Política de Privacidad

FinCanvas está operado por Aidan Perston, que opera bajo el nombre comercial «The Marketing Technologists». Somos el responsable del tratamiento de los datos personales que usted nos facilita cuando se registra y utiliza el servicio.

En lo que respecta a los datos que su equipo introduce sobre sus propios clientes (p. ej., nombres de clientes, direcciones, líneas de un presupuesto), su organización es el responsable del tratamiento y nosotros somos el encargado del tratamiento: nosotros conservamos y tratamos esos datos por cuenta de usted para poder ofrecerle FinCanvas.

Recopilamos tres categorías de datos personales:

• Datos de la cuenta: su dirección de correo electrónico, su nombre, el nombre del espacio de trabajo que nos indica y (para el inicio de sesión con Google/Microsoft) una dirección de correo electrónico verificada de dichos proveedores. No almacenamos su contraseña: de ello se encarga Supabase Auth, que solo almacena un hash.
• Contenido del espacio de trabajo: proyectos, presupuestos, líneas de coste, registros de clientes, plantillas y plantillas de secciones que usted crea dentro de FinCanvas. Parte de esto son datos personales sobre sus clientes (sus nombres, direcciones, datos de contacto). Tratamos estos datos por cuenta de usted en calidad de encargado del tratamiento.
• Datos técnicos: dirección IP, tipo de navegador, páginas visitadas, informes de errores y eventos de seguridad (inicios de sesión, inicios de sesión fallidos, restablecimientos de contraseña). Se utilizan con fines de seguridad, depuración y para mantener el servicio en funcionamiento.

Utilizamos sus datos para prestar FinCanvas: autenticarle, mostrarle su espacio de trabajo, generar presupuestos y PDF, enviar correos electrónicos transaccionales (bienvenida, restablecimiento de contraseña, facturación) y mantener la seguridad del servicio.

También utilizamos datos de uso mínimos, agregados o anónimos, para mejorar el producto; por ejemplo, saber con qué frecuencia se utiliza una función nos ayuda a decidir en qué invertir a continuación. No vendemos sus datos ni mostramos publicidad de terceros en el servicio.

Bases jurídicas (artículo 6 del RGPD): nos basamos en el contrato (para prestar el servicio que usted ha contratado), el interés legítimo (supervisión de la seguridad, mejora del servicio) y la obligación legal (registros fiscales, prevención del fraude).

Recurrimos a un pequeño número de proveedores de infraestructura de confianza para ofrecer FinCanvas. Cada uno está vinculado por condiciones de tratamiento de datos y solo trata los datos conforme a nuestras instrucciones:

• Supabase: autenticación y alojamiento de la base de datos (eu-west-2, Londres, Reino Unido). Almacena su cuenta, los datos de su espacio de trabajo y las cookies de sesión.
• Cloudflare: alojamiento de la aplicación (Workers) y red perimetral. Ve direcciones IP y solicitudes HTTP.
• Stripe: facturación y pagos. Ve su nombre, correo electrónico, dirección de facturación y datos de la tarjeta (nosotros nunca vemos ni almacenamos el número de su tarjeta; de ello se encarga Stripe conforme a la norma PCI).
• Sentry: supervisión de errores (región de la UE). Recibe trazas de error, tipo de navegador y la ruta en la que se produjo el error. El filtro de «Información de Identificación Personal» de Sentry está activado, de modo que los correos electrónicos y otros identificadores se depuran en la medida de lo posible. Solo en app.fincanvas.co.uk (la aplicación con sesión iniciada y sus páginas de inicio de sesión y registro), Sentry también puede recibir una grabación de sesión enmascarada: una reconstrucción de la página en la que todo el texto y todos los campos de formulario están enmascarados y las imágenes y los contenidos multimedia están bloqueados. Se conserva para las sesiones en las que se produce un error y para una pequeña muestra aleatoria (5 %) del resto de sesiones, de modo que podamos ver qué provocó un fallo. La grabación de sesión no se ejecuta en nuestras páginas públicas de marketing.
• Resend: entrega de correo electrónico transaccional (utilizado para cualquier correo electrónico que FinCanvas le envíe que no proceda directamente de Supabase o Stripe). Recibe la dirección del destinatario y el contenido del correo electrónico.
• Google / Microsoft (inicio de sesión con OAuth): si usted decide iniciar sesión a través de Google o Microsoft, dichos proveedores reciben una solicitud de inicio de sesión de FinCanvas y nos devuelven su dirección de correo electrónico verificada y su perfil básico (nombre). No compartimos ningún otro dato del espacio de trabajo con Google ni con Microsoft.
• Google (medición): solo si usted lo acepta en el banner de cookies, Google recibe señales de uso y de conversión de anuncios de nuestras páginas públicas. No se carga nada de Google (Google Analytics, Google Tag Manager ni la etiqueta de Google Ads) hasta que usted pulsa «Aceptar medición»; si elige «Solo esenciales» o no elige nada, no se envía nada a Google. Véase la sección 9 para el detalle y los controles.

También podemos compartir datos cuando la ley lo exija (p. ej., en respuesta a una orden judicial o a la solicitud de un organismo regulador), o para proteger la seguridad del servicio y de nuestros usuarios.

La mayoría de nuestros encargados del tratamiento se encuentran en el Reino Unido o en la UE. Algunos (Stripe, Cloudflare, Sentry) operan a escala mundial, lo que puede implicar que los datos salgan del Reino Unido o del EEE. Cuando esto ocurre, nos basamos en el Acuerdo Internacional de Transferencia de Datos del Reino Unido, en las Cláusulas Contractuales Tipo de la UE, o en una decisión de adecuación, según lo que especifiquen las condiciones de tratamiento de datos del encargado del tratamiento.

Datos de la cuenta: mientras su espacio de trabajo esté activo, más 60 días tras la cancelación (acceso de solo lectura), más un periodo adicional para cumplir con la obligación legal de conservación de registros (normalmente 6 años a efectos fiscales o contractuales).

Contenido del espacio de trabajo: mientras su suscripción esté activa. Tras la cancelación, su espacio de trabajo pasa a ser de solo lectura durante 60 días y, a continuación, se archiva. Puede solicitar la supresión anticipada en cualquier momento: véase Sus derechos más abajo.

Eventos de seguridad (inicios de sesión, inicios de sesión fallidos, acciones de administración): se conservan durante al menos 12 meses para facilitar la investigación de incidentes.

En virtud del RGPD, usted dispone de los siguientes derechos, y puede ejercer cualquiera de ellos escribiendo a privacy@themarketingtechnologists.com:

• Acceso: obtener una copia de los datos personales que conservamos sobre usted.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitarnos que eliminemos su cuenta y sus datos. Lo haremos salvo que estemos obligados a conservarlos por motivos legales o fiscales.
• Limitación: solicitarnos que dejemos de tratar determinados datos.
• Portabilidad: obtener una exportación en formato legible por máquina de los datos que usted ha introducido en FinCanvas. Sus PDF de presupuesto y factura cubren gran parte de esto; para una exportación completa, solicítenosla en support@fincanvas.co.uk.
• Oposición: oponerse al tratamiento basado en el interés legítimo.

Procuramos responder a las solicitudes de ejercicio de derechos en un plazo de 30 días. Si no está conforme con cómo hemos gestionado sus datos, tiene derecho a reclamar ante la autoridad de control de protección de datos de su país. En España es la Agencia Española de Protección de Datos (AEPD). Dado que nuestro responsable del tratamiento está establecido en el Reino Unido, también puede dirigirse a la Information Commissioner's Office (ICO) del Reino Unido.

Protegemos sus datos mediante: cifrado en tránsito (HTTPS en todo el sistema), cifrado en reposo en la capa de la base de datos, estricto control de acceso basado en roles, registro de auditoría de las acciones de administración y revisiones de seguridad periódicas. Ningún sistema es 100 % seguro: si alguna vez detectamos una brecha que afecte a sus datos, se lo notificaremos sin dilación indebida (y, en cualquier caso, dentro del plazo de 72 horas que exige el artículo 33 del RGPD).

Reducimos las cookies al mínimo: cookies estrictamente necesarias para que el servicio funcione, un pequeño conjunto de cookies de medición opcionales que usted controla y una pequeña cantidad de almacenamiento local del navegador (localStorage).

Estrictamente necesarias (siempre activas)

• Cookies de sesión de Supabase Auth (sb-…-auth-token, sb-…-refresh-token): le mantienen con la sesión iniciada entre cargas de página. Las establece Supabase Auth cuando usted se registra o inicia sesión; se eliminan cuando cierra la sesión.
• Cookie de gestión de bots de Cloudflare (__cf_bm): protege el servicio frente al uso indebido automatizado. La establece la red perimetral de Cloudflare en cada solicitud; es de corta duración y caduca a los 30 minutos de la última actividad.
• Cookie de preferencia de idioma (NEXT_LOCALE): recuerda si usted lee FinCanvas en inglés o en español. Se establece en su primera visita a partir del idioma de su navegador (o de las páginas en español que abra) y se cambia con el selector de idioma; se comparte entre fincanvas.co.uk y app.fincanvas.co.uk para que el idioma no cambie entre ambos; caduca al cabo de 1 año.
• localStorage del navegador: una pequeña cantidad de estado de la interfaz en su dispositivo (pestañas de proyecto abiertas, avisos descartados, su preferencia de modo de visualización y su elección de consentimiento de cookies). localStorage técnicamente no es una cookie, pero está cubierto por las mismas normas; nunca sale de su navegador y no lo leemos del lado del servidor.
• sessionStorage del navegador (sentryReplaySession): solo en app.fincanvas.co.uk, guarda el identificador de la grabación de errores enmascarada descrita en la sección 4 para poder vincularla a un informe de error. Se borra al cerrar la pestaña.

Analítica y medición de anuncios (opcional: desactivadas hasta que las acepte)

• Google Analytics 4 (_ga, _ga_*): únicamente en nuestras páginas públicas de marketing, utilizamos Google Analytics para entender cómo los visitantes encuentran y usan el sitio (visitas agregadas, sin elaboración de perfiles individuales). Conforme al RGPD y a la normativa de privacidad electrónica, está desactivada de forma predeterminada: la etiqueta de Google ni siquiera se carga, y la cookie no se establece, salvo que usted elija «Aceptar medición» en nuestro banner de cookies. Puede rechazarla (el sitio funciona igual) o cambiar su elección en cualquier momento con el botón «Configuración de cookies» que aparece más abajo. Se rige por la política de privacidad de Google. No utilizamos analítica dentro de la aplicación con sesión iniciada.
• Medición de conversiones de Google Ads (_gcl_aw, _gcl_gs): si llega desde uno de nuestros anuncios de Google y elige «Aceptar medición» en el banner de cookies, la etiqueta de Google guarda la referencia del clic del anuncio para que podamos contar que ese anuncio dio lugar a un registro. Solo se ejecuta en nuestras páginas públicas y en la página de registro. La usamos únicamente para medir nuestros propios anuncios: la personalización de anuncios está desactivada en la etiqueta, no hacemos remarketing y no elaboramos perfiles publicitarios. Si la rechaza, el sitio funciona exactamente igual.

Cambiar o retirar su elección

Puede cambiar su elección en cualquier momento, con la misma facilidad con la que la hizo: use el botón de abajo, o «Configuración de cookies» en el pie de página de nuestra página de inicio, para volver a mostrar el banner de cookies. Si cambia a «Solo esenciales», indicamos de inmediato a la etiqueta de Google que se detenga y eliminamos las cookies de Google que nuestro sitio estableció en su navegador; cualquier etiqueta de Google que ya estuviera funcionando en una página abierta desaparece en la siguiente página que cargue. Su elección se guarda por separado en fincanvas.co.uk y en app.fincanvas.co.uk, por lo que es posible que se le pregunte en cada uno.

Configuración de cookies

No utilizamos el píxel de Facebook, rastreadores entre sitios ni fingerprinting, y no elaboramos perfiles publicitarios sobre usted ni hacemos remarketing. Las cookies opcionales de Google descritas arriba sirven para contar visitas y conversiones de nuestros propios anuncios, nada más. Cuando realiza una mejora de plan a través de Stripe Checkout, Stripe establece sus propias cookies en stripe.com (no en fincanvas.co.uk): estas se rigen por el aviso de privacidad de Stripe.

FinCanvas es una herramienta B2B no destinada a menores de 16 años. No recopilamos a sabiendas datos de ninguna persona menor de 16 años; si cree que un menor se ha registrado, escriba a privacy@themarketingtechnologists.com y eliminaremos la cuenta.

Podemos actualizar esta política de vez en cuando. Los cambios sustanciales se notificarán por correo electrónico. El uso continuado de FinCanvas tras la notificación constituye la aceptación de la política actualizada.

Para cualquier cuestión de privacidad o protección de datos, escriba a privacy@themarketingtechnologists.com. Para consultas de facturación o reembolsos, consulte nuestras Condiciones del servicio o escriba a billing@themarketingtechnologists.com.