Política de privacidad

Última actualización: 12 de octubre de 2026.

1. Dos tipos de datos y dos papeles distintos

• Datos de las personas usuarias (quien crea una cuenta: nombre, correo, contraseña cifrada, sesiones y, si la añade, su fotografía de perfil, visible solo para los miembros de su empresa). Respecto a ellos el titular de Tornaluz actúa como responsable del tratamiento.
• Datos de los contactos comerciales que cada empresa registra (nombre, empresa, correo, teléfono, notas, historial). Respecto a ellos la empresa usuaria es la responsable y Tornaluz actúa como encargado del tratamiento, tratándolos solo para prestar el servicio. [Pendiente: contrato de encargo del tratamiento (art. 28 RGPD) a aceptar por cada empresa.]

2. Responsable

Identidad y contacto del responsable: [pendiente; ver aviso legal].

3. Finalidades y bases jurídicas

• Crear y gestionar tu cuenta y prestarte el servicio: ejecución del contrato (art. 6.1.b RGPD).
• Seguridad: limitar intentos de acceso, registrar la IP y el navegador de cada sesión: interés legítimo (art. 6.1.f).
• Correos de servicio (verificación, recuperación de contraseña, invitaciones), solo si hay un proveedor de correo configurado: ejecución del contrato.

No usamos tus datos para publicidad ni los vendemos.

4. Cookies y analítica

Solo usamos cookies técnicas necesarias (sesión y empresa activa). No hay analítica de terceros ni publicidad. Ver la política de cookies.

5. Dónde se alojan los datos

En un servidor privado virtual contratado a Hostinger. [Pendiente: confirmar la ubicación del centro de datos, el contrato de encargo con el proveedor y, si procede, las garantías para transferencias internacionales.] Las conexiones van cifradas mediante HTTPS y la base de datos no es accesible desde Internet.

6. Conservación

• Cuenta: mientras esté activa. [Pendiente: definir el plazo tras la baja.]
• Sesiones caducadas y enlaces de verificación: se eliminan automáticamente.
• Registros técnicos del servidor web (IP, fecha, método y ruta sin parámetros, navegador): 14 días. Los enlaces con tokens de un solo uso se registran enmascarados.
• Avisos leídos: 90 días. Registro de ejecuciones completadas: 180 días. Registro de envíos de correo (sin contenido): 12 meses.
• Contactos comerciales: los decide cada empresa. Al eliminar un contacto se borran sus datos, notas, tareas e historial; solo queda un registro de auditoría sin datos personales.
• Fotografía de perfil: hasta que la elimines o se borre tu cuenta (la aplicación la reduce a 512 px y descarta sus metadatos, como la ubicación, antes de subirla).
• Copias de seguridad: 14 días.

7. Derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a la dirección de contacto [pendiente], y reclamar ante la Agencia Española de Protección de Datos (aepd.es). Si eres un contacto registrado por una empresa usuaria, dirígete a esa empresa. Tornaluz le facilita las herramientas para atenderte: registrar tu oposición o baja, exportar o eliminar tus datos.

8. Comunicaciones comerciales a los contactos

Tornaluz no envía comunicaciones a los contactos por defecto. Una empresa solo puede programar correos automáticos si configura un proveedor de correo y autoriza expresamente cada regla, y el sistema bloquea los envíos a contactos que se hayan dado de baja u opuesto. La empresa usuaria es responsable de contar con base jurídica (LSSI y RGPD) para sus comunicaciones.