Política de privacidad

Esta política de privacidad describe cómo Contenza K/S («nosotros», «nos», «QRStandard») recopila, utiliza y protege los datos personales cuando utiliza qrstandard.eu. Somos el responsable del tratamiento de todos los datos personales procesados a través de este servicio.

1. Quiénes somos

Contenza K/S
CVR: 43349023 · NIF-UE: DK43349023
Dinamarca
Contacto: qrstandard.eu/contact

2. Qué datos recopilamos

Recopilamos únicamente los datos mínimos necesarios para el funcionamiento del servicio:

• Datos de cuenta: Su dirección de correo electrónico, recopilada al registrarse o iniciar sesión. Utilizamos un sistema de autenticación por enlace mágico — nunca se almacenan contraseñas.
• Datos de códigos QR: Las etiquetas, URL de destino y configuraciones que crea para sus códigos QR.
• Análisis de escaneos: Cuando se escanea un código QR, registramos la marca de tiempo, el país aproximado (derivado de la IP, no almacenado), el tipo de dispositivo y la URL de referencia. No almacenamos direcciones IP de los escaneos.
• Datos de facturación: Si tiene una suscripción, Stripe procesa sus datos de pago directamente. Almacenamos su ID de cliente de Stripe y el estado de la suscripción. No vemos ni guardamos números de tarjeta.
• Datos de uso: Los registros de acceso al servidor (dirección IP, ruta de solicitud, marca de tiempo) se conservan durante 30 días con fines de seguridad y depuración.

3. Base legal del tratamiento

• Contrato (art. 6(1)(b) RGPD): Tratamiento de su dirección de correo electrónico y datos de códigos QR para prestar el servicio al que se ha suscrito.
• Interés legítimo (art. 6(1)(f) RGPD): Registros de servidor para seguridad y prevención de abusos; análisis de escaneos para informarle del rendimiento de las redirecciones.
• Obligación legal (art. 6(1)(c) RGPD): Conservación de registros de facturación conforme a la legislación contable danesa (Bogføringsloven).

4. Dónde se almacenan sus datos

Todos los datos se almacenan en servidores ubicados en Alemania (Hetzner Cloud, centro de datos de Núremberg) y no salen del Espacio Económico Europeo. No utilizamos proveedores de nube estadounidenses para el almacenamiento de datos personales.

5. Subencargados del tratamiento

Utilizamos los siguientes encargados externos:

• Hetzner Online GmbH (Alemania) — infraestructura de servidor y almacenamiento
• Stripe, Inc. — procesamiento de pagos. Stripe está certificado con PCI-DSS y cumple el RGPD. La transferencia de datos a EE. UU. se ampara en el Marco de Privacidad de Datos UE-EE. UU.
• Resend, Inc. — correos electrónicos transaccionales (enlaces mágicos, confirmaciones de pago). Los datos se procesan conforme al RGPD en virtud de cláusulas contractuales estándar.

6. Plazos de conservación

• Tokens de inicio de sesión: Caducan a los 15 minutos y se invalidan tras un único uso.
• Cookies de sesión: Caducan tras 30 días de inactividad.
• Códigos QR y datos de redirección: Conservados hasta que los elimine o cierre su cuenta.
• Eventos de escaneo: Conservados durante 24 meses y posteriormente eliminados.
• Registros de facturación: Conservados durante 5 años conforme a la legislación contable danesa.
• Registros de servidor: Conservados durante 30 días.

7. Sus derechos conforme al RGPD

Como interesado, dispone de los siguientes derechos:

• Acceso (art. 15): Solicitar una copia de todos los datos personales que conservamos sobre usted.
• Rectificación (art. 16): Corrección de datos inexactos. Puede solicitar la actualización de su dirección de correo electrónico contactando con nosotros.
• Supresión (art. 17): Solicitar la eliminación de su cuenta y todos los datos asociados. Cumpliremos en un plazo de 30 días, salvo nuestras obligaciones legales de conservación de registros de facturación.
• Portabilidad (art. 20): Solicitar sus datos en formato legible por máquina (JSON).
• Limitación (art. 18): Solicitar la limitación del tratamiento de sus datos mientras se tramita una reclamación.
• Oposición (art. 21): Oponerse al tratamiento basado en interés legítimo.

Para ejercer cualquiera de estos derechos, contáctenos a través de nuestro formulario de contacto. Responderemos en un plazo de 30 días. También tiene derecho a presentar una reclamación ante la autoridad de control competente. En España, la Agencia Española de Protección de Datos (AEPD): aepd.es, o ante la autoridad de supervisión danesa Datatilsynet: datatilsynet.dk.

8. Cookies

Utilizamos una única cookie de nuestro propio servidor:

• qrr_session — un token de sesión de autenticación. HttpOnly, Secure, SameSite=Lax. Caduca a los 30 días. Esta cookie es estrictamente necesaria para el funcionamiento del servicio y no requiere consentimiento conforme al art. 5(3) de la Directiva ePrivacy.

No utilizamos cookies de seguimiento, publicidad ni analítica de terceros. No utilizamos Google Analytics, Meta Pixel ni herramientas similares.

9. Seguridad

Todos los datos se transmiten mediante TLS (HTTPS). Nunca se almacenan contraseñas — la autenticación utiliza tokens de un solo uso firmados criptográficamente. El acceso a la base de datos está restringido a los procesos de aplicación que se ejecutan en el mismo servidor. Las copias de seguridad se almacenan cifradas.

10. Cambios en esta política

Informaremos a los usuarios registrados sobre cambios sustanciales en esta política por correo electrónico con al menos 14 días de antelación a su entrada en vigor. La versión actual siempre está disponible en qrstandard.eu/privacy.