Borrador para revisión. Se requiere una revisión jurídica antes de publicar este documento como política de privacidad vigente, incluida la revisión de las bases del tratamiento, los destinatarios y la conservación.
1. Ámbito y operador
Esta política describe cómo trata la información el operador de Smart QR Codes a través del sitio web público, el panel de la cuenta, códigos QR, enlaces cortos, minisitios, conexiones mediante API y MCP, facturación y soporte.
El operador es Ozumni LLC.
Contacta con hi@smartqrcodes.io para consultas sobre datos personales o esta política. Una persona que publica un código QR, un enlace o un minisitio elige su contenido y puede tener responsabilidades propias respecto de la información que recopile de los visitantes.
2. Información de la cuenta y de acceso
- Tu dirección de correo electrónico y el nombre, número de teléfono o imagen de perfil que proporciones.
- Un hash de la contraseña para las cuentas que utilizan contraseña, o los identificadores y la información de perfil recibidos cuando eliges un proveedor externo de inicio de sesión, como Google.
- Registros de sesiones y verificaciones, preferencias de notificaciones, pertenencia a espacios de trabajo, funciones y actividad pertinente de la cuenta.
- Identificadores, permisos y registros de uso de claves de API, incluido el uso de MCP cuando conectas un cliente.
Protege las credenciales de la cuenta y autoriza únicamente a clientes de confianza. Un cliente conectado mediante API o MCP puede solicitar información y realizar acciones dentro de los permisos que le concedas.
3. Contenido, formularios, soporte y facturación
- Datos codificados de los QR, direcciones de destino, textos de minisitios, imágenes, archivos subidos y ajustes que guardes o publiques.
- Información que los visitantes envíen mediante formularios de minisitios y funciones interactivas habilitadas, junto con los datos técnicos del envío.
- Mensajes y archivos adjuntos enviados a soporte, incluida la información de contacto, el asunto, el mensaje y la información necesaria para investigar una solicitud.
- Identificadores de facturación, importes de facturas, moneda, estado de pagos y periodos de suscripción. Cuando se habilite la página de pago, Stripe procesará los datos de las tarjetas; el servicio no almacena números de tarjeta ni códigos de seguridad de las tarjetas.
No publiques información personal de otras personas sin una base adecuada. El contenido incorporado en un código QR estático puede ser leído por cualquier persona que tenga la imagen; los visitantes pueden acceder al contenido de un enlace público o minisitio.
4. Eventos de escaneo y registros técnicos
Cuando alguien sigue un código QR dinámico o un enlace corto, el servicio puede registrar la hora del evento, la dirección IP, el agente de usuario, la página de referencia, el idioma y los parámetros de campaña de la dirección. Puede deducir el país o ciudad aproximados, el tipo de dispositivo, el navegador y el sistema operativo a partir de la información técnica. Una ubicación deducida no equivale a la ubicación precisa del dispositivo.
El servicio también trata información técnica sobre las visualizaciones y los envíos de minisitios, el control de acceso, el diagnóstico y la actividad administrativa o de integración pertinente. Los registros de eventos que contienen direcciones IP u otros identificadores no son anónimos de forma predeterminada.
Los informes del espacio de trabajo dependen de los eventos recibidos y del plan disponible. Un recuento de escaneos o clics no demuestra que una persona determinada haya leído una página o completado una compra.
5. Cómo se utiliza la información
- Crear cuentas, autenticar a los usuarios, recuperar el acceso y aplicar los permisos.
- Almacenar y publicar tu contenido, resolver destinos dinámicos y prestar las funciones que solicites.
- Elaborar informes de escaneos y clics y aplicar los límites del plan y del uso de la API.
- Gestionar suscripciones, enviar notificaciones del servicio, responder a solicitudes de soporte e investigar problemas de pago.
- Detectar usos indebidos, proteger el servicio, diagnosticar fallos y mantener los registros de auditoría pertinentes.
- Examinar solicitudes sobre datos y cumplir las obligaciones aplicables al operador.
Las bases aplicables al tratamiento dependen de su finalidad y de las normas aplicables. Este borrador no considera el uso del servicio como un consentimiento general para todos los usos de la información.
6. Cookies y datos locales del navegador
El sitio web y la interfaz de la cuenta utilizan una cookie de preferencia de idioma y almacenamiento del navegador para los ajustes y determinadas funciones. Algunos ejemplos son el tema, los diseños de QR guardados, el historial del escáner, los borradores y los tokens de sesión de la cuenta. El almacenamiento del navegador es específico del origen del sitio web y del dispositivo.
El cliente actual de la cuenta almacena los tokens de acceso y actualización en localStorage, en lugar de cookies HttpOnly. La validez de un token y el tiempo durante el que un valor permanece en el almacenamiento del navegador son distintos: un token caducado puede seguir almacenado hasta que sea sustituido o eliminado.
La Política de cookies explica los elementos, sus finalidades y los controles disponibles. Borrar los datos del navegador no elimina por sí solo los registros del servidor ni cancela una suscripción.
7. Analítica del sitio web público
Si está habilitado en la configuración del servicio, el sitio web público y la cuenta utilizan Google Analytics 4 con el modo de consentimiento v2 de Google. El script de Google Analytics no se carga si falta el identificador de analítica.
Las señales de consentimiento analíticas y publicitarias se deniegan de forma predeterminada. Permitir la analítica de la plataforma concede solo el almacenamiento analítico; las señales publicitarias siguen denegadas. Rechazarla impide los eventos de Google Analytics del cliente. Los eventos del servidor son independientes de esta preferencia.
El editor de un minisitio puede incluir contenido externo y píxeles de terceros. Sus scripts de seguimiento solo se cargan después de que el visitante acepte el aviso independiente de ese minisitio, y la elección se mantiene separada por minisitio. Después, esos servicios pueden recibir información conforme a sus propias condiciones.
8. Destinatarios y lugares de tratamiento
- Google Cloud proporciona la infraestructura del servicio, y Google Workspace gestiona el correo electrónico del servicio y la correspondencia con soporte.
- Stripe recibe la información necesaria para prestar los servicios de pago, gestión de la facturación y procesamiento de pagos cuando se utilizan esas funciones.
- Un proveedor externo de inicio de sesión, como Google, procesa el inicio de sesión que elijas. Su propia información de privacidad también se aplica a ese servicio.
- Los miembros autorizados del espacio de trabajo pueden acceder a la información dentro de sus funciones. Un cliente de API o MCP que conectes recibe la información que sus permisos le permiten solicitar.
- Los visitantes reciben el contenido que publicas. Un webhook configurado por el editor de un minisitio puede recibir los datos enviados mediante un formulario o una suscripción a un boletín. La analítica seleccionada por el editor, los servicios insertados y los destinos externos pueden recibir información técnica o de los visitantes de acuerdo con sus funciones y políticas.
La información también podrá comunicarse cuando lo exijan las normas aplicables o sea necesario para responder a un incidente de seguridad o una reclamación legal. El acceso deberá limitarse a lo que requiera la finalidad pertinente.
El alojamiento y los proveedores externos pueden tratar información fuera de tu país. Este borrador no promete que se almacene en tu país ni identifica un mecanismo concreto de transferencia transfronteriza como ya implantado. Contacta con hi@smartqrcodes.io para obtener información sobre las medidas pertinentes para tu uso.
9. Conservación y eliminación
El periodo durante el cual se pueden consultar los análisis depende del plan descrito en la página de precios. Un límite de informes no constituye una promesa de que el evento subyacente se elimine físicamente en esa fecha. La eliminación de eventos sin procesar depende de un ajuste de conservación independiente; sin dicho ajuste, el proceso de limpieza actual no los elimina por antigüedad. Actualmente, los agregados diarios no tienen una caducidad automática.
La limpieza automatizada actual elimina conforme a su caducidad los registros caducados de tokens de actualización, verificación, estados de inicio de sesión y códigos QR temporales, las notificaciones leídas de más de 90 días y los registros de entrega de webhooks de más de 30 días. La rotación documentada de copias de seguridad de la infraestructura es de 14 días. Estos periodos no determinan cuánto tiempo se conservan los datos subyacentes de la cuenta, el contenido o los análisis agregados.
La información de la cuenta, el contenido, los registros de facturación, la correspondencia, los registros técnicos y las copias de seguridad pueden tener distintas necesidades de conservación. Este borrador no establece un único plazo de eliminación para ellos. Las solicitudes deben tener en cuenta los registros necesarios para la prestación continuada del servicio, la seguridad, las controversias o las obligaciones aplicables.
Contacta con hi@smartqrcodes.io para solicitar la eliminación o preguntar por una categoría de registros. La información que deba conservarse y cualquier límite a la eliminación deberán explicarse cuando se evalúe la solicitud. Borrar los datos locales del navegador solo elimina los datos almacenados en ese origen del navegador.
10. Medidas de seguridad
El servicio utiliza hash de contraseñas, tokens de acceso de duración limitada, rotación de tokens de actualización, comprobaciones de permisos y espacios de trabajo, validación de entradas, límites de solicitudes y claves de API con hash. Estos controles reducen el riesgo, pero no garantizan que puedan evitarse todos los incidentes.
Utiliza un dispositivo seguro, mantén las credenciales en privado y cierra la sesión en los dispositivos compartidos. Si sospechas que se han expuesto datos de la cuenta o una clave, contacta con hi@smartqrcodes.io y revoca o cambia las credenciales afectadas cuando sea posible.
11. Solicitudes y reclamaciones
Escribe a hi@smartqrcodes.io para solicitar acceso a información sobre ti, su rectificación, eliminación o exportación, para oponerte al tratamiento o solicitar su limitación, o para retirar el consentimiento cuando el tratamiento se base en él. Describe los datos y la acción correspondientes y, cuando sea posible, utiliza la dirección de correo electrónico de tu cuenta.
Para proteger tu información, el operador puede solicitar una verificación y aclaración proporcionales. La respuesta dependerá de la solicitud y de las normas aplicables; este borrador no promete que todos los registros puedan eliminarse o exportarse automáticamente. La retirada del consentimiento no revierte por sí sola el tratamiento ya realizado.
También puedes plantear una reclamación ante la autoridad de protección de datos competente en tu lugar de residencia, cuando corresponda. No tienes que renunciar a esa opción para contactar con soporte.
12. Actualizaciones y contacto
La versión actual está disponible en esta página de la Política de privacidad. La política deberá revisarse cuando cambien los usos de los datos, el almacenamiento, los proveedores o la analítica. La fecha de revisión te ayuda a identificar el texto que estás leyendo.
Para solicitudes y consultas sobre privacidad, contacta con el operador de Smart QR Codes en hi@smartqrcodes.io.