Política de Privacidad

Recopilamos las siguientes categorías de datos cuando utiliza SMSCode:

Datos de la Cuenta

• Dirección de correo electrónico (utilizada para el inicio de sesión y las notificaciones).
• Contraseña (almacenada como un hash argon2 — nunca almacenamos contraseñas en texto plano).

Datos de Inicio de Sesión con Google

Si inicia sesión con Google, accedemos a los siguientes datos de su cuenta de Google:

• Dirección de correo electrónico — Utilizada como identificador de su cuenta y para comunicaciones del servicio.
• ID de usuario de Google — Utilizado para vincular su cuenta de Google con su cuenta de SMSCode.

Solo solicitamos los ámbitos mínimos necesarios para la autenticación (email y openid). No accedemos a sus contactos, calendario, drive ni a ningún otro servicio de Google.

Datos de Transacciones

• Historial de pedidos (alquileres de números, servicio, país, marcas de tiempo, estado).
• Historial de depósitos (importes, método de pago, estado).
• Saldo de la cuenta y registros de transacciones.

Datos de la Aplicación Móvil

• Tokens de dispositivo de Firebase Cloud Messaging (FCM) — Utilizados para enviar notificaciones push sobre actualizaciones de pedidos y actividad de la cuenta.
• Preferencias de notificaciones push (activadas/desactivadas).
• Nombre del dispositivo (opcional, para identificar dispositivos en su cuenta).

Datos de Uso

• Dirección IP y geolocalización aproximada.
• Información del dispositivo y del navegador (user agent).
• Registros del servidor (marcas de tiempo de solicitudes, endpoints accedidos).

Datos de Uso de la API

• Registros de solicitudes a la API (endpoints, marcas de tiempo, códigos de respuesta).
• Contadores de límite de frecuencia.

• Prestación del servicio — Procesar alquileres de números, gestionar su saldo y cumplir pedidos.
• Autenticación — Su correo electrónico y su ID de usuario de Google (si utiliza el Inicio de Sesión con Google) se utilizan únicamente para la autenticación e identificación de la cuenta. No utilizamos los datos de usuario de Google para publicidad, elaboración de perfiles ni ningún fin ajeno a la prestación del servicio de SMSCode.
• Notificaciones push — Los tokens de dispositivo de FCM se utilizan exclusivamente para enviar actualizaciones de pedidos, confirmaciones de depósitos y alertas de seguridad de la cuenta a su dispositivo móvil.
• Prevención del fraude — Detectar y prevenir abusos, accesos no autorizados e infracciones de las políticas.
• Analítica — Comprender los patrones de uso para mejorar la fiabilidad y el rendimiento de la plataforma.
• Soporte — Responder a sus consultas y resolver problemas con su cuenta o sus pedidos.
• Comunicación — Enviar notificaciones relacionadas con el servicio (actualizaciones de pedidos, alertas de seguridad). No enviamos correos de marketing sin su consentimiento.

• Los códigos OTP son transitorios — El contenido de los SMS recibidos (códigos OTP) se le muestra en tiempo real y no se almacena a largo plazo una vez que el pedido expira o se completa.
• Los números de teléfono son temporales — Los números alquilados son temporales y se reciclan una vez finalizado el período de alquiler. No asociamos los números alquilados a su identidad más allá del pedido activo.
• Sin datos de llamadas — SMSCode solo gestiona la verificación por SMS; no procesamos llamadas de voz ni metadatos de llamadas.

• Los pagos son procesados por pasarelas de terceros (Duitku, Heleket). No almacenamos los datos de su tarjeta de crédito, cuenta bancaria ni instrumento de pago.
• Almacenamos referencias de transacciones (ID de la pasarela de pago, importes, estado) con fines de conciliación y soporte.
• Los proveedores de pasarelas de pago tienen sus propias políticas de privacidad que rigen cómo tratan su información de pago.

Compartimos datos únicamente cuando es necesario para prestar el Servicio. La siguiente es la lista completa de categorías de encargados del tratamiento terceros que contratamos; las ubicaciones operativas detalladas y las garantías de transferencia se describen en la Sección 14 (Transferencia Internacional de Datos).

• Cloudflare, Inc. — red de entrega de contenido, protección DDoS y red de salida. Trata direcciones IP, metadatos de solicitudes y tráfico con TLS terminado en tránsito.
• Resend, Inc. — envío de correo electrónico transaccional (verificación, restablecimiento de contraseña, notificaciones de pedidos). Trata su dirección de correo electrónico y el contenido de los mensajes.
• Proveedores de SMS ascendentes — alquiler de números virtuales y enrutamiento de SMS entrantes. Enviamos parámetros mínimos del pedido (país, servicio) para completar los alquileres; no compartimos su identidad ni los datos de su cuenta con los proveedores.
• Pasarelas de pago — los datos de las transacciones se comparten con los procesadores de pago para completar los depósitos. No recibimos ni almacenamos los datos completos del instrumento de pago.
• Firebase Cloud Messaging (Google) — los tokens de dispositivo de FCM se envían al servicio Firebase de Google para enviar notificaciones push. No se comparte ningún otro dato personal con Firebase.
• Google Fonts (Google LLC) — proporciona la fuente web Noto Sans utilizada para representar sistemas de escritura no latinos (por ejemplo, cirílico, chino, tailandés, devanagari y árabe). Cuando su navegador carga una página, puede solicitar archivos de fuentes a la CDN de Google Fonts, lo que puede exponer su dirección IP y la página de referencia a Google. No se comparte ningún dato de la cuenta.
• Autoridades policiales — Podemos divulgar datos si así lo exige la ley, una orden judicial, o para proteger los derechos, la propiedad o la seguridad de SMSCode, de nuestros usuarios o del público.

No vendemos sus datos personales a terceros. No compartimos sus datos personales con anunciantes. No participamos en ningún corredor de datos ni red publicitaria. Los datos de usuario de Google obtenidos mediante el Inicio de Sesión con Google nunca se comparten con ningún tercero y se utilizan exclusivamente para la autenticación dentro de SMSCode.

• Historial de pedidos — Conservado con fines de conciliación, soporte y auditoría.
• Contenido de OTP/SMS — Eliminado una vez que el pedido expira o se completa.
• Datos de la cuenta — Conservados mientras su cuenta esté activa.
• Registros del servidor — Conservados hasta 90 días con fines de seguridad y depuración.
• Tokens de dispositivo de FCM — Eliminados de inmediato cuando cancela el registro de un dispositivo o elimina su cuenta.

Eliminación de Cuenta y Purga de Datos

Puede eliminar su cuenta en cualquier momento a través de la configuración de la cuenta en el panel web o la aplicación móvil. Cuando elimina su cuenta:

• Su cuenta se elimina de inmediato de forma lógica (estado establecido en "Eliminada").
• Su saldo restante se pierde y se registra como una transacción final.
• Todas las sesiones activas (web y móvil) se revocan de inmediato.
• Los tokens de dispositivo de FCM y las suscripciones push se eliminan.
• Los tokens de API y las configuraciones de webhook se eliminan.
• Se aplica un período de espera de 30 días para volver a registrarse — no puede crear una nueva cuenta con el mismo correo electrónico durante este período.
• Transcurridos 30 días, una tarea programada purga de forma permanente su información de identificación personal (PII): su correo electrónico se sustituye por un marcador de posición no identificable, se borra el hash de su contraseña y se elimina su ID de usuario de Google.
• El historial de transacciones y los registros de pedidos se conservan de forma anonimizada para el cumplimiento contable y legal.

• Utilizamos una única cookie de sesión httpOnly (__session) para mantener su sesión autenticada. Esta cookie está cifrada y no puede ser leída por scripts del lado del cliente.
• No utilizamos cookies de rastreo, cookies publicitarias ni cookies de analítica de terceros.
• No se necesita ningún aviso de cookies porque solo utilizamos cookies estrictamente necesarias para la autenticación.

Almacenamiento de Datos

• Infraestructura — Todos los datos se almacenan en servidores dedicados operados por nosotros. No utilizamos alojamiento en la nube compartido para los datos de los usuarios.
• Base de datos — Los datos de los usuarios se almacenan en PostgreSQL con acceso restringido únicamente a los servicios de la aplicación.
• Cifrado en tránsito — Todo el tráfico entre usted y nuestros servidores está cifrado mediante TLS (HTTPS).
• Cifrado de sesión — Las cookies de sesión se cifran con AES-256-GCM.

Protección de Datos

• Hash de contraseñas — Las contraseñas se cifran con argon2, un algoritmo de memoria intensiva resistente a los ataques de fuerza bruta.
• Protección CSRF — Los endpoints que modifican estado están protegidos frente a la falsificación de solicitudes entre sitios.
• Límite de frecuencia — Los endpoints de la API y de autenticación tienen límites de frecuencia para prevenir abusos.
• Control de acceso — Los servicios internos se comunican a través de canales autenticados con claves secretas. Los servicios de base de datos y de caché están aislados en una red privada no accesible desde internet.

Aunque implementamos medidas de seguridad conformes a los estándares del sector, ningún sistema es 100% seguro. Si descubre una vulnerabilidad, comuníquela a [email protected].

Si se encuentra en el Espacio Económico Europeo (EEE) o en el Reino Unido, el Reglamento General de Protección de Datos (RGPD) de la UE y del Reino Unido le concede derechos específicos sobre sus datos personales. Danver LLC es el responsable del tratamiento de dichos datos. Los tratamos para prestar y proteger el Servicio (ejecución de nuestro contrato con usted), para cumplir con obligaciones legales y para nuestros intereses legítimos en la operación y protección de la plataforma; cuando nos basamos en su consentimiento, puede retirarlo en cualquier momento.

Con sujeción a las condiciones y excepciones establecidas en el RGPD, usted tiene:

• el derecho de acceso — a obtener confirmación de si tratamos sus datos personales y a recibir una copia de los mismos;
• el derecho de rectificación — a que se corrijan los datos personales inexactos o incompletos;
• el derecho de supresión — a que se eliminen sus datos personales (el "derecho al olvido"), que usted mismo puede activar eliminando su cuenta (véase la Sección 6);
• el derecho a la limitación del tratamiento — a limitar cómo tratamos sus datos personales en determinadas circunstancias;
• el derecho de oposición — a oponerse al tratamiento realizado sobre la base de nuestros intereses legítimos;
• el derecho a la portabilidad de los datos — a recibir sus datos personales en un formato estructurado, de uso común y de lectura mecánica;
• el derecho a retirar el consentimiento — cuando nos basamos en su consentimiento, a retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos, contáctenos en [email protected]. Responderemos dentro de 30 días, según lo exige el Artículo 12 del RGPD. También tiene derecho a presentar una reclamación ante su autoridad de control de protección de datos local si considera que no hemos tratado sus datos personales conforme a la legislación aplicable.

Si es residente de California, la Ley de Privacidad del Consumidor de California (CCPA), modificada por la Ley de Derechos de Privacidad de California (CPRA), le otorga derechos específicos sobre su información personal, además de los derechos establecidos en la Sección 9 (Sus Derechos Conforme al RGPD).

Derecho a saber. Puede solicitar que le revelemos las categorías y los elementos concretos de información personal que hemos recopilado sobre usted, las fuentes de dicha información, los fines para recopilarla o divulgarla y las categorías de terceros con quienes la compartimos. Las categorías que recopilamos se detallan en la Sección 1 (Datos que Recopilamos).

Derecho a eliminar. Puede solicitar que eliminemos la información personal que hemos recopilado sobre usted, con sujeción a determinadas excepciones legales (por ejemplo, para completar una transacción, detectar incidentes de seguridad o cumplir con una obligación legal).

Derecho a corregir. Puede solicitar que corrijamos la información personal inexacta que mantenemos sobre usted.

Derecho a excluirse de la venta o la compartición. No vendemos su información personal a terceros, y no la compartimos para publicidad conductual entre contextos. No hay nada de lo que deba excluirse, pero lo indicamos expresamente para que lo sepa.

Derecho a limitar el uso de información personal sensible. No utilizamos información personal sensible (según la define la CPRA) para fines que excedan los necesarios para prestar el Servicio.

Derecho a la no discriminación. No le discriminaremos por ejercer cualquiera de estos derechos. Su experiencia con el Servicio no cambiará, y no se verán afectadas las tarifas, los términos ni la calidad del servicio.

Cómo ejercerlos. Para ejercer cualquier derecho de la CCPA, contáctenos en [email protected]. Verificaremos su identidad antes de responder y responderemos dentro de 45 días (prorrogables por 45 días adicionales cuando sea razonablemente necesario).

La Ley de Protección de la Privacidad en Línea de California (CalOPPA) exige a los operadores de sitios web comerciales y servicios en línea que recopilan información personal de residentes de California que publiquen una política de privacidad visible y que la cumplan. De conformidad con CalOPPA:

• puede visitar las áreas públicas de nuestro sitio de forma anónima, sin crear una cuenta;
• el enlace a nuestra política de privacidad incluye la palabra "Privacy" y es accesible desde el pie de página de cada página;
• se le notificará cualquier cambio material en esta Política de Privacidad en esta página (véase la Sección 15);
• puede revisar y modificar su información personal iniciando sesión en la configuración de su cuenta o escribiéndonos a [email protected].

No Rastrear

Algunos navegadores ofrecen una señal "No Rastrear" (Do Not Track, DNT). Dado que no rastreamos a los visitantes a través de sitios web de terceros y no utilizamos cookies publicitarias o de rastreo conductual (véase la Sección 12, Analítica), nuestras prácticas son coherentes con el respeto de las señales DNT: no le rastreamos, no le mostramos publicidad ni elaboramos perfiles suyos entre sitios, con independencia de que exista o no una señal DNT.

SMSCode no utiliza servicios de analítica web de terceros, herramientas de rastreo conductual ni tecnología publicitaria. En concreto:

• No utilizamos Google Analytics, Mixpanel, Amplitude, Hotjar, Segment ni ningún servicio de analítica similar;
• No incrustamos píxeles de rastreo, etiquetas de marketing ni scripts de retargeting en ninguna página;
• No participamos en ninguna red publicitaria ni ecosistema de publicidad entre sitios;
• No elaboramos perfiles conductuales de usuarios individuales con fines de marketing o recomendación.

Los únicos datos que recopilamos sobre su uso del Servicio son los datos operativos necesarios para prestarlo y protegerlo: registros de solicitudes del servidor, contadores de límite de frecuencia, historial de pedidos y cookies de sesión. Estos se describen en detalle en la Sección 1 (Datos que Recopilamos), la Sección 7 (Cookies & Sesiones) y la Sección 8 (Medidas de Seguridad). Los registros del servidor se conservan hasta 90 días con fines de seguridad y depuración, y luego se eliminan.

Si en el futuro introducimos analítica, esta Política de Privacidad se actualizará antes de que el cambio entre en vigor, y se le notificará conforme a la Sección 15 (Cambios en esta Política).

SMSCode no está destinado a ser utilizado por personas menores de 18 años. No recopilamos deliberadamente datos personales de menores. Si cree que un menor de 18 años nos ha proporcionado datos personales, contáctenos y los eliminaremos con prontitud.

Danver LLC tiene su sede en los Estados Unidos, y los datos personales que usted proporciona se tratan principalmente en los Estados Unidos. Para prestar el Servicio, utilizamos subencargados del tratamiento e infraestructura de terceros que pueden tratar sus datos en los Estados Unidos y en otras jurisdicciones. Por tanto, su información, incluidos los datos personales, puede transferirse a — y mantenerse en — equipos ubicados fuera de su estado, provincia o país, donde las leyes de protección de datos pueden diferir de las de su jurisdicción.

Mecanismo de transferencia

Cuando transferimos datos personales desde su jurisdicción (incluidos el Espacio Económico Europeo o el Reino Unido) a los Estados Unidos u otro país, tomamos medidas razonables para garantizar que existan controles adecuados y que sus datos se traten de forma segura y conforme a esta Política de Privacidad. No se realiza ninguna transferencia de sus datos personales salvo que existan controles adecuados, que pueden incluir garantías contractuales apropiadas (como cláusulas contractuales tipo u otros mecanismos reconocidos por la legislación aplicable) con las partes que tratan sus datos. Las garantías específicas aplicables a una transferencia determinada se mantienen en el marco de nuestros acuerdos de tratamiento de datos.

Controles de transferencias ulteriores

Todos los subencargados que reciben sus datos personales están vinculados por contratos escritos que les exigen: (a) tratar los datos únicamente conforme a instrucciones documentadas de Danver LLC; (b) implementar medidas técnicas y organizativas de seguridad adecuadas; (c) garantizar la confidencialidad del personal con acceso a los datos; (d) asistirnos en el cumplimiento de solicitudes de derechos de los interesados; y (e) suprimir o devolver los datos al término del contrato. Cuando sus datos están sujetos al RGPD, estas obligaciones siguen los requisitos del Artículo 28 del RGPD.

Categorías actuales de subencargados

Los subencargados que pueden tratar sus datos incluyen, entre otros:

• Cloudflare, Inc. (Estados Unidos) — entrega de contenido, protección DDoS y red de salida;
• Google LLC (Estados Unidos) — entrega de fuentes web mediante Google Fonts (véase la Sección 5);
• Resend, Inc. (Estados Unidos) — envío de correo electrónico transaccional;
• socios proveedores de SMS con operativa internacional — alquiler de números virtuales y enrutamiento de SMS entrantes (véase la Sección 3);
• pasarelas de pago — procesamiento transaccional de pagos para depósitos (véase la Sección 4).

Sus derechos

Puede solicitar una copia de las garantías de transferencia aplicables a sus datos contactándonos en [email protected]. Responderemos dentro de 30 días, según lo descrito en la Sección 9 (Sus Derechos Conforme al RGPD) y en el Artículo 12 del RGPD.

Podemos actualizar esta Política de Privacidad periódicamente. Los cambios materiales se comunicarán por correo electrónico o mediante un aviso en la plataforma. La fecha de "Última actualización" en la parte superior refleja la revisión más reciente.

Para preguntas o solicitudes relacionadas con la privacidad, contáctenos en [email protected].

Para soporte general, contáctenos en [email protected].