Política de privacidad

1. Responsable del tratamiento

[nombre del titular — por confirmar] (ABN [ABN — por confirmar]), Australia. Para cualquier cuestión de privacidad puedes escribir a privacy@aussiflow.com.

2. Qué datos recogemos

• Datos de cuenta: correo electrónico y credenciales de acceso.
• Perfil migratorio: los datos que aportas para el análisis (edad, ocupación, nivel de inglés, estudios, experiencia, situación familiar, etc.).
• Documentos: los archivos que subes voluntariamente (por ejemplo, tu CV) para enriquecer el análisis.
• Datos de uso: analítica de producto, únicamente si das tu consentimiento (ver la política de cookies).
• Datos de pago: los gestiona Stripe. No almacenamos los números de tu tarjeta.
• Datos sensibles (solo si los aportas voluntariamente): antecedentes penales relevantes y condiciones médicas, cuando son relevantes para tu trámite migratorio.

3. Para qué usamos tus datos y base legal

• Prestar el servicio (generar y gestionar tu plan) — ejecución del contrato.
• Analítica de producto para mejorar Aussiflow — consentimiento (revocable en cualquier momento).
• Seguridad y prevención de abuso (límite de peticiones, detección de fraude) — interés legítimo.
• Comunicaciones del servicio (correos transaccionales sobre tu cuenta y tu plan) — ejecución del contrato.
• Monitorización y diagnóstico de errores técnicos (datos anonimizados, sin IP ni email) — interés legítimo.
• Tratamiento de datos sensibles (antecedentes penales, condiciones médicas) — solo si decides aportarlos voluntariamente al completar esos campos opcionales del formulario; rellenarlos constituye tu consentimiento para tratarlos con esa finalidad (base legal de consentimiento para categorías especiales de datos).

4. Dónde se almacenan tus datos

Tus datos se almacenan en Australia (Supabase, región ap-southeast-2 (Sídney, Australia)). Aussiflow opera desde Australia bajo la Australian Privacy Act. Si resides en la Unión Europea, tus datos se transfieren fuera del EEE; aplicamos las salvaguardas exigidas por el RGPD para dichas transferencias internacionales.

5. Terceros que tratan datos (subprocesadores)

Trabajamos con proveedores que tratan datos por nuestra cuenta, cada uno con su finalidad:

• Supabase — Base de datos, autenticación y almacenamiento de archivos (Australia (ap-southeast-2)).
• Anthropic — Generación de planes y análisis con IA (Claude) (EE. UU. / USA).
• Stripe — Procesamiento de pagos y suscripciones (EE. UU. / UE).
• PostHog — Analítica de producto (solo con tu consentimiento) (UE / EU).
• Resend — Envío de correos transaccionales (EE. UU. / USA).
• Upstash — Limitación de peticiones (protección anti-abuso) (Global).
• Vercel — Alojamiento de la aplicación y registro de peticiones (Global (CDN)).
• Sentry — Monitorización y diagnóstico de errores técnicos (EE. UU. / USA).

No vendemos tus datos ni los compartimos con terceros con fines publicitarios.

6. Acceso del equipo para soporte y calidad

Nuestro equipo puede acceder a tus datos para darte soporte y para revisar la calidad de los análisis generados (control de calidad). Estos accesos están restringidos al personal autorizado y quedan registrados.

7. Seguridad y conservación

Aplicamos medidas de seguridad razonables: cifrado en tránsito y en reposo, control de acceso restringido por rol (cada usuario solo accede a sus propios datos mediante políticas de seguridad a nivel de fila de la base de datos), y URLs firmadas y temporales para tus documentos.

Conservamos tus datos mientras tu cuenta esté activa. Si solicitas la eliminación de tu cuenta, borramos tu perfil, tus planes, tareas y documentos subidos de forma inmediata. Nuestro proveedor de infraestructura (Supabase) puede conservar copias de seguridad durante un periodo limitado tras la eliminación, conforme a su política estándar de copias de seguridad.

Si se produjera una brecha de seguridad que suponga un riesgo para tus datos, te lo notificaremos sin dilación indebida. Nuestro objetivo interno es evaluarla y, si procede, notificarla en un plazo de 72 horas desde que tengamos constancia — un estándar más exigente que el régimen australiano de brechas notificables (30 días), que también cumplimos. Si resides en la Unión Europea, notificaremos a la(s) autoridad(es) de protección de datos competente(s) del/de los Estado(s) miembro(s) donde residan los usuarios afectados, conforme al artículo 33 del RGPD.

8. Tus derechos

Puedes ejercer en cualquier momento tus derechos de:

• Acceso a tus datos.
• Rectificación de datos inexactos.
• Supresión ("derecho al olvido").
• Portabilidad de tus datos.
• Oposición y limitación del tratamiento.
• Retirar el consentimiento a la analítica (sin afectar al tratamiento previo).

Para ejercerlos, escribe a privacy@aussiflow.com. Si resides en la UE, también puedes reclamar ante tu autoridad de protección de datos.

9. Cambios en esta política

Podemos actualizar esta política. Publicaremos la versión vigente en esta página con su fecha de última actualización.

10. Contacto

Responsable: [nombre del titular — por confirmar], Australia. Privacidad: privacy@aussiflow.com. Contacto general: hello@aussiflow.com.