Política de privacidad

Esta Política de privacidad explica qué información personal recopila ShiftPanda, por qué la recopilamos, con quién la compartimos y qué puedes pedirnos al respecto. Se aplica a la aplicación web de ShiftPanda y al sitio de marketing.

Debe leerse junto con nuestros Términos y condiciones.

Se aplican dos relaciones distintas, y de ellas dependen los derechos que puedes ejercer y ante quién.

Si nos pides algo que solo conservamos como procesador de datos, te remitiremos al administrador de tu organización en lugar de actuar por cuenta propia sobre sus datos.

Recopilamos esta información directamente de ti cuando te registras, cuando tu organización te invita y mientras usas el servicio. No compramos datos personales a terceros ni creamos perfiles con fuentes externas.

• No vendemos, alquilamos ni intercambiamos información personal.
• No usamos el contenido de tus passdowns para entrenar modelos de aprendizaje automático.
• No operamos redes publicitarias, rastreadores de analítica ni píxeles de marketing de terceros.
• No guardamos números completos de tarjetas de pago; Stripe los maneja directamente.
• No registramos contraseñas, tokens de sesión, tokens de invitación, secretos de pago ni URL privadas de archivos adjuntos.

• Para operar el servicio — autenticarte, mostrar los passdowns de tu organización y atribuir cada entrada a su autor.
• Para enviar los correos necesarios — invitaciones, restablecimientos de contraseña y los resúmenes diarios que tu organización haya activado.
• Para facturar correctamente — administrar pruebas, suscripciones y capacidad de licencias.
• Para mantener el servicio seguro — detectar abusos, limitar la frecuencia de los intentos de autenticación e investigar incidentes.
• Para brindar soporte — responder las preguntas que nos envías.
• Para cumplir obligaciones legales — conservar registros fiscales y contables y responder a solicitudes legales.

Cuando se aplica el GDPR o una ley similar, nuestras bases legales son la ejecución de un contrato (operar el servicio y facturarte), los intereses legítimos (seguridad, prevención de abusos y soporte) y la obligación legal (registros fiscales y contables). No nos basamos en el consentimiento para ninguno de los tratamientos descritos aquí, por lo que no hay un consentimiento que puedas retirar.

ShiftPanda usa dos cookies, ambas estrictamente necesarias. Ninguna se usa para publicidad ni para rastrear entre sitios, por eso no mostramos un aviso de cookies.

Compartimos información personal solo con los proveedores necesarios para operar el servicio. Cada uno está obligado por contrato a procesar los datos únicamente según nuestras instrucciones.

También podemos divulgar información cuando la ley lo exija, o como parte de una fusión o venta de activos; en ese caso, te avisaremos antes de que tus datos queden sujetos a una política de privacidad distinta.

Los datos de la aplicación están en una base de datos PostgreSQL en un servidor privado. Los archivos adjuntos se guardan en un directorio privado que nunca se sirve directamente; la aplicación autoriza cada descarga antes. El tráfico pasa por Cloudflare y se cifra en tránsito.

Nuestros proveedores pueden procesar datos fuera de tu país. Cuando se requiere, las transferencias se basan en Cláusulas Contractuales Tipo o en una garantía equivalente.

• El contenido de los passdowns se conserva mientras tu organización mantenga su cuenta; el registro es justamente el objetivo del producto.
• Los registros de la cuenta se eliminan dentro de los 30 días posteriores a que se elimine una organización.
• Los registros del servidor y de seguridad se conservan hasta por 90 días.
• Los registros de facturación e impuestos se conservan el tiempo que exija la ley contable, normalmente 7 años.
• Después de una eliminación, las copias de seguridad caducan con su rotación normal, en lugar de editarse una por una.

• Las contraseñas se guardan con hash; nunca se almacenan ni se transmiten en forma legible.
• Las sesiones usan cookies Secure y HttpOnly con protección CSRF y reglas estrictas entre orígenes.
• Cada consulta de datos de una organización se limita a tu membresía autenticada, así que una organización no puede leer los datos de otra.
• Los permisos se aplican en el servidor, no solo se ocultan en la interfaz.
• Los enlaces de invitación son tokens opacos de un solo uso; solo guardamos su hash.
• Cada descarga de archivos adjuntos se autoriza por separado y el directorio de almacenamiento nunca es accesible públicamente.

Según dónde vivas, puedes tener derecho a acceder a tus datos personales, corregirlos, eliminarlos, portarlos, restringir su tratamiento u oponerte a él, y a presentar una queja ante tu autoridad de protección de datos.

Para ejercer un derecho, escribe a privacy@getshiftpanda.com. Respondemos en un plazo de 30 días y no te cobraremos ni te trataremos de forma distinta por preguntar.

ShiftPanda es una herramienta de trabajo y no está dirigida a menores de edad. No recopilamos a sabiendas información personal de nadie menor de 16 años. Si crees que un menor nos dio información, escribe a privacy@getshiftpanda.com y la eliminaremos.

Si una filtración de datos afecta tu información personal y es probable que te cause un riesgo, avisaremos a los administradores de las organizaciones afectadas y, cuando la ley lo exija, a la autoridad de supervisión correspondiente, sin demora injustificada y dentro de las 72 horas de enterarnos cuando se aplique el GDPR. El aviso describirá qué pasó, qué datos estuvieron involucrados y qué estamos haciendo al respecto.

Actualizaremos esta política a medida que cambie el producto. Los cambios importantes se anuncian por correo electrónico a los administradores de la organización o en la aplicación con al menos 14 días de anticipación. La fecha de “última actualización” al inicio de esta página siempre corresponde a la versión vigente.

Para preguntas de privacidad o para ejercer un derecho, escribe a privacy@getshiftpanda.com. Para cualquier otra cosa, usa support@getshiftpanda.com.