Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento es el editor del servicio: Benjamin Marchand EI, 6 allée Alphonse Daudet, 77600 Conches-sur-Gondoire, France (véase el aviso legal).

Contacto para sus datos personales: technique@cronhound.eu.

2. Datos tratados

• Cuenta: correo electrónico, nombre, contraseña (conservada únicamente en forma de hash con Argon2id), idioma de la interfaz, fecha de creación, estado de verificación del correo electrónico y fecha de aceptación de las condiciones generales de uso y de venta (CGU/CGV). Si utiliza el inicio de sesión con Google: el identificador de Google, el nombre y el correo electrónico que Google nos transmite.
• Novedades de la plataforma: preferencia «Recibir las novedades por correo electrónico» (desactivada por defecto) y fecha de su última lectura de las novedades mostradas en la aplicación.
• Comentarios (sugerencias, observaciones, errores): tipo, título y mensaje que escribe en el formulario «Enviar un comentario», junto con su nombre, su dirección de correo electrónico, la página de la aplicación (sin parámetros), la organización actual, el idioma, la versión de la aplicación y su navegador (user agent).
• Contenido de las tareas: nombre, planificación, URL de destino, método, encabezados, cuerpo e identificadores de autenticación de las solicitudes. La configuración de las solicitudes (URL, encabezados, cuerpo, identificadores) y la de los canales de alerta se cifran en reposo con AES-256-GCM.
• Historial de ejecuciones: fecha, duración, desencadenante, número de intentos, código HTTP, extracto de la respuesta y mensaje de error.
• Organizaciones e invitaciones: nombre de las organizaciones y de los proyectos, miembros y roles, invitaciones (correo electrónico invitado, rol, fecha de caducidad), canales de alerta (correo electrónico o URL de webhook).
• Suscripción: plan, estado y período en curso de la suscripción de cada organización.
• Perfil de facturación: tipo de cliente, nombre o razón social, dirección, país, correo electrónico de facturación y número de IVA o de empresa, introducidos por el propietario o un administrador de la organización. Aparece en las facturas.
• Sesiones y tokens de API: identificadores conservados únicamente en forma de hash, nombre del token, fechas de creación, de caducidad y de último uso.
• Registros técnicos: solo se registran los errores internos (fecha, método, plantilla de ruta y mensaje de error), sin dirección IP, sin URL de la solicitud y sin contraseña, token ni cookie. Su dirección IP también sirve, en memoria, para limitar el número de solicitudes.
• Registro de auditoría: para cada acción que modifica datos o afecta a la seguridad (inicio de sesión correcto o fallido, creación, modificación o supresión, acceso denegado, acción de administración), la fecha, el autor (identificador y correo electrónico), la acción, su resultado, el elemento afectado, la dirección IP, el navegador (user agent) y un identificador de solicitud. No contiene contraseña, token ni contenido de las solicitudes. Los propietarios y administradores de una organización ven los eventos de esta, sin dirección IP ni navegador.
• Medición de audiencia: página pública visitada (sin parámetros), fecha y hora, sitio de procedencia (sin parámetros), tipo de navegador, de sistema y de dispositivo, idioma y dirección IP anonimizada. Véase la sección 10.
• Cookies y almacenamiento local: véase la sección 9.

3. Finalidades y bases jurídicas

• Crear y gestionar su cuenta, ejecutar sus tareas programadas, conservar su historial, enviar las alertas y los correos electrónicos de servicio (verificación, restablecimiento de la contraseña, invitaciones), gestionar las organizaciones y la suscripción: ejecución del contrato (artículo 6, apartado 1, letra b), del RGPD).
• Mostrar las novedades de la plataforma en la aplicación y recordar que las ha leído: ejecución del contrato (artículo 6, apartado 1, letra b), del RGPD).
• Tratar sus comentarios, responderle y mejorar el servicio: interés legítimo del editor (artículo 6.1.f del RGPD). Estos comentarios permanecen en nuestros servidores en Francia y solo se leen a través de la dirección técnica del editor, alojada en Francia, y por los administradores del servicio. El seguimiento de las correcciones solo recibe una referencia anónima, sin su nombre, su dirección ni su mensaje.
• Enviar las novedades por correo electrónico, solo si ha activado la preferencia «Recibir las novedades por correo electrónico»: consentimiento (artículo 6, apartado 1, letra a), del RGPD). Este consentimiento es explícito, está desactivado por defecto y puede retirarse en cualquier momento (sección 6).
• Pago, facturación y conservación de los documentos contables: obligación legal (artículo 6, apartado 1, letra c), del RGPD).
• Seguridad del servicio y prevención de abusos (limitación del número de solicitudes, protección contra la falsificación de solicitudes, registros técnicos, suspensión de las cuentas abusivas): interés legítimo del editor en proteger el servicio y a sus usuarios (artículo 6, apartado 1, letra f), del RGPD).
• Registro de auditoría: conservación de los datos que permiten identificar al autor de una acción, exigida a los prestadores de alojamiento (artículo 6 de la ley francesa para la confianza en la economía digital y Decreto n.º 2011-219): obligación legal (artículo 6, apartado 1, letra c), del RGPD); seguridad del servicio y prueba de las acciones: interés legítimo (artículo 6, apartado 1, letra f), del RGPD).
• Medición de audiencia anónima de las páginas públicas, para conocer su frecuentación y mejorarlas: interés legítimo del editor (artículo 6, apartado 1, letra f), del RGPD), tratamiento exento de consentimiento (véase la sección 10).

Sus datos no se venden, no se utilizan con fines publicitarios y no son objeto de elaboración de perfiles.

4. Plazos de conservación

• Cuenta y contenidos (tareas, proyectos, organizaciones): hasta que usted los elimine o hasta la supresión de la cuenta. Una organización que elimine se archiva: sus datos siguen conservados, fuera del alcance de sus miembros, hasta que el administrador del servicio los suprima de forma definitiva.
• Cuenta con contraseña cuyo correo electrónico nunca se verificó: se suprime al cabo de 7 días.
• Comentarios: se eliminan 90 días después de su cierre y, como máximo, 365 días después de su envío, o con su cuenta si esta se elimina antes.
• Historial de ejecuciones: 7 días con el plan Basic, 30 días con Starter y 90 días con Pro, y después se suprime automáticamente.
• Sesión de conexión: 30 días, prolongada mientras utilice el servicio; se suprime al cerrar sesión.
• Enlace de verificación del correo electrónico: 24 horas. Enlace de restablecimiento de la contraseña: 1 hora.
• Invitación a unirse a una organización: 7 días.
• Preferencia de novedades y fecha de lectura: durante toda la duración de la cuenta, y se borran con ella. Ningún correo electrónico de novedades se envía tras la retirada del consentimiento.
• Token de API: hasta que usted lo revoque o se elimine la cuenta.
• Sesiones, enlaces e invitaciones caducados: se suprimen automáticamente cada hora.
• Registros de errores: plazo limitado, necesario para el diagnóstico.
• Registro de auditoría: 365 días (un año, Decreto n.º 2011-219), después se suprime automáticamente. Se conserva tras la supresión de la cuenta: su dirección de correo electrónico se sustituye entonces por un seudónimo, mientras que la dirección IP, el navegador y las fechas se conservan hasta el término de ese plazo.
• Entorno de pruebas developers.cronhound.eu: el acceso requiere una cuenta de Cronhound y una clave de sandbox. El entorno solo conserva una referencia opaca de esa cuenta, sin dirección de correo electrónico ni identificador legible. Los datos de prueba de esa cuenta (organización, proyecto, tareas e historial) se suprimen automáticamente 24 horas después de su creación; la llamada siguiente crea uno vacío. El registro de auditoría de este entorno, que contiene la dirección IP y el navegador, sigue el plazo indicado más arriba.
• Medición de audiencia: datos brutos conservados 13 meses como máximo, y después se suprimen; solo se conservan más allá de ese plazo estadísticas agregadas y anónimas.
• Facturas: conservadas durante 10 años (artículo L123-22 del Código de Comercio francés) y después eliminadas automáticamente junto con su PDF. Al emitirse la factura, los datos de facturación copiados en ella se borran; el registro conserva número, fechas, importes y estado. El perfil de facturación se conserva mientras exista la organización.

5. Destinatarios y encargados del tratamiento

• Las personas habilitadas del editor, para la explotación y el soporte del servicio.
• El alojamiento: OVH SAS (OVHcloud), en un servidor situado en Francia.
• El proveedor de envío de los correos electrónicos de servicio: No indicado.
• Google, solo si elige «Continuar con Google». Este inicio de sesión es opcional: siempre puede utilizar una dirección de correo electrónico y una contraseña. Si lo elige, lo hace bajo su propia responsabilidad, y lo que Google haga con sus datos se rige por sus propias condiciones y su política de privacidad. Google le autentica y nos transmite su nombre, su correo electrónico y su identificador de Google. Google LLC (Estados Unidos) está certificada en el Marco de Privacidad de Datos UE-EE. UU., que la Comisión Europea considera adecuado (decisión de 10 de julio de 2023).
• Pago: Mollie B.V. (Países Bajos), proveedor de pago. Recibe la dirección de correo electrónico de la cuenta, el identificador de la organización y los datos de pago introducidos en su plataforma. Cronhound no almacena datos de tarjetas.
• Los miembros de sus organizaciones ven su nombre, su correo electrónico y su rol; los miembros de un proyecto ven sus tareas, incluidos sus encabezados.
• Los servidores que usted configura como destino reciben las solicitudes que configure.

Sus datos están alojados en Francia. Si un encargado del tratamiento trata datos fuera de la Unión Europea, la transferencia se ampara en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea.

6. Sus derechos

Usted dispone de un derecho de acceso, de rectificación, de supresión, de limitación del tratamiento, de portabilidad y de oposición (artículos 15 a 21 del RGPD), así como del derecho a dar instrucciones sobre el destino de sus datos después de su fallecimiento (artículo 85 de la ley Informatique et Libertés).

• En la página Cuenta: «Exportar mis datos» (acceso y portabilidad, archivo JSON, que incluye los eventos del registro de auditoría de los que usted es autor), «Eliminar mi cuenta» (supresión, con la reserva del registro de auditoría descrita en la sección 4), y la modificación de su nombre y de su idioma (rectificación).
• Novedades por correo electrónico: retirada del consentimiento en cualquier momento, desde la página Cuenta («Recibir las novedades por correo electrónico») o mediante el enlace para darse de baja presente en cada correo electrónico, sin iniciar sesión. La retirada no anula los envíos ya realizados.
• Para cualquier otra solicitud: technique@cronhound.eu. Respondemos en el plazo de un mes (artículo 12 del RGPD) y podemos pedir una prueba de identidad en caso de duda razonable.

7. Reclamación ante la CNIL

Si considera que sus derechos no son respetados, puede presentar una reclamación ante la Comisión Nacional de Informática y Libertades (CNIL), la autoridad francesa de protección de datos: www.cnil.fr.

8. Seguridad

• Contraseñas con hash Argon2id; tokens de sesión, tokens de API y enlaces de invitación conservados únicamente en forma de hash.
• Configuración de las solicitudes y de los canales de alerta cifrada en reposo con AES-256-GCM.
• Cookie de sesión HttpOnly, protección contra la falsificación de solicitudes en sitios cruzados (CSRF) y verificación del origen.
• Limitación del número de solicitudes y bloqueo de los destinos de red privados o internos.
• Control de acceso por organización, proyecto y rol.

9. Cookies y almacenamiento local

• ch_session: mantiene su conexión (30 días como máximo).
• ch_csrf: protege sus acciones contra la falsificación de solicitudes (misma duración).
• ch_oauth: solo durante un inicio de sesión con Google, para proteger el intercambio (10 minutos).
• Almacenamiento local del navegador: el idioma (cronhound-locale) y el tema (cronhound-theme) que elige.
• mtm_consent_removed: solo si se opone a la medición de audiencia (sección 10), para recordar esa decisión (13 meses).

Estas cookies y este almacenamiento son estrictamente necesarios para el servicio que usted solicita o para recordar su oposición; por ello están exentos de consentimiento (artículo 82 de la ley Informatique et Libertés). Cronhound no utiliza ninguna cookie de medición de audiencia, publicitaria o de seguimiento, y no carga ningún script de terceros: el único script de medición, Matomo, lo sirve nuestro propio servidor y no deposita ninguna cookie de medición. Por eso no se muestra ningún banner de consentimiento.

10. Medición de audiencia

Para conocer la frecuentación de las páginas públicas del sitio y mejorarlas, utilizamos Matomo, una herramienta libre que alojamos nosotros mismos en el mismo servidor que Cronhound, en Francia. Esta medición está configurada para estar exenta de consentimiento, según las recomendaciones de la CNIL:

• Solo se miden las páginas públicas (inicio, comparativa, páginas legales, inicio de sesión, registro y contraseña). El área privada, las invitaciones y el pago nunca se miden, y la dirección transmitida no contiene ningún parámetro ni token.
• No se deposita ninguna cookie de medición y no se almacena ningún identificador en su navegador.
• Su dirección IP se anonimiza (se enmascaran los 2 últimos octetos) antes de registrarse.
• Ningún seguimiento de un sitio a otro, ningún identificador de usuario, ningún cruce con otros datos (en particular su cuenta) y ningún dato comunicado a terceros.
• Los datos brutos se conservan 13 meses como máximo, y después se suprimen; solo se conservan más allá de ese plazo estadísticas agregadas y anónimas.
• Base jurídica: interés legítimo del editor para medir la frecuentación de su sitio (artículo 6, apartado 1, letra f), del RGPD); esta medición está exenta de consentimiento (artículo 82 de la ley Informatique et Libertés).
• Si su navegador envía la señal «Do Not Track», no se realiza ninguna medición.

Puede oponerse en cualquier momento con el botón siguiente. Su oposición se recuerda mediante la cookie mtm_consent_removed durante 13 meses, en este navegador; si borra sus cookies, tendrá que volver a hacer esta elección.

11. Modificación de esta política

Podemos actualizar esta política. La fecha de la última actualización figura al principio de la página; en caso de cambio importante, se le informará por correo electrónico o dentro del servicio.