Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es:

Stefan Sonntag
Con el nombre comercial: Trusted Codes (empresario individual / Einzelunternehmer)
Leonrodstr. 14b, 80634 Múnich, Alemania

• Privacidad: privacy@trusted.codes
• Asuntos legales: legal@trusted.codes

No hemos designado un delegado de protección de datos porque no se cumplen los requisitos legales para ello (art. 37 del RGPD, § 38 BDSG).

2. Ámbito de aplicación

Trusted Codes es un servicio de verificación para personas que ya se conocen. Permite a dos partes confirmar, por cualquier canal, que siguen compartiendo una referencia criptográfica, mediante códigos de palabras que cambian. El servicio se compone de las aplicaciones móviles para iOS y Android, la aplicación de escritorio para macOS, Windows y Linux, los portales web my.trusted.codes y business.trusted.codes, páginas públicas de verificación, el sitio web trusted.codes e interfaces relacionadas. Tras la configuración, los códigos se pueden generar sin conexión de red. Otras funciones necesitan conexión.

Esta política se aplica a todas estas ofertas. Cuando tratamos datos por cuenta de un cliente empresarial, ese cliente es el responsable del tratamiento. La sección 13 lo describe.

3. Cuenta e inicio de sesión

Para una cuenta tratamos su dirección de correo electrónico, su nombre visible, su idioma y la fecha del registro. Si sube una foto de perfil, la guardamos. Usted inicia sesión con un enlace que le enviamos por correo electrónico, o con su cuenta de Apple o de Google. En este segundo caso, Apple o Google nos envían su nombre y su dirección de correo electrónico (en el caso de Apple, posiblemente una dirección de reenvío). Solo los recibimos si usted elige ese botón.

Si llega a nosotros a través de un enlace con datos de campaña, guardamos esos datos (fuente, medio, campaña) y, en su caso, un código de recomendación con su cuenta.

Base jurídica: art. 6, apdo. 1, letra b), del RGPD. Para los datos de campaña: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es saber cómo nos encuentran los usuarios.

4. Dispositivos

Para cada dispositivo en el que usa Trusted Codes guardamos: la plataforma y la versión principal del sistema operativo; el nombre que usted le ha dado en los ajustes del dispositivo (si no hay ninguno, una etiqueta compuesta por el tipo de dispositivo, la plataforma y la versión del sistema operativo); un identificador del dispositivo asignado por el sistema operativo; la versión de la aplicación; la clave pública del dispositivo; y el token para notificaciones push. Necesitamos estos datos para distinguir sus dispositivos, entregar mensajes y mostrarle en los ajustes qué dispositivos tienen la sesión iniciada. Los nombres de los dispositivos se guardan sin cifrar. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

5. Conexiones, comprobaciones de códigos y sus contenidos

Cuando se conecta con otra persona, guardamos quién está conectado con quién, desde cuándo y el nombre que usted da a la conexión. Los códigos se derivan de un secreto que comparten ambas partes (secreto de código). Los códigos que usted ve se generan en su dispositivo.

Cuando su aplicación lo admite, los secretos de código se cifran en su dispositivo para dispositivos destinatarios concretos (acuerdo de claves X25519, AES-256-GCM). No podemos descifrar esa copia.

En los casos siguientes también tratamos secretos de código. En ellos se guardan cifrados con AES-256-GCM bajo una clave que controlamos, y nuestros servidores pueden descifrarlos:

• a) códigos de conexión y de organización generados por el servicio;
• b) la generación de códigos para la aplicación de escritorio y para clientes de máquina;
• c) invitaciones y enlaces abiertos, hasta que el dispositivo del destinatario ha recibido el secreto;
• d) cuentas que usan la copia de seguridad de claves en el servidor;
• e) cuentas de demostración.

Cuando una persona introduce un código en una página pública de verificación, o cuando un código se comprueba con el servidor de otro operador (sección 15), el código se transmite para comprobarlo. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

Comprobaciones de códigos. Cuando comprueba el código de una de sus conexiones, guardamos la comprobación: quién comprobó el código de quién, cuándo y con qué resultado. En una organización también se registra una comprobación cuando los miembros se confirman mutuamente en una reunión (check-in), con el nombre que se muestra allí y el método. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

Beacon. Si emite un beacon para que otros puedan comprobar sus códigos, guardamos cuándo empezó y terminó la sesión, sus ajustes y cuántas comprobaciones y regiones tuvo, incluido cuántas comprobaciones parecían inusuales. Eliminamos estos registros a los 90 días. Base jurídica: art. 6, apdo. 1, letra b), del RGPD; para contar las comprobaciones inusuales, art. 6, apdo. 1, letra f), del RGPD, nuestro interés legítimo en detectar el uso indebido de sus códigos.

Sellos. Cuando sella un texto o un archivo, guardamos una huella (hash) del mismo, su idioma, el momento del sellado y si fue revocado. El archivo en sí nunca se sube. Si comparte un sello mediante un enlace, guardamos además el texto cifrado con una clave que solo tienen el enlace y sus propios dispositivos; no podemos leerlo. Eliminamos el texto cifrado 24 horas después de su primera comprobación y, como máximo, a los 30 días. La huella sigue siendo verificable a través del registro público de transparencia (sección 16). Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

Contenidos y ajustes que usted crea. Guardamos lo que usted crea o configura en el servicio: los nombres y descripciones que da a las conexiones, las etiquetas y los favoritos, los nombres que da a sus espacios de trabajo, los ajustes predefinidos para códigos de invitado y conexiones, sus ajustes de notificaciones, los mensajes que añade a las invitaciones, su identificador público y sus enlaces de invitación abiertos, los códigos promocionales que canjea, y el nombre, los permisos y las fechas de uso de los tokens de API y de las aplicaciones que conecta a su cuenta. De un token de API solo guardamos un hash. También registramos cuándo solicitó una exportación de datos; el archivo de exportación se elimina a las 24 horas. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

6. Cómo protegemos los datos almacenados

Los datos personales de nuestra base de datos de la aplicación, como direcciones de correo electrónico, nombres, nombres de conexiones, notificaciones y claves de API guardadas, se cifran con AES-256-GCM antes de guardarse. Hay dos excepciones que se guardan en texto plano: la dirección de correo que usa el servicio de autenticación para el inicio de sesión, porque el inicio de sesión la necesita, y los nombres de sus dispositivos. La clave la custodia un proveedor independiente de gestión de claves en la Unión Europea (Infisical), no la base de datos. Nuestros servidores de aplicación obtienen la clave en tiempo de ejecución y pueden descifrar estos datos para prestar el servicio. Cuando nuestros administradores muestran datos descifrados en la consola de administración, esto queda registrado en un registro de auditoría.

Las direcciones IP que usamos para limitar solicitudes y para estadísticas de verificación se guardan solo como hash con clave (HMAC-SHA256).

7. Invitaciones a personas sin cuenta

Si invita a una persona que aún no tiene cuenta, guardamos la dirección de correo electrónico que usted ha introducido y enviamos a esa persona una invitación. La dirección procede de usted. Se elimina cuando la invitación se acepta, se rechaza, se retira o caduca. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo, y el de la persona que invita, es entregar la invitación. El correo de invitación remite a esta política.

8. Páginas públicas de verificación y códigos de invitado

En las páginas públicas de verificación cualquier persona puede comprobar un código, también sin cuenta. Tratamos las palabras del código introducidas, el país aproximado y un hash con clave de la dirección IP, para limitar los intentos de adivinar. Para los códigos de invitado guardamos además quién comprobó un código y cuándo. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es proteger los códigos contra intentos sistemáticos. Plazos de conservación: sección 25.

9. Valoraciones y puntuación de confianza

Los usuarios pueden valorarse y recomendarse entre sí. Una valoración que usted recibe nunca se muestra con el nombre de quien la dio. A partir de estas valoraciones, la antigüedad de la cuenta, su uso y los resultados del control antifraude (sección 10) calculamos una puntuación de confianza. Quien comprueba un código suyo ve esta puntuación, también a través de servidores de otros operadores (sección 15). Se trata de una evaluación de aspectos personales (elaboración de perfiles). La puntuación no da lugar a una decisión automatizada sobre usted; es una información para la persona que comprueba.

La puntuación de confianza forma parte del servicio que Trusted Codes presta a cada usuario conforme a las Condiciones de uso: quien comprueba un código sabe si la conexión existe y qué grado de confianza merece la cuenta que hay detrás. A cambio, su propia puntuación se muestra a las personas que comprueban códigos suyos. Base jurídica: art. 6, apdo. 1, letra b), del RGPD. En la medida en que el tratamiento no sea necesario para el contrato, la base jurídica es el art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo, y el de todos los usuarios, es la protección frente a cuentas falsas o utilizadas de forma abusiva. En ese caso puede oponerse (sección 27).

Si considera que una valoración sobre usted es incorrecta, puede pedir que la revisemos y rectifiquemos (art. 16 del RGPD).

10. Prevención del fraude y decisiones automatizadas

Cuando crea una cuenta o solicita un enlace de inicio de sesión, enviamos su dirección IP, su dirección de correo electrónico y la identificación de su navegador (agente de usuario) a MaxMind, Inc. (EE. UU.). MaxMind devuelve una ubicación aproximada (país, región, ciudad, zona horaria), características de la conexión de red (por ejemplo VPN, Tor o proveedor de alojamiento) y una puntuación de riesgo. Guardamos estos resultados con su cuenta y con cada solicitud de enlace de inicio de sesión. El país de registro y el hash de IP de la cuenta se eliminan un año después del registro.

Decisión automatizada. La solicitud se rechaza automáticamente si la puntuación de riesgo supera un umbral, si aparece una dirección de correo nueva junto con una puntuación elevada, o si se usa una red de anonimización desde un país de riesgo elevado. También se rechaza automáticamente el registro con una dirección de correo desechable. Estas decisiones son necesarias para la celebración del contrato (art. 22, apdo. 2, letra a), del RGPD). Sin ellas no podríamos impedir cuentas falsas que perjudican a los usuarios que confían en la autenticidad de las conexiones.

Si su solicitud fue rechazada, escriba a privacy@trusted.codes. Una persona revisará de nuevo la decisión. Usted puede expresar su punto de vista e impugnar la decisión (art. 22, apdo. 3, del RGPD).

Las señales de riesgo son uno de los datos de entrada de la puntuación de confianza (sección 9). Para guardar los resultados, la base jurídica es el art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo, y el de los demás usuarios, es mantener alejados a los estafadores y las cuentas falsas antes de que se conecten con usuarios de buena fe (considerando 47 del RGPD).

11. Registros de seguridad

Registramos los inicios de sesión, las acciones de la cuenta y la administración de organizaciones. En las solicitudes de enlaces de inicio de sesión guardamos la dirección de correo electrónico (cifrada), la dirección IP, la identificación del cliente y el resultado del control antifraude. En los registros rechazados guardamos el intento. Con cada inicio de sesión guardamos un hash con clave de la dirección IP. Usamos estos datos para detectar ataques e investigar errores. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Plazos de conservación: sección 25.

Nuestros administradores pueden asignar una etiqueta a una cuenta, por ejemplo para un caso de soporte, para el programa de pruebas o por sospecha de uso indebido, y añadirle una nota interna. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es atenderle y prevenir el uso indebido. Las etiquetas forman parte de su exportación de datos; puede solicitar las notas a privacy@trusted.codes.

12. Asistente

Las aplicaciones y los portales incluyen un asistente. Responde preguntas sobre el servicio y, tras su confirmación expresa, ejecuta acciones en su cuenta. Usted interactúa con un sistema de IA. Sus respuestas pueden ser erróneas. Las acciones solo se ejecutan después de que usted las confirme.

12.1 Con nuestra clave

Para entender su solicitud, redactar respuestas y encontrar textos de ayuda adecuados usamos OpenAI (OpenAI Ireland Ltd; sociedad matriz OpenAI, Inc., EE. UU.). Enviamos su mensaje, la parte anterior de la conversación y, en preguntas sobre el servicio, extractos de nuestros artículos de ayuda. Para encontrar artículos de ayuda adecuados, su pregunta se convierte además en un vector de búsqueda. No enviamos su nombre, su dirección de correo electrónico ni su identificador de cuenta. Aun así, la conversación puede contener datos personales que usted o el asistente hayan escrito, por ejemplo el nombre de un contacto. No introduzca datos de otras personas que la tarea no necesite.

OpenAI trata los datos en los Estados Unidos. La transferencia se basa en las cláusulas contractuales tipo de la UE. OpenAI conserva los datos de la API hasta 30 días para detectar abusos y después los elimina, y no los usa para entrenar modelos.

Cada plan que incluye el asistente contiene un número limitado de respuestas al mes redactadas con nuestro modelo (actualmente tres). Después, las respuestas requieren su propia clave.

12.2 Con su propia clave

Si guarda su propia clave de API, el asistente envía el mismo contenido al proveedor que usted ha elegido (OpenAI, Anthropic, Google, xAI, Moonshot AI u OpenRouter). Esto ocurre en virtud de su propio contrato con ese proveedor, y se aplican sus condiciones. Ese proveedor no es nuestro subencargado del tratamiento. Guardamos su clave cifrada (sección 6).

12.3 Conservación y base jurídica

De cada solicitud guardamos su categoría (por ejemplo, «crear una conexión» o «pregunta sobre el servicio») y su resultado, no su texto, durante 180 días, para encontrar errores. Solo si una solicitud se clasifica como sospecha de abuso conservamos su texto y la respuesta, cifrados, durante 30 días, para investigar el uso indebido. Guardamos el uso del modelo por usuario durante 13 meses, para la facturación.

Base jurídica para el asistente y los datos de uso: art. 6, apdo. 1, letra b), del RGPD. Para los registros de solicitudes y el texto de la sospecha de abuso: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es encontrar errores e impedir abusos.

13. Organizaciones y clientes empresariales

Para una organización guardamos su nombre, su logotipo, la dirección de correo de facturación, el número de identificación a efectos del IVA, así como sus miembros, grupos y funciones. Comprobamos el número de IVA mediante el sistema de intercambio de información sobre el IVA (VIES) de la Comisión Europea. Base jurídica: art. 6, apdo. 1, letras b) y c), del RGPD.

Tratamos los datos de los miembros y contactos de una organización por cuenta del cliente empresarial, sobre la base del Contrato de encargo del tratamiento. Para consultas sobre estos datos, el cliente empresarial es su primer interlocutor. Los administradores de una organización pueden exportar sus datos. El archivo de exportación está disponible para su descarga durante 7 días y después se elimina.

Los administradores de una organización ven un registro de verificaciones: qué miembros y contactos de la organización comprobaron el código de quién, cuándo y con qué resultado. Las entradas se conservan durante un año; las entradas de beacon, durante 90 días.

14. Pagos

Los planes de pago solo están disponibles para clientes empresariales. Los pagos los gestiona Stripe Payments Europe, Ltd. (Irlanda). Stripe también trata datos en EE. UU. (sección 24). Los datos de la tarjeta van directamente a Stripe y no nos llegan. Recibimos el estado del pago y el nombre y la dirección para la factura. Conservamos las facturas y los justificantes contables durante el tiempo que exige la legislación mercantil y fiscal (sección 25). Base jurídica: art. 6, apdo. 1, letras b) y c), del RGPD.

15. Servidores de otros operadores

Trusted Codes puede conectarse con servidores de otros operadores, por ejemplo una organización que gestiona el servicio por sí misma. Si usted se conecta con una persona en un servidor de ese tipo, o si esa persona comprueba un código suyo, enviamos a ese servidor su nombre visible, su foto de perfil, sus claves públicas y su puntuación de confianza; en las invitaciones, la dirección de correo de la persona invitada; y su dirección de correo, si usted lo ha activado. Si elimina su cuenta, comunicamos a esos servidores que ya no existe. El otro operador es el responsable del tratamiento de los datos en su servidor. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

16. Registro público de transparencia

Para que cualquiera pueda comprobar que no cambiamos claves sin que se note, publicamos periódicamente un valor hash en un registro público de transparencia (Sigstore Rekor, EE. UU.). Este valor es la raíz de nuestro registro de claves públicas y de huellas de sellos. No contiene datos personales. Las entradas de este registro no se pueden eliminar. Base jurídica para llevar el registro: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es que los cambios de claves sean verificables.

17. Aplicación de escritorio y conexión con programas de IA

La aplicación de escritorio puede dar acceso a sus códigos a programas de IA que usted elija. Lo hace mediante una interfaz local en su ordenador o mediante nuestro servicio de retransmisión mcp.trusted.codes. El servicio de retransmisión pasa las solicitudes entre el programa de IA y su aplicación de escritorio. No guarda contenido. Conserva registros de conexión (un nombre de usuario derivado de su dirección de correo, la dirección IP y la hora) durante 7 días. Gestionamos este servicio nosotros mismos en un servidor alquilado de Hetzner Online GmbH en Alemania.

Lo que el programa de IA hace con los datos lo determina su proveedor; de ello son responsables usted y ese proveedor. Base jurídica para la retransmisión: art. 6, apdo. 1, letra b), del RGPD; para los registros de conexión: art. 6, apdo. 1, letra f), del RGPD, nuestro interés legítimo en operar el servicio de forma segura.

18. Programa de pruebas

Mientras las aplicaciones se distribuyan a través de programas de pruebas, añadimos su dirección de correo a un grupo de Google Workspace que controla el acceso a las versiones de prueba (Google, EE. UU.). Cuando elimina su cuenta, la dirección se retira de ese grupo. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

19. Estadísticas de uso e informes de errores

En las aplicaciones, los portales y nuestros sitios web contamos con Plausible Analytics qué páginas y pantallas se abren. Gestionamos Plausible nosotros mismos en un servidor alquilado de Hetzner Online GmbH en Núremberg, Alemania. Plausible no usa cookies. La dirección IP solo se trata en memoria para formar un hash que cambia cada día. No se guarda.

También evaluamos eventos como la creación de una cuenta o de una conexión. Algunas de estas evaluaciones están vinculadas a su identificador de cuenta o a un hash del mismo (datos seudonimizados). Para la evaluación interna usamos Metabase, que gestionamos nosotros mismos en el mismo servidor en Alemania. Solo nosotros tenemos acceso. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es entender y mejorar el servicio. Puede oponerse (sección 27).

Si se produce un error, las aplicaciones, los portales, la consola de administración, la aplicación de escritorio y el sitio web envían un informe de error a Sentry (Functional Software, Inc., EE. UU.), región de la UE en Alemania. El informe contiene la traza técnica, la versión de la aplicación, el modelo del dispositivo o el navegador y, en su caso, su identificador de cuenta. No contiene ninguna dirección de correo ni dirección IP. El sitio web no graba sesiones. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es corregir errores.

20. Sitio web, alojamiento y formulario de contacto

El sitio web, las páginas e interfaces de app.trusted.codes y los portales están alojados por Vercel Inc. (EE. UU.). Las funciones de servidor se ejecutan en Fráncfort, Alemania. Los archivos estáticos se entregan a través de la red global de distribución de contenidos de Vercel. En cada solicitud, Vercel trata metadatos de la solicitud y su dirección IP. Base jurídica: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es entregar el sitio web de forma segura.

Si usa el formulario de contacto o la lista de espera de trusted.codes, guardamos su nombre, su dirección de correo, el asunto y su mensaje en una hoja de cálculo de Google (Google Sheets, EE. UU.) para responderle. Solo lo usamos durante el periodo de pruebas. La hoja de cálculo se elimina cuando termina el periodo de pruebas. Base jurídica: art. 6, apdo. 1, letra b), del RGPD si su consulta se refiere a un contrato; en otro caso, art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es responder a su consulta.

21. Cookies y almacenamiento en su dispositivo

El sitio web usa una sola cookie, NEXT_LOCALE, cuando usted cambia el idioma. Guarda esa elección durante un año. En los portales, tras iniciar sesión, su navegador guarda su sesión y ajustes como la organización seleccionada en el almacenamiento local. Las aplicaciones guardan claves, secretos y datos de inicio de sesión en el almacén protegido de claves del dispositivo (Keychain / Keystore) y los demás datos en una base de datos local cifrada. Todas estas entradas son estrictamente necesarias para el servicio que usted ha solicitado (§ 25, apdo. 2, n.º 2, TDDDG).

Servimos las fuentes tipográficas y las bibliotecas de programas desde nuestros propios servidores. Su navegador no carga nada de terceros para ello.

22. Correos electrónicos y notificaciones push

Enviamos correos electrónicos a través de Resend, Inc. (EE. UU.), desde su región en Irlanda. Las notificaciones push pasan por Expo (650 Industries, Inc., EE. UU.) hacia el servicio de entrega de Apple o de Google (EE. UU.). Estos reciben la dirección o el token push y el contenido del mensaje. Las aplicaciones también reciben actualizaciones a través de Expo; para ello se transmite la dirección IP del dispositivo. Base jurídica: art. 6, apdo. 1, letra b), del RGPD.

23. Destinatarios y proveedores de servicios

Recurrimos a proveedores de servicios que tratan datos por cuenta nuestra. Nuestra base de datos, el inicio de sesión, las funciones de servidor y el almacenamiento de archivos funcionan en Supabase sobre Amazon Web Services en Estocolmo, Suecia (UE). Supabase Inc. es una empresa estadounidense. Las claves de cifrado las custodia Infisical en su instancia de la UE; Infisical no recibe datos de usuarios.

La lista completa y fechada, con finalidad, ubicación y datos transmitidos, se publica también en trusted.codes/legal/subprocessors y como anexo 2 del Contrato de encargo del tratamiento.

Actualizada a 2026-10-01

También reciben datos: los servidores de otros operadores (sección 15); la Comisión Europea, para comprobar números de IVA (sección 13); el registro público de transparencia (sección 16, sin datos personales); y, si usa su propia clave de API, el proveedor de IA que usted ha elegido (sección 12.2). Las autoridades solo reciben datos si estamos legalmente obligados a facilitarlos.

24. Transferencias a terceros países

Algunos destinatarios se encuentran en EE. UU. o pertenecen a empresas estadounidenses: Supabase (acceso de soporte), Vercel, Resend, Sentry, OpenAI, Stripe, MaxMind, Expo con los servicios push de Apple y Google, el inicio de sesión con Apple y Google, Google Workspace y Google Sheets. Basamos estas transferencias en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914). Puede obtener una copia en privacy@trusted.codes.

25. Plazos de conservación

Por regla general, guardamos los datos mientras exista su cuenta y los eliminamos cuando usted la elimina. Se aplican en cambio los siguientes plazos:

26. Eliminación de su cuenta

Puede eliminar su cuenta en la aplicación y en el portal. Entonces eliminamos los datos de su cuenta. Retiramos su dirección de correo del grupo del programa de pruebas (sección 18) y comunicamos a los servidores de otros operadores que su cuenta ya no existe (sección 15).

Tras la eliminación, solo se conservan, durante los plazos de la sección 25: los registros de sus aceptaciones de textos legales, que necesitamos como prueba; las facturas y los justificantes contables; los eventos de registro y de eliminación; y los registros cuyo propio plazo aún no ha vencido. Si responde a la encuesta voluntaria tras la eliminación, guardamos sus respuestas sin su dirección de correo. Base jurídica de la encuesta: art. 6, apdo. 1, letra f), del RGPD. Nuestro interés legítimo es mejorar el servicio.

27. Sus derechos

Tiene derecho de acceso (art. 15 del RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20). Muchos de ellos puede ejercerlos usted mismo: en la aplicación y en el portal puede exportar sus datos y eliminar su cuenta. La exportación contiene todos los datos personales que guardamos sobre usted, salvo el material de seguridad, como claves y tokens, y las notas internas; indica qué omite y cómo solicitarlo. En los demás casos, escriba a privacy@trusted.codes. Respondemos en el plazo de un mes y podemos pedirle que acredite su identidad. Sobre las decisiones automatizadas, véase la sección 10 (art. 22 del RGPD).

28. Derecho a presentar una reclamación

Puede presentar una reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD). La autoridad competente para nosotros es la autoridad bávara de protección de datos (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA), Promenade 18, 91522 Ansbach, Alemania.

29. Obligación de facilitar datos

Para crear una cuenta necesitamos su dirección de correo electrónico. Sin ella no podemos prestar el servicio. Todos los demás datos son voluntarios o se generan con el uso del servicio.

30. Cambios en esta política

Si el tratamiento cambia, actualizamos esta política y publicamos la nueva versión con su fecha. Le informamos de los cambios importantes por correo electrónico. Las versiones anteriores siguen disponibles en su dirección de versión.

Esta versión (2026-10-04) está vigente desde el 4 de octubre de 2026.