Aufmasstool

Política de privacidad

La versión alemana de esta página es la vinculante. Esta traducción se ofrece a título informativo; en caso de discrepancia prevalece el texto alemán.

Actualizado:

Esta política de privacidad describe qué datos personales se tratan al utilizar este sitio web, la aplicación Aufmasstool para iOS y Android y la versión para navegador disponible en app.aufmasstool.de, con qué finalidad, sobre qué base jurídica, quién los recibe y durante cuánto tiempo se conservan (Art. 13 DSGVO, el Reglamento General de Protección de Datos de la UE). Describe la situación actual. Cuando un tratamiento está preparado pero todavía no está en funcionamiento, o cuando una cuestión todavía no está aclarada, se indica expresamente.

1. Responsable del tratamiento

El responsable del tratamiento de datos en el sentido del Art. 4 Nr. 7 DSGVO es:

Tobias Bak
Im Oberdorf 13a
36399 Freiensteinau
Deutschland
Correo electrónico: info@aufmasstool.de

No se ha designado un delegado de protección de datos; no concurren los requisitos del § 38 BDSG (Ley Federal alemana de Protección de Datos). Dirija sus consultas sobre esta política y sobre el ejercicio de sus derechos a la dirección indicada más arriba.

2. Resumen: dónde se encuentran los datos

Los datos de medición, de proyecto y de medios se generan en su dispositivo y se almacenan allí en una base de datos. Para el inicio de sesión y, si utiliza la nube, para la sincronización, explotamos un servidor propio.

Este servidor no es un servicio de nube ajeno. Se trata de una instalación explotada por nosotros mismos en un servidor alquilado a la Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania. La ubicación del servidor es Alemania. Hetzner nos facilita la máquina, el almacenamiento y el acceso a la red y es, en esa medida, nuestro encargado del tratamiento; no existe contrato alguno con el fabricante del software de servidor que empleamos, y este tampoco recibe datos.

Conforme al Art. 28 DSGVO, este tratamiento requiere un contrato de encargo del tratamiento. Lo celebramos con la Hetzner Online GmbH el 02/10/2026.

Envío de correos electrónicos

Enviamos los correos electrónicos a través de un servidor de correo propio, que explotamos nosotros mismos en Hetzner Online GmbH en Alemania. No hay ningún otro proveedor de servicios para el envío. Esto afecta a los mensajes del servicio de autenticación —confirmación de la dirección de correo electrónico, restablecimiento de la contraseña, cambio de dirección—, al código de confirmación del registro (apartado 4), a la invitación a un equipo (apartado 5.3), a nuestra respuesta a una solicitud relativa a un aparato de medición, al acuse de recibo de una cancelación y a la confirmación del contrato tras una compra en la versión para navegador y tras cada aumento del número de licencias Team (en cada caso, apartado 7). En ese envío nuestro servidor de correo entrega la dirección del destinatario, el asunto y el contenido del mensaje al servidor de correo del destinatario. La base jurídica es la del tratamiento al que pertenece el mensaje; se indica en cada caso en el apartado mencionado. Hetzner es también nuestro encargado del tratamiento para el servidor de correo; en cuanto al contrato de encargo del tratamiento, rige lo indicado más arriba para el servidor.

3. Accesos a nuestros servidores

Archivos de registro del servidor al acceder a este sitio web

Al acceder al sitio web, el software de servidor registra automáticamente información que transmite su navegador. Se trata, en particular, de:

La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO. Nuestro interés legítimo reside en la entrega técnicamente correcta y en la seguridad del sitio web. Estos datos no se combinan con otras fuentes de datos, ni se analizan con fines de medición de audiencia o publicitarios. Sobre el plazo de conservación, véase el apartado 13.

Accesos de la aplicación y de la versión para navegador

Estas anotaciones no se generan únicamente al acceder a este sitio web. Cada solicitud que la aplicación y la versión para navegador dirigen a nuestro servidor —inicio de sesión, sincronización, subida de grabaciones, interfaz de programación— recorre la misma cadena de intermediario, capa de acceso y entorno de ejecución, y también allí queda registrada con la dirección IP, el momento, la dirección solicitada y el mensaje de estado. La finalidad y la base jurídica se corresponden con las de los archivos de registro del servidor indicados más arriba. Qué anotaciones lleva en detalle cada uno de los componentes de esa cadena se rige por su configuración predeterminada. Las anotaciones de la capa de acceso, del entorno de ejecución y del servicio de inicio de sesión las suprimimos a los 30 días; lo que el software del servidor registre además por sí mismo lo sobrescribe de forma continua (apartado 13).

Cookies, tipos de letra y servicios integrados

Este sitio web no utiliza cookies. No carga tipos de letra, ni scripts, ni imágenes desde servidores ajenos; todos los archivos se encuentran en nuestro propio servidor. No hay integrado ningún servicio de análisis, de medición de audiencia ni de publicidad. Por ello no es necesario un consentimiento conforme al § 25 Abs. 1 TDDDG (Ley alemana de protección de datos en telecomunicaciones y telemedios) y, de forma deliberada, no existe ningún banner de consentimiento.

4. Cuenta y registro

El registro es obligatorio

Sin cuenta, la aplicación no se puede utilizar, tampoco sin conexión ni en el plan gratuito. Si la aplicación se inicia sin cuenta, conduce al registro y no a sus datos. Por ello, para cada usuaria y cada usuario se mantiene una cuenta en nuestro servidor, con independencia de que la sincronización en la nube esté activada o no.

Qué datos se recogen en el registro

Se recogen la dirección de correo electrónico, la contraseña, un nombre para mostrar y un identificador local de cuenta que la aplicación genera en su dispositivo. No almacenamos la contraseña en texto claro. A la cuenta pertenece un perfil con el nombre para mostrar, la dirección de correo electrónico y una anotación de qué equipo se eligió por última vez (apartado 5.8). Nuestro servidor toma el nombre para mostrar y la dirección de correo electrónico del perfil automáticamente del servicio de inicio de sesión: si cambia su nombre en la aplicación o confirma una nueva dirección de correo electrónico, el perfil se actualiza en consecuencia. Por eso solo puede cambiar su nombre con conexión a nuestro servidor; después rige para su cuenta en todos los dispositivos. El perfil prevé además campos para el nombre de la empresa, la dirección de facturación y el número de identificación a efectos del IVA (USt-IdNr.); actualmente ninguna parte de la aplicación rellena esos campos.

Si en el registro se canjea un código de invitación, almacenamos qué código ha sido canjeado por qué cuenta y cuándo. La finalidad es la constitución y la ejecución de la relación de uso; la base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Idioma de la cuenta

Junto a su cuenta almacenamos el idioma configurado en la aplicación como abreviatura (de, en, pl, es o fr). La aplicación lo transmite en el registro, en cada cambio de idioma mientras tenga la sesión iniciada y una vez tras el inicio si su cuenta todavía no tiene ningún idioma. Se guarda con los demás datos de la cuenta en el servicio de autenticación de nuestro servidor. La finalidad es enviarle en ese idioma los correos para restablecer la contraseña y para confirmar una nueva dirección de correo electrónico; no lo utilizamos para ninguna otra finalidad. Se suprime junto con su cuenta (apartado 13). La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Aceptación de las condiciones de uso

En el registro confirma con una casilla que acepta las condiciones generales, que ha leído esta política de privacidad y que tiene al menos 18 años; sin esa casilla no creamos ninguna cuenta a través del registro. Si para una cuenta existente falta esa constancia, la aplicación la solicita tras el inicio de sesión; entonces solo puede aceptarse con conexión a nuestro servidor. Como constancia de su aceptación almacenamos el identificador de su cuenta, el tipo de aceptación, la versión de las condiciones (mes y año de su fecha), el momento y si aceptó en el registro o en respuesta a la solicitud posterior. No almacenamos con ella ninguna dirección IP ni dirección de correo electrónico.

La finalidad es poder acreditar que aceptó las condiciones, qué versión de ellas y que confirmó su edad mínima. La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo es esa acreditación, también en un litigio. Por eso la constancia se conserva tras la supresión de su cuenta, en concreto hasta el final del tercer año natural posterior al año de la supresión, es decir, mientras por regla general aún puedan hacerse valer pretensiones derivadas de la relación de uso (§§ 195, 199 BGB; Art. 17 Abs. 3 lit. e DSGVO). Tras una supresión en marzo de 2026, la constancia se conserva por tanto hasta finales de 2029. Después la elimina un proceso diario de supresión.

Confirmación de la dirección de correo electrónico

Si el formulario de registro pide un código de confirmación, enviamos un código de seis cifras a la dirección de correo electrónico indicada; solo con ese código creamos la cuenta. Para ello almacenamos la dirección de correo electrónico, el código solo como valor hash (no en texto claro), el número de entradas erróneas, los momentos de solicitud, caducidad y uso, el idioma del mensaje y, en texto claro, la dirección IP desde la que llega la solicitud. Un código vale 15 minutos. No aceptamos direcciones de determinados proveedores de buzones desechables; para ello comparamos con una lista la parte de la dirección que sigue al signo @.

La finalidad es acreditar que la dirección de correo electrónico le pertenece y, con ello, la constitución de la relación de uso; la base jurídica es el Art. 6 Abs. 1 lit. b DSGVO. La dirección IP sirve únicamente para defender la vía de registro frente al uso abusivo automatizado; en esa medida, la base jurídica es el Art. 6 Abs. 1 lit. f DSGVO, y nuestro interés legítimo es la protección de la vía de registro. Un proceso de supresión cada hora elimina cada entrada 24 horas después de la solicitud; por eso una entrada permanece como máximo unas 25 horas. La supresión de una cuenta no elimina estas entradas por separado; desaparecen con ese mismo proceso.

Protección frente a registros masivos. Antes de enviar un código, la aplicación o la versión para navegador puede resolver en su dispositivo una breve tarea de cálculo que plantea y comprueba nuestro propio servidor. No interviene ningún servicio ajeno y no se instalan cookies. Para que una tarea resuelta no cuente una segunda vez, almacenamos un valor hash de la tarea que no contiene información sobre su persona; con qué frecuencia se solicitan tareas y códigos lo contamos por dirección de correo electrónico y por dirección IP solo como valor hash (limitación de los intentos de registro, más abajo). La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo es la protección de la vía de registro.

Limitación de los intentos de registro

Para proteger la vía de registro frente al uso abusivo automatizado, limitamos con qué frecuencia, dentro de un intervalo de tiempo, puede intentarse un registro, solicitarse o comprobarse un código de confirmación y obtenerse una tarea de cálculo —contado por dirección de correo electrónico, por dirección IP desde la que llega la solicitud y por cuenta— y, del mismo modo, con qué frecuencia puede introducirse un código de recuperación del segundo factor. Para ello no almacenamos la dirección o el identificador en sí, sino únicamente un valor hash calculado a partir de ellos (SHA-256), además del inicio del intervalo de tiempo y del número de intentos. Como el valor hash de una dirección IP puede revertirse con un esfuerzo razonable, lo tratamos como la propia dirección y lo conservamos solo durante poco tiempo: un proceso diario de supresión elimina cada contador cuyo intervalo de tiempo quedó atrás hace más de 48 horas.

La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo es la protección de la vía de registro y de las cuentas. De ello hay que distinguir los registros de acceso de nuestros servidores, por los que también pasan estas solicitudes (apartado 3), y los datos de sesión propios del servicio de autenticación.

Segundo factor

Puede configurar voluntariamente un segundo factor para su cuenta: una aplicación en uno de sus dispositivos que genera códigos de un solo uso dependientes del tiempo. La clave secreta necesaria para ello la gestiona el servicio de autenticación en nuestro servidor. Además recibe diez códigos de recuperación para el caso de que ya no tenga acceso a esa aplicación. Los códigos de recuperación los almacenamos únicamente como valor hash, no en texto claro; por eso tampoco podemos volver a mostrárselos. Si hay un segundo factor configurado, la aplicación lo exige al iniciar sesión. Si desactiva el segundo factor o canjea un código de recuperación, eliminamos el factor y todos los códigos de recuperación; con la supresión de la cuenta desaparecen igualmente. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Solicitud de invitación: aquí sí se almacena la dirección IP en texto claro

Mientras el registro solo sea posible con un código de invitación, usted puede solicitar un código a través de la aplicación. Al hacerlo almacenamos el nombre, la dirección de correo electrónico, su texto libre y la dirección IP desde la que llega la solicitud. La dirección IP se almacena en texto claro; en el caso de las direcciones IPv4, un valor hash podría revertirse en poco tiempo y, por tanto, no constituiría protección alguna.

La finalidad de la dirección IP es únicamente limitar el número de solicitudes por origen y, con ello, impedir el uso abusivo automatizado del formulario de solicitud. La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo es la protección de la vía de registro. No se combina con otros datos, y la dirección no se utiliza para determinar la ubicación.

Una solicitud tramitada —hemos expedido un código o rechazado la solicitud, o con el código se ha creado una cuenta— la suprimimos junto con la dirección IP 90 días después de su tramitación, y una que nunca se tramitó 180 días después de su recepción. Si expedimos un código, lo conservamos en texto claro junto a la solicitud solo hasta que vence su plazo de recogida. De ambas cosas se encarga un proceso diario de supresión. Las solicitudes de invitación correspondientes a la dirección de correo electrónico con la que se llevaba por última vez una cuenta se eliminan al suprimirse esa cuenta. Si así se nos requiere, suprimimos una solicitud también antes (apartado 14).

Inicio de sesión y sesión

Tras el inicio de sesión, la aplicación conserva un identificador de sesión (clave de acceso y clave de renovación) para que un reinicio no exija volver a iniciar sesión. En iOS y Android se encuentra en la base de datos de la aplicación; en el navegador, en el almacenamiento local del navegador (véase el apartado 5.2). El servicio de autenticación mantiene además sus propios datos de sesión en nuestro servidor.

Bloqueo de la aplicación e inicio de sesión con Face ID o huella

En las aplicaciones para iOS y Android puede bloquear la aplicación con Face ID, Touch ID, huella dactilar o reconocimiento facial y hacer que se recuerde su inicio de sesión. La comprobación biométrica la realiza únicamente el sistema operativo de su dispositivo; la aplicación solo recibe el resultado «reconocido» o «no reconocido». Ni la aplicación ni nosotros recibimos rasgos biométricos.

Si hace que se recuerde el inicio de sesión, la aplicación guarda su dirección de correo electrónico y su contraseña en una entrada del llavero del dispositivo que el sistema solo entrega tras una comprobación biométrica correcta; en iOS, solo mientras haya un código de dispositivo configurado y sin transferencia a otro dispositivo. En la base de datos de la aplicación solo figura su dirección de correo electrónico como indicación de que existe dicha entrada. Al iniciar sesión con Face ID o huella, la aplicación envía la dirección de correo electrónico y la contraseña al servicio de autenticación de nuestro servidor, como en cualquier inicio de sesión; aparte de eso, no se nos transmite nada. Cerrar la sesión mantiene la entrada para que pueda volver a iniciar sesión. Se elimina cuando desactiva la función, desvincula el dispositivo de la cuenta o elimina la cuenta, y cuando el servidor ya no acepta la contraseña recordada; si cambia la biometría del dispositivo, por ejemplo con una nueva huella, el sistema inutiliza la entrada.

El sistema puede introducir al iniciar sesión las contraseñas guardadas en su gestor de contraseñas. La vinculación entre la aplicación y la dirección web la establece un archivo público en nuestro servidor que no contiene datos personales. La versión para navegador no ofrece ni bloqueo de la aplicación ni inicio de sesión biométrico. La base jurídica es el art. 6, apartado 1, letra b, del RGPD.

Inicio de sesión con Apple, Google o Microsoft

En lugar de con dirección de correo y contraseña, puede iniciar sesión mediante «Continuar con Apple», «Continuar con Google» o «Continuar con Microsoft». En ese caso inicia sesión con el proveedor correspondiente –Apple Distribution International Ltd. (Irlanda), Google Ireland Limited o Microsoft Ireland Operations Limited– y el proveedor nos transmite una confirmación con su dirección de correo, un identificador de su cuenta con él y, si existe, su nombre. Si todavía no hay ninguna cuenta para esa dirección, creamos una; en caso contrario, vinculamos el inicio de sesión a su cuenta existente. Con Apple puede ocultar su dirección; entonces recibimos una dirección de reenvío de Apple. Lo que el proveedor trata cuando inicia sesión con él se rige por su política de privacidad; los proveedores tratan los datos como responsables independientes, lo que puede implicar una transferencia a los Estados Unidos de América.

Guardamos el identificador del proveedor y los datos que transmite al iniciar sesión (como la dirección y el nombre) junto con su cuenta. Para el inicio de sesión con Apple guardamos además una clave con la que revocamos el acceso en Apple al eliminar su cuenta; en ese momento se borra. Si su cuenta no tiene contraseña, confirma los cambios sensibles (establecer una contraseña, cambiar la dirección, desbloquear) iniciando sesión de nuevo con el proveedor o con un código de seguridad que le enviamos a su dirección; del código solo guardamos un valor de comprobación, es válido durante 15 minutos y se borra con el siguiente código o con la cuenta. La base jurídica es el art. 6, apartado 1, letra b, del RGPD.

5. Datos en la aplicación

5.1 En su dispositivo

Los proyectos, edificios, plantas, viviendas, estancias, objetos, elementos constructivos, valores medidos, hojas de medición, documentos de facturación, firmas, participantes y medios se almacenan en una base de datos de su dispositivo. Las fotos, los vídeos, las grabaciones de audio y los escaneos 3D se guardan como archivos en el directorio de datos de la aplicación. Mientras la sincronización en la nube esté desactivada, estos datos técnicos no salen de su dispositivo; los datos de la cuenta del apartado 4 se llevan en nuestro servidor con independencia de ello.

5.2 Versión para navegador y almacenamiento en el equipo terminal (§ 25 TDDDG)

En la versión para navegador disponible en app.aufmasstool.de, la base de datos trabaja en la memoria de trabajo. Para que sus datos sobrevivan a una recarga de la página, la aplicación deposita además una copia de esa base de datos en el almacenamiento de bases de datos del navegador (IndexedDB). En el almacenamiento local del navegador (localStorage) se encuentran el identificador de sesión del inicio de sesión y dos anotaciones técnicas mediante las cuales varias ventanas abiertas del navegador se ponen de acuerdo sobre cuál de ellas puede escribir en cada momento; durante un registro, además, la dirección de correo electrónico introducida y el estado de su confirmación, sin el código en sí.

Esto constituye un almacenamiento de información en el equipo terminal y un acceso a ella en el sentido del § 25 Abs. 1 TDDDG. Nos amparamos expresamente en la excepción del § 25 Abs. 2 Nr. 2 TDDDG: ambas cosas son estrictamente necesarias para que el servicio expresamente solicitado por usted pueda prestarse. Sin el identificador de sesión, su sesión se cerraría tras cada recarga; sin la copia, sus mediciones se perderían tras cada recarga. No recabamos consentimiento para ello porque la ley no lo exige en este caso. Con fines de análisis, de medición de audiencia o publicitarios no se almacena nada en el equipo terminal.

Puede borrar estos almacenamientos en cualquier momento desde los ajustes de su navegador para esta dirección. Después, las mediciones conservadas en el navegador se habrán perdido, salvo que estuvieran sincronizadas en la nube.

5.3 Sincronización en la nube

Si la nube está activada para su cuenta, los datos técnicos se sincronizan con nuestro servidor. En ese proceso se transmiten los proyectos junto con el nombre del cliente y la dirección del inmueble, las cajas de escalera con dirección propia, las plantas, las viviendas, las estancias, los objetos, los elementos constructivos, las partidas de las mediciones y presupuesto, las hojas de medición, los documentos de facturación, las firmas (apartado 5.9), los participantes del proyecto, el historial de modificaciones de los valores medidos y de los elementos constructivos, las operaciones de supresión de la papelera (apartado 13), los datos maestros de su empresa (entre otros, dirección, persona de contacto, teléfono, correo electrónico, número fiscal, datos bancarios y logotipo) y los datos administrativos de sus medios.

Logotipo de la empresa. Si los titulares o administradores de un equipo guardan un logotipo en el perfil de la empresa, la aplicación lo sube como archivo de imagen al almacenamiento de archivos no público de nuestro servidor, a la carpeta con los datos de la empresa de ese equipo; los datos maestros de la empresa remiten a ese archivo. Pueden leerlo todos los miembros del equipo, también los miembros que solo leen, con independencia del interruptor «Fotos y medios». Los dispositivos del equipo adoptan un logotipo modificado en la siguiente sincronización, y nuestro servicio para los encargos de la interfaz de programación lo inserta en un PDF solicitado por esa vía (apartado 8). Si sustituye o elimina el logotipo, los datos maestros de la empresa dejan de remitir al archivo anterior; el archivo anterior permanece en el almacenamiento de archivos hasta que se suprime el equipo (apartado 13). La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

El acceso de otras cuentas de cliente a estos datos está limitado, del lado del servidor, a los miembros de su equipo. En la lista de miembros del equipo, cada miembro que pueda editar datos ve el rol y el nombre para mostrar de los demás miembros y qué proyectos tienen asignados; las direcciones de correo electrónico de los demás miembros solo las ven los propietarios y administradores del equipo, todos los demás solo ven la suya. Los miembros con el rol «Solo lectura» solo ven en la lista de miembros su propia fila y, además, los nombres para mostrar de los propietarios del equipo; lo mismo rige si consultan las pertenencias directamente a través de nuestra interfaz de datos. Nuestro propio acceso a través del portal de administración no se ve afectado por ello; se describe en el apartado 9. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO (ejecución del contrato de uso).

Para que los números de documento no se asignen dos veces, tampoco entre varios dispositivos de una misma empresa, en el modo de nube la aplicación reserva para propietarios y administradores, al sincronizar, bloques de números de documento en nuestro servidor. Para ello almacenamos el equipo, la serie de numeración, el año, el rango de números reservado, el momento y un identificador de esta instalación que la aplicación genera una vez de forma aleatoria. En ello no se almacena ninguna referencia a su cuenta. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

El mismo identificador de la instalación lo llevan las operaciones de supresión de la papelera, que también se sincronizan. Así la papelera puede mostrar si una entrada se suprimió en este dispositivo o en otro. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Si en un equipo trabajan varias personas, registramos además los eventos de esa colaboración: que se le ha asignado un proyecto o que se le ha retirado, que su rol ha cambiado o que su pertenencia ha terminado, cada uno con el momento, el equipo, el nombre del proyecto y la persona que actúa. La finalidad es que su dispositivo tenga conocimiento de ello aunque en ese momento no estuviera conectado; la base jurídica es el Art. 6 Abs. 1 lit. b DSGVO. Sobre el plazo de conservación, véase el apartado 13.

Permisos de los miembros que solo leen. Para cada miembro con el rol «Solo lectura», los propietarios y administradores del equipo determinan mediante cuatro interruptores si puede ver precios y documentos, fotos y medios, y hojas de medición de los proyectos que ve en el equipo, y si la aplicación le permite exportar. Para ello almacenamos, por cada pertenencia, el estado de los cuatro interruptores; se mantiene tal cual cuando cambia el rol. Si cambia un interruptor, lo registramos, como un cambio de rol, como evento de la colaboración, para que el dispositivo de la persona tenga conocimiento de los nuevos permisos. De forma predeterminada, «Precios y documentos» está desactivado y los otros tres interruptores están activados. Lo que excluye un interruptor, nuestro servidor no se lo entrega a la persona: sin «Precios y documentos», ningún documento de facturación, ningún precio de las partidas de las mediciones y presupuesto, ninguna firma bajo documentos de facturación y ninguna entrada de la papelera que contenga documentos de facturación; sin «Fotos y medios», ninguna foto, vídeo ni grabación de audio y ningún archivo del almacenamiento de archivos salvo los datos de la empresa, por ejemplo el logotipo, y ninguna entrada de la papelera que contenga medios; sin «Hojas de medición», ninguna hoja de medición, ninguna firma bajo ellas y ninguna entrada de la papelera que contenga hojas de medición. «Exportar permitido» solo actúa en la aplicación. Lo que un dispositivo ya había cargado antes de que se desactivara un interruptor solo lo elimina una versión de la aplicación que conozca los interruptores; las versiones anteriores de la aplicación no lo eliminan. Con independencia de los interruptores, los miembros con el rol «Solo lectura» no ven destinos de webhooks ni series de numeración de documentos de facturación, y no pueden presentar solicitudes relativas a aparatos de medición. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Licencia Team en la lista de miembros. A los propietarios y administradores de un equipo les mostramos en la lista de miembros, para cada miembro, si tiene una licencia Team y de qué tipo —propia, asignada, en pausa o ninguna— y, para los miembros con el rol «Solo lectura», el estado de sus cuatro interruptores. El nombre para mostrar del comprador de una licencia asignada solo lo mostramos si el propio comprador es propietario o administrador de ese equipo. La finalidad es que la dirección del equipo vea quién puede editar datos en el equipo; la base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Invitación a un equipo por correo electrónico. Si, como propietario o administrador de un equipo, invita a una persona, almacenamos la dirección de correo electrónico invitada, el rol previsto, el código de invitación, su fecha de caducidad, su cuenta como la que invita, el idioma de la invitación y si el envío tuvo éxito y cuándo. La invitación la enviamos a través de nuestro envío de correo (apartado 2) a la dirección invitada, también cuando la persona todavía no tiene cuenta con nosotros. El correo indica el equipo, el rol, el código de invitación, su fecha de caducidad y su dirección de correo electrónico como la de la persona que invita; las respuestas al correo llegan a su dirección. La base jurídica es, para el equipo que invita, el Art. 6 Abs. 1 lit. b DSGVO y, frente a la persona invitada, el Art. 6 Abs. 1 lit. f DSGVO: el interés legítimo de la empresa que invita y el nuestro consiste en invitar a la persona a colaborar a petición de la empresa. Sobre el plazo de conservación, véase el apartado 13.

Si se conecta un Leica DISTO por Bluetooth, la aplicación almacena, junto con el valor medido incorporado, el identificador Bluetooth de ese medidor láser y lo transmite también a la nube. Se trata del identificador del aparato de medición, no de un identificador de su teléfono ni de un identificador publicitario.

5.4 Datos de terceros en sus proyectos: nuestro papel

En sus proyectos trata usted con regularidad datos de otras personas: clientes, destinatarios de facturas, personas de contacto en la obra. Entre ellos figuran el nombre, la empresa, la dirección, el país, la dirección de correo electrónico, el número de teléfono, el número de identificación a efectos del IVA (USt-IdNr.), la Leitweg-ID, el número de cliente y sus notas; en los documentos de facturación, además, el nombre y la dirección del destinatario de la factura.

Respecto de estos datos, el responsable del tratamiento es usted, y nosotros somos su encargado del tratamiento conforme al Art. 28 DSGVO. En cambio, respecto de sus propios datos de cuenta, de plan y de facturación, el responsable somos nosotros. Para ello es necesario un contrato de encargo del tratamiento. Para los clientes de equipo y de nube está en preparación y todavía no está disponible. En esta relación, la Hetzner Online GmbH es nuestro subencargado del tratamiento.

5.5 Cámara, micrófono, fotos, vídeos y grabaciones de audio

Para medir paredes y estancias (en iOS con LiDAR, ARKit y RoomPlan; en Android con ARCore), para las fotos de referencia y para la documentación de obra, la aplicación accede a la cámara. Para las notas habladas y para el sonido de las grabaciones de vídeo accede al micrófono; los permisos correspondientes se solicitan tanto en iOS como en Android y usted puede denegarlos. En la versión para navegador, su navegador le pide permiso cuando toma una foto o un vídeo con la cámara —el micrófono, solo al iniciar una grabación de vídeo— o inicia una grabación de audio; también allí puede denegar el acceso, y el vídeo se graba entonces sin sonido. La versión para navegador no mide con la cámara: allí elige una foto para medir con referencia mediante el diálogo de archivos de su navegador. Las grabaciones de audio son un tipo de medio propio, junto a la foto y el vídeo. De forma opcional, puede adjuntar fotos y vídeos ya existentes desde la galería multimedia de su dispositivo.

En Android, los modos de medición con realidad aumentada —distancia, altura del suelo al techo, superficie, objeto, volumen y el contorno guiado de la estancia—, así como la foto con mapa de profundidad de la documentación fotográfica, utilizan los Servicios de Google Play para RA (ARCore) de Google LLC, siempre que estén instalados en su dispositivo. Para que la aplicación pueda mostrar cuáles de estos modos admite su dispositivo, al abrir la lista de objetos comprueba además si ARCore está disponible en su dispositivo y —si ya ha permitido a la aplicación usar la cámara— si proporciona imágenes de profundidad; esta comprobación se realiza a través de los Servicios de Google Play. La medición sobre una foto con referencia funciona sin ARCore. De estos servicios es responsable Google; se aplican las condiciones y la política de privacidad de Google.

Si la nube está activada para su cuenta, cada grabación se sube por sí sola: fotos, vídeos y grabaciones de audio. Esto ocurre automáticamente en segundo plano y no solo al pulsar un botón. Los archivos se encuentran entonces en un almacenamiento de archivos no público en nuestro servidor, bajo una ruta que contiene el identificador de su equipo, y son legibles para los miembros de ese equipo. La frase anterior, según la cual las grabaciones «no se nos transmiten automáticamente», describía la situación previa a la sincronización en la nube y ha sido suprimida sin sustitución.

Junto con el archivo almacenamos el nombre del archivo, el tipo de archivo, el tamaño, el momento de la toma, la duración, las dimensiones, el título, la nota, el orden, una pequeña imagen en miniatura y los eventuales dibujos realizados sobre la imagen. A una foto con mapa de profundidad le corresponde el mapa de profundidad como archivo propio; se guarda y se sube junto con la foto.

Límites de las grabaciones. La aplicación no acepta fotos de más de 25 MB, vídeos de más de 3 minutos o de más de 250 MB ni grabaciones de audio de más de 60 minutos: los rechaza al adjuntarlos, indica el motivo y no los guarda. Si el dispositivo o el navegador no puede leer la duración de un vídeo, la aplicación solo comprueba su tamaño. Una grabación propia que supere un límite se pierde, por tanto. La aplicación detiene por sí sola una grabación de audio a los 60 minutos y la guarda. Un archivo multimedia de más de 250 MB que ya está en el dispositivo no lo sube la aplicación; permanece solo en ese dispositivo. Cuánto espacio ocupan las grabaciones lo calcula la aplicación en el dispositivo a partir de los tamaños de los archivos y de sus entradas; para ello no se envía nada a nuestro servidor.

Los archivos se suben mediante una dirección de duración limitada de nuestro almacenamiento de archivos que la aplicación solicita con su inicio de sesión; en casos concretos, por ejemplo con una versión anterior del almacenamiento de archivos, la aplicación sube el archivo directamente con su inicio de sesión. Los archivos se descargan mediante una dirección de duración limitada que la aplicación solicita de la misma manera y que es válida durante 60 segundos. Al descargar rigen los mismos permisos de lectura que para los demás datos de su equipo, incluido el interruptor «Fotos y medios» para los miembros que solo leen (apartado 5.3).

5.6 Datos de localización e indicaciones EXIF en las fotos

La aplicación no lee la ubicación de su dispositivo. No obstante, en Android 11 y versiones anteriores el sistema operativo exige el permiso de ubicación precisa para buscar dispositivos Bluetooth; por eso la aplicación lo solicita allí cuando usted busca un aparato de medición y lo utiliza únicamente para esa búsqueda. A partir de Android 12, la aplicación solo solicita los permisos de Bluetooth, expresamente sin derivación de la ubicación. En iOS y en la versión para navegador la aplicación no pregunta por la ubicación.

No obstante, las fotos contienen con frecuencia indicaciones EXIF que el propio dispositivo escribe en ellas. De ellas solo se evalúan el momento de la toma y, de forma indirecta, la orientación de la imagen. Al guardarse, el archivo de imagen se copia byte a byte y no se vuelve a codificar, y la aplicación no elimina ninguna indicación EXIF. Si una foto contiene un bloque GPS, porque su dispositivo esté configurado así, este se conserva y, con la nube activada, se sube junto con el archivo. Que su dispositivo escriba o no coordenadas en las fotos lo deciden el sistema operativo y los ajustes de su dispositivo; puede comprobarlo en los ajustes de cámara y de privacidad de su dispositivo.

5.7 Informes de error

Desde la aplicación y la versión para navegador, solo con su consentimiento. En Ajustes › Informes de error puede activar que la aplicación, ante un error inesperado, envíe un informe técnico a nuestro servidor; la opción predeterminada es desactivado. El informe contiene el tipo y el texto del mensaje de error, la traza técnica de llamadas con nombres de funciones y de pantallas, el momento, la versión de la aplicación y de la base de datos local, el sistema operativo y su versión, el tipo de dispositivo (teléfono, tableta u ordenador), el nombre de la última pantalla abierta y si existe un inicio de sesión en la nube (solo sí o no). No contiene ningún identificador de su cuenta, de su equipo ni de su dispositivo, y nuestro servidor no lee su dirección IP al recibirlo, salvo en los registros de acceso del apartado 3. Del texto del mensaje de error, la aplicación elimina previamente lo que puede reconocerse como patrón, por ejemplo direcciones de correo electrónico, importes, valores medidos, datos bancarios, identificadores, rutas de archivo y códigos postales con localidad. No puede excluirse por completo que un nombre que figure en mitad de una frase sin ese patrón permanezca.

La base jurídica es su consentimiento conforme al Art. 6 Abs. 1 lit. a DSGVO y al § 25 Abs. 1 TDDDG. Puede retirarlo en cualquier momento, con efectos para el futuro, en el mismo interruptor; los informes todavía no transmitidos se descartan en ese caso. La aplicación guarda el consentimiento en el dispositivo o en el navegador, no en su cuenta.

Desde nuestros servicios de servidor, sin consentimiento. Si en nuestro servidor falla con un error interno uno de los servicios con los que trabajan la aplicación y la versión para navegador, este crea por sí mismo un informe de error: el momento, el tipo de error, el nombre del servicio, el mensaje de error y la traza técnica de llamadas. Tampoco este informe contiene identificador alguno de su cuenta, de su equipo ni de su dispositivo. Antes de almacenarse, el mensaje de error se depura con las mismas reglas y, además, de credenciales de acceso y direcciones IPv4; tampoco aquí puede excluirse por completo un resto de referencia personal. La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo consiste en detectar y subsanar las perturbaciones del servicio.

Ambos tipos de informes se encuentran en nuestro servidor, solo son accesibles para nosotros en el portal de administración y se suprimen 90 días después de su recepción (apartado 13). Con independencia de ello, el módulo de actualización de Expo transmite a Expo, tras un error grave al iniciar, el mensaje de dicho error (apartado 6).

5.8 Cambio de equipo, traslado de proyectos y límites del plan en el equipo

En qué equipo trabaja un dispositivo. Si su cuenta pertenece a varios equipos, un dispositivo con la nube activada trabaja siempre en uno de ellos. Para mostrarle la elección, la aplicación lee en nuestro servidor sus propias membresías con el rol y los nombres de esos equipos. En el perfil de su cuenta anotamos qué equipo se eligió por última vez; la misma anotación la fija nuestro servidor cuando usted se une a un equipo o crea uno, y como operador podemos fijarla nosotros (apartado 9). Sirve para que una activación posterior de la nube acabe, por regla general, en ese equipo. «Crear otro equipo» crea en nuestro servidor un equipo con el nombre introducido cuyo propietario es su cuenta; «Unirse con código» canjea una invitación (apartado 5.3).

Cambio de equipo. Cambiar de equipo solo es posible con conexión a nuestro servidor. Antes, la aplicación sincroniza el dispositivo con el equipo anterior. Después elimina los datos del equipo anterior de la base de datos del dispositivo —los proyectos con todo lo que depende de ellos y los datos maestros de la empresa de ese equipo—; en nuestro servidor se conservan. Los proyectos que usted mismo creó como miembro con el rol «Solo lectura» permanecen en el dispositivo. Si con ello se perdiera algo —cambios aún no subidos, fotos, vídeos y grabaciones de audio, entradas apartadas al cambiar al rol «Medición», entradas abiertas de la lista de conflictos o escaneos de estancias que solo están en el dispositivo—, la aplicación pregunta antes e indica el número; si no puede contarse por completo, pregunta igualmente. Solo se elimina tras su confirmación. En el teléfono y la tableta, la aplicación crea antes de eliminar una copia de seguridad de toda la base de datos en el dispositivo, sin fotos, vídeos ni grabaciones de audio; si no puede crearse, la aplicación no cambia de equipo. De sus copias de seguridad, la aplicación conserva en el dispositivo las siete más recientes. La versión para navegador no tiene esta copia.

Hasta que un cambio ha concluido, en el dispositivo figura una anotación con el identificador de su cuenta, los identificadores de ambos equipos, el momento y el estado del cambio; hasta entonces el dispositivo no sincroniza. Un cambio interrumpido lo continúa la aplicación en el siguiente inicio con conexión, o lo descarta. Si para ello la aplicación necesita su consentimiento o no puede leer la anotación, lo indica en la parte superior de la pantalla «Equipo»; una anotación ilegible solo la descarta por decisión suya. Si descarta allí una anotación ilegible, la aplicación vuelve a obtener de nuestro servidor todos los datos de su equipo en la siguiente sincronización. Las solicitudes relativas a un aparato de medición que esperan una conexión en el dispositivo (apartado 7) llevan el identificador del equipo en el que usted las formuló y solo se envían a ese equipo; las solicitudes de una versión anterior de la aplicación sin ese identificador se envían al equipo en el que el dispositivo las mande a continuación.

Datos de la empresa por equipo. Los datos de la empresa que la aplicación guarda en el dispositivo —nombre, dirección, datos fiscales y bancarios, logotipo y otros— los aparta al cambiar de equipo bajo el identificador del equipo anterior en el dispositivo y los recupera al volver a ese equipo; en el equipo nuevo rigen sus propios datos de empresa. Se apartan solo en el dispositivo. Se suprimen cuando usted suprime su cuenta sin conservar los datos en el dispositivo (apartado 13).

Activación de la nube. Si al activar la nube elige un equipo al que su cuenta ya pertenece, crea uno nuevo o se une a un equipo con un código, y en el dispositivo hay datos de otro de sus equipos, la aplicación los elimina de la base de datos del dispositivo como en un cambio de equipo y aparta igualmente los datos de la empresa; en nuestro servidor los datos se conservan. Si con ello se perdiera algo, pregunta antes e indica el número; si no, no pregunta. En el teléfono y la tableta solo elimina datos si ha tenido éxito la copia de seguridad que la aplicación crea antes de cada activación de la nube; si no lo tiene, la activación se interrumpe sin eliminar nada. En la versión para navegador, la aplicación elimina los datos sin copia de seguridad.

Traslado de un proyecto a otro equipo. Como operador podemos, desde nuestro portal de administración (apartado 9), asignar a otro equipo un proyecto con todo lo que depende de él, incluidos los participantes del proyecto. A partir de entonces lo ven los miembros de ese equipo según sus roles, y el equipo que lo cede ya no. Para que los dispositivos del equipo que lo cede se enteren, registramos un aviso de salida —identificador y nombre del proyecto, equipo que lo cede, tipo y momento, sin el equipo nuevo— que solo pueden leer los miembros del equipo que lo cede. Un dispositivo con una versión actual de la aplicación lo lee al sincronizar, lo guarda en su base de datos junto con el número de cambios y grabaciones no subidos en ese momento y elimina el proyecto con todo lo que depende de él de su base de datos; con ello no se envía nada a nuestro servidor. En el teléfono y la tableta, la aplicación crea antes una copia de seguridad de toda la base de datos en el dispositivo, sin fotos, vídeos ni grabaciones de audio. En la versión para navegador solo elimina el proyecto cuando usted ha iniciado, mediante el aviso en la lista de edificios, la descarga de una copia de seguridad; lo mismo en el teléfono y la tableta si allí no pudo crearse la copia. Si en el equipo que cede el proyecto solo tiene derechos de lectura, la versión para navegador elimina el proyecto sin copia de seguridad en cuanto elige «Eliminar proyecto» en el aviso. Los archivos multimedia del proyecto los elimina la aplicación en el teléfono y la tableta más adelante, al ordenar su almacenamiento; en la versión para navegador permanecen en el almacenamiento del navegador hasta que usted lo vacíe (apartado 5.2). Una versión anterior de la aplicación no lee el aviso y conserva el proyecto. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Límites del plan en el equipo. Al subir datos y en algunas funciones del equipo —invitar, solicitudes relativas a aparatos de medición, un rol con escritura para un miembro que hasta ahora solo lee, crear otro equipo propio y compartir un proyecto con un miembro—, nuestro servidor comprueba si el plan las cubre. Mientras con ello solo cuente y no rechace, registramos por equipo, cuenta, motivo y ámbito cuándo una acción así superó el plan por primera y por última vez, y cuántas veces. La finalidad es estimar a quién afectaría aplicar los límites del plan; la base jurídica es el Art. 6 Abs. 1 lit. f DSGVO. Este recuento solo lo vemos nosotros en el portal de administración; se suprime junto con su cuenta o con el equipo (apartado 13).

5.9 Firmas en hojas de medición y documentos de facturación

Una hoja de medición aprobada y un documento de facturación emitido pueden firmarse en la aplicación, por ejemplo por su cliente o por su dirección de obra, con el dedo, con un lápiz o con el ratón. Para ello almacenamos la imagen de los trazos de la firma, el nombre, la función y el lugar de la persona firmante tal como se introducen, el momento, el tipo y el identificador de la hoja de medición o del documento de facturación firmado, una suma de verificación (SHA-256) de su contenido en el momento de la firma y el identificador de la instalación en la que se firmó (apartado 5.3). La suma de verificación permite reconocer más tarde si el documento se modificó después de la firma. Se trata de una firma electrónica simple.

Las firmas se encuentran en la base de datos del dispositivo en el que se firmó. Si la nube está activada, se sincronizan con nuestro servidor y llegan a los dispositivos de los miembros de su equipo que pueden ver la hoja de medición o el documento de facturación firmados, con los mismos permisos de lectura que el propio documento (apartado 5.3). En el PDF de un documento de facturación y en el informe PDF de un proyecto, las firmas figuran con la imagen de los trazos, el nombre, la función, el lugar, el momento y la suma de verificación; además, la aplicación adjunta al archivo PDF el extracto de verificación del documento firmado junto con su suma de verificación. Un PDF generado a través de la interfaz de programación no contiene firmas.

La finalidad es acreditar que la persona firmante confirmó el estado de la hoja de medición o del documento de facturación. Si firma una persona distinta de usted, sus datos son datos de terceros en sus proyectos: el responsable es usted, nosotros los tratamos por encargo suyo (apartado 5.4), y la base jurídica frente a esa persona —por ejemplo, la ejecución de su contrato con ella (Art. 6 Abs. 1 lit. b DSGVO) o su interés legítimo en la prueba (Art. 6 Abs. 1 lit. f DSGVO)— la determina usted. Para su propia firma, la base jurídica es el Art. 6 Abs. 1 lit. b DSGVO. Sobre el plazo de conservación, véase el apartado 13.

5.10 Guardar exportaciones en un servidor WebDAV

En las aplicaciones para iOS y Android, a partir del plan Pro, puede guardar un archivo de exportación generado directamente en un servidor WebDAV, por ejemplo en una Nextcloud, en lugar de compartirlo. El servidor lo determina usted: la aplicación envía el archivo —según el formato, con datos del proyecto, de medición, de facturación o fotográficos— a través de una conexión cifrada a la dirección que usted introduzca y se identifica allí en cada solicitud con su nombre de usuario y su contraseña; para comprobar el acceso y elegir una carpeta, consulta allí la lista de carpetas. Nada pasa por nuestro servidor en este proceso. El destinatario es el operador del servidor elegido por usted; la transmisión se realiza siguiendo sus instrucciones, y usted es responsable de la elección y la seguridad del servidor.

La aplicación guarda la dirección y el nombre de usuario en su base de datos del dispositivo, y la contraseña, en el llavero del dispositivo. Ninguno de ellos pasa a las copias de seguridad ni a la exportación de datos de la aplicación, y no se sincronizan con nuestro servidor. «Quitar acceso» elimina ambos, igual que la supresión de su cuenta si no conserva los datos en el dispositivo (apartado 13). En la versión para navegador no existe este destino. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

6. Consultas a terceros al iniciar la aplicación

La aplicación desencadena dos consultas al iniciarse sin que usted las provoque. Se mencionan aquí porque en ellas se transmite la dirección IP de su dispositivo a un tercero.

La base jurídica de ambas consultas es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo consiste en poder entregar correcciones de errores y actualizaciones de seguridad. Ambos servicios son prestados por proveedores con sede en los Estados Unidos de América, de modo que debe presumirse una transferencia a un tercer país en el sentido de los Art. 44 ff. DSGVO. Apple es responsable del tratamiento por derecho propio respecto de su servicio de consulta. Respecto del servicio de actualización de Expo, todavía no hemos aclarado de forma definitiva si Expo actúa por encargo nuestro o bajo su propia responsabilidad, ni en qué garantía conforme a los Art. 44 ff. DSGVO se basa la transferencia. Por ello no podemos indicarle aquí un contrato con Expo al respecto, cláusulas contractuales tipo ni una certificación; lo completaremos en cuanto esté aclarado. Si desea evitar las consultas, puede utilizar la versión para navegador en app.aufmasstool.de: allí no tiene lugar ninguna de las dos consultas.

7. Compra, planes y desbloqueo

Los planes de pago los desbloqueamos para su cuenta del lado del servidor. Para ello almacenamos, asociados a su cuenta, el plan, el período de validez, el origen de la autorización y los identificadores de la operación subyacente. En el caso de un período de prueba registramos además cuándo comenzó, a qué plan se refiere y si, según la indicación de la aplicación, se inició en la versión para navegador o en la versión de escritorio; estos datos no se restablecen de forma deliberada, para que un período de prueba no pueda disfrutarse varias veces. El período de prueba puede iniciarse en la versión para navegador; las aplicaciones para iOS y Android no lo ofrecen.

En el plan Team usted puede además solicitar desde la aplicación la compatibilidad con nuevos aparatos de medición. En tal caso se almacenan la denominación del aparato, su nota, el equipo, el momento de la solicitud, el idioma de la aplicación y su cuenta como la que presenta la solicitud. Si la respondemos, registramos además la respuesta, su momento y la persona que responde, y por regla general enviamos la respuesta también por correo electrónico a la dirección de su cuenta, en el idioma en el que presentó la solicitud (apartado 2). Si una solicitud no puede enviarse —por ejemplo, sin conexión—, queda almacenada en su dispositivo y no llega hasta nosotros. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

En la aplicación para iOS está construida la compra a través de la App Store de Apple. El pago lo gestiona Apple; nosotros no recibimos datos de pago como números de tarjeta. Para la compra, la aplicación transmite a Apple un identificador generado aleatoriamente para cada instalación, expresamente no el identificador de su cuenta ni datos personales. Apple nos transmite información sobre la compra y sobre su desarrollo posterior, por ejemplo en caso de renovación o de cancelación; el justificante de compra firmado por Apple lo verificamos en nuestro propio servidor. Se aplican con carácter complementario las disposiciones de protección de datos de Apple.

En la aplicación para Android está construida la compra a través de Google Play. El pago lo gestiona Google a través de Google Play; nosotros no recibimos datos de pago. En la compra, la aplicación transmite a Google, como identificador de cuenta ofuscado, el valor hash SHA-256 de su identificador de usuario: no el identificador mismo, ni su dirección de correo electrónico, ni su nombre. Después de la compra, la aplicación envía a nuestro servidor el token de compra, el identificador del producto y el nombre del paquete de la aplicación. Con ellos, nuestro servidor consulta el estado de la compra en la Google Play Developer API y recibe el producto, la duración, el estado de la suscripción, la indicación de si se trata de una compra de prueba y el identificador de cuenta ofuscado; solo asignamos la compra a su cuenta si ese identificador coincide con su cuenta. Además, Google envía a nuestro servidor, a través de Google Cloud Pub/Sub, notificaciones en tiempo real sobre su suscripción, por ejemplo sobre renovación, cancelación o reembolso; a continuación volvemos a consultar el estado. Para la suscripción almacenamos el producto, el plan, la fecha de expiración, el entorno (prueba o producción), el token de compra original como identificador de la operación y el tipo de la última notificación. Se aplican con carácter complementario las disposiciones de protección de datos de Google.

Además, nuestro sistema conoce vías que prescinden de una compra: podemos desbloquear un plan manualmente (en cuyo caso almacenamos el motivo del desbloqueo) y usted puede canjear un código de cupón en la versión para navegador (más abajo, «Cupones»). Además, puede comprar en la versión para navegador a través de Stripe (más abajo).

La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO, salvo que más abajo se indique otra. La distribución de la propia aplicación se realiza a través de la App Store de Apple Inc. o a través de Google Play de Google Ireland Limited; estas empresas son responsables del tratamiento por derecho propio respecto de los tratamientos que realizan en sus tiendas, y nosotros no sabemos por nosotros mismos quién ha descargado la aplicación.

Licencias Team para empleados

Un comprador puede adquirir licencias Team para empleados y repartirlas entre otras personas. Para la persona que la tiene, una licencia así funciona como un plan Team propio. Se compran en la versión para navegador a través de Stripe (más abajo). Para cada licencia almacenamos la cuenta del comprador, la cuenta de la persona que la tiene, el momento de la asignación y quién la realizó, así como el momento de una liberación y quién la realizó. Si el comprador emite una licencia como código, conservamos el código solo como valor hash, no en texto claro; en texto claro solo se lo mostramos al comprador, una vez, al emitirlo. Un código así se canjea en el mismo campo que un cupón (más abajo). Una licencia liberada no la suprimimos; su anotación se conserva como prueba de quién trabajó en qué período y a costa de quién. Si la persona que tiene o tuvo una licencia suprime su cuenta, suprimimos estas anotaciones con ella.

Asignación por dirección de correo electrónico. Si el comprador asigna una licencia a una dirección de correo electrónico, almacenamos la dirección tal como la introdujo, en minúsculas. La asignación es al principio una reserva. Cuando una cuenta con esa dirección confirmada consulte su plan en nuestro servidor la próxima vez —por ejemplo, al iniciar la aplicación o al iniciar sesión— y no tenga otra licencia, la aplicación le pregunta si acepta la licencia; para ello mostramos el nombre de la empresa del comprador o, si no hay ninguno, su nombre visible. La licencia solo surte efecto tras la aceptación. A la dirección no le enviamos ningún mensaje. La respuesta a una asignación es la misma tanto si existe una cuenta para la dirección como si no, y hasta que la persona responda, el comprador solo ve la reserva. Si la persona acepta, el comprador ve en su resumen su nombre visible (más abajo) y sabe por él que existe una cuenta para esa dirección; si la rechaza, la licencia vuelve a quedar libre. Suprimimos la dirección introducida en cuanto la reserva se acepta, se rechaza o se libera. Si no se ha aceptado 90 días después de la asignación, un proceso diario de supresión libera la licencia y suprime la dirección, en la primera ejecución tras cumplirse los 90 días (apartado 13).

Quién ve qué. El comprador ve, para cada una de sus licencias abiertas, si está asignada a una cuenta, a una dirección o a un código, la dirección que introdujo (solo mientras una reserva esté abierta), el nombre para mostrar de la persona que tiene la licencia (solo si la tiene una cuenta; en una reserva, por tanto, solo tras la aceptación), el momento y si la licencia está en vigor o en pausa. No ve la dirección de inicio de sesión de una persona que ha canjeado un código. Quien tiene una licencia solo ve su propia asignación, sin datos del comprador, y puede liberarla él mismo. En nuestro portal de administración vemos, para cada comprador, su dirección de correo electrónico y las cifras de sus licencias, ningún código.

Pausa. Si se han entregado más licencias de las que paga el comprador —por ejemplo, tras un impago o después de que haya reducido su número—, quedan en pausa las entregadas en último lugar; los códigos aún no canjeados y las reservas también cuentan. Una licencia en pausa no da ningún plan; si el número pagado vuelve a aumentar, vuelve a surtir efecto por sí misma. No se suprime ningún dato. Si se suprime la cuenta del comprador, quedan en pausa todas las licencias que entregó, y las reservas aún no aceptadas las libera el proceso diario de supresión junto con la dirección; si se suprime la cuenta de una persona que tiene una licencia, su anotación desaparece y la licencia queda libre.

Para que no puedan probarse direcciones de forma masiva a través de la asignación, aceptamos como máximo 100 asignaciones y códigos por cuenta de comprador y hora. Para ello no almacenamos el identificador de la cuenta como tal, sino solo un valor hash (SHA-256) calculado a partir de él, junto con el inicio de la ventana temporal y el número de intentos; un proceso de supresión diario elimina cada contador cuya ventana temporal quedó hace más de 48 horas.

La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO: frente al comprador, el contrato sobre las licencias; frente a la persona que tiene una licencia, el contrato de uso. Para la dirección introducida de una persona que aún no tiene la licencia y para la limitación de las asignaciones, la base jurídica es el Art. 6 Abs. 1 lit. f DSGVO: el interés legítimo del comprador y el nuestro consiste en hacer llegar la licencia a esa persona a petición del comprador y en proteger la asignación frente al abuso. Sobre el plazo de conservación, véase el apartado 13.

Compra en la versión para navegador a través de Stripe

En la versión para navegador puede comprar un plan o licencias Team a través del prestador de servicios de pago Stripe. Se aplica lo siguiente:

Cupones

En la versión para navegador puede canjear un código de cupón en su perfil, en «Canjear cupón»; las aplicaciones para iOS y Android no tienen este campo. Los códigos emitidos solo los conservamos como valor hash, no en texto claro; el código que usted introduce no lo almacenamos. Si el canje tiene éxito, almacenamos qué cupón fue canjeado por qué cuenta y cuándo, junto con el plan desbloqueado y el fin del desbloqueo. En el mismo campo se canjea también el código de una licencia Team; si tiene éxito, asignamos la licencia a su cuenta (más arriba). La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO.

Para que los códigos no puedan adivinarse probando, aceptamos como máximo diez intentos por cuenta y hora. Para ello no almacenamos el identificador de la cuenta como tal, sino solo un valor hash (SHA-256) calculado a partir de él, junto con el inicio del intervalo de tiempo y el número de intentos; un proceso diario de supresión elimina cada contador cuyo intervalo de tiempo quedó atrás hace más de 48 horas. La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO; nuestro interés legítimo es la protección de los cupones frente a abusos.

Vía de cancelación

Los contratos que haya celebrado directamente con nosotros puede cancelarlos a través de la página Cancelar contratos; esta lleva a un formulario de la versión para navegador que puede utilizar sin iniciar sesión. La finalidad es recibir, confirmar y ejecutar su cancelación conforme al § 312k BGB. Para ello almacenamos su nombre, su dirección de correo electrónico, sus datos voluntarios sobre el contrato, el tipo de cancelación (ordinaria o extraordinaria), en una cancelación extraordinaria el motivo, el momento deseado, el idioma, la fecha y la hora de recepción y el estado de la tramitación. Si en ese momento ha iniciado sesión, almacenamos además el identificador de su cuenta.

Si cancela con la sesión iniciada, de forma ordinaria, para el momento más próximo posible, y tiene exactamente una suscripción en curso a través de Stripe, la cancelamos allí automáticamente para el final de la duración y almacenamos el identificador de la suscripción y la fecha de finalización. Cualquier otra cancelación la tramitamos nosotros mismos; en ello registramos cuándo y por quién se tramitó, junto con una nota. Le enviamos de inmediato un acuse de recibo con el contenido de su declaración a la dirección de correo electrónico indicada (apartado 2) y registramos si se envió.

Para proteger la vía de cancelación frente a envíos masivos, aceptamos como máximo tres cancelaciones por hora por dirección de correo electrónico y como máximo cinco por hora por dirección IP de la que procede la solicitud. Para ello no almacenamos las direcciones como tales, sino solo un valor hash (SHA-256) calculado a partir de ellas, junto con el inicio del intervalo de tiempo y el número de envíos; un proceso diario de supresión elimina cada contador cuyo intervalo de tiempo quedó atrás hace más de 48 horas.

La base jurídica es el Art. 6 Abs. 1 lit. c DSGVO en relación con el § 312k BGB y, en lo que respecta a la terminación de su contrato, el Art. 6 Abs. 1 lit. b DSGVO; para la limitación de los envíos, el Art. 6 Abs. 1 lit. f DSGVO, siendo nuestro interés legítimo la protección de la vía de cancelación frente a abusos. Conservamos las cancelaciones recibidas como justificante, también después de la supresión de su cuenta (apartado 13).

8. Interfaz de programación y webhooks

En los planes de pago puede utilizar una interfaz de programación y configurar webhooks para transferir sus datos a un sistema propio, por ejemplo a su sistema de gestión empresarial. Al respecto rige lo siguiente:

Trabajos de exportación por la interfaz

Mediante la interfaz de programación, su propio sistema puede iniciar la exportación de un proyecto como archivo: como archivo CSV, JSON, XML, Excel o PDF o en los formatos GAEB X31 y REB DA11. Para ello almacenamos un trabajo con el equipo, el proyecto, el formato solicitado y sus ajustes (tipo de fila, idioma), el estado del trabajo, en su caso el código y el texto del error, el nombre del archivo, que formamos a partir del nombre del proyecto y del día, la ubicación y el tamaño del archivo, observaciones sobre el archivo, los momentos y el identificador de la clave utilizada. El archivo lo genera un servicio propio en nuestro servidor en Hetzner Online GmbH (apartado 2): para ello lee los datos del proyecto —estructura, objetos, elementos constructivos, partidas de las mediciones y presupuesto y el historial de cambios de los valores medidos— y deposita el archivo en una zona no pública de nuestro almacenamiento de archivos. Para un archivo PDF lee además los datos de la empresa de su equipo —entre otros, el nombre, la dirección, los datos de contacto, fiscales y bancarios y el color de acento— y el logotipo de la empresa del almacenamiento de archivos (apartado 5.3); no incluye en el PDF a los participantes del proyecto, las fotos ni las firmas. Una dirección de descarga solo la generamos cuando su sistema consulta el trabajo terminado, y solo mientras el proyecto esté en el equipo que encargó el trabajo. Es válida como máximo 24 horas, nunca más allá de la conservación del archivo; una dirección ya emitida sigue siendo válida hasta que caduca, aunque el proyecto se haya asignado entretanto a otro equipo. No almacenamos la dirección. Cuando un trabajo está terminado, lo notificamos si así lo desea mediante un webhook, con el trabajo, el proyecto y el formato, sin el archivo y sin la dirección.

Los errores de este servicio no van a los informes de errores del apartado 5.7, sino solo al registro del servicio en nuestro servidor. Contiene identificadores, formato, duración, tamaño y código de error, pero ningún contenido como nombres de proyecto, direcciones o precios; cuánto tiempo se conserva depende de la configuración por defecto del software del servidor, y hasta ahora no hemos fijado un plazo propio. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO; para los datos de terceros en sus proyectos rige el apartado 5.4. Cuánto tiempo se conservan el trabajo y el archivo figura en el apartado 13.

Trabajos de importación por la interfaz

Mediante la interfaz de programación, su propio sistema también puede hacer que se lea un presupuesto con mediciones —como archivo GAEB, Excel o CSV—, como proyecto nuevo o añadido a un proyecto existente de su equipo. Para ello almacenamos un trabajo como en una exportación: el equipo, el proyecto, el tipo de importación, el nombre de archivo que indica su sistema, la indicación sobre el separador decimal, el estado del trabajo, en su caso el código de error y observaciones, los momentos y el identificador de la clave utilizada. El archivo subido —puede contener nombres de proyecto, direcciones y precios— lo depositamos hasta la conclusión del trabajo en una zona no pública de nuestro almacenamiento de archivos. Nuestro servicio en nuestro servidor (véase arriba) lo lee, crea en su equipo las partidas de las mediciones y presupuesto —en un proyecto nuevo, también el proyecto— y suprime el archivo en cuanto el trabajo ha concluido definitivamente o ha fracasado definitivamente. Las partidas creadas pasan a formar parte de los datos de su equipo y llegan a sus dispositivos con la sincronización (apartado 5.3). Cuando el trabajo está terminado, lo notificamos si así lo desea mediante un webhook. La base jurídica es el Art. 6 Abs. 1 lit. b DSGVO; para los datos de terceros rige el apartado 5.4. Cuánto tiempo se conservan el trabajo y el archivo figura en el apartado 13.

9. Acceso del operador

Para la explotación y la asistencia mantenemos un portal de administración propio, accesible únicamente para nosotros. Exige un inicio de sesión con segundo factor y puede limitarse además a determinadas direcciones de red.

En el rol con los derechos más amplios pueden gestionarse allí cuentas, equipos, planes y desbloqueos, así como consultarse datos de proyecto, de objeto y de facturación, incluidos los datos completos de los participantes de sus proyectos (nombre, empresa, dirección, dirección de correo electrónico, número de teléfono, número de identificación a efectos del IVA, Leitweg-ID, nota). El rol restringido, destinado a la mera asistencia, no tiene acceso alguno a esta vista de datos: allí se rechaza cada llamada, no solo la referida a datos de facturación.

No queda registrada cada mirada, sino la apertura de un registro concreto: de un proyecto, de un objeto y de un documento de facturación. No quedan registrados el paso por las listas ni la consulta de las demás vistas; entre ellas figuran las estancias, las hojas de medición, las partidas de las mediciones y presupuesto, los datos maestros de la empresa, la lista de archivos y la lista de los participantes de sus proyectos. El motivo es que un registro que anotara cada cambio de página dejaría de ser analizable al poco tiempo; aun así lo mencionamos aquí, para que nadie deduzca del registro más de lo que en él consta.

Queda registrado además cada intento de acceso rechazado; en ese caso se almacena también la dirección IP. Este registro de auditoría es técnicamente inalterable. La base jurídica del acceso es el Art. 6 Abs. 1 lit. b y lit. f DSGVO (prestación y asistencia del servicio, detección de abusos y de errores); la del registro, el Art. 6 Abs. 1 lit. f en relación con el Art. 5 Abs. 2 DSGVO (responsabilidad proactiva).

En el servidor trabajan además personas con acceso administrativo en tareas de mantenimiento y de detección de errores; al hacerlo pueden consultarse salidas del servidor y de la base de datos que pueden contener direcciones de correo electrónico y direcciones IP. Estos accesos están limitados al círculo necesario y sujetos a nuestras instrucciones.

10. Copias de seguridad

Realizamos copias de seguridad de la base de datos y del almacenamiento de archivos con regularidad. Cada copia se cifra antes de salir del servidor y se externaliza a un almacenamiento de copias de seguridad de la Hetzner Online GmbH en su centro de datos de Falkenstein, Alemania. Se conservan los 14 estados más recientes en el servidor y los 30 más recientes en el almacenamiento de copias de seguridad, contados por separado para la base de datos y para el almacenamiento de archivos; los estados más antiguos se suprimen tras cada ejecución correcta. Si la copia se realiza, como está previsto, una vez al día, esto equivale a unos 14 y 30 días respectivamente. La base jurídica es el Art. 6 Abs. 1 lit. f DSGVO en relación con el Art. 32 DSGVO (disponibilidad y capacidad de restauración). Lo que ello significa para una supresión se explica en el apartado 13.

11. Destinatarios: resumen

Más allá de los casos mencionados en los apartados anteriores, no comunicamos datos personales a terceros, en particular no con fines publicitarios ni a intermediarios de datos. Los destinatarios son hoy exclusivamente:

Además, comunicamos datos cuando estamos legalmente obligados a ello o cuando usted ha prestado su consentimiento. Si los datos salen de su dispositivo mediante la exportación, por ejemplo como archivo PDF, Excel o GAEB que usted mismo transmite o envía con el programa de correo de su dispositivo, el destinatario lo determina usted en exclusiva; nosotros no tenemos conocimiento de ello.

12. Lo que no ocurre

Las siguientes afirmaciones son verificables en la versión del programa entregada y rigen por igual para el sitio web, la aplicación y la versión para navegador:

13. Plazo de conservación

La duración se rige por la categoría de datos. Cuando más abajo se habla de «un proceso diario de supresión», un proceso automático en nuestro servidor elimina las anotaciones una vez al día en cuanto vence su plazo; por ello, una anotación puede permanecer hasta un día más de lo indicado.

14. Sus derechos

Conforme al DSGVO le asisten los siguientes derechos:

Para el derecho de acceso del Art. 15 DSGVO basta con una comunicación sin formalidades dirigida a la dirección indicada en el apartado 1. Respondemos sin dilación indebida y, a más tardar, en el plazo de un mes (Art. 12 Abs. 3 DSGVO). Si existen dudas fundadas sobre su identidad, le solicitaremos información adicional (Art. 12 Abs. 6 DSGVO).

Dos derechos puede ejercerlos además directamente en la aplicación:

15. Derecho de reclamación ante la autoridad de control

Usted tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos en relación con el tratamiento de sus datos personales (Art. 77 DSGVO). La autoridad competente respecto de nosotros es:

Hessische Beauftragte für Datenschutz und Informationsfreiheit (autoridad de control de protección de datos del estado federado de Hesse), Wiesbaden.

Los datos de contacto actuales los publica la propia autoridad. Con independencia de ello, puede dirigirse también a la autoridad de control de su lugar de residencia.

16. Modificaciones de esta política de privacidad

Adaptamos esta política cuando cambian los tratamientos descritos o cuando así lo exigen requisitos legales. Es determinante la versión publicada aquí en cada momento, con la fecha de actualización indicada más arriba. Las versiones en otros idiomas son traducciones; en caso de discrepancia prevalece la versión alemana.