Politica de privacidad

Esta politica de privacidad describe como Redor AS (en adelante «nosotros», «nos» o «Redor») recoge, usa, almacena y protege tus datos personales cuando utilizas Bungaflow. Esta politica se aplica a todos los usuarios del servicio, incluidos los invitados que utilizan el portal de invitados.

Tratamos los datos personales de acuerdo con el Reglamento General de Proteccion de Datos (RGPD) de la UE y la legislacion noruega de proteccion de datos. Al utilizar Bungaflow, consientes la recogida y uso de informacion conforme a esta politica de privacidad.

Los terminos con mayuscula inicial tienen el significado definido en nuestros terminos de uso.

I. Definiciones

• «Responsable del tratamiento» — Redor AS, num. org. 916 505 310, que determina los fines y medios del tratamiento de datos personales.
• «Datos personales» — cualquier informacion que pueda vincularse directa o indirectamente a una persona fisica identificada o identificable, incluyendo nombre, correo electronico, direccion IP, identificadores de dispositivo y datos de ubicacion.
• «Tratamiento» — cualquier operacion realizada con datos personales, ya sea automatizada o no, como recogida, registro, organizacion, almacenamiento, adaptacion, divulgacion o supresion.
• «Encargado del tratamiento» — un tercero que trata datos personales en nombre del responsable del tratamiento. Esto incluye nuestros proveedores de servicios.
• «Interesado»/ «Tu» — la persona fisica cuyos datos personales se tratan, incluidos los usuarios del servicio y los invitados.
• «Servicio» — La plataforma Bungaflow, incluyendo aplicacion web, APIs, portal de invitados y servicios asociados, disponible en bungaflow.com.
• «Datos de uso» — datos recogidos automaticamente al utilizar el servicio, como direccion IP, tipo de navegador, paginas visitadas y marca de tiempo.
• «Cookies» — pequenos archivos de datos almacenados en tu dispositivo para reconocerte y guardar preferencias.

II. Recogida y uso de datos personales

a. Datos personales que recogemos

Cuando utilizas Bungaflow, podemos solicitarte los siguientes datos personales:

• Direccion de correo electronico
• Nombre completo
• Informacion de la unidad (direccion, nombre y tipo de propiedad compartida)
• Datos de uso

b. Datos de uso

Los datos de uso se recogen automaticamente cuando utilizas el servicio. Pueden incluir direccion IP, tipo y version del navegador, paginas visitadas, hora de visita, tiempo en cada pagina, identificadores unicos del dispositivo y otros datos diagnosticos.

c. Contenido que introduces

Ademas de los datos personales, tratamos el contenido que introduces activamente en el servicio:

• Reservas y datos de calendario
• Gastos y recibos (incluidas imagenes)
• Registros de mantenimiento, documentos FDV e informes de danos
• Tareas y listas de verificacion
• Entradas del libro de visitas y del diario de cabana
• Inventario, suministros de emergencia e informacion de seguros
• Registro de contactos (ej. fontanero, electricista)
• Informacion de la guia local (lugares y servicios cercanos)
• Registro de actividad (acciones realizadas en la unidad)
• Mensajes entre miembros
• Normas de la casa
• Informacion de la unidad como contrasenas WiFi (cifrada con AES-256-GCM)

d. Notificaciones push

Si activas las notificaciones push, almacenamos informacion tecnica (endpoint, claves) necesaria para enviar notificaciones a tu dispositivo. Esta informacion se elimina cuando desactivas las notificaciones o eliminas tu cuenta.

e. Datos del portal de invitados

Los invitados que utilizan el portal de invitados a traves de un enlace compartido no necesitan crear una cuenta. No recogemos datos personales de los invitados a menos que introduzcan activamente informacion, como entradas en el libro de visitas (nombre y mensaje). Las direcciones IP pueden registrarse temporalmente en los registros del servidor por motivos de seguridad.

III. Cookies y tecnologias de seguimiento

Utilizamos cookies y tecnologias similares para operar y mejorar el servicio. El consentimiento para cookies se gestiona mediante Cookiebot (Usercentrics), nuestra solucion de consentimiento (CMP).

a. Cookies necesarias

Son obligatorias para el funcionamiento del servicio y no requieren consentimiento:

• Cookies de sesion: Token de autenticacion de Supabase para inicio de sesion y gestion de sesion.
• Preferencia de idioma: Almacena el idioma seleccionado.
• Consentimiento de Cookiebot: Almacena tus preferencias de cookies.
• Preferencia de tema: Almacena la eleccion de tema claro u oscuro (localStorage).

b. Cookies de preferencias

Recuerdan tus elecciones y ajustes para ofrecer una mejor experiencia. Solo se establecen con tu consentimiento.

c. Cookies de estadisticas

Cookies analiticas que nos ayudan a entender como se usa el servicio para poder mejorarlo. Solo se establecen con tu consentimiento explicito.

d. Cookies de marketing

No se usan actualmente, pero la categoria existe en Cookiebot para uso futuro. Nunca se establecen sin tu consentimiento.

IV. Base juridica del tratamiento

Tratamos los datos personales con las siguientes bases juridicas conforme al RGPD:

• Contrato (art. 6.1.b): Tratamiento necesario para cumplir el contrato contigo — creacion de cuenta, autenticacion, reservas, division de gastos, mantenimiento, tareas, notificaciones y prestacion del servicio.
• Consentimiento (art. 6.1.a): Cookies opcionales (estadisticas, preferencias, marketing), boletines y tratamiento de datos via asistente de IA.
• Interes legitimo (art. 6.1.f): Desarrollo del servicio, correccion de errores, seguridad, prevencion de fraude, mejora de la experiencia de usuario y envio de novedades del producto, noticias de la empresa y actualizaciones del servicio a usuarios existentes.
• Obligacion legal (art. 6.1.c): Tratamiento necesario para cumplir requisitos legales, como legislacion contable y notificacion de violaciones de seguridad.

V. Uso de datos personales

Utilizamos tus datos personales para los siguientes fines:

• Gestion de cuenta: Crear y gestionar tu cuenta de usuario, autenticarte y darte acceso a las funciones del servicio.
• Prestacion del servicio: Ofrecer la funcionalidad basica como reservas, division de gastos, mantenimiento, tareas, portal de invitados y mensajes.
• Comunicacion: Enviarte notificaciones push, alertas por correo sobre cambios en la cuenta, actualizaciones de seguridad y cambios en los terminos, asi como novedades del producto, noticias de la empresa, nuevas colaboraciones y actualizaciones del servicio por correo electronico. Puedes darte de baja de los correos no esenciales en cualquier momento mediante el enlace de cancelacion de suscripcion incluido en cada correo.
• Pago: Procesar pagos de suscripcion via Stripe (no almacenamos tus datos de pago).
• Asistente de IA: Ofrecer asistencia basada en IA via OpenAI. Los datos que envias al asistente son procesados por OpenAI conforme a su acuerdo de tratamiento de datos.
• Mejora del servicio: Analizar patrones de uso para mejorar funcionalidad, rendimiento y experiencia de usuario.
• Seguridad: Detectar y prevenir fraude, abuso y amenazas de seguridad.
• Obligaciones legales: Cumplir requisitos legales como contabilidad y reportes.

VI. Comparticion de datos personales

No vendemos tus datos personales. Podemos compartir datos personales en las siguientes situaciones:

• Con encargados del tratamiento: Compartimos datos con proveedores de servicios que tratan datos en nuestro nombre. Todos estan vinculados por acuerdos de tratamiento de datos conforme al art. 28 del RGPD.
• Con otros usuarios: La informacion que compartes dentro de una unidad (reservas, mensajes, entradas del libro de visitas) es visible para otros miembros de esa unidad.
• Dentro de organizaciones: Si su unidad esta vinculada a una organizacion, el administrador de la organizacion puede ver el nombre de la unidad y la informacion de los miembros. Los anuncios, documentos y mensajes compartidos a traves de la organizacion son visibles para todos los miembros de la organizacion.
• En transferencias empresariales: Si Redor se fusiona, es adquirido o transfiere activos sustanciales a otra empresa, los datos personales pueden transferirse. Seras notificado con antelacion.
• Por requisitos legales: Podemos revelar datos personales si estamos legalmente obligados a ello.
• Con tu consentimiento: Podemos compartir datos para otros fines si nos das tu consentimiento explicito.

VII. Servicios de terceros (encargados del tratamiento)

Los siguientes servicios de terceros tratan datos personales en nuestro nombre para prestar el servicio:

a. Supabase — Autenticacion y base de datos

Supabase gestiona la autenticacion de usuarios (magic link (enlace por correo) e inicio de sesion con Google) y almacena datos en una base de datos PostgreSQL. La base de datos esta alojada en EU-West (Irlanda). Supabase cumple con el RGPD y ofrece acuerdo de tratamiento de datos.

b. Stripe — Procesamiento de pagos

Stripe gestiona todos los pagos y suscripciones. No almacenamos numeros de tarjeta ni datos de pago — son procesados directamente por Stripe, que cuenta con certificacion PCI DSS.

c. OpenAI — Asistente de IA

El asistente de IA de Bungaflow usa OpenAI (GPT-4o-mini) via API. Los datos que envias al asistente se transfieren a OpenAI para su procesamiento. OpenAI no usa datos de API para entrenar sus modelos. No compartas datos personales sensibles en el chat. El asistente IA respeta el control de acceso basado en roles — los miembros Lite solo pueden usar el asistente IA si esta habilitado por su administrador, y los datos mostrados se filtran segun los modulos configurados por el administrador.

d. Vercel — Alojamiento y CDN

Vercel aloja Bungaflow y distribuye contenido a traves de su CDN. Los registros del servidor pueden contener direcciones IP y datos de uso.

e. Cookiebot (Usercentrics) — Solucion de consentimiento

Cookiebot gestiona el consentimiento de cookies y escanea el sitio web en busca de cookies. Cookiebot almacena tus elecciones de consentimiento.

f. Resend — Envio de correos electronicos

Resend gestiona el envio de correos electronicos transaccionales (bienvenida, invitaciones, notificaciones y comentarios). Las direcciones de correo electronico se transfieren a Resend para su entrega.

Privacidad: resend.com/legal/privacy-policy

g. Google Analytics (Google Tag Manager) — Analisis del sitio web

Utilizamos Google Analytics a traves de Google Tag Manager para analizar el uso del sitio. Las cookies analiticas solo se establecen con su consentimiento a traves de Cookiebot. Google puede procesar direcciones IP y datos de uso.

Privacidad: policies.google.com/privacy

h. OpenStreetMap (Nominatim / Overpass) — Geocodificacion y busqueda de lugares

Utilizamos Nominatim para geocodificacion y Overpass API para encontrar lugares cercanos. La direccion y coordenadas de la unidad se transfieren.

Privacidad: osmfoundation.org/wiki/Privacy_Policy

i. Meteorologisk institutt (MET) — Pronostico del tiempo

Obtenemos pronosticos del tiempo de la API de MET basados en las coordenadas de la unidad. Solo se transfieren coordenadas.

Privacidad: met.no/om-oss/personvern

j. iCal-import — Sincronizacion de calendario

Los usuarios pueden importar reservas de Airbnb, Booking.com, Finn.no y Google Calendar a traves de feeds iCal. Estos servicios estan sujetos a sus propias politicas de privacidad. Solo obtenemos datos de calendario (fechas y detalles de reservas) de estas fuentes.

VIII. Transferencia de datos personales

Tus datos personales pueden transferirse y almacenarse en servidores fuera de Noruega/EEE, ya que algunos de nuestros encargados del tratamiento tienen infraestructura en otros paises (principalmente EE.UU.).

En las transferencias a paises fuera del EEE, garantizamos un nivel de proteccion adecuado mediante:

• Decisiones de adecuacion de la Comision Europea (ej. EU-US Data Privacy Framework)
• Clausulas contractuales tipo (SCCs) adoptadas por la Comision Europea
• Acuerdos de tratamiento de datos con medidas de seguridad relevantes

IX. Almacenamiento y eliminacion de datos personales

Almacenamos datos personales solo mientras sea necesario para los fines descritos en esta politica, o mientras estemos legalmente obligados a conservarlos.

• Datos de cuenta: Se almacenan mientras la cuenta esta activa. Al eliminar la cuenta, los datos personales se eliminan en 30 dias, excepto los datos que estemos legalmente obligados a conservar.
• Datos de uso: Se almacenan por un periodo corto para analisis y resolucion de errores.
• Datos de pago: Stripe conserva los datos de transacciones conforme a los requisitos PCI DSS y la legislacion contable aplicable.
• Registros del servidor: Las direcciones IP y registros tecnicos se eliminan automaticamente tras 30 dias.

Bungaflow ofrece una funcion de exportacion en la configuracion que le permite descargar todos los datos asociados a una unidad. Recomendamos utilizarla regularmente para mantener su propia copia de seguridad de sus datos.

Puedes solicitar en cualquier momento la eliminacion de tu cuenta y datos personales asociados contactandonos en hei@redor.no.

X. Seguridad de los datos

Nos tomamos la seguridad de tus datos personales en serio e implementamos medidas tecnicas y organizativas para protegerlos:

• Los datos sensibles (ej. contrasenas WiFi) se cifran con AES-256-GCM antes del almacenamiento.
• Todo el trafico se transmite via HTTPS/TLS.
• Las cabeceras de seguridad como HSTS, X-Frame-Options y Content-Security-Policy estan activadas.
• La autenticacion es gestionada por Supabase con gestion segura de sesiones.
• Revisiones periodicas de seguridad del codigo y la infraestructura.
• Control de acceso basado en roles (Admin, Lite) con acceso configurable a paginas garantiza que los usuarios solo accedan a los datos autorizados.

En caso de violacion de seguridad que afecte a datos personales, notificaremos a la autoridad de proteccion de datos en 72 horas (art. 33 del RGPD) y a los usuarios afectados sin demora injustificada si la violacion supone un alto riesgo (art. 34 del RGPD).

XI. Tus derechos segun el RGPD

Como interesado, tienes los siguientes derechos conforme al RGPD:

• Derecho de acceso (art. 15): Tienes derecho a saber si tratamos tus datos personales y acceder a ellos.
• Derecho de rectificacion (art. 16): Tienes derecho a que se corrijan los datos personales inexactos.
• Derecho de supresion (art. 17): Tienes derecho a que se eliminen tus datos personales cuando ya no exista una base legitima para el tratamiento.
• Derecho de limitacion (art. 18): Tienes derecho a solicitar la limitacion del tratamiento en determinadas situaciones.
• Derecho de portabilidad (art. 20): Tienes derecho a recibir tus datos personales en un formato estructurado, de uso comun y lectura mecanica.
• Derecho de oposicion (art. 21): Tienes derecho a oponerte al tratamiento basado en interes legitimo.
• Derecho a retirar el consentimiento: Cuando el tratamiento se basa en el consentimiento, puedes retirarlo en cualquier momento.

Ejercicio de derechos

Para ejercer tus derechos, contactanos en hei@redor.no. Podemos pedirte que verifiques tu identidad antes de procesar la solicitud. Respondemos en 30 dias tras la recepcion de la consulta.

Tienes derecho a presentar una reclamacion ante la autoridad de proteccion de datos noruega (Datatilsynet) si consideras que el tratamiento de tus datos personales infringe el RGPD.

XII. Decisiones automatizadas y elaboracion de perfiles

Bungaflow no utiliza toma de decisiones automatizada ni elaboracion de perfiles segun lo definido en el articulo 22 del RGPD que tenga efectos legales o similarmente significativos sobre usted. El asistente de IA proporciona informacion y sugerencias, pero no toma decisiones en su nombre.

Los calculos de gastos, la distribucion de costos y otros calculos en el servicio son herramientas — no asesoramiento financiero o legal. Usted es responsable de verificar los calculos y tomar sus propias decisiones.

XIII. Menores

Bungaflow no esta dirigido a menores de 16 anos. No recogemos conscientemente datos personales de menores de 16 anos. Si te enteras de que un menor nos ha proporcionado datos personales, contactanos para que podamos eliminar la informacion.

Los menores de mas de 16 anos pueden tener un rol «Lite» en una unidad, pero la cuenta debe ser creada y gestionada por un tutor.

XIV. Enlaces a otros sitios web

El servicio puede contener enlaces a sitios web externos no operados por nosotros (ej. fuentes iCal, portal de pagos de Stripe, OpenAI). No tenemos control ni asumimos responsabilidad sobre el contenido, politicas de privacidad o practicas de estos sitios web de terceros.

XV. Cambios en esta politica de privacidad

Podemos actualizar esta politica de privacidad para reflejar cambios en el servicio, legislacion o nuestras practicas. En caso de cambios sustanciales, seras notificado con al menos 30 dias de antelacion por correo electronico.

La fecha de «Ultima actualizacion» al principio del documento se actualiza con cada cambio. Te recomendamos revisar esta politica periodicamente.

XVI. Informacion de contacto

Si tienes preguntas sobre esta politica de privacidad o deseas ejercer tus derechos, puedes contactarnos:

Responsable del tratamiento:

Redor AS
Num. org. 916 505 310
Correo: hei@redor.no
Web: www.redor.no

Autoridad de supervision:

Datatilsynet (Autoridad Noruega de Proteccion de Datos)
www.datatilsynet.no