Política de privacidad

2.1 Responsable

El responsable del tratamiento de datos personales en este sitio web en el sentido del Reglamento general de protección de datos (RGPD) es Sebastian Kokel, que actúa bajo la denominación comercial sebGE Prints, Höchste Straße 18, 45883 Gelsenkirchen, Alemania, correo electrónico: info@layerspan.app.

No hemos designado delegado de protección de datos; no existe obligación de hacerlo (art. 37 RGPD, § 38 BDSG).

2.2 Resumen: qué tratamos, para qué y con qué base

Este sitio web presenta LayerSpan y ofrece la plataforma LayerSpan: una cuenta, herramientas de diseño para la impresión 3D con exportación y membresías de pago. Muchas funciones de las herramientas funcionan en tu navegador. Sin embargo, Shadow Maker, Image to SVG e Image Upscaler envían tus datos de entrada a través de nuestro servidor a servicios de cálculo propios (apartado 2.3, «Herramientas de diseño»); por tanto, las imágenes de estas herramientas no se quedan solo en tu navegador. No utilizamos servicios de análisis, publicidad ni seguimiento. Aparte del reproductor de YouTube, que solo se carga después de tu clic (apartado 2.6), no integramos fuentes ni scripts de otros proveedores; la página de pago y el portal de clientes de Stripe se abren como páginas propias de Stripe. Solo se tratan los datos indicados en esta política.

Abreviaturas de las categorías de conservación (sección 2.9): A técnica a corto plazo, B datos de la cuenta, C prueba de seguridad, D prueba contractual, E conservación fiscal y mercantil.

2.3 Detalles

Sitio web y alojamiento. Vercel Inc. (EE. UU.) aloja y sirve el sitio web. En cada solicitud, Vercel trata los datos que tu navegador envía por motivos técnicos: dirección IP, fecha y hora, dirección solicitada, código de estado y cantidad de datos transferidos, la página visitada anteriormente (referrer) e información sobre el navegador y el sistema operativo. Estos datos son necesarios para servir la página, garantizar su estabilidad y seguridad y protegerla frente a abusos; la conexión está cifrada (HTTPS). Vercel sirve las imágenes en el tamaño adecuado desde nuestra propia dirección web. Las funciones de servidor de este sitio están configuradas en la región de Fráncfort del Meno; los registros y la distribución a través de la red mundial de Vercel también pueden tratarse fuera de la UE. Solo consultamos estos datos en casos concretos, para corregir errores o defendernos de abusos, y no los combinamos con otros datos.

La base jurídica es nuestro interés legítimo en ofrecer el sitio web de forma segura y funcional (art. 6, apdo. 1, letra f RGPD). El proveedor es Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, EE. UU. Vercel trata los datos por encargo nuestro sobre la base de su contrato de encargo del tratamiento (Vercel Data Processing Addendum, versión de 17 de marzo de 2026, vigente desde el 31 de marzo de 2026), que forma parte de las condiciones de uso de Vercel (art. 28 RGPD). En la medida en que del uso del servicio se generen datos de uso y metadatos que sean datos personales, Vercel los trata, según ese contrato, como responsable independiente del tratamiento; para ellos rige la política de privacidad de Vercel (https://vercel.com/legal/privacy-notice). Para la transferencia a EE. UU. nos basamos en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 sobre el EU-US Data Privacy Framework, conforme a la cual Vercel Inc. está certificada (art. 45 RGPD); el contrato de encargo del tratamiento contiene además las cláusulas contractuales tipo de la Comisión Europea de 2021 (art. 46, apdo. 2, letra c RGPD).

Las mismas funciones del servidor responden a las solicitudes de inicio de sesión, de las herramientas y de las compras; en caso de error escriben en sus registros el tipo y la causa, no el contenido de tu solicitud.

Base de datos. Guardamos los datos de cuenta, sesión, membresía, prueba, declaraciones y exportación en una base de datos que Neon gestiona por encargo nuestro en la región de Fráncfort del Meno (Alemania), como encargado del tratamiento sobre la base de su contrato de encargo del tratamiento (art. 28 RGPD).

Cuenta. Al registrarte indicas tu nombre y tu dirección de correo electrónico. No introduces ninguna contraseña: la eliges mediante un enlace que enviamos a tu dirección. La guardamos solo como hash irreversible. Con este paso confirmas además que la dirección es tuya.

Sesión. Al iniciar sesión guardamos la sesión con su caducidad (7 días, renovada con el uso), tu dirección IP y el identificador completo del navegador (user agent), ambos en texto claro. La finalidad es mantener tu sesión iniciada y detectar abusos. La fila se elimina como muy tarde siete días después de la caducidad de la sesión (apartado 2.9).

Protección frente al abuso. Para repeler intentos de inicio de sesión, el componente de inicio de sesión cuenta las solicitudes de todos sus endpoints (inicio de sesión, registro, enlaces para la contraseña) por dirección IP y ruta; la IP figura en texto claro en la clave del contador y las filas se eliminan en cuanto se presenta la ocasión. Los contadores de envío de correo, de formulario de contacto y de declaraciones de cancelación y desistimiento guardan la dirección y la IP solo como hash de clave. Para los contadores, las direcciones IPv6 se agrupan por su prefijo /48.

Día del último uso. Para cada cuenta guardamos el día (no la hora) en que iniciaste sesión por última vez o usaste la plataforma con una sesión ya iniciada. Lo necesitamos para reconocer las cuentas que llevan mucho tiempo sin usarse (apartado 2.9). No se muestra, no se transmite a las herramientas y se elimina con la cuenta. La base jurídica es nuestro interés legítimo en poder eliminar las cuentas que ya no se usan (art. 6, apdo. 1, letra f RGPD). El aviso y la eliminación de las cuentas gratuitas sin uso todavía no están en funcionamiento.

Correo electrónico. Solo enviamos mensajes que necesita la cuenta: enlace para la confirmación y la elección de la contraseña, enlace para restablecerla, aviso de un cambio de contraseña, aviso «Ya tienes una cuenta» cuando alguien se registra de nuevo con la dirección de una cuenta existente, la confirmación de recepción de una baja o un desistimiento y, tras la compra de una membresía, la confirmación del contrato (más abajo). Ni boletines ni publicidad. El nombre de tu cuenta no aparece en ningún correo de la cuenta. El justificante y la factura proceden de Stripe. Cómo se envían los correos se describe en el apartado 2.4.

Herramientas de diseño. En la mayoría de las herramientas, todo lo que diseñas o cargas (imágenes, SVG, dibujos, archivos de proyecto) permanece en tu navegador; al exportar, tu navegador genera el archivo. Nuestro servidor solo comprueba si tu cuenta puede exportar y guarda la operación (fila n.º 8 de la tabla). Los datos del navegador sobre el borrador que se envían en ese momento los comprueba el servidor y no los guarda.

Tres herramientas procesan tus datos fuera de tu navegador y fuera de esta plataforma:

• Image to SVG (solo para miembros con Plus) envía la imagen que eliges y los ajustes (modo, opciones) a través de nuestro servidor a un servicio de conversión que crea el archivo SVG. Por diseño, ni el servicio ni nosotros guardamos la imagen ni el resultado; la autorización de exportación contiene solo una huella de imagen, modo y opciones. Una imagen puede mostrar personas: carga solo imágenes que tengas derecho a que se procesen.
• Shadow Maker, si usas una imagen propia (solo para miembros con Plus), envía esa imagen (un archivo PNG, JPEG o WebP) junto con los ajustes del modelo (por ejemplo tamaño, grosor, pie, umbral, suavizado) a través de nuestro servidor a un servicio de geometría que calcula la vista previa y el archivo STL. Las siluetas de plantilla y las piezas de la caja estándar no envían ninguna imagen, solo sus ajustes. No guardamos ni la imagen ni los ajustes en nuestra base de datos; por diseño, el servicio no los escribe ni en registros ni en un soporte y no conserva nada tras responder. El servicio ve un sujeto seudónimo (derivado de tu cuenta o, sin sesión iniciada, de tu dirección de red), no tu nombre ni tu dirección de correo electrónico. La autorización de exportación contiene solo huellas de la imagen y de los ajustes, que vinculan la autorización a ese modelo y solo pueden usarse una vez. Una imagen puede mostrar personas: carga solo imágenes que tengas derecho a que se procesen.
• Image Upscaler (solo para miembros con Plus) envía la imagen que eliges (un archivo PNG o JPEG) y las opciones que seleccionas (factor, nitidez, reducción de ruido, formato de archivo) a través de nuestro servidor a un worker que amplía la imagen en un proceso aparte, en memoria. Por diseño, el worker no conserva ni la imagen ni el resultado; su registro contiene números de solicitud, tamaños y horas, no la imagen, ni un nombre de archivo ni una dirección. No guardamos ni la imagen ni el resultado en nuestra base de datos; los datos de la cámara y el lugar de la imagen no se trasladan al resultado. El worker ve un sujeto seudónimo derivado de tu cuenta, no tu nombre ni tu dirección de correo electrónico, y nuestro servidor cuenta las solicitudes por miembro y para la plataforma (como hash) para limitar los abusos. La imagen ampliada vuelve a través de nuestro servidor y tampoco se conserva allí. Una imagen puede mostrar personas: carga solo imágenes que tengas derecho a que se procesen.

Map Art Studio no se ofrece actualmente; no envía datos desde este sitio web. Antes de abrirlo completaremos esta política.

Servicios de cálculo de las herramientas. Los servicios de Shadow Maker, Image to SVG e Image Upscaler los gestiona por encargo nuestro Railway (Railway Corporation, EE. UU.) como encargado del tratamiento sobre la base de un contrato de encargo del tratamiento (art. 28 RGPD, vigente desde el 27 de octubre de 2026), en la región EU West en Ámsterdam (Países Bajos). Los servicios están separados entre sí y solo aceptan solicitudes firmadas por nuestro servidor; reciben un sujeto seudónimo, no tu nombre ni tu dirección de correo electrónico. Decidimos por cada herramienta si está abierta en producción; una herramienta no abierta no envía nada. Por su diseño, los servicios no escriben ni imágenes ni resultados en registros ni en soportes de almacenamiento. La base jurídica para tratar una imagen es el art. 6, apdo. 1, letra b RGPD; si una imagen muestra a otras personas, eres responsable de poder utilizarla.

Membresía y pago. Las membresías de pago se compran en una página alojada por Stripe. Stripe recoge tus datos de pago; nosotros nunca los vemos ni los guardamos. Al iniciar una compra creamos en Stripe un cliente con tu dirección de correo electrónico (con una referencia seudónima, sin tu nombre) y guardamos su identificador junto con el plan, el estado y los períodos de la suscripción. Volvemos a leer de Stripe el estado de la suscripción y de las facturas. De los avisos que nos envía Stripe guardamos solo el identificador, el tipo, la hora y el resultado, no el contenido. Con «Gestionar pagos» abres el portal de clientes de Stripe para el cliente que pertenece a tu cuenta. Stripe vende la membresía como merchant of record (condiciones de uso, § 1, apartado 3) y para ello trata tus datos de pago, facturación y contacto bajo su propia responsabilidad, para clientes del Espacio Económico Europeo Stripe Payments Europe, Limited (Irlanda); se aplica la política de privacidad de Stripe (https://stripe.com/privacy). Los datos de cliente, suscripción y estado del pago que intercambiamos con Stripe los tratamos como responsables para ejecutar el contrato (art. 6, apdo. 1, letra b RGPD) y para cumplir obligaciones legales de documentación (art. 6, apdo. 1, letra c RGPD).

Declaraciones antes de la compra. Antes de que vayas a la página de pago, LayerSpan muestra una página «Revisa tu pedido» con la información del contrato (mensual, renovación automática hasta la cancelación, cancelable en cualquier momento, acceso hasta el final del período pagado, sin permanencia mínima, sin comisión, pedido vinculante en la página de pago segura de Stripe) y una selección «País de residencia». Una línea remite a las condiciones de uso y a la información sobre el desistimiento; otra dice que encontrarás información sobre el tratamiento de tus datos en la política de privacidad. Para la política de privacidad no hay casilla; es una información, no un consentimiento. Marcas dos casillas: (1) aceptas las condiciones de uso y suscripción (en Plus Commercial también sus condiciones de licencia) y confirmas que has leído la información sobre el desistimiento; (2) declaras expresamente que tu acceso debe activarse inmediatamente después del pago, incluso antes de que termine el plazo de desistimiento, y que entiendes que, al desistir, podría deberse una compensación proporcional (Wertersatz) cuando así lo exija la ley. Cuenta el texto exacto de la página del pedido en la versión que se te mostró y que conservamos. Como prueba guardamos el identificador de cuenta, el plan, la hora, el país que has indicado, el idioma, la versión del texto y una huella SHA-256 del texto exacto. El texto exacto de cada versión e idioma lo conservamos una vez en una tabla a la que solo se puede añadir, pero que no se puede modificar ni eliminar. Una solicitud con otra versión del texto, o con un texto modificado bajo la misma versión, se rechaza; entonces no se compra nada. Con la prueba guardamos además qué versiones de las condiciones de uso, de la información sobre el desistimiento y de esta política de privacidad (en Plus Commercial también de las condiciones de la licencia) se te mostraron (identificador, versión, idioma, huella); guardamos el texto de cada versión una sola vez en un archivo al que solo se pueden añadir entradas.

Vinculación de una suscripción existente. Si te hemos dado por separado un código con el que vinculas una suscripción existente a tu cuenta, guardamos el código solo como valor de control (hash), su validez, el número de intentos fallidos y el identificador de la suscripción en Stripe; tras el canje, la vinculación entre suscripción, cliente y cuenta con sus horas y un registro de las operaciones (hora, tipo, resultado, identificador de la cuenta, sin nombre, sin dirección). Al canjearlo leemos el estado de la suscripción en Stripe. Un rango vinculado a ello se guarda con su fundamento y el motivo de una eventual retirada; no da acceso y no se transmite a las herramientas. Si el servidor detecta una incidencia en la vinculación, nuestro buzón recibe un aviso con identificador y estado, sin nombre y sin dirección. La base jurídica es el art. 6, apdo. 1, letra b RGPD. Conservamos la vinculación como prueba del contrato (categoría D, apartado 2.9).

País. Puedes comprar una membresía de pago desde todos los países y territorios desde los que Stripe Managed Payments acepta compras; actualmente están excluidos China, Cuba, Irán, Kosovo, Corea del Norte, Rusia, Siria, Ascensión y Tristán de Acuña. El país lo indicas tú mismo; lo necesitamos para comprobar que la compra procede de un país admitido. No se deduce de la dirección IP.

Cancelación y desistimiento sin cuenta. Lo que introduces en las páginas «Cancela tus contratos aquí» y «Desistir del contrato» (nombre, referencia del contrato, dirección de correo electrónico; en una cancelación además el tipo y, en la extraordinaria, el motivo, y el momento de finalización deseado) lo guardamos con el momento de recepción y una referencia. El motivo de una cancelación extraordinaria es un texto libre voluntario (hasta 1000 caracteres); sin indicarlo, la cancelación se acepta igualmente. Si el operador ha tramitado una declaración, se anota. El desistimiento se declara en dos pasos (datos y después confirmación), la cancelación en una página; en ninguna de las dos páginas figuran, aparte del formulario, otras indicaciones: la información de privacidad figura en el pie de página y en esta página. Te enviamos una confirmación de recepción y un mensaje con el mismo contenido a nuestro propio buzón, para que la declaración se tramite; ambos mensajes se envían a través de Resend. No guardamos ninguna dirección IP con la declaración; como protección frente al abuso se cuenta brevemente como hash de clave. La declaración no está vinculada a ninguna cuenta; al eliminar una cuenta permanece sin cambios (sección 2.10).

Confirmación del contrato. Cuando el primer pago en Stripe se ha leído y se ha comprobado que está pagado (nunca por el simple hecho de haber iniciado una compra, ni a partir de un aviso no verificado), anotamos que corresponde una confirmación por suscripción (tabla 14, sin dirección y sin texto) y la enviamos a través de Resend a la dirección de tu cuenta: con la información contractual, tus declaraciones antes de la compra y, como archivos, las versiones de los textos legales con las que hiciste el pedido.

Cuentas sin dirección confirmada. El operador elimina con su procedimiento de limpieza una cuenta cuya dirección nunca se confirmó 30 días después del registro, si nada más está vinculado a ella (apartado 2.9).

Administradores. Para las cuentas con derechos de administración guardamos además el secreto (cifrado) del autenticador, códigos de respaldo (como hash o cifrados) y un registro de las operaciones de administración (hora, acción, resultado, identificadores de cuenta, sin nombres, direcciones ni texto libre).

2.4 Formulario de contacto y contacto por correo electrónico

Puedes escribirnos a través del formulario de contacto de la página «Contacto» o por correo electrónico a info@layerspan.app. En ese caso tratamos tus datos de contacto y el contenido de tu consulta para responderla. La base jurídica es el art. 6, apdo. 1, letra b RGPD si tu consulta tiene por objeto la celebración o ejecución de un contrato y, en otro caso, nuestro interés legítimo en responderla (art. 6, apdo. 1, letra f RGPD).

Formulario de contacto. El formulario pide tu nombre, tu dirección de correo electrónico y tu mensaje; necesitamos los tres datos para poder responderte. Al enviarlo, nuestro servidor comprueba los datos y los envía como correo electrónico a nuestro buzón, con tu dirección de correo como dirección de respuesta. El mensaje no se guarda en nuestra base de datos ni se vincula a una cuenta; solo existe en ese correo. No recibes ninguna confirmación automática por correo electrónico. El formulario no instala cookies. Te rogamos que no envíes contraseñas ni datos de pago.

Protección contra abusos. Para que el formulario no pueda usarse de forma abusiva a gran escala, nuestro servidor cuenta cuántos mensajes por hora llegan desde una dirección IP y desde una dirección de correo electrónico, y cuántos llegan en total al día (sin relación con una persona). Para contar no se usa la dirección misma, sino solo un valor de control que el servidor calcula con una clave secreta. Los contadores están en nuestra base de datos (apartado 2.3, «Base de datos») y solo valen durante su intervalo de tiempo (una hora, el contador diario un día); después los elimina el servidor en solicitudes posteriores o nuestro procedimiento de limpieza (apartado 2.9). Tu dirección IP no figura en el correo. Un campo invisible para las personas reconoce los envíos automáticos; su contenido se descarta. No utilizamos para ello ningún servicio de terceros (como un CAPTCHA). La base jurídica es nuestro interés legítimo en una vía de contacto segura que no se use de forma abusiva (art. 6, apdo. 1, letra f RGPD).

Envío. Los correos de la plataforma (sobre la cuenta, sobre la baja y el desistimiento, del formulario de contacto y los avisos a nuestro buzón) los envía por encargo nuestro Resend (Plus Five Five, Inc., EE. UU.) como encargado del tratamiento sobre la base de su contrato de encargo del tratamiento (Resend Data Processing Addendum), que rige al aceptar las condiciones de uso de Resend (art. 28 RGPD). Para ello, Resend recibe la dirección del destinatario y el contenido del correo correspondiente. Nuestro dominio remitente envía a través de la región de Irlanda (eu-west-1); el lugar donde Resend guarda los datos no depende de ello, y los datos se transfieren a Resend en EE. UU. Para ello nos basamos en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 sobre el EU-US Data Privacy Framework, conforme a la cual Plus Five Five, Inc. está certificada (art. 45 RGPD); el contrato de encargo del tratamiento contiene además las cláusulas contractuales tipo de la Comisión Europea (art. 46, apdo. 2, letra c RGPD). El seguimiento de aperturas y clics está desactivado para nuestro dominio remitente: el correo no contiene píxel de seguimiento ni enlaces redirigidos. Según Resend, los correos enviados y los registros de envío correspondientes se conservan durante 30 días; según Resend, las copias de seguridad se conservan siete días. Nuestros correos contienen nuestro logotipo, que tu programa de correo carga desde nuestro servidor al abrir el correo; en ese momento el servidor ve tu dirección IP y la hora. No analizamos esta carga.

Buzón. El buzón info@layerspan.app lo gestiona por encargo nuestro IONOS SE, Montabaur (Alemania), como encargado del tratamiento sobre la base de un contrato de encargo del tratamiento (art. 28 RGPD).

Plazo de conservación. Borramos tu mensaje (del formulario o por correo electrónico) y nuestra respuesta a más tardar seis meses después de terminar la tramitación de una consulta ordinaria. Solo los conservamos más tiempo si existe una obligación legal de conservación (por ejemplo, seis años para las cartas comerciales recibidas y enviadas conforme al § 147, apdo. 1, n.º 2 y 3, apdo. 3 AO, si el mensaje se refiere a una operación comercial) o si los necesitamos para formular, ejercer o defender reclamaciones; en esos casos limitamos el tratamiento a esa finalidad.

2.5 Cookies y almacenamiento en el navegador

Mientras no inicies sesión y no elijas tú mismo un idioma, este sitio web no instala ninguna cookie ni usa ningún almacenamiento de tu navegador al abrir una página (aparte de la caché habitual que gestiona tu propio navegador).

Si abres una página en inglés sin código de idioma en la dirección, un pequeño script en tu navegador lee la cookie ls_lang y el ajuste de idioma de tu navegador para redirigirte, en su caso, a la versión lingüística correspondiente (alemán, italiano o español). No guarda nada. Si te redirige, tu navegador vuelve a cargar la página en la dirección del idioma correspondiente; el script no envía otros datos.

La base jurídica de las cookies es el § 25, apdo. 2, n.º 2 TDDDG: son estrictamente necesarias para mantener la sesión que solicitaste y mostrar el idioma que elegiste; para el tratamiento relacionado, el art. 6, apdo. 1, letra b RGPD (inicio de sesión) y letra f RGPD (idioma). En la página de pago y en el portal de clientes de Stripe, Stripe, como operador de esas páginas, instala sus propias cookies; no tenemos influencia sobre ello. Según nuestra valoración actual no es necesario un banner de consentimiento, porque las cookies indicadas son estrictamente necesarias para el servicio que solicitaste.

2.6 Vídeos de YouTube

En la página de inicio mostramos sendos vídeos de dos herramientas en desarrollo (ModelHouse, Christmas Ornament). Hasta que hagas clic en la imagen fija con el símbolo de reproducción (toda la superficie es un botón «Reproducir vídeo»), la página no carga nada de YouTube: ves una imagen fija de nuestro propio servidor y el aviso de que YouTube solo se carga al reproducir y recibe entonces, entre otros datos, tu dirección IP, también en EE. UU.

Solo con tu clic se carga el reproductor de YouTube en el modo de privacidad mejorada desde la dirección www.youtube-nocookie.com y el vídeo empieza sin sonido; el reproductor carga además otros contenidos desde servidores de Google. El proveedor es Google Ireland Limited (Irlanda); pueden intervenir empresas vinculadas como Google LLC (EE. UU.). Google recibe en particular tu dirección IP, información sobre el navegador y el dispositivo, la dirección de nuestro sitio web y el identificador del vídeo. YouTube puede usar en el reproductor cookies o técnicas comparables (por ejemplo, almacenamiento local) y tratar los datos según sus propias normas, también en EE. UU. Google y nosotros somos corresponsables del tratamiento en lo que respecta a la carga del reproductor y la transmisión de tus datos a Google; del tratamiento posterior es responsable únicamente Google. Para las transferencias a EE. UU., Google se basa en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 sobre el EU-US Data Privacy Framework, conforme a la cual Google LLC está certificada. Debajo del reproductor aparece entonces el enlace «Ver en YouTube»; si lo sigues, se aplican directamente las normas de YouTube.

La base jurídica es tu consentimiento, que das para este vídeo al hacer clic en «Reproducir vídeo» (art. 6, apdo. 1, letra a RGPD, § 25, apdo. 1 TDDDG). Puedes retirarlo en cualquier momento con efecto para el futuro recargando o abandonando la página; los datos que YouTube haya guardado en tu navegador pueden borrarse en los ajustes del navegador. Más información: https://policies.google.com/privacy

2.7 Destinatarios

Los destinatarios de datos personales son:

• Vercel Inc. (EE. UU.) como proveedor de alojamiento de este sitio web, por encargo nuestro, y como responsable independiente del tratamiento de los datos de uso y metadatos del servicio (apartado 2.3);
• Neon como operador de nuestra base de datos en Fráncfort del Meno, por encargo nuestro (apartado 2.3);
• Railway (Railway Corporation, EE. UU.) como operador de los servicios de cálculo de Shadow Maker, Image to SVG e Image Upscaler, por encargo nuestro, solo si usas una de estas herramientas (apartado 2.3);
• Resend (Plus Five Five, Inc., EE. UU.) como servicio de envío de los correos de la plataforma, por encargo nuestro (apartado 2.4);
• IONOS SE (Alemania) como proveedor de nuestro buzón de correo, por encargo nuestro, si nos escribes (apartado 2.4);
• Stripe como merchant of record y proveedor de servicios de pago bajo su propia responsabilidad, si compras o gestionas una membresía (apartado 2.3, «Membresía y pago»);
• Google Ireland Limited (Irlanda) y, en su caso, Google LLC (EE. UU.), solo después de que reproduzcas un vídeo (apartado 2.6);
• autoridades como la LDI NRW solo cuando lo exija la ley.

No vendemos datos ni los usamos para publicidad.

2.8 Transferencia a terceros países

Vercel, Resend y Google tienen su sede en EE. UU. o están vinculados con empresas de allí; la base sobre la que se transfieren datos allí se indica en los apartados 2.3, 2.4 y 2.6. Neon y Railway tratan los datos en la UE (en Fráncfort del Meno y en Ámsterdam, respectivamente); ambos proveedores tienen su sede en EE. UU., y son posibles accesos desde terceros países, por ejemplo por el soporte o por subencargados. Para esos accesos, sus contratos de encargo del tratamiento prevén las cláusulas contractuales tipo de la Comisión Europea (art. 46, apdo. 2, letra c RGPD). Stripe también transfiere datos a EE. UU. bajo su propia responsabilidad; Stripe, Inc. está certificada conforme al EU-US Data Privacy Framework (art. 45 RGPD), y la política de privacidad de Stripe contiene los detalles.

2.9 Plazo de conservación (decisiones del operador del 17 de octubre de 2026)

El operador fijó los siguientes plazos el 17 de octubre de 2026. Son límites máximos para datos que solo existen por motivos técnicos y no compromisos: los datos se eliminan antes si ya no se necesitan, y se conservan más tiempo cuando los necesitamos como prueba, cuando lo exige la ley o en caso de un incidente de seguridad concreto. Hoy nada de esto funciona por sí solo: los datos caducados los elimina el operador con un procedimiento de limpieza propio que inicia manualmente; una limpieza diaria está preparada, pero no activada. El día del último uso ya se guarda; el aviso y la eliminación de cuentas sin uso aún no están en funcionamiento.

2.10 Tus derechos; eliminación de una cuenta

Tienes derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20). Puedes retirar un consentimiento en cualquier momento con efecto para el futuro (art. 7, apdo. 3). Escríbenos a info@layerspan.app; respondemos sin dilación indebida y, a más tardar, en el plazo de un mes; en los casos del art. 12, apdo. 3, segunda frase RGPD el plazo puede prorrogarse, de lo que te informaremos.

Derecho de oposición (art. 21 RGPD): puedes oponerte en cualquier momento, por motivos relacionados con tu situación particular, a un tratamiento basado en el art. 6, apdo. 1, letra f RGPD.

También tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos (art. 77 RGPD). La autoridad competente para nosotros es la Comisionada de Protección de Datos y Libertad de Información de Renania del Norte-Westfalia (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, LDI NRW).

Cómo ejercer tus derechos. Escribe a info@layerspan.app o a través del formulario de contacto. Comprobamos tu identidad fuera de la plataforma (por ejemplo, con una consulta a la dirección registrada) antes de entregar o eliminar datos.

Eliminación (procedimiento, no un botón). El operador elimina una cuenta a petición, manualmente (no existe una vía de autoservicio). El procedimiento comprueba primero qué ocurriría (plan) y después modifica:

• Sin datos de pago: se elimina la cuenta. Con ella desaparecen las sesiones, las credenciales, el autenticador, las activaciones y las pruebas de exportación.
• Con datos de pago (cliente, compra, membresía, prueba de las declaraciones): la cuenta permanece como envoltura anonimizada sin nombre, dirección, inicio de sesión ni sesiones; los apuntes contables permanecen vinculados a ella porque puede ser necesario conservarlos por razones fiscales y mercantiles (categoría D/E). Permanecen mientras lo exijan las obligaciones legales de conservación y de prueba (categoría D/E, apartado 2.9).
• El procedimiento se deniega mientras la cuenta tenga un rol de administración, mientras una suscripción en Stripe siga en curso (cancelarla primero allí) o mientras un período pagado no haya vencido, salvo que renuncies expresamente a ello. La eliminación de la cuenta no es una cancelación de la suscripción.
• No forman parte de la eliminación de la cuenta el registro de cliente en Stripe (con tu dirección de correo electrónico) y el registro de los avisos de Stripe (identificadores, sin contenido); el operador los trata por separado en el panel de Stripe, la plataforma no llama a Stripe para ello. Las copias en el buzón del operador y en el proveedor de correo electrónico también quedan fuera de la eliminación.
• Las sesiones, enlaces, contadores contra abusos, códigos de un solo uso y registros de exportación caducados los elimina el operador, con independencia de una eliminación, con el procedimiento de limpieza (apartado 2.9); la eliminación de la cuenta y la limpieza son procedimientos distintos.
• Las declaraciones de baja y de desistimiento no están vinculadas a la cuenta y permanecen sin cambios cuando se elimina una cuenta. Permanecen como prueba del contrato mientras las necesitemos para ello (categoría D/E, apartado 2.9).
• La anotación sobre la eliminación no contiene datos personales.

2.11 Obligación de facilitar los datos, decisiones automatizadas

Sin nombre y dirección de correo electrónico no podemos mantener una cuenta; sin los datos de la compra no se perfecciona ninguna membresía. No existen decisiones adoptadas exclusivamente de forma automatizada que produzcan efectos jurídicos sobre ti, ni elaboración de perfiles. Que tu cuenta pueda realizar una exportación Premium depende del plan y del estado del pago.

2.12 Modificaciones

Adaptamos esta política cuando cambia nuestro tratamiento, en particular cuando se añade otra herramienta que envía contenidos a nuestro servidor. Se aplica la versión publicada en cada momento en esta página.