Política de privacidad

Responsable del tratamiento

El responsable del tratamiento de la app GroceryLens y del sitio web grocerylens.app es:

[CONTROLLER_NAME]
[CONTROLLER_ADDRESS]

Correo electrónico: support@grocerylens.app

Escribe a esta dirección si tienes una pregunta o una solicitud sobre tus datos.

En resumen

• Tratamos tus datos para que GroceryLens funcione: tu cuenta, tus recibos y tu resumen de gastos.
• Un modelo de IA de Google, Gemini, lee tus recibos a través de nuestro propio servidor. Google no usa tus recibos para mejorar sus productos.
• La app no muestra publicidad y no te rastreamos entre apps o sitios web. No vendemos tus datos.
• La app solo envía informes de fallos si los activas.
• Puedes eliminar en cualquier momento recibos concretos o tu cuenta entera en la app.

La app

Tu cuenta

Para usar GroceryLens necesitas una cuenta. Inicias sesión con tu dirección de correo electrónico, mediante un código o un enlace que te enviamos, o con «Iniciar sesión con Apple».

• Tratamos tu dirección de correo electrónico y un ID de cuenta aleatorio que asigna tus datos a tu cuenta.
• Si usas «Iniciar sesión con Apple», Apple confirma quién eres y nos envía un ID de usuario de Apple y la dirección de correo electrónico que decidas compartir. Con «Ocultar mi correo electrónico», se trata de una dirección de reenvío de Apple. Tu nombre no se envía a nuestros servidores.
• Cuando inicias sesión, Supabase guarda datos técnicos como tu dirección IP, la hora y el agente de usuario de tu dispositivo, para proteger tu cuenta.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD, porque necesitamos la cuenta para ofrecerte la app.

Recibos y gastos

Tu cuenta contiene:

• tu perfil: presupuesto mensual, moneda y país
• de cada recibo: el nombre de la tienda, el país del recibo, la fecha y la hora, los totales, los impuestos, los descuentos y los reembolsos
• de cada artículo: nombre, marca, categoría, cantidad, unidad y precios
• la imagen o el PDF de cada recibo. La app reduce el tamaño de las imágenes en tu dispositivo antes de subirlas.
• tu uso: de cada escaneo y cada respuesta de Grocery AI, el tipo de solicitud, el número de tokens de IA y la hora
• el estado de tu suscripción, consulta «Suscripción» más abajo

Supabase almacena estos datos en Fráncfort del Meno. PowerSync mantiene la copia de tu dispositivo sincronizada con tu cuenta.

• Base jurídica: artículo 6, apartado 1, letra b), del RGPD.

Lectura de recibos con IA

Cuando escaneas o importas un recibo, la app envía la imagen o el PDF a nuestro servidor. También envía la zona horaria de tu dispositivo, para que la hora de la compra se guarde correctamente. Nuestro servidor transmite el recibo al modelo Gemini de Google, que devuelve la tienda, los artículos y los importes. Nuestro servidor no conserva ninguna copia del recibo. La app guarda el resultado en tu cuenta y sube allí la imagen.

• Usamos el servicio de pago de Gemini. Google no usa tus recibos ni los resultados para mejorar sus productos.
• Google conserva las solicitudes y las respuestas durante 55 días, solo para detectar y prevenir el abuso de su servicio.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD.

Grocery AI

Cuando haces una pregunta a Grocery AI, la app envía tu pregunta y los mensajes anteriores de la conversación a nuestro servidor, que los transmite a Gemini. Para responder, Gemini puede pedir a nuestro servidor análisis de tus propios recibos: tus gastos por categoría, las tiendas en las que un producto te resultó más barato, la evolución del precio de un producto y tu ahorro gracias a las ofertas. Nuestro servidor calcula estos análisis a partir de tus datos y solo envía a Gemini el resultado.

La app mantiene la conversación solo en memoria y no la guarda. Nuestro servidor tampoco la guarda.

• Se aplican las mismas condiciones de Google que en la lectura de recibos.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD.

Suscripción

Compras GroceryLens Plus en el App Store de Apple. Apple gestiona la compra, la prueba gratuita y el pago como responsable del tratamiento independiente, conforme a la Política de privacidad de Apple. Para los clientes de la UE, se trata de Apple Distribution International Ltd., Irlanda. No recibimos datos de pago.

• Nuestro servidor genera un token aleatorio para tu cuenta, que la app entrega a Apple al hacer la compra.
• Apple y, después de una compra, la app envían a nuestro servidor información de compra firmada. Guardamos tu plan, el inicio y el final del periodo en curso y el token, para que la app pueda desbloquear GroceryLens Plus para tu cuenta.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD.

Protección frente al abuso

Cada solicitud de la app a nuestro servidor lleva una verificación de Firebase App Check. Con el servicio App Attest de Apple, App Check confirma que la solicitud procede de una copia auténtica de GroceryLens en un dispositivo Apple real. La verificación usa una clave por cada instalación de la app, que no está vinculada a tu cuenta. Según Google, App Check no guarda los datos de la verificación.

• Base jurídica: artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo es proteger nuestro servidor y los escaneos con IA frente al abuso y el uso automatizado.

Informes de fallos, solo con tu consentimiento

Los informes de fallos están desactivados hasta que activas Enviar informes de fallos, durante la configuración o más tarde en los ajustes de la app, en Privacidad. A partir de entonces, Firebase Crashlytics recibe un informe cuando la app falla o registra un error. Un informe contiene el desarrollo del fallo, el modelo de tu dispositivo, la versión de iOS y la versión de la app, breves mensajes de registro técnicos de la app y tu ID de cuenta.

Los informes de fallos están seudonimizados y vinculados a tu ID de cuenta, para que podamos ayudarte cuando te pongas en contacto con soporte.

• Cuando desactivas los informes de fallos, la app elimina tu ID de cuenta de Crashlytics y borra los informes que aún no ha enviado.
• Google conserva los informes de fallos durante 90 días.
• Base jurídica: artículo 6, apartado 1, letra a), del RGPD, tu consentimiento. Puedes retirarlo en cualquier momento desactivando el interruptor. La retirada no afecta a la licitud del tratamiento realizado hasta ese momento.

Datos que se quedan en tu dispositivo

• La cámara, el selector de fotos y la importación de archivos solo dan a la app los recibos que eliges.
• La app guarda tus datos y los archivos de los recibos en una base de datos local, tus ajustes, como tu elección sobre los informes de fallos, en sus ajustes locales y tu inicio de sesión en el llavero de iOS.
• Cuando cierras sesión, la app vacía la base de datos local y finaliza la sesión.
• La app no contiene publicidad ni analítica, no usa ningún identificador publicitario y no te rastrea.

Registros del servidor

Nuestro servidor funciona en Google Cloud Run en Fráncfort del Meno y escribe registros en Google Cloud Logging. De cada solicitud, Google Cloud guarda datos técnicos como tu dirección IP, la hora, la dirección solicitada y el agente de usuario de la app. Nuestro servidor completa las entradas con tu ID de cuenta y datos como el país de un recibo, tu plan y, en algunos casos, la zona horaria de tu dispositivo o el nombre de una tienda. Usamos estos registros para hacer funcionar el servicio y para encontrar y corregir errores.

• Eliminamos los registros a los 30 días.
• Supabase guarda además registros técnicos de las solicitudes, como la dirección IP y la hora, durante 7 días.
• Base jurídica: artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo es un funcionamiento fiable y seguro.

El sitio web

Entrega del sitio web

Cloudflare entrega grocerylens.app. Cuando abres una página, tu navegador envía a Cloudflare tu dirección IP y datos técnicos como la página solicitada, la hora y el agente de usuario de tu navegador. Cloudflare necesita estos datos para entregar la página y protegerla de ataques. El sitio web no instala cookies ni guarda nada en tu navegador.

• Base jurídica: artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo es la entrega segura del sitio web.

Web Analytics

Contamos las visitas a las páginas con Cloudflare Web Analytics. Un pequeño script mide la rapidez con que carga la página y registra la página de la que vienes. Según Cloudflare, el script no guarda nada en tu navegador ni lee cookies, y Cloudflare descarta tu dirección IP en el centro de datos más cercano. Solo vemos totales, por ejemplo el número de visitas por página.

• Base jurídica: artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo es saber qué páginas se leen y con qué rapidez cargan.

Lista de espera

Cuando te apuntas a la lista de espera, el formulario envía tus datos directamente a nuestro proveedor de correo electrónico Brevo:

• tu dirección de correo electrónico
• el idioma del formulario, la versión del texto de consentimiento y el lugar de la página en el que te apuntaste
• el momento en que te apuntaste y el momento en que confirmaste

Cuando envías el formulario, Brevo recibe además tu dirección IP y el agente de usuario de tu navegador, aunque nunca confirmes.

Brevo te envía después un correo electrónico con un enlace de confirmación válido durante 72 horas. Hasta que hagas clic en él, no te enviamos nada más. Si no confirmas, eliminamos la inscripción a los 14 días.

Tras tu confirmación, te escribimos cuando GroceryLens esté disponible y, después, de vez en cuando con novedades sobre la app, como máximo una vez al mes. Nuestros correos electrónicos no registran si los abres o si haces clic en un enlace.

Puedes retirar tu consentimiento en cualquier momento, con el enlace para darte de baja que hay en cada correo electrónico o con un mensaje a support@grocerylens.app. Brevo incluye entonces tu dirección en una lista de bloqueo, para que no recibas más correos electrónicos. Conservamos los datos sobre tu consentimiento durante tres años después de la retirada, para poder demostrarlo. Con el mismo fin, conservamos una exportación mensual de la lista con estos datos.

• Base jurídica para los correos electrónicos: artículo 6, apartado 1, letra a), del RGPD, tu consentimiento.
• Base jurídica para la prueba: artículo 6, apartado 1, letra c), del RGPD en relación con el artículo 7, apartado 1, del RGPD, así como artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo es poder demostrar tu consentimiento.

Correos electrónicos a soporte

Cuando escribes a support@grocerylens.app, tratamos tu dirección de correo electrónico, tu mensaje y tus archivos adjuntos. En la app, Enviar comentarios abre tu app de correo con un correo electrónico ya preparado. Termina con la versión de tu app, la compilación, la versión de iOS y el modelo del dispositivo. Ves estas líneas y puedes cambiarlas o borrarlas antes de enviarlo. La app por sí misma no envía nada.

• El buzón funciona con iCloud Mail de Apple, consulta «Proveedores de servicios» más abajo.
• Eliminamos los correos electrónicos a soporte 12 meses después de que se cierre tu consulta.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD.

Proveedores de servicios

Estas empresas tratan datos por cuenta nuestra. Cuando un proveedor trata datos fuera de la UE o puede acceder a ellos desde allí, la garantía indicada protege la transferencia.

Supabase

• Empresa: Supabase Pte. Ltd., Singapur
• Finalidad: cuenta, correos electrónicos de inicio de sesión, base de datos y almacenamiento de archivos
• Ubicación: centro de datos en Fráncfort del Meno
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD, para los registros artículo 6, apartado 1, letra f), del RGPD
• Garantía: Supabase puede acceder a los datos desde fuera de la UE. El contrato de encargo del tratamiento de Supabase incluye las cláusulas contractuales tipo de la Comisión Europea.

PowerSync

• Empresa: Journey Mobile, Inc., EE. UU.
• Finalidad: mantiene los datos de la app sincronizados con tu cuenta
• Ubicación: centro de datos en Irlanda
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD
• Garantía: cláusulas contractuales tipo de la Comisión Europea

Google Cloud

• Empresa: Google Cloud EMEA Limited, Irlanda
• Finalidad: hace funcionar nuestro servidor (Cloud Run), almacena sus registros (Cloud Logging), proporciona Gemini y Firebase App Check
• Ubicación: nuestro servidor funciona en Fráncfort del Meno. Google almacena los registros en su ubicación global, que puede estar fuera de la UE. Gemini y App Check pueden tratar datos en cualquier país en el que Google tenga instalaciones, también en EE. UU.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD para el servidor y Gemini, artículo 6, apartado 1, letra f), del RGPD para los registros y App Check
• Garantía: EU-US Data Privacy Framework para las transferencias a Google LLC en EE. UU., cláusulas contractuales tipo de la Comisión Europea para otros países

Firebase Crashlytics

• Empresa: Google Ireland Limited, Irlanda
• Finalidad: informes de fallos, solo con tu consentimiento
• Ubicación: centros de datos de Google en todo el mundo, también en EE. UU.
• Base jurídica: artículo 6, apartado 1, letra a), del RGPD
• Garantía: EU-US Data Privacy Framework para las transferencias a Google LLC en EE. UU., cláusulas contractuales tipo de la Comisión Europea para otros países

Cloudflare

• Empresa: Cloudflare, Inc., EE. UU.
• Finalidad: entrega el sitio web y proporciona Web Analytics
• Ubicación: red mundial de Cloudflare, también en EE. UU.
• Base jurídica: artículo 6, apartado 1, letra f), del RGPD
• Garantía: EU-US Data Privacy Framework para las transferencias a Cloudflare, Inc. en EE. UU., cláusulas contractuales tipo de la Comisión Europea para otros países y para EE. UU. si el Framework deja de aplicarse

Brevo

• Empresa: Brevo GmbH, Berlín
• Finalidad: la lista de espera y sus correos electrónicos
• Ubicación: servidores en la UE. El servicio de formularios de Brevo funciona detrás de Cloudflare, y Brevo recurre a otros proveedores fuera de la UE, entre ellos Brevo Inc. en EE. UU. y Brevo CRM Solutions en la India.
• Base jurídica: artículo 6, apartado 1, letra a), del RGPD, para la prueba del consentimiento artículo 6, apartado 1, letras c) y f), del RGPD
• Garantía: EU-US Data Privacy Framework y cláusulas contractuales tipo de la Comisión Europea para EE. UU., cláusulas contractuales tipo de la Comisión Europea para la India

Apple iCloud Mail

• Empresa: Apple Distribution International Ltd., Irlanda
• Finalidad: nuestro buzón de soporte support@grocerylens.app
• Ubicación: servidores de Apple, que también pueden estar en EE. UU.
• Base jurídica: artículo 6, apartado 1, letra b), del RGPD
• Garantía: según la Política de privacidad de Apple, cláusulas contractuales tipo de la Comisión Europea

Cuánto tiempo conservamos los datos

• Tu cuenta, tus recibos y tu uso: hasta que los elimines o elimines tu cuenta. Tras la eliminación, permanecen hasta 7 días más en las copias de seguridad diarias de la base de datos. Las imágenes y los PDF de los recibos no forman parte de estas copias de seguridad.
• Archivos de recibos que ya no pertenecen a ningún recibo: se eliminan automáticamente a los 7 días.
• Registros del servidor: 30 días. Registros en Supabase: 7 días.
• Solicitudes y respuestas a Gemini en Google: 55 días.
• Informes de fallos en Google: 90 días.
• Correos electrónicos a soporte: 12 meses después de que se cierre tu consulta.
• Lista de espera: el enlace de confirmación es válido durante 72 horas, y una inscripción sin confirmar se elimina a los 14 días. Una inscripción confirmada se mantiene hasta que te des de baja, y la prueba de tu consentimiento, durante los tres años siguientes.

Eliminar datos

• Para eliminar un recibo concreto, desliza el recibo hacia la izquierda en la lista de recibos y toca Eliminar. Así se eliminan el recibo, sus artículos y su imagen, con o sin suscripción.
• Para eliminar tu cuenta, abre los ajustes de la app y, en Eliminación de la cuenta, toca Eliminar cuenta. Así se eliminan los archivos de tus recibos, tu cuenta y todos los datos vinculados a ella.
• También puedes pedirnos que eliminemos tus datos con un mensaje a support@grocerylens.app.

Eliminar tu cuenta no pone fin a tu suscripción. Cancélala en tu cuenta de Apple, como se describe en la página de soporte.

Tus derechos

Tienes derecho:

• de acceso a tus datos (artículo 15 del RGPD)
• de rectificación de los datos inexactos (artículo 16 del RGPD)
• de supresión de tus datos (artículo 17 del RGPD)
• a la limitación del tratamiento (artículo 18 del RGPD)
• a recibir tus datos en un formato de lectura mecánica (artículo 20 del RGPD)
• a oponerte, por motivos relacionados con tu situación particular, a un tratamiento basado en nuestro interés legítimo (artículo 21 del RGPD)
• a retirar un consentimiento en cualquier momento con efecto para el futuro (artículo 7, apartado 3, del RGPD)

Para ejercer estos derechos, escribe a support@grocerylens.app.

Además, tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos, en particular en el Estado miembro de la UE en el que vivas, trabajes o en el que se haya producido la supuesta infracción (artículo 77 del RGPD).

Sin decisiones automatizadas

No tomamos decisiones sobre ti basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar (artículo 22 del RGPD). La lectura de recibos con IA no es una decisión de ese tipo.

¿Tienes que facilitar datos?

Para una cuenta necesitas una dirección de correo electrónico o una cuenta de Apple. Sin cuenta no puedes usar la app. Los informes de fallos y la lista de espera son voluntarios.

Cambios en esta política

Adaptamos esta política cuando cambian la app, el sitio web o nuestros proveedores.