Política de privacidad

• Titular: Marius Serban.
• NIF: [NIF pendiente].
• Domicilio: [domicilio pendiente], España.
• Contacto de privacidad: privacy@runomine.com.
• Delegado de protección de datos: no se ha designado.

Los datos del titular exigidos por el art. 10 LSSI están en el aviso legal.

• Medición de esta web pública. Contamos las visitas a las páginas públicas y a la de registro con el propio runomine, desde el servidor y sin cookies: ruta, origen y campaña, navegador, dispositivo y país, y un hash de visitante calculado con la IP y el user agent con una clave que cambia cada día (la IP no se guarda). Cuando te registras, creas un sitio o un sitio recibe sus primeros datos, lo anotamos como evento con tu identificador de usuario (sin nombre ni email). Para qué: saber qué páginas y fuentes traen gente y si llega a ponerlo en marcha. Base jurídica: interés legítimo en medir y mejorar nuestro propio servicio (art. 6.1.f RGPD). Conservación: las visitas, 400 días; los eventos, mientras exista la cuenta [por confirmar].
• Visitas a esta web pública. La web pública no instala cookies. Nuestro proveedor de alojamiento registra cada petición en sus logs: IP, fecha, ruta y, posiblemente, user agent. Para qué: servir la web, seguridad y diagnóstico. Base jurídica: interés legítimo en mantener el servicio seguro (art. 6.1.f RGPD). Conservación: la de los logs de nuestro proveedor de alojamiento [plazo por confirmar].
• Registro y cuenta. Nombre, email y contraseña, que se guarda como hash bcrypt, nunca en claro. Para qué: crear y gestionar tu cuenta y tu espacio de trabajo. Base jurídica: ejecución del contrato (art. 6.1.b RGPD). Conservación: mientras tengas la cuenta; después, [plazo pendiente] para atender posibles responsabilidades legales.
• Sesión en el panel. Identificador de sesión, IP y user agent (en la tabla de sesiones) y las cookies técnicas de la sección 3. Para qué: mantenerte conectado y proteger tu cuenta. Base jurídica: ejecución del contrato e interés legítimo en la seguridad. Conservación: la sesión caduca tras 120 minutos de inactividad, y las sesiones caducadas se borran periódicamente.
• Protección contra abusos. Una clave derivada de tu IP mediante un hash, no la IP en claro, para limitar los intentos al entrar, al registrarte y en la API. Para qué: evitar ataques de fuerza bruta y abusos. Base jurídica: interés legítimo en la seguridad. Conservación: caduca en un plazo de entre un minuto y una hora, y las entradas caducadas se borran a diario.
• Invitaciones. Email de la persona invitada, rol, quién invita y fechas. El enlace se guarda solo como hash. Para qué: dar acceso a un espacio de trabajo o a un sitio. Base jurídica: interés legítimo de quien invita y de la persona invitada en colaborar. Conservación: hoy no se borran automáticamente [plazo pendiente de decidir].
• Tokens personales y CLI. Nombre del token, último uso y nombre del dispositivo que aprueba runomine login. Los tokens y códigos se guardan como hash. Para qué: el acceso a la API, al servidor MCP y a la CLI. Base jurídica: ejecución del contrato. Conservación: hasta que revoques el token; los códigos de dispositivo caducan a los 10 minutos.
• Configuración de sitios e integraciones. Nombre y URL de cada sitio, marcadores, credenciales de los proveedores de pago (cifradas) y nombre de la cuenta en el proveedor. Para qué: prestar el servicio. Base jurídica: ejecución del contrato. Conservación: hasta que borres el sitio o desconectes la integración.
• Comunicaciones. Lo que nos escribas. Para qué: responderte. Base jurídica: interés legítimo o ejecución del contrato. Conservación: el tiempo necesario para atenderte.

No tomamos decisiones automatizadas con efectos jurídicos ni elaboramos perfiles. No vendemos datos.

Datos de los visitantes de tus sitios. Cuando usas runomine para medir tus sitios, los datos de tus visitantes los tratamos por tu cuenta, como encargados del tratamiento. Los rige el contrato de encargo (DPA, art. 28 RGPD), no esta política. Ese contrato está en preparación y pendiente de revisión legal: pídenoslo en privacy@runomine.com.

La web pública (runomine.com y runomine.com/en) no instala cookies.

El panel (/app, /login, /signup) usa solo cookies técnicas, necesarias para el servicio que pides y, por eso, exentas de consentimiento (art. 22.2 LSSI):

• runomine-session: mantener tu sesión. Dura 120 minutos de inactividad.
• XSRF-TOKEN: protección contra la falsificación de peticiones (CSRF). Dura lo que la sesión.
• remember_web_…: «recordarme» al entrar, que hoy viene marcado por defecto. Dura hasta 400 días, o hasta que cierres sesión.

El beacon (r.js) que pueden cargar los visitantes de los sitios de nuestros clientes no instala cookies ni usa localStorage.

• Railway Corporation (EE. UU.): alojamiento del servicio y de la base de datos, en su región «EU West».
• Cloudflare, Inc. (EE. UU.): el DNS del dominio, sin proxy, y el reenvío del correo que nos escribes a hello@ o privacy@runomine.com (Cloudflare Email Routing) a nuestro buzón [proveedor del buzón por confirmar].
• Email: hoy no enviamos emails desde la aplicación. Las invitaciones se comparten como enlace. Si añadimos un proveedor, lo indicaremos aquí.

No cedemos datos a terceros salvo obligación legal.

Los datos se alojan en la UE. Railway es una empresa de EE. UU., y su contrato de encargo prevé accesos desde EE. UU.; Cloudflare también es una empresa de EE. UU. Las garantías son el Marco de Privacidad de Datos UE-EE. UU., si están certificadas [por confirmar], o, en su defecto, las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914).

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a privacy@runomine.com.

Hoy la aplicación no tiene una página de perfil ni un botón para borrar la cuenta: para rectificar tus datos o borrar tu cuenta, escríbenos. Responderemos en el plazo de un mes.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), o ante la autoridad de tu país.

• HTTPS.
• Contraseñas guardadas con bcrypt.
• Tokens, códigos e invitaciones guardados solo como hash.
• Credenciales de terceros cifradas.
• Control de acceso por roles.
• Limitación de intentos, con claves que no guardan la IP en claro.

Si cambiamos esta política de forma relevante, te avisaremos en el panel o por email antes de que entre en vigor.