Privacidad y protección de datos

1. Responsable

• Nombre: David Alcázar Urrutia
• Contacto para tus derechos: privacidad@hortiadvance.es

2. Qué datos tratamos y para qué

• Cuenta: nombre, email, contraseña (guardada cifrada con bcrypt, nunca en claro), foto de perfil y portada, empresa y preferencias. Si entras con Google, recibimos tu email, nombre e identificador de Google. Base legal: ejecución del servicio que pides (art. 6.1.b).
• Datos de tus fincas: ubicación, referencias SIGPAC, cultivos, campañas, producción, ventas, costes, facturas, análisis de suelo, agua o foliares, abonados, tratamientos, fotos y documentos que subas. Base legal: ejecución del servicio (art. 6.1.b).
• Seguridad: intentos fallidos de acceso (email y, solo si el servidor está detrás de un proxy de confianza, la IP) para bloquear ataques de contraseña. Base legal: interés legítimo en proteger las cuentas (art. 6.1.f).
• Fotos: al recibirlas, el servidor les quita los metadatos (ubicación GPS, modelo del móvil, fecha) antes de guardarlas o enviarlas a la IA.

3. Inteligencia artificial

Las funciones de IA (diagnóstico por foto, preguntas, lectura de facturas y análisis, plan de abonado) envían lo que mandes (fotos, documentos, textos y, si lo activas en el perfil, datos de tus fincas) a Anthropic PBC, en Estados Unidos, que lo procesa para generar la respuesta. Solo se envía si has dado tu consentimiento en Perfil → Inteligencia (art. 6.1.a), y puedes retirarlo en cualquier momento con el mismo interruptor; retirarlo no afecta a lo enviado antes. Sin consentimiento el resto de la app funciona igual.

Garantía de la transferencia internacional (arts. 44-49): pendiente de completar por el titular de la app.

Las respuestas de la IA son orientativas: la app no toma decisiones automatizadas con efectos jurídicos sobre ti (art. 22) y cualquier tratamiento o abonado lo decides y registras tú.

4. Quién más recibe datos

• Alojamiento del servidor: Vercel Inc. (servidores en Dublín, UE), Turso (AWS Irlanda, UE) y Vercel Blob (Dublín, UE).
• Anthropic (IA), solo con tu consentimiento (apartado 3).
• Google, solo si eliges entrar con Google.
• Servicios públicos que consulta el servidor sin datos tuyos identificativos: SIGPAC (FEGA), Registro de Fitosanitarios (MAPA), Red de Información Agroclimática de Andalucía y CartoCiudad (IGN), con referencias de parcela, coordenadas o municipio.
• Tu navegador descarga directamente los mapas del IGN y algunas imágenes de Wikimedia Commons: esos servicios ven tu dirección IP, como en cualquier web.

No vendemos tus datos ni los usamos para publicidad.

5. Cuánto tiempo

• Tu cuenta y tus datos: mientras tengas la cuenta. Al eliminarla se borran todos, incluidos los documentos subidos.
• Copias de seguridad automáticas del servidor: se guardan las 14 últimas (como mucho una al día) y se sustituyen solas, así que los datos borrados desaparecen de ellas al renovarse.
• Intentos fallidos de acceso: 48 horas.
• Sesión iniciada: 30 días como máximo.

6. Cookies y almacenamiento del navegador

Solo usamos elementos técnicos necesarios para que la app funcione; no hay cookies de analítica ni de publicidad.

• agroapp_session: mantiene tu sesión iniciada (30 días).
• agroapp_google_oauth: protege el acceso con Google mientras se completa (10 minutos).
• agroapp.sidebar y agroapp.marginBasis (almacenamiento local): recuerdan cómo prefieres ver el menú y los márgenes.

7. Tus derechos

• Acceso y portabilidad: Perfil → Descargar mis datos (archivo JSON con todo).
• Rectificación: puedes editar tus datos en la propia app.
• Supresión: Perfil → Eliminar cuenta.
• Retirar el consentimiento de la IA: Perfil → Inteligencia.
• Oposición, limitación u otras peticiones: escribe a privacidad@hortiadvance.es.

Si crees que no tratamos bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Seguridad

Contraseñas cifradas, sesión en cookie protegida (HttpOnly, SameSite), límites de intentos, cabeceras de seguridad del navegador (CSP, HSTS cuando se sirve por HTTPS), comprobación de origen en las peticiones y aislamiento de los datos de cada usuario.