Política de privacidad / Privacy Policy

Política de privacidad

Última actualización: 8 de agosto de 2026

1. Responsable

  • Titular: Raúl Martínez Castilla
  • NIF: 43158048C
  • Domicilio fiscal: Lugar La Fonda 29, 33618 Mieres, Asturias, España
  • Correo: mraul545@gmail.com

2. Datos, finalidad y legitimación

  • Contacto y presupuestos: nombre, email o teléfono, asunto, mensaje y página de origen de la solicitud para atender consultas, devolver llamadas o mensajes y aplicar las medidas precontractuales solicitadas.
  • Registro y cuenta: nombre, apellidos, correo electrónico, nombre de usuario y, en el registro tradicional, contraseña protegida mediante hash. En el acceso con Google se reciben nombre, apellidos y correo verificado, y se genera internamente un identificador de usuario. Se utilizan para crear y administrar la cuenta, verificar el correo, reducir registros abusivos o fraudulentos y prestar el servicio. No se solicita DNI, dirección postal ni teléfono para crear una cuenta. La base jurídica es la ejecución de las condiciones solicitadas y, para la prevención del fraude y la seguridad, el interés legítimo del responsable.
  • Confirmaciones de seguridad: se generan tokens aleatorios de un solo uso para verificar el correo y confirmar la eliminación de cuentas no administradoras. En la base de datos solo se conserva el hash del token y su fecha de caducidad.
  • Conexiones: datos técnicos, credenciales cifradas y, cuando sea necesario, el certificado público de la autoridad certificadora (CA) aportado por la persona usuaria para conectar exclusivamente con las bases que haya autorizado.
  • AI Chat: pregunta y metadatos del esquema necesarios para generar SQL. La base es la prestación del servicio solicitado y la aceptación de sus condiciones.
  • Reportes de contenido de IA: motivo, comentario opcional, pregunta, explicación y SQL generado cuando la persona usuaria decide reportar una respuesta. No se añaden automáticamente resultados de la base de datos ni credenciales de la conexión. Se utilizan para investigar incidencias, mejorar los filtros y cumplir las políticas de seguridad.
  • Suscripciones: plan, estado, producto, periodo, renovación, consumo y token de compra cifrado. Google Play procesa el pago; la aplicación no recibe ni conserva los datos completos de la tarjeta. El token se utiliza para verificar la compra y prevenir fraude.
  • Publicidad en el plan Free: la aplicación Android puede usar Google Mobile Ads. Google puede tratar dirección IP, interacciones con anuncios, diagnósticos, identificadores del dispositivo o publicitarios y ubicación aproximada derivada de la red para mostrar, medir, limitar y proteger anuncios. No se envían a Google las credenciales ni los resultados de las bases de datos con esta finalidad. Los planes de pago no muestran anuncios.
  • Seguridad: información técnica mínima y registros del servidor necesarios para proteger el servicio, basada en el interés legítimo y obligaciones legales.
  • Analítica opcional: datos seudónimos sobre visitas, páginas consultadas, dispositivo y ubicación aproximada para medir y mejorar el portfolio. Google Analytics solo se activa tras el consentimiento.
  • Diagnóstico de errores: Sentry recibe información técnica mínima cuando la aplicación falla para detectar y corregir incidencias. Se han desactivado la grabación de sesiones, los datos personales por defecto y el contenido de formularios y parámetros de URL. La base es el interés legítimo en mantener la seguridad y fiabilidad del servicio.

3. Destinatarios y proveedores

Se utilizan Vercel para el frontend, Render para backend y PostgreSQL, Google/Gmail para correo, Google Play para pagos y verificación de suscripciones, Google Mobile Ads para publicidad del plan Free, Google Analytics para la medición consentida, Sentry para el diagnóstico de errores y OpenAI para generar respuestas. Si la persona usuaria decide continuar voluntariamente la conversación mediante WhatsApp, también se aplican las condiciones y política de privacidad de WhatsApp/Meta. Estos proveedores pueden tratar datos como encargados o proveedores tecnológicos y algunos tratamientos pueden implicar transferencias internacionales sujetas a las garantías aplicables de sus contratos y políticas.

4. Conservación

Los datos se conservarán mientras sean necesarios para prestar el servicio o atender la consulta. Los tokens de verificación de correo caducan a las 24 horas y los de eliminación a los 30 minutos; se invalidan además al utilizarse o al generar uno nuevo. Los certificados CA públicos se conservan vinculados a la conexión correspondiente y se eliminan al borrar dicha conexión. El historial, favoritos, dashboards, consumo, registros de uso IA y token de compra cifrado permanecen vinculados a la cuenta mientras sean necesarios para prestar el plan y se eliminan con ella, salvo información de facturación que deba conservar Google o una obligación legal. Los reportes de contenido se conservan mientras sean necesarios para su revisión y se eliminan con la cuenta. Una tarea diaria elimina automáticamente las cuentas no administrativas, sus conexiones y datos asociados cuando cumplen un año desde el último inicio de sesión, salvo que deban conservarse por una obligación legal. También se eliminarán antes mediante el proceso de confirmación por correo o a petición de la persona usuaria. Los mensajes comerciales podrán conservarse durante los plazos necesarios para atender la relación y responsabilidades legales.

5. Derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación o portabilidad escribiendo a mraul545@gmail.com e identificando tu solicitud. También puedes reclamar ante la Agencia Española de Protección de Datos.

También puedes utilizar el enlace «Ejercer derechos» del pie de página. Para proteger tus datos se podrá solicitar información adicional razonable que permita comprobar tu identidad. Esta comprobación se utilizará exclusivamente para tramitar la solicitud.

6. Seguridad y responsabilidad del usuario

Las cuentas creadas con el formulario permanecen deshabilitadas hasta verificar el correo mediante el enlace recibido y volver a introducir la contraseña. Al continuar con Google se crea, si no existe, una cuenta habilitada usando el nombre, apellidos y correo que Google haya verificado. Solo se solicitan los alcances mínimos de OpenID Connect (openid, perfil y correo) y no se almacenan tokens de acceso o actualización de Google. Si ya existe una cuenta deshabilitada con ese correo, Google no la reactiva automáticamente. Las contraseñas se almacenan mediante hash, los tokens de confirmación únicamente como hash y las credenciales de conexión se cifran. Las conexiones externas utilizan TLS con verificación de la identidad del servidor. Cuando el proveedor emplea una CA privada, puede almacenarse su certificado público para verificar la conexión; el sistema rechaza claves privadas. La autenticación utiliza una cookie de sesión protegida con HttpOnly, Secure y SameSite, junto con protección CSRF. Las cuentas con contraseña pueden iniciar su eliminación desde el panel; las creadas exclusivamente con Google pueden solicitarla mediante «Ejercer derechos». Debes usar un usuario de base de datos exclusivo, con permisos mínimos y preferiblemente de solo lectura. No introduzcas datos especialmente protegidos, secretos o datos personales innecesarios en las preguntas.

Privacy Policy

Last updated: 8 August 2026

1. Data controller

  • Owner: Raúl Martínez Castilla
  • Tax ID (NIF): 43158048C
  • Registered address: Lugar La Fonda 29, 33618 Mieres, Asturias, Spain
  • Email: mraul545@gmail.com

2. Data, purpose and legal basis

  • Contact and quotes: name, email or phone number, subject, message and originating page of the request to answer enquiries, return calls or messages and take requested pre-contractual steps.
  • Registration and account: first name, last name, email, username and, for traditional registration, a hashed password. Google sign-in supplies a first name, last name and verified email, while the service generates an internal username. They are used to create and administer the account, verify the email address, reduce abusive or fraudulent registrations and provide the service. A Spanish identity number (DNI), postal address and phone number are not requested to create an account. The legal basis is performance of the requested terms and, for fraud prevention and security, the controller's legitimate interest.
  • Security confirmations: random one-time tokens are generated to verify email and confirm deletion of non-administrator accounts. Only the token hash and expiry are stored in the database.
  • Connections: technical details, encrypted credentials and, where required, the public certificate of the certificate authority (CA) supplied by the user, used solely to connect to databases authorised by that user.
  • AI Chat: the question and required schema metadata used to generate SQL, based on providing the requested service and acceptance of its terms.
  • AI content reports: reason, optional comment, question, explanation and generated SQL when a user chooses to report a response. Database results and connection credentials are not added automatically. Reports are used to investigate issues, improve safeguards and comply with safety policies.
  • Subscriptions: plan, status, product, period, renewal, usage and encrypted purchase token. Google Play processes payment; the app does not receive or store full card details. The token is used to verify the purchase and prevent fraud.
  • Advertising on the Free plan: the Android app may use Google Mobile Ads. Google may process IP address, ad interactions, diagnostics, device or advertising identifiers and approximate network-derived location to deliver, measure, limit and protect ads. Database credentials and query results are not sent to Google for this purpose. Paid plans do not show ads.
  • Security: minimum technical information and server logs required to protect the service, based on legitimate interest and legal obligations.
  • Optional analytics: pseudonymous visit, page, device and approximate-location data used to measure and improve the portfolio. Google Analytics is enabled only after consent.
  • Error diagnostics: Sentry receives minimum technical information when the application fails so issues can be detected and fixed. Session replay, default personal data, form contents and URL parameters are disabled. The legal basis is the legitimate interest in maintaining a secure and reliable service.

3. Recipients and providers

Vercel provides the frontend, Render the backend and PostgreSQL hosting, Google/Gmail email services, Google Play payment and subscription verification, Google Mobile Ads advertising on the Free plan, Google Analytics consented measurement, Sentry error diagnostics, and OpenAI response generation. If the user voluntarily chooses to continue the conversation through WhatsApp, WhatsApp/Meta's terms and privacy policy also apply. These providers may process data as processors or technology providers. Some processing may involve international transfers covered by safeguards in their contracts and policies.

4. Retention

Data is retained while needed to provide the service or answer the enquiry. Email-verification tokens expire after 24 hours and deletion tokens after 30 minutes; they are also invalidated when used or replaced. Public CA certificates are retained with the corresponding connection and deleted when that connection is removed. History, favourites, dashboards, usage, AI usage logs and the encrypted purchase token remain linked to the account while needed to provide the plan and are deleted with it, except billing data retained by Google or required by law. AI content reports are retained while needed for review and are deleted with the account. A daily task automatically deletes non-administrator accounts, their connections and related data one year after the last login, unless a legal obligation requires retention. Data can also be deleted earlier through the email-confirmation process or at the user's request. Business messages may be retained for the periods needed to manage the relationship and legal liabilities.

5. Your rights

You may request access, rectification, erasure, objection, restriction or portability by emailing mraul545@gmail.com and identifying your request. You may also complain to the Spanish Data Protection Agency.

You can also use the “Exercise your rights” link in the footer. Reasonable additional information may be requested to verify your identity and protect your data. It will be used solely to process the request.

6. Security and user responsibility

Accounts created with the registration form remain disabled until the email link is opened and the password is entered again. When a user continues with Google, an enabled account is created if necessary using the first name, last name and email verified by Google. Only the minimum OpenID Connect scopes (openid, profile and email) are requested, and Google access or refresh tokens are not stored. If a disabled account already uses that email, Google does not reactivate it automatically. Passwords are hashed, confirmation tokens are stored only as hashes, connection credentials are encrypted, and external connections use TLS with server identity verification. Where a provider uses a private CA, its public certificate may be stored to verify the connection; private keys are rejected. Authentication uses an HttpOnly, Secure and SameSite session cookie with CSRF protection. Password-based accounts can start deletion from the dashboard; accounts created exclusively with Google can request deletion through “Exercise your rights”. Use dedicated database credentials with minimum, preferably read-only, permissions. Do not enter special-category data, secrets or unnecessary personal data in questions.