Esta política explica qué datos personales trata Shiftfolio, para qué, con qué base legal, con quién se comparten, cuánto tiempo se guardan y cómo puedes ejercer tus derechos. Se aplica a la web y a la app. La hemos escrito para que se entienda; si algo no queda claro, escríbenos a hi@martomarzo.com.
1. Quién es el responsable
El responsable del tratamiento de tus datos es:
- Responsable
- Martin Marzorati
- Ubicación
- Madrid, España
- Correo de contacto
- hi@martomarzo.com
Para cualquier cuestión sobre tus datos, incluido el ejercicio de tus derechos, escribe a ese correo.
2. Qué datos tratamos
- Tu cuenta. Tu correo electrónico, tu nombre y tu contraseña. La contraseña la gestiona nuestro proveedor de autenticación, que la guarda transformada con un algoritmo de hash: nadie puede leerla, tampoco nosotros. Si entras con Google, en vez de una contraseña recibimos de Google tu nombre, tu correo y el enlace a tu foto de perfil (lo explicamos en el apartado 4).
- Tu perfil. Tu especialidad (si la indicas), país, zona horaria, moneda e idioma.
- Lo que apuntas en la app. Tus hospitales (nombre, dirección si la pones, color y hora a la que empieza la víspera), tus tarifas (nombre, días, horario, precio y color) y tus guardias (día y hora, hospital, bloque, importe calculado, estado y las notas que escribas).
- Si conectas Google Calendar. El correo de la cuenta de Google que conectas, los identificadores del calendario que creamos y de cada evento, y las credenciales de acceso que nos da Google. Lo explicamos en detalle en el apartado 4.
- Datos técnicos. Al usar el servicio, nuestros proveedores de alojamiento y autenticación registran datos como la dirección IP, el navegador y la fecha y hora de las visitas y de los inicios de sesión, para que el servicio funcione y sea seguro.
Las notas de las guardias son texto libre. No escribas en ellas datos de pacientes ni otros datos de salud: Shiftfolio no está pensado para guardarlos y no pide ningún dato de salud.
3. Para qué los usamos y con qué base legal
- Prestarte el servicio
- Crear y mantener tu cuenta, guardar lo que apuntas, calcular los importes y mostrar los festivos. Base legal: la ejecución del contrato, es decir, las condiciones de uso que aceptas al registrarte (art. 6.1.b RGPD).
- Entrar con Google
- Solo si eliges «Continuar con Google». Crear tu cuenta y reconocerte cada vez que entras. Base legal: la ejecución del contrato (art. 6.1.b RGPD).
- Copiar tus guardias a Google Calendar
- Solo si lo conectas. Base legal: tu consentimiento, que das al conectar tu cuenta de Google y puedes retirar cuando quieras desconectándola (art. 6.1.a RGPD).
- Correos de la cuenta y tus mensajes
- Confirmar tu dirección, cambiar la contraseña y responder a lo que nos escribas. Base legal: la ejecución del contrato (art. 6.1.b RGPD).
- Seguridad
- Proteger el servicio, evitar abusos y resolver errores. Base legal: nuestro interés legítimo en mantener el servicio seguro para quienes lo usan (art. 6.1.f RGPD).
- Obligaciones legales
- Atender requerimientos de las autoridades y cumplir la ley. Base legal: el cumplimiento de una obligación legal (art. 6.1.c RGPD).
No usamos tus datos para publicidad, no hacemos perfiles comerciales, no tomamos decisiones automatizadas que te afecten jurídicamente y no te enviamos comunicaciones comerciales.
4. Datos de Google y Google Calendar
Puedes usar tu cuenta de Google de dos formas, las dos opcionales e independientes: para entrar en Shiftfolio («Continuar con Google») y para copiar tus guardias a Google Calendar. En cada caso, Shiftfolio recibe de Google solo los datos que se describen en este apartado y los usa solo para lo que se describe aquí.
Entrar con Google
Si eliges «Continuar con Google» al entrar o al crear tu cuenta, pedimos solo los permisos básicos openid, email y profile, y Google nos envía:
- tu nombre;
- tu correo electrónico y si Google lo ha verificado;
- el enlace a tu foto de perfil;
- un identificador de tu cuenta de Google, para reconocerte la próxima vez que entres.
Usamos estos datos solo para crear tu cuenta e identificarte cuando entras; con tu nombre rellenamos tu perfil, y puedes cambiarlo en Ajustes. No los usamos para nada más. La foto no la mostramos ni la descargamos: el enlace se queda con los datos de tu cuenta en nuestro proveedor de autenticación.
Entrar con Google no conecta Google Calendar. No da acceso a tus calendarios ni a ningún otro dato de tu cuenta de Google. Para copiar tus guardias a Google Calendar tienes que conectarlo aparte, en Ajustes, y Google te pedirá permiso otra vez.
Para dejar de entrar con Google, retira el acceso en myaccount.google.com/permissions (se abre en una pestaña nueva). Tu cuenta y tus datos siguen en Shiftfolio, y puedes entrar con tu correo y tu contraseña; si no tienes contraseña, créala con «¿Olvidaste la contraseña?».
Google Calendar: qué permisos pedimos
Conectar Google Calendar es opcional y se hace aparte, en Ajustes. Si lo conectas, pedimos estos permisos:
https://www.googleapis.com/auth/calendar.app.created: permite crear calendarios secundarios y ver, cambiar y borrar solo los calendarios que ha creado la propia app y sus eventos. No da acceso a tus otros calendarios.openidyemail: para saber qué cuenta de Google has conectado. Te mostramos su correo en Ajustes.
Qué hacemos con los datos de Google Calendar
- Creamos en tu cuenta de Google un calendario secundario, que se llama «Guardias» salvo que elijas otro nombre en Ajustes.
- En ese calendario creamos, actualizamos y borramos un evento por cada guardia (los bloques seguidos en un mismo hospital forman una sola guardia). Cada evento lleva el nombre del hospital y de los bloques, la hora de inicio y de fin, el importe y el estado de cada bloque, un color parecido al del hospital y un identificador interno para poder encontrarlo después. Las notas de tus guardias no se envían a Google.
- Leemos los eventos de ese calendario, y solo de ese, para mantenerlo al día con la app; por ejemplo, para borrar el evento de una guardia que has eliminado.
- Guardamos el correo de la cuenta conectada, los identificadores del calendario y de cada evento, el token de acceso (que caduca en poco tiempo) y el token de actualización, que guardamos cifrado con AES-256-GCM. Solo nuestro servidor los usa; nunca llegan a tu navegador.
Qué no hacemos con los datos de Google
- No leemos, cambiamos ni borramos ningún otro calendario ni evento de tu cuenta. El permiso que pedimos no lo permite.
- No traemos nada de Google Calendar a la app: los cambios van solo de la app a Google.
- No los usamos para mostrar publicidad de ningún tipo.
- No los vendemos.
- No los usamos para entrenar modelos de inteligencia artificial ni de aprendizaje automático.
- Ninguna persona los lee, salvo que nos des tu permiso expreso, que sea necesario por seguridad (por ejemplo, para investigar un abuso) o que lo exija la ley.
- No los compartimos con nadie, salvo con los proveedores que alojan el servicio (apartado 5) y solo para prestarte estas funciones, o si una ley nos obliga.
Uso limitado
Se aplica a todo lo que recibimos de Google, tanto para entrar como para Google Calendar:
El uso y la transferencia a cualquier otra aplicación, por parte de Shiftfolio, de la información recibida de las API de Google se ajustarán a la Política de datos de usuario de los servicios de las API de Google (se abre en una pestaña nueva) (Google API Services User Data Policy), incluidos los requisitos de uso limitado.
Texto original, en inglés: “Shiftfolio's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy (opens in a new tab), including the Limited Use requirements.”
Cómo desconectar Google Calendar
En la app, ve a Ajustes, apartado Google Calendar, y pulsa «Desconectar» (en el móvil, desde Más → Google Calendar). Al desconectar:
- borramos de tu cuenta de Google ese calendario con todos sus eventos;
- revocamos ante Google el acceso que nos diste;
- borramos de nuestra base de datos el correo de esa cuenta, los tokens y los identificadores de los eventos.
Tus guardias siguen en la app, intactas.
También puedes retirar el acceso desde tu cuenta de Google, en myaccount.google.com/permissions (se abre en una pestaña nueva). En ese caso la app lo detecta la próxima vez que intenta sincronizar y borra los tokens; el calendario creado se queda en tu Google Calendar y puedes borrarlo tú desde allí.
5. Con quién compartimos los datos
Para prestar el servicio usamos estos proveedores. Supabase y Vercel tratan los datos por cuenta nuestra (encargados del tratamiento) y están obligados por contrato a protegerlos.
- Supabase (Supabase, Inc.)
- Base de datos y autenticación: guarda tu cuenta y todo lo que apuntas, y envía los correos de la cuenta.
- Vercel (Vercel Inc.)
- Alojamiento de la web y del servidor de la app.
- Google (Google LLC)
- Solo si entras con Google o conectas Google Calendar. Al entrar, Google nos confirma quién eres; los eventos se guardan en tu propia cuenta de Google. En los dos casos, bajo las condiciones y la política de privacidad de Google.
- Nager.Date
- API pública de festivos. Nuestro servidor le pide la lista de festivos de un país y un año (por ejemplo, España y 2026); no recibe ningún dato tuyo.
No vendemos ni cedemos tus datos a nadie. Solo los comunicaríamos a una autoridad si una ley nos obligara.
6. Transferencias internacionales
Supabase, Vercel y Google son empresas con sede en Estados Unidos, así que tus datos pueden tratarse fuera del Espacio Económico Europeo. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU. Puedes pedirnos más información en hi@martomarzo.com.
7. Cuánto tiempo guardamos los datos
- Tu cuenta y lo que apuntas: mientras tengas la cuenta. Puedes borrar hospitales, tarifas y guardias cuando quieras desde la app.
- Si pides que borremos tu cuenta: la borramos con todos sus datos en un máximo de 30 días. Las copias de seguridad de nuestro proveedor se renuevan solas y los datos desaparecen de ellas cuando caducan.
- Datos para entrar con Google: mientras tengas la cuenta; se borran con ella.
- Datos de Google Calendar: hasta que desconectes Google Calendar o Google retire el acceso.
- Registros técnicos: el tiempo limitado que fija cada proveedor.
Si una ley nos obliga a guardar algo durante más tiempo (por ejemplo, para atender una reclamación), lo guardaremos bloqueado y solo para eso.
9. Tus derechos
Sobre tus datos personales tienes derecho a:
- Acceso: saber qué datos tenemos de ti y recibir una copia.
- Rectificación: corregirlos. Casi todo lo puedes cambiar tú mismo en la app.
- Supresión: que los borremos.
- Portabilidad: recibirlos en un formato estructurado y de uso común, como CSV o JSON.
- Oposición: a que los tratemos por interés legítimo.
- Limitación: que dejemos de usarlos mientras se resuelve una reclamación.
También puedes retirar en cualquier momento tu consentimiento para Google Calendar desconectándolo, sin que eso afecte a lo hecho antes.
Para ejercer cualquiera de estos derechos, escríbenos a hi@martomarzo.com desde el correo de tu cuenta, indicando qué derecho quieres ejercer. Te responderemos en un plazo máximo de un mes. Si escribes desde otro correo, podemos pedirte que acredites que la cuenta es tuya.
Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es (se abre en una pestaña nueva).
10. Cómo borrar tu cuenta
Por ahora la cuenta se borra a petición: escríbenos a hi@martomarzo.com desde el correo de tu cuenta y pide que la borremos. Borraremos tu cuenta y todo lo que contiene (perfil, hospitales, tarifas, guardias y notas) en un máximo de 30 días, y te lo confirmaremos por correo.
Si tienes Google Calendar conectado, desconéctalo antes desde Ajustes: así también se borra de tu cuenta de Google el calendario creado. Si no, ese calendario se quedará en tu cuenta de Google y podrás borrarlo tú desde Google Calendar.
11. Seguridad
Toda la comunicación con la app va cifrada (HTTPS). La base de datos aplica reglas por usuario para que cada cuenta solo pueda leer y cambiar sus propios datos, y el token de actualización de Google se guarda cifrado. Ningún sistema es infalible: si detectamos una brecha de seguridad que afecte a tus datos, te avisaremos y, cuando corresponda, lo comunicaremos a la AEPD.
12. Menores de edad
Shiftfolio es una herramienta para uso profesional. Para usarlo tienes que ser mayor de edad.
13. Cambios en esta política
Si cambiamos esta política, actualizaremos la fecha que aparece al principio. Si el cambio es importante, te avisaremos por correo o en la app antes de que se aplique.
Contacto: hi@martomarzo.com. Responsable: Martin Marzorati, Madrid, España.