Política de privacidad

Esta política de privacidad explica qué información personal recopila ShiftPanda, por qué la recopilamos, con quién la compartimos y qué puedes pedirnos al respecto. Se aplica a la aplicación web de ShiftPanda y al sitio web comercial.

Debe leerse junto con nuestros Términos y condiciones.

Hay dos relaciones distintas, y determinan qué derechos puedes ejercer y ante quién.

Si nos pides algo que solo conservamos como encargado del tratamiento, te remitiremos al administrador de tu organización en lugar de actuar por nuestra cuenta sobre sus datos.

Recopilamos esta información directamente de ti cuando te registras, cuando tu organización te invita y a medida que usas el servicio. No compramos datos personales a terceros ni creamos perfiles a partir de fuentes externas.

• No vendemos, alquilamos ni intercambiamos información personal.
• No usamos el contenido de tus entregas de turno para entrenar modelos de aprendizaje automático.
• No almacenamos números completos de tarjetas de pago: Stripe los gestiona directamente.
• No registramos contraseñas, tokens de sesión, tokens de invitación, secretos de pago ni URL privadas de archivos adjuntos.

• Para prestar el servicio — autenticarte, mostrarte las entregas de turno de tu organización y atribuir cada registro a su autor.
• Para enviar los correos necesarios — invitaciones, restablecimientos de contraseña y los resúmenes diarios que tu organización haya activado.
• Para facturar correctamente — gestionar las pruebas gratuitas, las suscripciones y la capacidad de licencias.
• Para mantener la seguridad del servicio — detectar abusos, limitar la frecuencia de los intentos de autenticación e investigar incidentes.
• Para ofrecer soporte — responder a las preguntas que nos envíes.
• Para entender el uso del sitio web — medir las visitas al sitio público y las conversiones desde el registro hasta la suscripción, sin rastrear el trabajo de las entregas de turno.
• Para cumplir obligaciones legales — conservar los registros fiscales y contables y responder a solicitudes legítimas de las autoridades.

Cuando se aplica el RGPD u otra ley similar, nuestras bases jurídicas son la ejecución de un contrato (prestar el servicio y facturarte), el interés legítimo (seguridad, prevención de abusos, soporte y medición del uso del sitio público y de las conversiones desde el registro hasta la suscripción) y el cumplimiento de obligaciones legales (registros fiscales y contables). Puedes oponerte al tratamiento basado en el interés legítimo poniéndote en contacto con nosotros.

ShiftPanda usa dos cookies estrictamente necesarias para el inicio de sesión y la seguridad. Google Analytics también puede usar identificadores del navegador y tecnologías similares para medir las visitas al sitio público y los eventos de conversión. No mostramos un banner de cookies; la analítica solo se carga en producción y solo se envían los eventos descritos en esta política.

Solo compartimos información personal con los proveedores necesarios para prestar el servicio y, cuando está activada, para medir el uso del sitio público. Sus funciones y el uso que hacen de los datos se describen a continuación y en las condiciones aplicables a cada servicio.

El formulario de contacto está protegido por Cloudflare Turnstile, que funciona de forma invisible en tu navegador para distinguir a las personas del tráfico automatizado. Su uso se rige por el Anexo de privacidad de Cloudflare Turnstile.

También podemos revelar información cuando la ley lo exija, o en el marco de una fusión o una venta de activos; en ese caso, te lo notificaremos antes de que tus datos queden sujetos a otra política de privacidad.

Al registrarse, el administrador elige el alojamiento en la UE o en EE. UU. Las cuentas y los datos de las organizaciones de la UE usan servidores de aplicaciones en Alemania y bases de datos en Fráncfort; los de EE. UU. usan servidores de aplicaciones y bases de datos en Virginia. Los archivos adjuntos privados, las fotos de perfil, los informes exportados y los volcados independientes de la base de datos usan buckets de Cloudflare R2 en la jurisdicción correspondiente de la UE o de EE. UU.

Las cuentas y las sesiones son independientes en cada región. Una misma dirección de correo puede tener una cuenta independiente en ambas regiones. La región de alojamiento no se puede cambiar después del registro.

La elección de la región no limita a esa región todo el tratamiento que hacen los proveedores: la distribución global por la red, el correo, los pagos, la supervisión y el soporte de los proveedores pueden implicar a otros países.

Nuestros proveedores pueden tratar datos fuera de tu país. Cuando es obligatorio, las transferencias se amparan en cláusulas contractuales tipo o en una garantía equivalente.

• El contenido de las entregas de turno se conserva mientras tu organización mantenga su cuenta: el registro es la razón de ser del producto.
• Los registros de la cuenta se eliminan en un plazo de 30 días después de que se elimine una organización.
• Los registros del servidor y de seguridad se conservan hasta 90 días.
• Los registros de facturación y fiscales se conservan durante el tiempo que exija la normativa contable, normalmente 7 años.
• Tras una eliminación, las copias de seguridad expiran según su rotación normal, en lugar de editarse una por una.

• Las contraseñas se cifran con hash y nunca se almacenan ni se transmiten en un formato legible.
• Las sesiones usan cookies Secure y HttpOnly con protección CSRF y reglas estrictas entre orígenes.
• Cada consulta sobre datos de una organización se limita a tu pertenencia autenticada, así que una organización no puede leer los datos de otra.
• Los permisos se aplican en el servidor; no solo se ocultan en la interfaz.
• Los enlaces de invitación son tokens opacos de un solo uso; solo almacenamos su hash.
• Cada descarga de archivos adjuntos se autoriza por separado, y los buckets de almacenamiento privado nunca son accesibles públicamente.

Según dónde vivas, puedes tener derecho a acceder a tus datos personales, rectificarlos, suprimirlos, portarlos, limitar su tratamiento u oponerte a él, así como a presentar una reclamación ante tu autoridad de protección de datos.

Para ejercer un derecho, escribe a privacy@getshiftpanda.com. Respondemos en un plazo de 30 días, sin coste y sin que pedirlo cambie en nada el trato que recibes.

ShiftPanda es una herramienta de trabajo y no está dirigida a menores. No recopilamos a sabiendas información personal de menores de 16 años. Si crees que un menor nos facilitó información, escribe a privacy@getshiftpanda.com y la eliminaremos.

Si una violación de datos afecta a tu información personal y es probable que suponga un riesgo para ti, lo notificaremos a los administradores de las organizaciones afectadas y, cuando la ley lo exija, a la autoridad de control competente, sin dilación indebida y, cuando se aplique el RGPD, en un plazo de 72 horas desde que tengamos conocimiento de ella. La notificación describirá lo ocurrido, los datos afectados y las medidas que estamos tomando.

Actualizaremos esta política a medida que cambie el producto. Los cambios importantes se anuncian por correo a los administradores de las organizaciones o en la aplicación al menos 14 días antes de que entren en vigor. La fecha de “última actualización” que aparece al principio de esta página siempre corresponde a la versión vigente.

Para preguntas sobre privacidad o para ejercer un derecho, escribe a privacy@getshiftpanda.com. Para cualquier otra cosa, usa team@getshiftpanda.com.