Política de privacidad

Esta Política de Privacidad explica cómo CalPair (gestionado por iPSUM engineering e.K.) recoge, utiliza y protege tus datos personales cuando utilizas nuestro servicio de sincronización de calendarios. Nos comprometemos con la minimización de datos y la privacidad desde el diseño.

1. Responsable

El responsable del tratamiento de datos en este sitio web es: iPSUM engineering e.K. (Titular: Thomas Jordan) Consulta el Aviso legal para ver la dirección completa y los datos de contacto. Correo electrónico: hello@calpair.io Seguridad/abusos: security@calpair.io

2. Categorías de datos tratados

Recogemos y tratamos las siguientes categorías de datos:

• Datos de la cuenta: Dirección de correo electrónico, UUID de usuario, fecha de registro, plan y número total de eventos sincronizados.
• Datos de autenticación: Tokens OAuth cifrados de Google y Microsoft, y contraseñas específicas de aplicación cifradas para cuentas CalDAV (p. ej., Apple iCloud, Fastmail, mailbox.org). Todas las credenciales se cifran en reposo con AES-256-GCM — consulta Seguridad de los datos más abajo.
• Datos de sesión: ID de sesión, cadenas User-Agent, direcciones IP y marcas de tiempo.
• Metadatos de sincronización de calendarios: Configuraciones de los pares de calendarios (ID de calendario, etiquetas de cuenta, textos de privacidad), estados de sincronización y correspondencias de eventos. Importante: NO almacenamos de forma permanente títulos, descripciones, ubicaciones ni correos electrónicos de los asistentes. Solo almacenamos hashes criptográficos (SHA-256) de estos campos para detectar cambios.
• Datos de webhooks: ID de suscripciones de webhook (plan Pro, función opcional).
• Datos del feed público de disponibilidad (opcional, planes de pago): Si activas un feed público de disponibilidad, solo almacenamos su configuración — un token de acceso aleatorio, los calendarios y etiquetas que decides publicar, el intervalo de tiempo, las marcas de tiempo de acceso y un contador y (solo si activas la vista web protegida con PIN) un hash scrypt del PIN que establezcas. No almacenamos ningún contenido de eventos; el feed se genera en directo a partir de tus calendarios conectados en cada solicitud.
• Datos de facturación y contabilidad (planes de pago): Las facturas emitidas por tu suscripción de pago — que contienen tu nombre, dirección de facturación y correo electrónico tal como los facilitaste a nuestro proveedor de pagos — se registran y archivan en cumplimiento de obligaciones legales fiscales y mercantiles.
• Registros técnicos: Registros del servidor con direcciones IP, metadatos de solicitudes y mensajes de error (conservación de 14 días).
• Datos de auditoría: Registros de eliminaciones de cuentas (incluidos hashes de correo electrónico y direcciones IP).

Datos de asistentes de terceros

Cuando sincronizas eventos en los que participan otras personas (asistentes), leemos temporalmente sus direcciones de correo electrónico desde la API de tu calendario de origen para procesar el evento. No almacenamos de forma permanente las direcciones de correo de los asistentes ni las escribimos en tu calendario de destino. El tratamiento se realiza exclusivamente en memoria durante la sincronización.

Feed público de disponibilidad (opcional)

En los planes de pago, puedes publicar tu disponibilidad mediante un feed público — ya sea un enlace ICS suscribible para aplicaciones de calendario o una vista web protegida con PIN. En ambos casos, los destinatarios ven solo bloques de tiempo ocupado/libre y una etiqueta que tú eliges (por defecto «Busy»). Los títulos, descripciones, ubicaciones y asistentes de tus eventos nunca se publican. El enlace es una URL de capacidad (quien lo tenga — o el enlace más el PIN — puede ver la disponibilidad) y puedes revocarlo en cualquier momento desde el Portal.

3. Finalidades y bases jurídicas

Tratamos tus datos para las siguientes finalidades con arreglo al Reglamento General de Protección de Datos (RGPD):

Para los datos de los asistentes, nos acogemos a la excepción a la obligación de información del art. 14.5.b RGPD (esfuerzo desproporcionado), ya que los datos solo se tratan de forma efímera y no tenemos relación directa con los asistentes.

4. Destinatarios y comunicación de datos

Cómo fluyen los datos de tu calendario. La función principal de CalPair es copiar eventos de calendario entre las dos cuentas que conectas en un par de calendarios, siguiendo tus instrucciones. Al configurar un par, nos indicas que leamos eventos de tu calendario de origen y escribamos las entradas correspondientes en tu calendario de destino. Esto significa que los datos de un proveedor se transfieren, por instrucción expresa tuya, al otro proveedor que hayas elegido — en ambas direcciones:

• Si Google es el origen, los eventos que leemos mediante la Google Calendar API se escriben en el destino que hayas elegido (Microsoft Outlook, otra cuenta de Google o una cuenta CalDAV como Apple iCloud, Fastmail o mailbox.org).
• Si Google es el destino, los eventos de tu cuenta de origen de Microsoft, CalDAV/Apple u otra se escriben en tu calendario de Google. Lo mismo se aplica de forma simétrica a las cuentas de Microsoft y CalDAV.

Lo que copiamos depende del ajuste de privacidad que elijas para cada par: el evento completo (título, hora, ubicación, descripción) o — si activas el modo privado — solo un bloque de ocupado anonimizado con una etiqueta que tú defines (por defecto «Busy»), sin título, descripción ni ubicación. Nunca copiamos direcciones de correo de los asistentes en el calendario de destino.

Datos de usuario de Google — Limited Use. El uso y la transferencia por parte de CalPair de la información recibida de las API de Google se ajustan a la Google API Services User Data Policy, incluidos los requisitos de Limited Use. Utilizamos los datos de Google Calendar exclusivamente para prestar las funciones de sincronización que solicitas. No vendemos datos de usuario de Google, no los utilizamos para publicidad ni para entrenar modelos de IA/ML. Solo comunicamos datos de usuario de Google (a) al destino de sincronización que tú mismo configuras, (b) a los destinatarios de un feed de disponibilidad (Open Agenda) que decidas publicar — en ese caso solo bloques de tiempo ocupado/libre y una etiqueta que defines, nunca detalles de los eventos, (c) a los encargados del tratamiento de infraestructura estrictamente necesarios para prestar el servicio (indicados a continuación) o (d) cuando la ley lo exija.

Para prestar el servicio, recurrimos a los siguientes encargados del tratamiento y servicios de terceros:

• Hetzner Online GmbH (Alemania): Nuestro proveedor principal de alojamiento. Existe un contrato de encargo del tratamiento (DPA).
• Bunny.net (BunnyWay d.o.o., Šmartinska 152, 1000 Liubliana, Eslovenia): Red de distribución de contenidos. Bunny.net trata direcciones IP y metadatos de solicitudes HTTP exclusivamente en servidores de la UE. El contrato de encargo del tratamiento se celebra automáticamente al crear la cuenta. (Política de privacidad: https://bunny.net/privacy)
• Scaleway SAS (Francia, UE): Proveedor de correo transaccional para notificaciones del servicio y correos relacionados con la cuenta, y almacenamiento cifrado de copias de seguridad externas de la base de datos (Object Storage, región de París). Proveedor con sede en la UE, datos almacenados en Francia. Existe un contrato de encargo del tratamiento mediante el DPA estándar de Scaleway.
• Google Ireland Ltd. / Google LLC (EE. UU.): Proveedor de identidad y API de calendario. Google actúa como responsable independiente para la autenticación y como encargado del tratamiento para el acceso a la API de calendario en tu nombre.
• Microsoft Ireland Operations / Microsoft Corp. (EE. UU.): Proveedor de identidad y API de calendario. Microsoft actúa como responsable independiente para la autenticación y como encargado del tratamiento para el acceso a la API de calendario en tu nombre.
• Stripe Payments Europe Ltd. (Irlanda) / Stripe Inc. (EE. UU.): Procesamiento de pagos de las suscripciones de pago. Cuando contratas un plan de pago, Stripe recoge datos de pago (tarjeta o datos bancarios), nombre y dirección de facturación, dirección IP y una huella del dispositivo como responsable independiente con fines de prevención del fraude, además de procesar los pagos en nuestro nombre. CalPair solo almacena identificadores de Stripe, el estado de la suscripción y el periodo de facturación — nunca datos completos de la tarjeta. Si eliminas tu cuenta, cancelamos tu suscripción y eliminamos tu registro de cliente en Stripe. Consulta la Política de Privacidad de Stripe (https://stripe.com/privacy).
• Proveedores de contabilidad y archivo de facturas: Para cumplir nuestras obligaciones legales fiscales y mercantiles de conservación de registros, las facturas emitidas por suscripciones de pago se registran y archivan con los siguientes proveedores:
  • pCloud AG (Suiza), región de almacenamiento de la UE: Almacenamiento externo cifrado de documentos de factura. Utilizamos la región de almacenamiento de la UE de pCloud (los datos se conservan en la UE); pCloud AG tiene su sede en Suiza, país para el que la Comisión Europea ha adoptado una decisión de adecuación (art. 45 RGPD).
  • Lexware Office (lexoffice), gestionado por Haufe-Lexware GmbH & Co. KG (Alemania): Software de contabilidad en la nube utilizado para registrar y archivar las facturas de las suscripciones de pago. Los datos se almacenan en Alemania.
• Proveedores CalDAV que conectes (p. ej., Apple iCloud — Apple Inc., EE. UU.; Fastmail Pty Ltd, Australia; mailbox.org — Heinlein Support GmbH, Alemania): Si conectas un calendario CalDAV, lo haces con tu propia cuenta existente en ese proveedor y una contraseña específica de aplicación que generas tú. CalPair accede a él solo por tu instrucción expresa y actúa como destinatario u origen de los eventos que decides sincronizar. Estos proveedores actúan en el marco de tu propio contrato con ellos; CalPair no establece con ellos una relación de encargo del tratamiento propia (de forma análoga a la conexión de origen de Google/Microsoft). Cuando esto implica una transferencia a EE. UU., Apple está certificada conforme al EU-US Data Privacy Framework; para otros terceros países, la transferencia se basa en tu propia elección de proveedor y es necesaria para realizar la sincronización solicitada (art. 49.1.b RGPD).

5. Transferencias de datos a terceros países

Determinados tratamientos (como la comunicación con las API de Google o Microsoft) implican la transferencia de datos a servidores ubicados en Estados Unidos. Si conectas una cuenta CalDAV alojada fuera de la UE (p. ej., Apple iCloud en EE. UU. o Fastmail en Australia), los eventos que sincronices hacia o desde ella también se transfieren allí — consulta la entrada CalDAV de la sección 4 para conocer la base jurídica.

Base jurídica de las transferencias a EE. UU.: Google LLC y Microsoft Corp. están certificadas conforme al EU-US Data Privacy Framework (DPF). La Comisión Europea ha reconocido que el DPF ofrece un nivel adecuado de protección de datos (art. 45 RGPD). Puedes verificar su certificación en dataprivacyframework.gov (https://www.dataprivacyframework.gov/s/participant-search).

El archivo de facturas mediante pCloud (Suiza) se basa en la decisión de adecuación de la Comisión Europea para Suiza (art. 45 RGPD), y se utiliza la región de almacenamiento de la UE; lexoffice almacena los datos en Alemania. Cuando el DPF o una decisión de adecuación no sea aplicable o fuera invalidada, nos basamos en las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea o en el art. 49.1.b RGPD (necesario para la ejecución de un contrato). Supervisamos la situación del DPF y aplicaremos sin demora garantías alternativas si fuera necesario.

6. Seguridad de los datos

Protegemos tus datos — incluidos los datos sensibles de calendario a los que se accede mediante las API de Google, Microsoft y CalDAV — con las siguientes medidas:

• Cifrado en tránsito: Todas las conexiones a CalPair y todas las llamadas a las API de los proveedores (Google, Microsoft, CalDAV) utilizan TLS (HTTPS).
• Cifrado en reposo: Los tokens de acceso/actualización OAuth y las contraseñas específicas de aplicación de CalDAV se cifran a nivel de campo en nuestra base de datos con AES-256-GCM (clave derivada mediante scrypt), con una vinculación autenticada de cada registro a tu ID de usuario, al proveedor y a la cuenta, de modo que el texto cifrado no puede trasladarse entre cuentas. Solo se descifran en memoria y únicamente durante una sincronización.
• Minimización de datos desde el diseño: No almacenamos de forma permanente el contenido de tus eventos. Los títulos, descripciones, ubicaciones y correos de los asistentes solo se tratan en memoria durante una sincronización; únicamente conservamos hashes SHA-256 de los campos relevantes para detectar cambios.
• Copias de seguridad cifradas: Las copias de seguridad externas de la base de datos se cifran con GPG/AES-256 y se almacenan en la UE (Scaleway Object Storage, región de París).
• Control de acceso y auditoría: El acceso a los sistemas de producción está restringido al operador; las acciones administrativas sobre datos de usuarios requieren un segundo factor (confirmación mediante token por correo electrónico) y quedan registradas en un registro de auditoría.

7. Plazo de conservación y eliminación de datos

Conservamos tus datos solo durante el tiempo necesario para cada finalidad:

• Datos de la cuenta y de sincronización: Se conservan mientras tu cuenta esté activa.
• Correspondencias de eventos: Cuando eliminas un evento de calendario, el hash de correspondencia se marca como eliminado y se conserva un máximo de 30 días (borrado lógico) para evitar errores de resincronización.
• Sesiones: Los datos de sesión (incluidas IP y User-Agent) se eliminan 7 días después de que la sesión caduque o se revoque.
• Registros del servidor: Los registros técnicos rotan automáticamente y se eliminan a los 14 días.
• Datos de auditoría (eliminación de cuentas): Cuando eliminas tu cuenta, almacenamos un hash de tu dirección de correo electrónico y tu última IP durante un máximo de 3 años para prevenir abusos y errores de doble eliminación.
• Facturas y registros contables: Las facturas y los registros contables relacionados se conservan durante el plazo legal de hasta 10 años (§ 147 AO, § 257 HGB), con independencia de la eliminación de la cuenta, y se archivan con los proveedores de contabilidad indicados en la sección 4.
• Copias de seguridad: Realizamos copias de seguridad externas, automatizadas y cifradas de la base de datos (GPG/AES-256), almacenadas en la UE (Scaleway Object Storage, región de París). Las copias se conservan durante un periodo limitado según nuestra política de ciclo de vida; cuando se elimina una cuenta, los datos salen de forma natural del periodo de copia de seguridad una vez transcurrido dicho plazo.

8. Tus derechos

Conforme al RGPD, tienes los siguientes derechos sobre tus datos personales:

• Derecho de acceso (art. 15): Puedes solicitar en cualquier momento una exportación completa de tus datos mediante la función de exportación autoservicio del Portal de CalPair.
• Derecho de rectificación (art. 16): Puedes corregir los datos inexactos en los ajustes de tu cuenta.
• Derecho de supresión (art. 17): Puedes eliminar de forma permanente tu cuenta y todos los datos de calendario asociados desde el Portal de CalPair.
• Derecho a la limitación del tratamiento (art. 18)
• Derecho a la portabilidad de los datos (art. 20): Puedes descargar tus datos en un formato JSON legible por máquina desde el Portal.
• Derecho de oposición (art. 21): Puedes oponerte al tratamiento basado en intereses legítimos (art. 6.1.f).
• Derecho a retirar el consentimiento (art. 7.3): Si el tratamiento se basa en el consentimiento, puedes retirarlo en cualquier momento.

Para ejercer estos derechos (cuando no sea posible mediante autoservicio), escribe a hello@calpair.io.

Derecho a presentar una reclamación ante una autoridad de control (art. 77 RGPD): Tienes derecho a presentar una reclamación ante una autoridad de protección de datos. La autoridad competente para nosotros es: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Alemania.

9. Cookies

CalPair utiliza cookies estrictamente necesarias para prestar el servicio:

• __Host-calpair_session en producción (calpair_session en desarrollo local, 30 días): Mantiene tu sesión iniciada de forma segura.
• __Host-calpair_oauth_state en producción (calpair_oauth_state en local, 10 minutos): Evita ataques CSRF durante el inicio de sesión con Google/Microsoft.
• __Host-calpair_altcha en producción (calpair_altcha en local, 5 minutos): Protección contra bots antes del inicio de sesión OAuth.
• __Host-calpair_invite en producción (calpair_invite en local, 10 minutos): Transmite el código de invitación desde el formulario al callback de OAuth durante el registro.

Como estas cookies son estrictamente necesarias para el funcionamiento técnico del servicio, no se requiere un banner de consentimiento activo (§ 25 (2) TDDDG). No utilizamos cookies de seguimiento ni de marketing.

10. Cambios en esta Política de Privacidad

Podemos actualizar esta Política de Privacidad periódicamente. Si realizamos cambios significativos, te lo notificaremos pidiéndote que aceptes la política actualizada en tu próximo inicio de sesión. El número de versión indicado arriba se incrementará con cada actualización sustancial.