicio de sesión, administración de grupos, roles privados, sorteo, deseos, invitaciones, notificaciones y derechos Pro con base en el art. 6.1.b RGPD.
Consentimiento: cookies analíticas opcionales, permiso de push, determinadas opciones de correo electrónico, el recordatorio para la próxima temporada del amigo invisible y confirmaciones documentadas de privacidad con base en el art. 6.1.a RGPD.
Intereses legítimos: seguridad, prevención de abusos, análisis de errores, soporte, medición interna del producto y funcionamiento fiable del servicio con base en el art. 6.1.f RGPD.
País de tu cuenta: Cuando has iniciado sesión, deducimos de la dirección IP de tu solicitud el país desde el que usas Wichtlify y lo guardamos como código de país en tu cuenta. Lo utilizamos para mostrarte en la app avisos y acciones que se aplican a tu país, y para ver en qué países se usa Wichtlify. La base jurídica es nuestro interés legítimo en dirigirnos a ti de forma adecuada a tu país, incluida la publicidad directa dentro de la app, y en entender en qué países se usa Wichtlify (art. 6.1.f RGPD). Puedes oponerte en cualquier momento y sin dar motivos al uso de tu país, también en la medida en que sirva a la publicidad directa (apartado 12).
Disponibilidad en tu país: Cuando creas una cuenta, creas un grupo o un borrador de grupo o te apuntas al recordatorio para la próxima temporada del amigo invisible, comprobamos a partir de la dirección IP de tu solicitud si usas Wichtlify desde un país en el que lo ofrecemos (actualmente 44 países europeos, entre ellos todos los países de la UE). Si la solicitud llega desde otro país, la rechazamos. Al iniciar sesión con Apple o Google o con un código en el sitio web también determinamos el país, pero solo rechazamos la solicitud si se crearía una cuenta nueva. No comprobamos otros inicios de sesión ni el restablecimiento de tu contraseña: con una cuenta existente puedes iniciar sesión desde cualquier país. Si no se puede determinar el país, aceptamos la solicitud. Con conexiones VPN o proxy, la comprobación puede ser errónea. Para ello no guardamos la dirección IP. La comprobación no tiene fines publicitarios. Por eso también se realiza si te has opuesto al uso del país de tu cuenta (apartado 12). La base jurídica de la comprobación es nuestro interés legítimo en ofrecer Wichtlify solo donde estamos asegurados para ello (art. 6.1.f RGPD). Contamos las solicitudes rechazadas por país y día, sin relación con ninguna persona. Si tienes la sesión iniciada en tu cuenta cuando se rechaza una solicitud, anotamos en tu cuenta cuándo, desde qué país y en qué acción se rechazó y si procedía del sitio web o de la app, como máximo una vez por hora. En el apartado 8 se indica durante cuánto tiempo conservamos esta anotación. Así podemos responder a preguntas sobre un rechazo, detectar si la comprobación rechaza a alguien por error y demostrar que no hemos ofrecido Wichtlify fuera de los países en los que lo ofrecemos. La base jurídica de esta anotación es nuestro interés legítimo en estos fines (art. 6.1.f RGPD).
Obligaciones legales: conservación de información contable, fiscal, probatoria o de seguridad cuando sea necesaria con base en el art. 6.1.c RGPD.

4. Categorías de datos y funciones

Recibimos datos de ti, de administradores u organizadores del grupo, de miembros invitados, de tu dispositivo o navegador, de proveedores de app stores e inicio de sesión, y de sistemas técnicos cuando es necesario para la función correspondiente.

Cuenta y autenticación: nombre, correo electrónico, hash de contraseña, verificación de correo, idioma, ajustes de correo, tokens de inicio de sesión, tokens API de la app y, para el inicio con Google o Apple, ID del proveedor, correo verificado y nombre transmitido. Los ID tokens se usan para verificar el inicio de sesión y no se guardan como contenido del perfil.
País: el código de país deducido de la dirección IP (por ejemplo, AT) y el momento en que se determinó por última vez. La dirección IP no se guarda para ello. La asignación se realiza en nuestro servidor (alojamiento: véase el apartado 6) con la base de datos «IP to Country Lite» de DB-IP (IP Geolocation by DB-IP, licencia CC BY 4.0); no se transmite a DB-IP ningún dato sobre ti. Para tu cuenta determinamos el país como máximo una vez al día. La comprobación de disponibilidad (apartado 3) se realiza cada vez y no guarda para ello ninguna dirección IP; lo que anotamos cuando se rechaza una solicitud se indica en el apartado 3. Con conexiones VPN o proxy, el país puede diferir del lugar en el que te encuentras realmente.
Registro y grupos: nombre del grupo, fecha del evento, presupuesto y moneda, tipo de grupo, ajustes, nombre y correo del organizador, nombres de participantes, correos opcionales, exclusiones, estado del sorteo y registros de consentimiento con hora, IP y origen. Cuando abres tu página en un grupo, guardamos cuándo la abriste por primera y por última vez. La persona que organiza el grupo ve estos datos para saber quién ya participa.
Invitaciones y roles privados: enlaces privados, tokens de invitación, enlaces de reclamación, tokens de acceso, invitaciones retenidas, confirmaciones de correo y estados necesarios para asignar una persona a un grupo o rol privado.
Sorteo, deseos y contenido: asignaciones, textos de deseos, imágenes de deseos, preguntas y respuestas de pareja, vistas públicas del grupo, listas de deseos visibles y datos opcionales de marca del grupo, como colores o imágenes.
Resumen después de la fiesta: En los grupos Pro contamos, por cada miembro, cuántas veces ha creado o cambiado un deseo o ha hecho o respondido una pregunta anónima en una ronda. Solo se guarda ese número, sin fecha ni hora. En el resumen del grupo da lugar, como mucho, a la línea «Más activo» o «Menos activo»; el número en sí nunca se muestra. Se elimina junto con el grupo.
Notificaciones: notificaciones dentro de la app, registros de correo, recordatorios, comunicados, identificadores de dispositivo push, tokens push, plataforma, entorno, tokens de acceso y estado de entrega o lectura.
Recordatorio para la próxima temporada del amigo invisible: Si eliges «Recordármelo el año que viene» en tu página del amigo invisible, guardamos tu dirección de correo, tu idioma, cuándo diste tu consentimiento y cuándo lo confirmaste, y una clave para darte de baja. Para ello no guardamos ningún grupo, nombre, cuenta ni tu dirección IP; el grupo y sus organizadores no ven tu dirección. Primero recibes un correo con un enlace de confirmación y después un único correo cuando empiece la próxima temporada del amigo invisible (entre el 1 de octubre y el 31 de enero). Si esa temporada tu dirección ya recibe nuestra invitación para organizadores, no te enviamos ningún recordatorio adicional.
Pro y compras: ID de producto, plataforma, identificador de transacción o pedido, purchase token, estado, fechas de inicio, caducidad y cancelación, además de payloads de la tienda para verificar y sincronizar el acceso Pro. El pago lo gestiona directamente App Store o Google Play.
Soporte, seguridad y operación: dirección IP, user agent, marcas de tiempo, contadores de límites de uso, registros de errores, eventos del sistema, trazas de administración y datos técnicos de conexión.

5. Cookies, almacenamiento local, analítica y medición interna

Estrictamente necesario: las funciones de sesión, CSRF, idioma y seguridad son necesarias para el inicio de sesión, formularios, selección de idioma, enlaces privados y APIs de la app.
Páginas públicas: las páginas de landing, soporte, legales y sitemap se entregan en una solicitud nueva sin cookie de sesión, CSRF ni idioma. Los cambios de idioma usan rutas URL como /de o /en; las cookies estrictamente necesarias se crean solo cuando hacen falta para iniciar sesión, formularios, enlaces privados, preferencias de idioma o funciones de la app.
Almacenamiento local: la aplicación web guarda tu elección de cookies, por ejemplo consent.v2. Las apps nativas guardan información de autenticación y roles en el dispositivo cuando es necesaria para el uso.
Google Tag Manager y Google Analytics 4: la analítica solo se activa si das tu consentimiento. Sin consentimiento, no cargamos etiquetas de Google para analítica ni establecemos cookies analíticas. No usamos Google Signals, personalización de anuncios, remarketing ni enlace con Google Ads. Google Search Console puede utilizarse para evaluar la visibilidad en la Búsqueda de Google; no es una etiqueta de seguimiento en la web. Si retiras el consentimiento, las cookies analíticas existentes se eliminan del dispositivo cuando el navegador lo permite.
Eventos internos: determinados eventos de producto y seguridad, como clics en funciones admitidas, clics en notificaciones o eventos de estado de compra, se registran en el servidor de forma limitada. Esta medición ayuda a la estabilidad, la prevención de abusos y la mejora del producto.
Cambio y retirada: puedes cambiar tu elección de cookies en cualquier momento en el banner o diálogo. Si todavía no se ha guardado una decisión previa sobre cookies, las señales del navegador o del sistema operativo, incluida Global Privacy Control, se interpretan como rechazo de la analítica cuando pueden leerse técnicamente.

6. Destinatarios, encargados y servicios externos

Alojamiento y operación: la operación del servidor, base de datos, almacenamiento y envío de correo se realiza mediante easyname GmbH en Austria.
Correo electrónico: correos transaccionales, invitaciones, recordatorios, confirmaciones y comunicados se envían mediante easyname. Los proveedores de correo de los destinatarios tratan los mensajes de forma independiente.
Servicios de Google: Google Ireland Limited y empresas afiliadas de Google pueden intervenir para Google Tag Manager, Google Analytics, Google Sign-In, Firebase Cloud Messaging, Firebase Authentication en determinados flujos móviles de inicio de sesión, servicios Android y Google Play/Billing.
Servicios de Apple: empresas del grupo Apple pueden intervenir para Sign in with Apple, Apple Push Notification service, App Store, StoreKit y servicios de sistema de iOS.
Tiendas de apps: las compras y la gestión de suscripciones se realizan directamente a través de Apple App Store o Google Play. Wichtlify recibe solo los datos de compra y estado necesarios para comprobar derechos de acceso.
Enlaces externos: si abres enlaces a ideas de regalo, tiendas, app stores u otras páginas externas, el proveedor correspondiente trata tus datos bajo su propia responsabilidad.
Autoridades y defensa de derechos: los datos solo se comunican cuando la ley lo exige, cuando es necesario para hacer valer derechos o con tu consentimiento.

7. Transferencias fuera del EEE

Una parte del tratamiento se realiza dentro del EEE. No obstante, los servicios de Google, Apple u otros proveedores globales pueden transferir datos a Estados Unidos u otros terceros países.

Cuando es necesario, nos basamos en decisiones de adecuación, en particular el Marco de Privacidad de Datos UE-EE. UU. para destinatarios certificados, en cláusulas contractuales tipo del art. 46 RGPD o en otras garantías permitidas. No puede excluirse por completo un riesgo residual de acceso por autoridades de terceros países.

8. Conservación y eliminación

Cuentas: los datos de cuenta se conservan hasta que elimines tu cuenta o se realice una eliminación conforme a las reglas del producto, salvo obligaciones legales de conservación.
País: El código de país se sustituye cuando determinamos otro país y se elimina cuando no se ha vuelto a determinar durante 24 meses, cuando eliminas tu cuenta o sin demora después de que te hayas opuesto. Tras una oposición ya no guardamos ningún país para tu cuenta, solo el momento de tu oposición, para que se respete. Si eliminas tu cuenta, se borra allí; como prueba de que hemos respetado tu oposición, en el registro de operaciones solo queda constancia de que te opusiste y de cuándo lo hiciste. Estas reglas sobre el código de país no se aplican a la anotación de una solicitud rechazada (apartado 3): contiene el país del rechazo, se mantiene también tras una oposición, no se utiliza con fines publicitarios y se elimina como se indica en «Solicitudes rechazadas».
Solicitudes rechazadas: La anotación en tu cuenta se elimina cuando eliminas tu cuenta y, a más tardar, al cabo de dos años; después solo quedan totales diarios que no permiten identificar a ninguna persona. El recuento por país y día no permite identificar a ninguna persona.
Grupos y miembros: los datos de grupo, participantes, invitaciones, sorteo y deseos se conservan mientras el grupo se utiliza, hasta su eliminación o hasta que la conservación deje de ser necesaria.
Imágenes y marca: las imágenes de deseos y de marca se eliminan o sustituyen cuando se elimina la función, grupo o archivo correspondiente, salvo que una copia de seguridad o una obligación de conservación continúe brevemente.
Recordatorio para la próxima temporada del amigo invisible: Si no confirmas la inscripción en 7 días, borramos tu dirección. Después del correo de recordatorio la borramos de inmediato y, como muy tarde, 14 meses después de tu confirmación. Puedes retirar tu consentimiento en cualquier momento con el enlace del correo de confirmación; la dirección se borra entonces de inmediato, igual que si eliminas una cuenta de Wichtlify con esa dirección. Como con cualquier correo, el registro de correos conserva cuándo escribimos a esa dirección, también después de retirar el consentimiento; durante cuánto tiempo se indica en «Registros».
Tokens y códigos: magic codes, enlaces de confirmación, tokens de invitación, tokens API y asignaciones push se eliminan o desactivan tras caducar, retirarse, cerrar sesión, eliminar el dispositivo o una limpieza técnica.
Registros: los registros de servidor, error, límites de uso, correo y seguridad se conservan solo mientras sea necesario para operación, prueba, seguridad, prevención de abusos u obligaciones legales.
Suscripciones y compras: los datos de compra y derechos se conservan durante el periodo de derecho y después mientras lo requieran pruebas, soporte, contabilidad o reclamaciones legales.
Analítica: los datos analíticos se conservan en Google Analytics durante 14 meses y dependen de tu consentimiento. Puedes retirar el tratamiento futuro en los ajustes de cookies.

9. Datos necesarios y opcionales

Los datos necesarios para una cuenta, grupo, rol privado, invitaciones, sorteo, notificaciones o acceso Pro deben facilitarse si quieres usar esas funciones. Sin ellos, la función correspondiente no puede prestarse o solo puede prestarse de forma limitada.

Las opciones voluntarias, como determinados ajustes de correo, permiso de push, imágenes de deseos, marca, preguntas de pareja o consentimiento analítico, pueden rechazarse o cambiarse después sin perder por completo las funciones básicas.

10. Sorteo automatizado

El sorteo crea asignaciones de juego para el grupo. No es una decisión automatizada con efectos jurídicos o igualmente significativos conforme al art. 22 RGPD. Wichtlify no crea perfiles de personalidad ni realiza scoring. Para los avisos y acciones en la app solo utilizamos el país de tu cuenta (apartado 3); de ello no se derivan para ti efectos jurídicos ni igualmente significativos.

11. Seguridad

Wichtlify protege los datos mediante HTTPS, controles de acceso, accesos basados en roles y tokens, hashing de contraseñas, almacenamiento privado para subidas, límites de uso, registro de eventos relevantes para la seguridad y mantenimiento técnico periódico. Ningún sistema puede garantizar seguridad absoluta; limitamos los accesos a lo necesario.

Acceso por parte de nuestro equipo: El personal de soporte y administración puede consultar los datos de cuentas y grupos para atender solicitudes, moderar contenidos y detectar errores, incluidas las asignaciones del sorteo y los deseos. Para los participantes, el sorteo sigue siendo secreto. Cada vez que el equipo abre el sorteo de un grupo, queda registrado. El personal no ve credenciales como contraseñas, códigos o enlaces privados. La base jurídica es nuestro interés legítimo en un servicio seguro y funcional (art. 6, apdo. 1, letra f del RGPD).

12. Tus derechos

Según el RGPD, tienes derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición. Puedes retirar tu consentimiento en cualquier momento con efecto futuro.

Cuando el tratamiento se base en intereses legítimos, puedes oponerte por motivos relacionados con tu situación particular. Puedes oponerte a la publicidad directa en cualquier momento.

Oposición a la publicidad y al país de tu cuenta: Puedes oponerte en cualquier momento y sin dar motivos a que usemos tus datos para publicidad directa, incluido que determinemos para ello el país de tu cuenta. Escribe a kontakt@wichtlify.com. Después eliminamos el país guardado y dejamos de determinarlo para tu cuenta. Se exceptúa la comprobación de si usas Wichtlify desde un país en el que lo ofrecemos (apartado 3): no tiene fines publicitarios. También conservamos la anotación de una solicitud rechazada, que contiene su país; no la utilizamos con fines publicitarios.

Para ejercer tus derechos, escribe a kontakt@wichtlify.com. Podemos solicitar información adicional cuando sea necesaria para verificar tu identidad e identificar con seguridad los datos afectados.

13. Derecho a reclamar

Puedes presentar una reclamación ante una autoridad de control de protección de datos, en particular ante la autoridad austriaca de protección de datos:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Viena, Austria
Web: https://www.dsb.gv.at
Correo electrónico: dsb@dsb.gv.at

14. Cambios

Actualizamos esta política de privacidad cuando cambian las funciones, proveedores, la ley o las actividades de tratamiento. La versión vigente está disponible en esta página.