Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es el titular de BaZi.cards:

Para cualquier solicitud relacionada con sus datos, puede escribir a support@bazi.cards. No hemos designado un delegado de protección de datos independiente; el titular atiende personalmente todas las solicitudes.

2. Qué datos recogemos

Recogemos únicamente los datos que el Servicio necesita realmente.

• Datos de la cuenta: su dirección de correo electrónico, la contraseña en forma de resumen criptográfico (nunca vemos la contraseña en sí), el idioma de su interfaz y la fecha de registro.
• Datos de nacimiento: fecha, hora y lugar de nacimiento y, opcionalmente, el sexo. También puede introducir los datos de nacimiento de otra persona (por ejemplo, para una lectura de compatibilidad); en ese caso, usted confirma que está legitimado para comunicarlos.
• Preguntas al Oráculo: el texto de las preguntas que formula y las respuestas generadas automáticamente, que se guardan en su cuenta para que pueda volver a consultarlas.
• Datos de compra: qué lecturas ha encargado, el importe, la moneda, la fecha y un identificador del pedido. Los números de tarjeta y demás credenciales de pago los gestiona exclusivamente el proveedor de pagos y nunca llegan a nuestros servidores.
• Datos de la lista de espera: si solicita que le avisemos cuando se habilite el pago en su región, la dirección de correo electrónico que indique, la versión de idioma del sitio y el producto y el precio que se le mostraban en ese momento.
• Datos del programa de referidos: si el programa de referidos está disponible en su región y usted participa en él (invitando a alguien o siguiendo una invitación), conservamos resúmenes criptográficos con clave (HMAC) de la dirección IP, de su red y del identificador del navegador, con el fin de detectar autoinvitaciones y abusos. Un resumen no se puede convertir de nuevo en la dirección original; los resúmenes se conservan durante unos seis meses después de la última visita. Base jurídica: nuestro interés legítimo en prevenir el fraude.
• Datos técnicos: dirección IP, tipo de navegador, tipo de dispositivo, página de procedencia, hora de la solicitud y registros de errores. Son necesarios para operar el sitio con seguridad y defenderlo frente a usos abusivos.
• Cookies y almacenamiento local: véase el apartado 9 y la Política de cookies específica.

3. Los datos de nacimiento se tratan como datos sensibles

Una fecha, una hora exacta y un lugar de nacimiento, combinados con las preguntas que usted formula, pueden revelar mucho sobre una persona. Aunque la normativa de protección de datos no siempre incluye esta información entre las «categorías especiales» de datos, hemos decidido tratarla con el nivel de protección propio de los datos sensibles:

• la tratamos únicamente para elaborar e interpretar su carta, y nunca con fines publicitarios ni para elaborar perfiles destinados a terceros;
• le solicitamos su consentimiento explícito antes del primer cálculo;
• puede eliminarla de su cuenta en cualquier momento, y nosotros la suprimiremos de nuestros sistemas conforme a lo previsto en el apartado 5;
• nunca la vendemos, cedemos ni compartimos con intermediarios de datos.

4. Finalidades y bases jurídicas

Cuando el tratamiento se base en el consentimiento, podrá retirarlo en cualquier momento; la retirada no afectará a la licitud del tratamiento realizado con anterioridad.

5. Plazos de conservación

• Cuenta, datos de nacimiento, lecturas e historial del Oráculo: mientras exista su cuenta. Si la elimina, se suprimen en un plazo de 30 días; las copias de seguridad se sobrescriben en los 90 días siguientes.
• Registros de compra: durante el plazo exigido por la normativa fiscal y contable aplicable al titular (habitualmente entre 5 y 10 años), en una forma que ya no contiene datos de nacimiento.
• Registros técnicos: hasta 90 días, salvo que un incidente concreto exija una conservación más prolongada.
• Correspondencia de soporte: hasta 3 años desde el último mensaje.
• Registros de la lista de espera: hasta que nos pida eliminar su dirección y, en todo caso, durante no más de 24 meses desde la fecha en que se inscribió en la lista de espera.
• Consentimiento para el boletín: hasta que se dé de baja.

6. Quién más accede a los datos

No vendemos datos personales ni los compartimos con anunciantes. Para operar el Servicio recurrimos a un reducido número de encargados del tratamiento que actúan siguiendo nuestras instrucciones en virtud de contratos por escrito:

• Alojamiento: servidores situados en la Unión Europea (Finlandia). Allí se encuentran la base de datos, el cálculo de las cartas y el almacenamiento de su cuenta, sus lecturas y el historial del Oráculo.
• Nombres de dominio y protección de formularios — Cloudflare, Inc. (Estados Unidos). Cloudflare gestiona el DNS de nuestros dominios y, en los formularios de inicio de sesión y de cálculo de la carta, la verificación Cloudflare Turnstile, que comprueba que una persona real usa el formulario; para esa verificación trata su dirección IP y datos técnicos del navegador. El sitio en sí se sirve directamente desde nuestros servidores en Finlandia, no a través de la red de Cloudflare. Cloudflare actúa siguiendo nuestras instrucciones conforme a su anexo de tratamiento de datos.
• Generación de texto: la redacción de las respuestas del Oráculo (y, cuando las lecturas de pago estén disponibles en su región, de las lecturas escritas) se elabora con ayuda de un proveedor externo de servicios de generación de texto ubicado en Estados Unidos. Para cada solicitud, este proveedor recibe únicamente el texto de su pregunta o del apartado que se está redactando y los datos calculados de la carta necesarios para ello (los pilares, los elementos, los indicadores relacionados de la carta y las reglas de la tradición seleccionadas). No recibe su dirección de correo electrónico, su contraseña ni sus datos de pago. El proveedor actúa siguiendo nuestras instrucciones en virtud de un contrato de encargo del tratamiento; conforme a sus condiciones comerciales, los datos no se utilizan para entrenar sus modelos y pueden conservarse durante un plazo limitado (hasta 30 días) para detectar usos abusivos antes de eliminarse.
• Envío de correo electrónico: Brevo (Sendinblue SAS, Francia) envía los mensajes de confirmación, los restablecimientos de contraseña y, con su consentimiento, los boletines. Brevo recibe su dirección de correo electrónico y el contenido del mensaje.
• Proveedor de pagos: el proveedor de pagos elegido por el titular recibe los datos necesarios para procesar el pago (importe, moneda, identificador del pedido y los datos que usted introduzca en la página de pago del propio proveedor). Respecto del pago en sí, el proveedor actúa como responsable del tratamiento independiente; su nombre se muestra en la página de pago antes de que usted pague. En nuestra página de pago, el formulario de pago lo proporciona Stripe (Stripe Payments Europe, Ltd., Irlanda, y Stripe, Inc., Estados Unidos): al abrirse la página de pago, Stripe instala sus cookies y recoge señales técnicas del dispositivo y del navegador para prevenir el fraude en los pagos (véase la Política de cookies).
• Telegram: si utiliza nuestro bot @Bazinterbot, Telegram Messenger Inc. trata sus mensajes conforme a su propia política de privacidad; nosotros recibimos su identificador de Telegram y los mensajes que envía al bot.
• Lista de espera: las direcciones facilitadas en el formulario de la lista de espera se guardan en nuestra propia base de datos, en los mismos servidores de la UE, y no se ceden a nadie más.

También podremos comunicar datos cuando la ley lo exija, por ejemplo en respuesta a un requerimiento legítimo de un juzgado o de una autoridad, o para formular, ejercer o defender reclamaciones legales.

7. Transferencias internacionales

Nuestros servidores están en la Unión Europea (Finlandia); allí se almacenan su cuenta, sus datos de nacimiento, sus lecturas y el historial del Oráculo. Algunos de los encargados enumerados en el apartado 6 tratan datos fuera de su país:

• Estados Unidos — servicio de generación de texto. Cuando formula una pregunta al Oráculo (o se prepara para usted una lectura escrita), el texto de la pregunta y los datos calculados de la carta descritos en el apartado 6 se envían, mediante una conexión cifrada, al proveedor situado en Estados Unidos, que devuelve la redacción de la respuesta. Su dirección de correo electrónico, su contraseña y sus datos de pago no se envían. Para los usuarios de la UE/EEE, Suiza y el Reino Unido, esta transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea (con la adenda del Reino Unido), que forman parte del contrato de encargo del tratamiento del proveedor; para los usuarios de otros países se aplica el mecanismo exigido por su legislación local, descrito en el apartado 12. La transferencia es necesaria para responder a su pregunta; si no desea que se produzca, no utilice el Oráculo.
• Estados Unidos — protección de formularios (Cloudflare Turnstile). Cloudflare puede tratar su dirección IP y los datos técnicos de la solicitud en Estados Unidos y en otros países donde opera su red. Para los usuarios de la UE/EEE, Suiza y el Reino Unido, esto se ampara en las cláusulas contractuales tipo incluidas en la adenda de tratamiento de datos de Cloudflare; para los usuarios de otros países se aplica el mecanismo exigido por su legislación local, descrito en el apartado 12.
• Telegram y envío de correo electrónico. Si utiliza nuestro bot de Telegram, Telegram Messenger Inc. trata sus mensajes conforme a su propia política; Brevo entrega nuestros correos electrónicos desde la Unión Europea.

Limitamos los datos transferidos a lo que cada encargado necesita realmente y nunca vendemos datos personales.

8. Sus derechos

En función de su lugar de residencia, le asisten los siguientes derechos, que reconocemos a todos los usuarios con independencia de su jurisdicción:

• Acceso: obtener una copia de los datos que conservamos sobre usted;
• Rectificación: corregir los datos inexactos (los datos de nacimiento pueden editarse en su cuenta);
• Supresión: obtener la eliminación de su cuenta y de sus datos;
• Limitación y oposición: limitar u oponerse al tratamiento basado en el interés legítimo;
• Portabilidad: recibir sus datos en un formato de lectura mecánica;
• Retirada del consentimiento: en cualquier momento, respecto de los boletines y el tratamiento de los datos de nacimiento;
• Reclamación: presentar una reclamación ante una autoridad de control. En España, la Agencia Española de Protección de Datos (AEPD, www.aepd.es); en el resto de la UE/EEE, la autoridad de protección de datos de su país de residencia; en el Reino Unido, la Information Commissioner's Office (ICO).

Para ejercer un derecho, escriba a support@bazi.cards desde la dirección de correo electrónico vinculada a su cuenta. Respondemos en el plazo de 30 días; si la solicitud es compleja, podremos ampliarlo en otros 60 días, informándole de los motivos. No cobraremos tasa alguna, salvo que la solicitud sea manifiestamente infundada o excesiva.

9. Cookies y analítica

El sitio utiliza un pequeño número de cookies estrictamente necesarias y tecnologías similares: bazi_uid — un identificador anónimo que mantiene vinculados sus cálculos, sus lecturas gratuitas y sus compras antes de que inicie sesión (400 días); bazi_session_… — mantiene su sesión iniciada en la cuenta (30 días); bazi_lang — su preferencia de idioma (hasta 1 año); y algunas entradas en el almacenamiento local de su navegador: su elección en materia de cookies, la última carta calculada y las cartas que ha guardado, un identificador anónimo y, si la ha introducido, la dirección de correo electrónico para recibos y avisos. El almacenamiento local permanece en su dispositivo hasta que usted lo borre. La lista completa figura en la Política de cookies.

Para entender cómo se utiliza el sitio usamos nuestra propia analítica (de origen, first-party), alojada en este sitio. Registra datos de uso anónimos —páginas vistas, fuente de procedencia, clics, profundidad de desplazamiento, tiempo en la página, tipo de dispositivo y ancho de pantalla— mediante un script que servimos nosotros mismos, sin cookies, sin almacenamiento en el navegador y sin identificarle personalmente. No utilizamos ningún servicio de analítica web de terceros (como Google Analytics o Yandex Metrica), no instalamos cookies analíticas ni publicitarias y no utilizamos píxeles de redes sociales. Una medición básica de páginas vistas se ejecuta en cada visita; la medición más detallada (mapas de clics y seguimiento del desplazamiento) solo se carga después de que usted pulse «Aceptar todas» en el aviso de cookies, conforme al artículo 22.2 de la Ley 34/2002 (LSSI). Los detalles figuran en la Política de cookies.

Grabación de la sesión. Solo después de que pulses «Aceptar todas», la medición detallada registra también en qué punto de la pantalla haces clic y guarda una grabación anónima de tu visita a la página —cambios en la página, movimientos del puntero, clics y desplazamiento— para que podamos encontrar y corregir errores del sitio. Todo lo que escribes en los campos se enmascara y nunca se graba; los bloques con tus datos de nacimiento, los resultados del cálculo y el formulario de pago quedan fuera de las grabaciones. Una grabación solo se vincula a un identificador de sesión aleatorio, no a tu cuenta, tu correo electrónico ni tus datos de pago. Puedes retirar el consentimiento en cualquier momento en la configuración de cookies; a partir de entonces la grabación se detiene.

10. Edad mínima

El Servicio está destinado a personas adultas. No creamos conscientemente cuentas para menores de 18 años ni aceptamos pagos de ellos. Si cree que un menor nos ha facilitado datos personales, escríbanos y los eliminaremos.

11. Seguridad

Todo el tráfico está cifrado (TLS). Las contraseñas se almacenan como resúmenes criptográficos con sal. El acceso a la base de datos está restringido al titular y queda registrado. La integridad de la aplicación se verifica antes de cada publicación de una nueva versión. Ningún sistema es totalmente seguro, por lo que, si en algún momento detectamos una violación de la seguridad que pueda afectar a sus derechos, se lo notificaremos a usted y a la autoridad competente dentro de los plazos legalmente establecidos.

12. Avisos regionales

España, Espacio Económico Europeo y Reino Unido

Tratamos los datos personales de conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD); para los usuarios del Reino Unido se aplican el UK GDPR y la Data Protection Act 2018. Las bases jurídicas enumeradas en el apartado 4 se refieren al artículo 6 del RGPD (y, respecto de los datos de nacimiento, al artículo 9 cuando resulte de aplicación). La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD). Los usuarios de otros Estados miembros de la UE/EEE pueden dirigirse a la autoridad de control de su país de residencia.

Otros países

Con independencia del lugar en el que se encuentre, aplicamos los mismos estándares descritos en esta Política; cuando la legislación local le reconozca derechos adicionales, los respetamos.

13. Modificaciones de esta Política

Podremos actualizar esta Política cuando cambien el Servicio o la legislación. La versión vigente y su fecha figuran siempre en la parte superior de esta página. Si una modificación afecta sustancialmente a sus derechos, se lo comunicaremos a los usuarios registrados por correo electrónico antes de que entre en vigor.