Política de privacidad

Última actualización: 22 de julio de 2026

1. Quiénes somos (responsable del tratamiento)

OttaNote es ofrecido por Giant-Soft v.o.f., que opera bajo el nombre projectproject.nl (KvK 01052442, IVA NL007367703B01, Emmakade 50, 8933 AT Leeuwarden). Contacto para consultas de privacidad: support@ottanote.com.

2. Qué datos tratamos

No solicitamos fecha de nacimiento ni recopilamos ubicación, contactos o identificadores de dispositivo para elaboración de perfiles.

3. Lo que no hacemos

• Sin seguimiento, sin publicidad, sin SDK de analítica de terceros.
• No vendemos tus datos ni los compartimos con terceros con fines de marketing.
• El contenido de tus notas no se lee ni se utiliza para otros fines.
• Sin CDN externos: las fuentes tipográficas y los recursos los servimos nosotros mismos. Al usar la app no se envía ninguna solicitud ni dirección IP a Google Fonts ni a otra red externa.

4. Encargados / terceros

• Alojamiento/almacenamiento: entorno de servidor propio y autoalojado (Supabase: base de datos, almacenamiento de archivos, realtime), gestionado por Giant-Soft v.o.f.; los datos se encuentran en un servidor en la Unión Europea (UE/EEE).
• Envío de correo: servidor de correo propio para los mensajes de verificación y de restablecimiento de contraseña.
• Inicio de sesión con Google (opcional): si lo eliges, recibimos de Google tu dirección de correo y datos básicos de perfil. Google actúa en ese caso como parte independiente; véase la política de privacidad de Google.
• Proveedor de pago — Paddle (Merchant of Record): gestiona suscripciones, pago, facturación e IVA. Paddle procesa tus datos de pago; OttaNote no almacena datos de tarjetas ni de pago. Para la compra, Paddle actúa como vendedor y (co)responsable de esos datos de pago.

5. Seguridad

• Todo el tráfico mediante HTTPS/TLS (cifrado en tránsito).
• Control de acceso a nivel de fila (RLS): solo ves y editas tus propias notas (y las que se hayan compartido contigo).
• Los campos de perfil sensibles se almacenan cifrados (cifrado de columna).
• Verificación en dos pasos (2FA) opcional y bloqueo de la app (PIN/biometría).

5a. La caja fuerte (extremo a extremo / zero-knowledge)

• Las notas de la caja fuerte se cifran en tu dispositivo con una clave derivada de tu código PIN y tu código de recuperación (reforzada con un secreto del lado del servidor contra ataques de fuerza bruta). Conservamos únicamente datos cifrados y no tenemos acceso a tu código PIN, tu código de recuperación ni al contenido.
• Consecuencia: no podemos consultar el contenido de la caja fuerte, ni facilitarlo a terceros, ni recuperarlo. Si pierdes tu código PIN y tu código de recuperación, el contenido queda definitivamente inaccesible.

5b. Conexiones de IA (tu propia IA)

• Si conectas un asistente de IA propio (mediante nuestra conexión MCP), le concedes acceso a (la parte que tú elijas de) tus notas. El proveedor de IA elegido por ti es un tercero fuera de nuestro control; su política de privacidad se aplica a ese tratamiento. No compartimos nada por iniciativa propia; la conexión surge por iniciativa tuya y es revocable.

5c. Investigación ante un indicio concreto de uso indebido

• Ante un indicio concreto de uso indebido, contenido ilícito o uso ilegal, podemos investigar y, únicamente en la medida estrictamente necesaria y de forma confidencial, consultar de forma muestral notas y adjuntos — por ejemplo para constatar o detener dicho contenido, comunicarlo a una autoridad competente o cumplir una obligación legal.
• Base jurídica: nuestro interés legítimo (proteger el servicio y a los demás usuarios y detener el uso indebido) y, cuando proceda, el cumplimiento de una obligación legal.
• Garantías: esto solo ocurre ante un motivo concreto, es proporcionado y se limita al mínimo, se realiza de forma confidencial y queda registrado; no usamos el contenido para ningún otro fin. La caja fuerte queda excluida — está cifrada de extremo a extremo y es técnicamente inaccesible para nosotros (véase §5a). Véase también el §8 de las condiciones.

6. Transferencias internacionales

Tus datos de notas se encuentran en nuestro servidor en la UE. Con el inicio de sesión con Google y con Paddle puede producirse un tratamiento limitado fuera de la UE; esas partes aplican para ello salvaguardias adecuadas (como las cláusulas contractuales tipo de la UE). No transferimos más de lo necesario para el inicio de sesión y el pago, respectivamente.

7. Conservación

• Cuenta + notas: mientras tengas una cuenta.
• Eliminar la cuenta (en la app): las notas, los adjuntos y los datos de la cuenta se eliminan de inmediato (incluidos los archivos del almacenamiento).
• Papelera: las notas/carpetas eliminadas siguen siendo recuperables durante 30 días y después se eliminan automática y definitivamente, incluidos los adjuntos.
• Historial de versiones: conservamos versiones anteriores durante 30 días (gratis) o 1 año (Plus); después se depuran.
• Copias de seguridad: copias de seguridad diarias cifradas con AES-256, rotación de 14 días. Por ello, los datos eliminados desaparecen también de las copias de seguridad en ~dos semanas.
• Registros técnicos: 90 días, después eliminados.

8. Tus derechos (RGPD)

Tienes derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad de los datos:

• Acceso/portabilidad: crea en la app una copia de seguridad (ZIP con todas tus notas y adjuntos) o exporta notas (PDF/Markdown/HTML).
• Supresión: "Eliminar cuenta" en la app, o a través de soporte.
• Otras solicitudes: support@ottanote.com. También puedes presentar una reclamación ante la autoridad de protección de datos de tu país (en la UE/EEE).

9. Cookies y almacenamiento local

OttaNote utiliza únicamente almacenamiento local funcional (sesión y preferencias). Sin cookies de seguimiento, por lo que no se necesita banner de consentimiento.

10. Cambios

Podemos actualizar esta política; la fecha de la parte superior indica la última versión. En caso de cambios sustanciales, te informaremos en la app o por correo electrónico.