Política de privacidad

1. Responsable del tratamiento

• Piano Piatto, Suiza, contact@pianopiatto.com.
• Versión del 1 de noviembre de 2026. Política conforme a la LPD suiza y al RGPD (UE).

2. Datos recogidos

• Varita mágica (Premium): lo que eliges (comida, tiempo, raciones, meal prep), el antojo que escribes, los productos de la nevera y la despensa que dejas marcados con «Con lo que tengo» y, para que la receta los respete, tus alérgenos, los alimentos que no te gustan y tu dieta. Guardamos el número de creaciones, los nombres de los platos propuestos y su coste, para aplicar el límite mensual. Para una foto: el nombre y los ingredientes de la receta guardada; guardamos el número de fotos, la receta afectada y su coste. Con «Mi versión»: lo que quieres cambiar; guardamos en tu versión el enlace a la receta de la que parte.
• Cuenta: correo, contraseña (con hash), idioma, país. Si inicias sesión con Google: el identificador de tu cuenta de Google, su nombre y su foto. Si su dirección es la de una cuenta existente, ambas se vinculan; si esa dirección nunca se había confirmado, la contraseña anterior, las claves de acceso y las sesiones abiertas se retiran, por seguridad.
• Perfil público (opcional): nombre de usuario, biografía, foto de perfil.
• Personalización: preferencias alimentarias, alérgenos (dato de salud, con tu consentimiento explícito), alimentos no deseados, número de personas y apetito de cada una (franja de edad, sin nombre), presupuesto, objetivo calórico y tu propio apetito (para contar tus calorías según tu parte).
• Recetas adaptadas: los ingredientes que quitaste o cambiaste, para mostrar tus platos y preparar tu lista de la compra.
• Contenido: recetas personales y fotos, recetas publicadas, opiniones (nota, etiquetas, texto, foto del plato, respuesta del autor), «Útil» dados a opiniones de otras personas, « me gusta » dados antes del 27 de septiembre de 2026, platos « cocinados », despensa (y cuándo confirmaste tener cada alimento, para proponer primero los platos que los usan), planes de comidas y lista de la compra. Los alimentos reconocidos en las fotos de tu cocina (Premium) solo entran si los guardas; la foto no se conserva.
• Automáticamente: tokens de sesión (con hash en el servidor), estado de la suscripción, eventos de uso (p. ej. « semana generada », plataforma, versión de la app) e informes de fallos, para mejorar la app.
• Pagos hechos en la App Store o en Google Play: fecha, plan, importe y moneda, reembolso si lo hay e identificador de la transacción, que RevenueCat nos transmite con cada compra, renovación o reembolso. Para mostrarte lo que has pagado en « Suscripción y pagos », responder a tus preguntas sobre un cargo y llevar nuestra contabilidad.
• Fecha de la última visita, para medir la actividad de la cuenta y decidir a quién proponer una oferta.
• Registro de inicios de sesión, visitas y acciones (fecha, hora y duración, método de acceso, tipo de dispositivo y versión de la app; lo que haces en la app, como una pantalla abierta, un plato cocinado, un artículo marcado o una receta añadida a favoritos, indicado con identificadores y nunca con un texto que hayas escrito; los emails que te enviamos, por tipo y fecha, nunca su contenido; nunca la dirección IP), para ayudarte si ya no puedes iniciar sesión o si algo no funciona, y para medir la actividad de la cuenta. Se conserva 12 meses.
• El enlace por el que llegas, si lleva uno (por ejemplo « Instagram, bio, campaña frigo »), registrado una sola vez al crear la cuenta, para saber qué publicaciones nos traen nuevos usuarios. Ni cookies ni rastreadores: solo estos códigos, leídos en la dirección del enlace.
• Registro técnico del servidor (mensajes de error y de funcionamiento, que pueden mencionar el identificador de tu cuenta; direcciones de correo enmascaradas, nunca la dirección IP), para diagnosticar y corregir averías. Se conserva 30 días.
• El bebé a la mesa: solo su mes y año de nacimiento, sin nombre, fecha exacta ni foto, para calcular su edad en meses y mostrarte las pautas y recetas para esa edad. Tus sesiones de tarritos (día, recetas elegidas, tarritos sacados del congelador), para los recordatorios y la lista de la compra.
• La víspera de la compra: tu día de la compra (elegido en tu Perfil, o deducido de los días en que marcas tu lista) y la zona horaria de tu dispositivo, para preparar tu semana siguiente la víspera, a tu hora. De cada semana preparada guardamos sus días, su fecha, si te avisamos y si la confirmaste o la cambiaste.

3. Datos que NO recogemos

• Sin geolocalización, sin contactos del teléfono, sin datos biométricos.
• Sin identificadores publicitarios, sin rastreo publicitario, sin cookies.
• Sin datos de tarjeta: se introducen en el proveedor de pago (Stripe, Apple o Google) y nunca llegan hasta nosotros.

4. Lo que ven los demás

• Si usas la comunidad: tu nombre de usuario, foto, bio, recetas publicadas y contadores públicos.
• Tus opiniones (nota, etiquetas, texto, y la mención «La ha probado» cuando no la has cocinado), con tu nombre de usuario, para cualquiera que vea la receta. Tus amigos (quienes sigues y te siguen) pueden ver que has cocinado una receta publicada; los demás solo ven el número. Cuando una opinión te resulta útil, nadie ve que has sido tú: su autor y los demás solo ven cuántas personas. La foto de tu plato sigue la misma regla, y tus amigos también la ven en su feed «Actividad» cuando la publicas.
• Cuando publicas una receta, o la haces visible para tus amigos, las personas que te siguen reciben el aviso en su feed «Actividad» (para una receta solo para amigos, solo tus amigos).
• Tu semana de comidas, según tu ajuste «Quién ve mi semana»: nadie, tus amigos (a quienes sigues y te siguen) o todos. Una cuenta creada desde el 26 de septiembre de 2026 empieza en «Mis amigos»; puedes cambiarlo cuando quieras en el Perfil. Muestra los platos día a día, nunca las cantidades, cuántos coméis ni el nombre de tus recetas privadas.
• Tu correo nunca es público. En un hogar, solo lo ven los miembros del hogar.
• En un hogar, los miembros ven las recetas adaptadas del hogar, y que un ingrediente se quitó de un plato común porque a un miembro no le gusta, sin saber a quién.
• Invitar a alguien por correo implica tratar su dirección únicamente para enviar la invitación (códigos de un solo uso, caducan a los 7 días).
• Una receta que envías por enlace (del catálogo, publicada o una de las tuyas) se abre para quien tenga el enlace, incluso sin cuenta, con tu nombre de usuario. Una receta personal no publicada pasa así a ser legible por quien recibe el enlace, sin aparecer en ningún otro sitio. Guardamos el enlace, el número de aperturas y, para una cuenta creada desde ese enlace en los dos días siguientes, el hecho de que llegó por él. No guardamos nada de quien lo abre sin cuenta.
• El feed «Actividad» te cuenta lo que otras personas han hecho y te concierne: alguien de tu hogar que se une al hogar, cambia una comida, planifica los días o termina la compra; un amigo que planifica su semana o cocina tu receta; alguien que te sigue, opina sobre tu receta o responde a tu opinión; tu enlace de receta abierto, sin decir nunca por quién. Solo muestra lo que ya podías ver en otra parte de la app, y nada más de ti aparece para los demás aparte de esos mismos gestos. Cada novedad se conserva 90 días. Cuando a alguien le resulta útil tu opinión, el feed te lo dice, sin decir nunca quién. También aparece un amigo que publica la foto de un plato que ha cocinado, con la foto. También aparece alguien a quien sigues cuando publica una receta (una receta solo para sus amigos, solo si eres uno de ellos).
• Los bebés a la mesa y las sesiones de tarritos solo son visibles para los miembros de tu hogar. Nunca se publican.

5. Encargados y transferencias

• Apple / Google: procesamiento del pago de las suscripciones (EE. UU.).
• RevenueCat: gestión de suscripciones: identificador de usuario, estado de la suscripción y detalle de los pagos hechos en la tienda (EE. UU.).
• Resend: envío de nuestros correos (Irlanda, UE).
• Stripe: pago con tarjeta en la web (UE / EE. UU.).
• Cloudflare: encaminamiento de los correos recibidos en contact@pianopiatto.com (UE / EE. UU.).
• Hetzner: alojamiento de los servidores y de la base de datos (Alemania, UE).
• OpenAI: redacción y traducción de las recetas de la varita mágica, solo cuando la usas. Recibe tu petición (incluidos los productos marcados de tu despensa), tus alérgenos, los alimentos que no te gustan y tu dieta, y el texto de la receta que hay que traducir y, para «Mi versión», el texto de la receta de la que partes (título, ingredientes, pasos; la de otro miembro se envía sin su nombre de usuario); nunca tu nombre, tu correo ni el identificador de tu cuenta. OpenAI no entrena sus modelos con estos datos (EE. UU.). Para una foto, solo recibe el nombre y los ingredientes de tu receta guardada. También puede recibir la foto de un plato que publicas con una opinión, sola (sin tu nombre de usuario), para comprobar que se ve un plato, sin caras ni nada ofensivo; una foto rechazada no se guarda. También recibe las fotos de tu nevera, tu congelador o tus armarios que haces para llenar tu despensa (Premium), solas, para reconocer los alimentos; no se conservan. Fotografía los estantes, sin personas ni documentos en el encuadre.
• Anthropic: comprueba que una foto creada por la varita mágica muestra de verdad el plato. Recibe la foto creada, el nombre y los ingredientes de la receta; nunca tu nombre, tu correo ni el identificador de tu cuenta. Anthropic no entrena sus modelos con estos datos (EE. UU.). También puede recibir la foto de un plato que publicas con una opinión, sola (sin tu nombre de usuario), para comprobar que se ve un plato, sin caras ni nada ofensivo; una foto rechazada no se guarda.
• Google: inicio de sesión con Google, solo si lo eliges. El botón te lleva a la página de inicio de sesión de Google, que luego te devuelve a Piano Piatto; en la app no se carga nada de Google. Google nos transmite el identificador, el correo, el nombre y la foto de tu cuenta de Google (EE. UU.).
• Servicios de notificación del navegador (Apple, Google o Mozilla, según tu navegador): entregan las notificaciones web a tu dispositivo, solo si las has activado. Reciben la dirección de tu dispositivo en su servicio y una notificación cifrada para él, cuyo contenido no pueden leer (EE. UU. / UE).
• Sentry (si está activo): informes técnicos de fallos (EE. UU./UE). Alojamiento: Suiza/UE.
• Las transferencias fuera de la UE/Suiza están cubiertas por las cláusulas contractuales tipo y el Data Privacy Framework. Tus datos nunca se venden.

6. Conservación y eliminación

• Enlaces de recetas enviados (quién compartió, número de aperturas, cuentas llegadas por el enlace): mientras existan tu cuenta y la receta.
• Creaciones de la varita mágica (número, platos propuestos, coste): 13 meses. Las recetas guardadas siguen la regla de tus recetas personales. Fotos de la varita mágica (número, receta, coste): también 13 meses. Fotos de la cocina leídas por la IA (número de alimentos, coste): 13 meses; la foto en sí nunca se conserva.
• Feed «Actividad»: 90 días, después se borra automáticamente.
• Semana de comidas reemplazada (regenerada, rehecha o borrada), guardada para poder volver a ella: 7 días, después se borra automáticamente.
• Notificaciones web: el dispositivo que las recibe se olvida en cuanto las desactivas, cierras sesión o retiras el permiso, y como muy tarde tras 60 días sin abrir la app; una notificación enviada se borra 7 días después.
• Tus datos se conservan mientras exista tu cuenta; las cuentas inactivas se eliminan a los 24 meses (con aviso previo de 30 días).
• Tus opiniones siguen publicadas hasta que las quites, o hasta que se elimine tu cuenta o la receta. Un «Útil» desaparece cuando lo quitas, o con la opinión. La foto de tu plato sigue publicada hasta que la quites, o se va con la opinión; sus datos de lugar y de dispositivo se eliminan nada más enviarla.
• Eliminación de la cuenta desde los ajustes: borrado inmediato, purga técnica completa en un máximo de 30 días.
• Los eventos de uso se anonimizan (se desvinculan de la cuenta) tras la eliminación.
• Pagos hechos en la App Store o en Google Play: mientras tu cuenta exista. Al eliminarla, se borra el vínculo con tu cuenta: solo quedan el importe, la moneda y la fecha, de forma anónima, para nuestra contabilidad.
• Tokens de sesión: máximo 30 días, revocados al cerrar sesión. Registros de seguridad, registro de inicios de sesión, visitas y acciones: 12 meses. Registro técnico del servidor: 30 días.
• Los datos eliminados pueden permanecer brevemente en las copias de seguridad, purgadas con una rotación corta (dentro del límite de 30 días).
• Bebés a la mesa y sesiones de tarritos: mientras exista tu cuenta; se borran en cuanto los quitas, y las sesiones junto con la semana a la que pertenecen.
• Registro de las semanas preparadas la víspera de la compra: 13 meses, luego se borra automáticamente; las comidas siguen la regla de tu planificación.

7. Seguridad

• Contraseñas con hash (bcrypt, factor 12), nunca legibles.
• Tokens de acceso de corta duración; refresh tokens con rotación, guardados con hash y revocados ante una reutilización sospechosa.
• En móvil, los tokens viven en el llavero seguro del sistema (Keychain / Keystore); en un navegador, donde ese llavero no existe, se guardan en el almacenamiento local del sitio. La caché local está aislada por cuenta.
• HTTPS/TLS en producción, fotos validadas y recodificadas en el servidor, base de datos no expuesta públicamente, protección contra fuerza bruta.

8. Tus derechos

• Acceso, rectificación, supresión, portabilidad (JSON), oposición, limitación y retirada del consentimiento (p. ej. alérgenos). Respuesta en 30 días.
• Correos de ofertas: te escribimos puntualmente sobre nuestras propias ofertas (prueba ampliada, precio reducido). Cada mensaje incluye un enlace de baja en un clic, y el interruptor « Ofertas y novedades » del perfil hace lo mismo. Darse de baja no detiene ningún correo de servicio (contraseña, seguridad, soporte). Ninguna dirección se vende ni se cede a terceros con fines publicitarios.
• Ejércelos desde los ajustes de la app o por correo: contact@pianopiatto.com.
• Puedes reclamar ante el PFPDT (Suiza), la AEPD (España) o tu autoridad local (UE).
• Se suma un único correo en toda la vida de la cuenta: la primera víspera de la compra después de tu registro, que presenta tu semana preparada, solo si no has vuelto a la app y no has activado ninguna notificación. Lleva el mismo enlace para darte de baja.

9. Notificaciones y menores

• Notificaciones: en las apps móviles son locales, programadas en tu dispositivo, y no se envía nada a nuestros servidores. En la web, un navegador no sabe programarlas: si las activas (nunca sin tu consentimiento), guardamos la dirección que tu navegador nos da para este dispositivo y los recordatorios próximos ya redactados (por ejemplo «Sácalo del congelador: Pollo, Pollo asado, sábado»), que nuestro servidor envía a la hora prevista, además de las novedades del feed «Actividad» (hogar y recetas por defecto, amigos solo si los activas). Cada tipo se desactiva en Perfil, Notificaciones; «Dejar de recibirlas aquí», cerrar sesión o los ajustes del navegador lo detienen todo en este dispositivo. Las recetas nuevas de las personas que sigues se envían por defecto, como mucho una por persona y dos al día en total; un interruptor las desactiva.
• App abierta desde los 13 años (consentimiento parental requerido para menores de 16). Las cuentas de menores de 13 años se eliminan.
• Los cambios relevantes de esta política se notifican en la app con al menos 15 días de antelación.
• Un bebé indicado en «¿Quién come?» no tiene cuenta: solo se guarda su mes de nacimiento, que no permite identificarlo. Nunca se publica ni se transmite a terceros, y se quita en cualquier momento.
• La víspera de la compra, hacia las 18 h a tu hora, nuestro servidor prepara tu semana siguiente si está vacía y te lo anuncia con una notificación, en el teléfono como en el navegador donde las activaste. Se desactiva en Perfil, «Preparar mi semana la víspera».