Privacidad.

1Responsable del tratamiento

El responsable del tratamiento en el sentido del Reglamento general de protección de datos (RGPD) es:

Thomas Möbius
Geschwister-Scholl-Str. 4
04808 Wurzen
Alemania

Correo electrónico: info@theofac.com

No se ha designado un delegado de protección de datos, ya que no se cumplen los requisitos legales para ello.

2Lo más importante en breve

OFAC guarda el calendario, los turnos, los tiempos de trabajo, la retribución y los ajustes en local, en tu dispositivo. El proveedor no gestiona para ello ninguna cuenta de usuario de OFAC y no recibe estos contenidos.

Si conectas Google Drive y activas una copia de seguridad, OFAC transfiere a tu cuenta de Google un archivo de copia de seguridad ya cifrado en el dispositivo. Una programación activada adicionalmente ejecuta esta copia de forma automática. Google recibe además metadatos de conexión y de archivo. La copia de seguridad del sistema Android permanece desactivada con independencia de ello.

No existe ningún SDK de publicidad o de análisis de uso ni ningún servicio externo activo de informes de errores. Las exportaciones y las impresiones las entregas tú al destino que elijas. En el sitio web se generan datos técnicos de acceso; los detalles figuran en la sección 3.

Importación de calendarios ICS: un archivo ICS que elijas en el diálogo de archivos de Android se lee y se comprueba exclusivamente en el dispositivo. OFAC no sube el archivo a ningún servidor de OFAC y no accede para ello al calendario del sistema Android.

3Uso de este sitio web

Datos de acceso

Al acceder a theofac.com, el servidor web trata automáticamente los datos que transmite tu navegador: dirección IP, fecha y hora del acceso, página solicitada, página visitada anteriormente, tipo y versión del navegador y sistema operativo.

Este tratamiento es técnicamente necesario para entregar la página y garantizar su funcionamiento, por ejemplo frente a ataques y sobrecargas. La base jurídica es el art. 6, apartado 1, letra f) del RGPD; el interés legítimo consiste en la puesta a disposición estable y segura del sitio web. Los datos no se combinan con otras fuentes de datos ni se evalúan para identificar a personas concretas. Los registros del servidor se eliminan, como máximo, a los 14 días.

Alojamiento

El sitio web funciona en un servidor virtual dedicado que el responsable del tratamiento opera y configura por sí mismo. Los registros del servidor se encuentran exclusivamente en ese servidor.

La infraestructura subyacente la proporciona

netcup GmbH
Emmy-Noether-Straße 10
76131 Karlsruhe

como encargado del tratamiento, sobre la base de un contrato conforme al art. 28 del RGPD. El servidor está ubicado dentro de la Unión Europea. No se realiza ninguna transferencia a terceros países.

Cookies y medición de audiencia

Este sitio web no utiliza cookies de análisis, de marketing ni de seguimiento y no integra fuentes tipográficas, mapas, vídeos ni otros contenidos externos de terceros. Por ello, no es necesario solicitar el consentimiento.

Para el idioma del sitio elegido expresamente se guarda la cookie técnicamente necesaria ofac_language. Tras confirmar el aviso de cookies se guarda además ofac_cookie_notice. Ambas contienen únicamente el ajuste correspondiente, son válidas para todo el sitio, tienen una duración máxima de doce meses y no se utilizan para análisis, marketing ni seguimiento.

Contacto

Si nos escribes un correo electrónico, tratamos tus datos exclusivamente para gestionar tu consulta. La base jurídica es el art. 6, apartado 1, letra b) del RGPD cuando la consulta se refiere a un contrato, y en los demás casos el art. 6, apartado 1, letra f) del RGPD. Tu mensaje se eliminará en cuanto deje de ser necesario y no se oponga a ello ningún plazo legal de conservación.

Formulario de soporte y tickets de soporte

Si utilizas el formulario de soporte de theofac.com, el servidor trata los datos que introduces para gestionar tu solicitud: nombre, dirección de correo electrónico, categoría, asunto, mensaje y el idioma de formulario elegido. Opcionalmente puedes adjuntar como máximo dos capturas de pantalla en formato JPEG o PNG, de 5 MB como máximo cada una.

El nombre y la dirección de correo electrónico se cifran con una «sealed box» de clave pública antes de escribirse en la base de datos de soporte. El sitio web público solo posee la clave de cifrado y, después, no puede descifrar por sí mismo esos valores. Para reconocer la dirección de correo electrónico se guarda además un índice ciego HMAC no reversible. El texto del mensaje, el asunto, la categoría, el estado del ticket y los metadatos técnicos de los adjuntos se guardan para la tramitación del caso. Los adjuntos se almacenan con nombres de archivo aleatorios y con permisos de acceso restringidos, fuera del directorio web de acceso público.

Como protección frente a abusos, el sistema de soporte utiliza valores hash HMAC no reversibles de la dirección IP del cliente y del agente de usuario acortado, así como nonces de formulario de corta duración y límites de frecuencia. La dirección IP sin tratar puede figurar, con independencia de ello, en los registros del servidor web descritos en esta sección. Los registros de errores del punto de acceso de soporte están diseñados de modo que no se registren los contenidos de los mensajes, las direcciones de correo electrónico ni las direcciones IP en texto claro.

Para la página de estado se genera un token de acceso aleatorio. En el servidor solo se guarda su hash SHA-256; el acceso técnico caduca a los 365 días y, en un caso cerrado, ya a los 30 días del cierre. El enlace con el número de caso y el token se envía a la dirección de correo electrónico indicada y debe tratarse de forma confidencial. La caducidad del enlace no elimina el contenido del ticket; no obstante, un caso de soporte se elimina automáticamente seis meses después de su cierre, junto con todos los mensajes, notas internas y adjuntos. Los casos no cerrados permanecen guardados hasta su cierre.

La base jurídica es el art. 6, apartado 1, letra b) del RGPD, en la medida en que la solicitud se refiera al uso o a la prestación de OFAC, y en los demás casos el art. 6, apartado 1, letra f) del RGPD. El interés legítimo consiste en responder a las solicitudes de soporte y en el funcionamiento seguro y resistente a abusos del sistema de soporte.

Solicitudes de soporte por correo electrónico

Si escribes directamente a support@theofac.com, también creamos un caso a partir de tu mensaje y tratamos los datos que contiene como se ha descrito más arriba; el nombre y la dirección de correo electrónico se guardan cifrados de la misma manera, y las imágenes JPEG o PNG se incorporan como adjuntos. La base jurídica es el art. 6, apartado 1, letra f) del RGPD y, en las consultas relacionadas con un contrato, el art. 6, apartado 1, letra b) del RGPD. Las respuestas a un correo de soporte se asignan al caso existente mediante el número de caso. Los mensajes que nuestro servidor de correo clasifique como spam no se convierten en casos; se guardan temporalmente cifrados, se eliminan automáticamente como máximo a los 30 días y solo se tratan después si la clasificación resulta ser un error. Los casos originados por un correo electrónico también se eliminan seis meses después de su cierre.

4Qué datos trata la app en tu dispositivo

Tú decides qué datos introduces en OFAC. Según las funciones que utilices, pueden ser:

Planificación de servicios y turnos Turnos, patrones de turnos y rotaciones, horarios de servicio, asignaciones a días del calendario.

Citas y entradas del calendario Título, descripción, notas, lugar, fecha y hora, categorías y colores, horas de recordatorio.

Tiempos de trabajo y registro de la jornada Tiempos de trabajo y de pausa registrados, comparaciones entre lo previsto y lo real, horas extra, correcciones de días concretos.

Datos relativos a la retribución Si utilizas estas funciones: tarifas por hora, complementos y regulaciones de bonificaciones, así como los análisis calculados a partir de ellos.

Ausencias Datos sobre vacaciones, compensación de tiempo libre o días de enfermedad, en la medida en que los introduzcas.

Ajustes y desbloqueo País y región elegidos para el cálculo opcional de festivos, ajustes de visualización y de tema, idioma, ajustes de recordatorios, estado de los pasos de configuración completados y el estado de desbloqueo de las funciones de la app, guardado en local.

Aviso sobre datos especialmente sensibles

Las entradas sobre días de enfermedad y los textos libres como «Cita médica» pueden constituir datos relativos a la salud en el sentido del art. 9 del RGPD. Estos datos se tratan en local. Si creas una copia de seguridad, pueden estar incluidos en el contenido cifrado de la copia; en una exportación o impresión pueden salir en texto claro. Ten esto en cuenta, no obstante, cuando crees y compartas copias de seguridad o archivos de exportación (véase la sección 8).

Importación ICS y datos técnicos de origen

Tras una importación ICS confirmada, OFAC guarda en la base de datos local cifrada, además de las entradas de calendario seleccionadas, información técnica de origen. Incluye un identificador de la operación de importación con la hora y un contador de resultados, así como identificadores técnicos de origen y huellas de comprobación de las entradas importadas. Estos datos sirven exclusivamente para reconocer reimportaciones sin cambios, modificaciones locales y entradas importadas eliminadas previamente en local. La información de origen de una entrada importada puede conservarse tras su eliminación local y solo se elimina junto con el conjunto de datos locales de la app. Forma parte de una copia de seguridad de la base de datos de OFAC.

5Fines y bases jurídicas del uso de la app

El tratamiento en tu dispositivo sirve exclusivamente para prestar las funciones de la app que has solicitado: la planificación de turnos y citas, el registro y el análisis de los tiempos de trabajo y el recordatorio de los eventos próximos.

En la medida en que el tratamiento entre en el ámbito de aplicación del RGPD, se basa en el art. 6, apartado 1, letra b) del RGPD (ejecución del contrato de uso relativo a la puesta a disposición de la app). Si introduces voluntariamente datos del art. 9 del RGPD, por ejemplo días de enfermedad, esto se hace sobre la base del art. 9, apartado 2, letra a) del RGPD, mediante tu propia introducción.

Si utilizas OFAC exclusivamente con fines personales, a ti, como persona usuaria, te resulta de aplicación por regla general la excepción doméstica del art. 2, apartado 2, letra c) del RGPD. Si, por el contrario, utilizas la app a título profesional para planificar datos de otras personas, por ejemplo como responsable de un equipo, eres tú quien responde de ese tratamiento en materia de protección de datos.

6Almacenamiento, seguridad y plazo de conservación en la app

Tus datos se guardan en una base de datos local, dentro del espacio de almacenamiento protegido propio de la app en tu dispositivo. Para proteger estos datos, OFAC aplica las siguientes medidas:

• Base de datos cifrada: la base de datos está cifrada con SQLCipher mediante AES-256.
• Gestión de claves: una clave del Android Keystore protege la frase de contraseña de la base de datos, guardada por separado en el almacenamiento privado de la app. La protección respaldada por hardware depende del dispositivo. El proveedor no recibe ni la clave ni la frase de contraseña.
• Entorno aislado de la app: otras apps no pueden acceder a este espacio de almacenamiento.
• Sin tráfico de red sin cifrar: la app está configurada de modo que el sistema bloquee las conexiones sin cifrar.

Los datos permanecen guardados hasta que los elimines tú. Para ello dispones de tres vías:

• eliminar entradas concretas en la app,
• restablecer por completo el conjunto de datos locales con la función «Eliminar datos locales» en los ajustes,
• desinstalar la app o borrar los datos de la app en los ajustes de Android, en «Aplicaciones → OFAC → Almacenamiento».

Una restauración por parte del proveedor no es posible ni está prevista.

7Permisos y accesos al dispositivo

OFAC solo solicita los permisos que son estrictamente necesarios para la función correspondiente:

Notificaciones (POST_NOTIFICATIONS) Necesario para recordarte turnos y citas. Las notificaciones se generan íntegramente en local en tu dispositivo. No se envían a través de servicios push. Puedes revocar el permiso en cualquier momento en los ajustes de Android; los recordatorios dejarán entonces de mostrarse.

Alarmas exactas (USE_EXACT_ALARM, en Android 12 y 12L SCHEDULE_EXACT_ALARM) Necesario para que los recordatorios se activen a la hora deseada y sin retraso. Esto es especialmente relevante para los recordatorios de inicio de turno. No se transmiten datos en este proceso.

Recepción del arranque del sistema (RECEIVE_BOOT_COMPLETED) Tras reiniciar el dispositivo, las alarmas programadas se pierden por razones del sistema. OFAC utiliza este permiso exclusivamente para volver a programar los recordatorios que ya hayas activado. No se recopilan, leen ni transmiten datos en este proceso.

Selección de archivos para importación, copia de seguridad, exportación e impresión OFAC utiliza el Storage Access Framework de Android. Para la importación ICS solo se lee el archivo que hayas elegido en el selector del sistema. Para la copia de seguridad, la exportación y la impresión, el acceso se limita al archivo o a la carpeta que indiques tú y solo en el marco de la operación correspondiente. No se solicita un permiso general de almacenamiento.

OFAC no solicita acceso a la ubicación, los contactos, la cámara, el micrófono, el estado del teléfono ni el calendario del sistema.

Internet (INTERNET) El permiso técnico figura en el manifiesto y se concede sin diálogo en tiempo de ejecución. Permite, en particular, la copia de seguridad en Google Drive que hayas activado. El adaptador de configuración de OFAC previsto no tiene ningún invocador productivo; no se incluye un adaptador de versión de festivos. El cálculo de festivos se realiza en local.

8Importación ICS, copia de seguridad local, exportación e impresión

Importación de calendarios ICS

OFAC solo lee un archivo ICS tras tu elección expresa mediante el selector del sistema Android. El archivo se lee en local dentro de los límites de tamaño y seguridad implementados, se comprueba estructuralmente y se procesa como vista previa. Las URL externas, los adjuntos u otros contenidos referenciados del archivo ICS no se cargan ni se ejecutan. Los datos que no pueden representarse, como participantes, organizador, adjuntos y determinados campos de texto libre, no se incorporan a OFAC.

Solo tras tu confirmación final se escriben en la base de datos local cifrada las entradas de calendario seleccionadas y los datos técnicos de origen descritos en la sección 4. Al salir de una importación aún no confirmada, la vista previa se descarta; el archivo de origen seleccionado no se guarda en OFAC como copia permanente. No se realiza ninguna subida a OFAC.

Copia de seguridad local, exportación e impresión

Una copia de seguridad local de OFAC se crea primero en el almacenamiento privado de la app. Con la descarga guardas una copia adicional en el lugar que elijas. Ambos archivos están cifrados con tu contraseña de copia de seguridad. La contraseña de una copia de seguridad local manual no se guarda de forma permanente. Sin esa contraseña no es posible la restauración.

Las exportaciones ICS, CSV y JSON y las impresiones no están protegidas por el cifrado de copias de seguridad de OFAC. Pueden contener datos personales en texto claro. Si eliges otro servicio como destino de almacenamiento o de envío, este trata los archivos entregados conforme a sus propias condiciones.

Los archivos guardados externamente no se eliminan al restablecer o desinstalar OFAC. Elimina las copias que ya no necesites en el lugar donde se encuentren.

9Copia de seguridad en Google Drive y copia de seguridad del sistema Android

Copia de seguridad opcional en Google Drive. Eres tú quien conecta tu cuenta de Google y concede a través de Google el permiso para el área privada de datos de la app (drive.appdata). Con ello, OFAC no obtiene acceso general al resto de tus archivos de Drive. Una copia de seguridad manual se transfiere por encargo tuyo; las copias de seguridad automáticas solo se ejecutan tras una activación adicional y según tu programación.

La copia de seguridad se cifra antes de la transferencia con AES-256-GCM y tu contraseña. Ni el proveedor ni el transporte de Drive reciben la clave de descifrado. Google trata el contenedor cifrado y, en particular, los metadatos de cuenta, de conexión y de archivo, entre ellos el tamaño del archivo y el momento de la copia. El cifrado del contenido no oculta estos metadatos.

Para Drive, OFAC puede guardar la contraseña de la copia de seguridad en este dispositivo, cifrada con una clave del Android Keystore. No se transmite a Google ni al proveedor. La contraseña guardada se puede eliminar en OFAC; con ello se desactiva la automatización. Desactivar únicamente la programación es distinto de eliminar la contraseña.

OFAC mantiene una copia de seguridad actual en Drive. Solo tras la subida correcta de una nueva copia se eliminan los objetos de copia anteriores. Si interrumpes una operación, pueden existir temporalmente varios objetos. Desconectar la cuenta, desactivar la automatización, eliminar la contraseña o desinstalar la app no eliminan automáticamente el archivo existente en Drive. Puedes eliminar los datos de la app OFAC a través de la gestión de apps conectadas de Google Drive; los permisos de acceso los gestionas en tu cuenta de Google.

El servicio Drive lo presta Google; para los usuarios del Espacio Económico Europeo, el responsable del tratamiento indicado en la política de privacidad de Google es Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. La función de copia de seguridad que has solicitado sirve para la ejecución del contrato conforme al art. 6, apartado 1, letra b) del RGPD, en la medida en que el proveedor trate datos personales en ella. El tratamiento por parte de Google se rige por su propia política de privacidad. Una autorización de cuenta en Android no equivale a un consentimiento general para otros fines de tratamiento.

Copia de seguridad del sistema Android. La copia de seguridad automática de Android y la transferencia de dispositivo a nivel de sistema están desactivadas para los datos persistentes de OFAC. Esto no impide una copia de seguridad de OFAC en Drive que hayas activado. Al cambiar de dispositivo, restauras tú la copia de seguridad de OFAC con la contraseña correspondiente.

10Obtención de la app a través de Google Play

OFAC se distribuye a través de Google Play Store. Al descargar y actualizar la app, Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda, trata datos personales bajo su propia responsabilidad, en particular el identificador de tu cuenta de Google, información del dispositivo y de la instalación y tu historial de descargas.

El proveedor de la app no tiene influencia sobre este tratamiento y tampoco recibe por esta vía ningún dato personal. En Google Play Console solo se muestran estadísticas agregadas y anonimizadas sobre instalaciones y fallos, a partir de las cuales no es posible identificar a personas concretas.

En la app no hay ninguna función de compra o de pago activa. Por ello no se recopilan ni se tratan datos de pago.

Para más detalles, consulta la política de privacidad de Google: policies.google.com/privacy

11Destinatarios y tratamiento internacional

Tus contenidos de calendario, turnos, tiempos y retribución no se envían a servidores de OFAC. La copia de seguridad opcional en Drive transfiere la copia cifrada y metadatos técnicos a Google. Los demás destinatarios los determinas tú al exportar, imprimir o guardar.

Google también trata datos en servidores distribuidos por todo el mundo. Por ello, aquí no se garantiza un tratamiento exclusivamente dentro de la UE o del EEE. Google describe los mecanismos de transferencia utilizados, incluidas las decisiones de adecuación y las cláusulas contractuales tipo, en su marco para las transferencias de datos. El alcance y las bases jurídicas del tratamiento por parte de Google se explican en la política de privacidad de Google.

OFAC no utiliza datos para publicidad ni para elaboración de perfiles. Los festivos se calculan en local; no se incluye ninguna función de vacaciones escolares.

12Acceso a información en tu dispositivo

El almacenamiento de información en tu dispositivo y el acceso a ella se limitan, tanto en este sitio web como en la app, a lo estrictamente necesario para prestar las funciones que has solicitado expresamente. Para ello no se requiere consentimiento conforme al § 25, apartado 2, n.º 2 de la ley alemana TDDDG. En ningún momento se guarda ni se lee información con fines de análisis, de medición de audiencia o publicitarios.

13Tus derechos

Conforme al RGPD, tienes los siguientes derechos: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición (art. 21).

Para la app, esto significa en la práctica: el proveedor no posee ninguna copia de tus contenidos locales de calendario y de tiempo de trabajo. Tú controlas su edición y eliminación en la app; las copias guardadas externamente las eliminas en el servicio elegido. Tus derechos legales frente al responsable correspondiente se mantienen. Ejerces estos derechos directamente tú:

• Acceso y consulta: íntegramente a través de la app en tu dispositivo
• Rectificación: editando las entradas correspondientes en la app
• Supresión: mediante las vías descritas en la sección 6
• Portabilidad de los datos: mediante las funciones de copia de seguridad y exportación de la app

Para los datos de acceso al sitio web y la correspondencia por correo electrónico, así como para cualquier consulta sobre protección de datos, puedes dirigirte al proveedor en info@theofac.com.

En cambio, respecto de los datos transmitidos a través del sistema web de soporte, el proveedor sí puede tratar datos personales. Puedes ejercer tus derechos relativos a un caso de soporte indicando el número de caso en info@theofac.com. La base de datos local de la app es independiente de esto y sigue sin ser accesible para el proveedor.

14Derecho a presentar una reclamación ante una autoridad de control

Sin perjuicio de otros recursos, tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos, en particular en el Estado miembro de tu residencia, de tu lugar de trabajo o del lugar de la presunta infracción.

La autoridad competente para el proveedor es:

Sächsische Datenschutz- und Transparenzbeauftragte (Comisionada sajona de Protección de Datos y Transparencia)
Maternistraße 17
01067 Dresden

Dirección postal: Postfach 11 01 32, 01330 Dresden
Correo electrónico: post@sdtb.sachsen.de
Web: www.datenschutz.sachsen.de

15Niños y adolescentes

OFAC se dirige a adultos en activo y no está destinada al uso por parte de niños. No se recopilan datos de niños de forma deliberada.

16Cambios en esta política de privacidad

Esta política de privacidad se actualiza en cuanto el sitio web o las funciones de la app cambien de forma relevante para la protección de datos, por ejemplo mediante la introducción de cuentas, sincronización, uso compartido de calendarios, funciones de compra o informes de errores. La versión vigente está disponible en https://theofac.com/es/privacidad/, en la ficha de Google Play Store y en la app, en «Política de privacidad». La fecha de la última modificación figura al comienzo de este documento.