Política de privacidad
Actualizado: 1.10.2026
Este documento es una traducción. La versión vinculante de esta política de privacidad es la finesa, publicada en autobaric.com/tietosuoja. Si los textos difieren, se aplica el finés — no porque la traducción sea descuidada, sino porque solo un texto puede ser el que se ha revisado.
Esta política se refiere al sitio autobaric.com y al alta en el servicio Autobaric. De los datos anotados en el servicio el responsable del tratamiento es la organización cliente, no Autobaric; a esos datos les afecta el contrato de encargo del tratamiento.
Qué recogemos y para qué
| Dato | Para qué | Base | Durante cuánto tiempo |
|---|---|---|---|
| Dirección de correo electrónico | Confirmación del alta y acceso al servicio | Preparación y ejecución de un contrato (6(1)(b)) | Vigencia de la cuenta + 24 meses |
| Nombre y jurisdicción de la organización | El servicio produce registros propios de cada país; la jurisdicción decide qué formularios y qué plazos de conservación se aplican | 6(1)(b) | Vigencia de la cuenta + 24 meses |
| Número estimado de cámaras | La tarifa es por cámara | 6(1)(b) | Vigencia de la cuenta |
| Datos de acceso | Autenticación | 6(1)(b) y, en lo relativo a la seguridad, interés legítimo (6(1)(f)) | Vigencia de la cuenta + 12 meses |
El enlace de confirmación no se conserva en claro, sino como hash. El enlace es de un solo uso y caduca.
La vigilancia de los plazos de conservación es de dos clases — y la diferencia se dice aquí, porque una promesa que no podemos demostrar es peor que una promesa limitada que sí podemos: la supresión de un alta interrumpida (30 días) está vigilada por máquina — una tarea programada borra la fila. Los plazos ligados al fin de la cuenta se ejecutan al cerrar la cuenta, y todavía no se vigilan por máquina; hasta entonces son un compromiso cuyo cumplimiento es trabajo manual.
Qué no recogemos
- Sin seguimiento. Sin analítica, sin identificadores publicitarios, sin scripts de terceros y sin tipografías externas. El sitio no hace ninguna petición a ningún otro sitio. Puede comprobarlo en la pestaña de red del navegador.
- Sin cookies en el sitio. Por eso el sitio no pide consentimiento de cookies: una ventana de consentimiento sin motivo es una mala costumbre, no una buena. La aplicación tiene una cookie de sesión, que es imprescindible para acceder.
- Sin datos de tarjeta de pago. La pasarela de pago todavía no está en uso; cuando se implante, los datos de la tarjeta irán directamente al proveedor de pago.
- Sin conservar direcciones IP. La dirección se usa solo de forma momentánea para limitar el número de peticiones, y no se almacena. El servidor web no tiene registro de accesos.
Dónde están los datos
El servidor está en Núremberg, Alemania (Hetzner Online GmbH). El centro de datos, las copias de seguridad y el servicio de sellado de tiempo de la cadena de auditoría están en la UE, y los registros no salen de allí.
Los servidores de envío de correo electrónico también están en la UE. El proveedor es Migadu-Mail GmbH, una empresa suiza cuya política de privacidad hace a la vez de contrato de encargo del tratamiento. Sus centros de datos están en la UE, en Francia, no en Suiza (según la propia Migadu). La empresa tiene su sede en Suiza, que cuenta con una decisión de adecuación de la Comisión.
Por correo electrónico solo salen mensajes de invitación y de confirmación, con un nombre y una dirección. Los registros, los registros para la autoridad y los avisos de compliance se leen en el producto y no viajan por correo electrónico en absoluto. Los encargados y su ubicación están enumerados en el registro de actividades de tratamiento.
Antes aquí decía que la ubicación de los servidores de correo no estaba confirmada. El punto se cerró el 1 de octubre de 2026. Lo llamamos abierto mientras lo estaba: una promesa que no podemos demostrar es peor que una promesa limitada que sí podemos.
El servicio de nombres está en Cloudflare, pero el tráfico no pasa por él: la intermediación está desactivada, y la conexión va directamente al servidor.
El servicio de sellado de tiempo de la cadena de auditoría recibe solo un hash SHA-256. No ve el contenido ni puede deducirlo.
A quién cedemos datos
Ni vendemos ni cedemos datos con fines de marketing. Los subencargados son el servicio de centro de datos, el almacenamiento de copias de seguridad y el envío de correo electrónico; están enumerados en el registro de actividades de tratamiento.
Sus derechos
Tiene derecho a acceder a sus datos, a rectificarlos, a recibirlos en un formato legible por máquina, a solicitar su supresión y a limitar el tratamiento u oponerse a él. Respondemos en el plazo de un mes.
El derecho de supresión no es absoluto. A los registros de la actividad con cámaras hiperbáricas les afecta un deber nacional de conservación (en la práctica 5 años en Finlandia, 10 en Alemania, 2 en el Reino Unido). Mientras el deber esté vigente, una solicitud de supresión se responde con una negativa motivada y se explica el fundamento — y la negativa indica la fecha más temprana posible de supresión, porque un deber sujeto a plazo no es una prohibición absoluta. Cuando el deber no lo impide, los datos identificativos se suprimen del registro vivo; los datos de los sucesos quedan sin identidad, porque la autoridad tiene que poder ver que la sesión tuvo una persona responsable con nombre.
La supresión no alcanza a un registro cerrado: un registro firmado contiene la dotación y los nombres de quienes firman, y es inalterable. El nombre sigue a la vista en esos registros durante el deber de conservación (RGPD 17(3)(b)); después el registro se suprime por completo conforme a la política de conservación.
Puede presentar una reclamación ante la autoridad finesa de protección de datos, el Defensor de Protección de Datos (tietosuoja.fi).
Datos de contacto
El responsable del tratamiento es quien opera el servicio Autobaric. En materia de protección de datos: admin@autobaric.com
No se ha designado delegado de protección de datos: no se cumplen las condiciones del artículo 37, porque la actividad principal no consiste ni en la observación habitual y sistemática de interesados a gran escala ni en el tratamiento a gran escala de categorías especiales de datos personales.