Política de Privacidad

Nuestro compromiso con la privacidad

TrueBoard se construye sobre un principio sencillo: los datos personales pertenecen al usuario. Es una empresa legítima al servicio de iglesias y organizaciones sin fines de lucro, y asume esa responsabilidad con seriedad. La información del usuario nunca se venderá, no se utilizará con fines publicitarios ni se compartirá de manera que no le sirva directamente.

Lo que nos distingue

• Sin cookies de marketing — No se rastrea al usuario con fines publicitarios. No hacen falta esos molestos avisos de cookies.
• Sin venta de datos — La información del usuario nunca se vende a terceros. Punto.
• Sin seguimiento conductual — No se elaboran perfiles del usuario para vender anuncios ni manipular su experiencia. No se utilizan servicios externos de analítica de usuarios.
• Recopilación mínima de datos — Solo se recopila lo necesario para prestar el servicio.

Datos que se recopilan

Información de la cuenta

Cuando el usuario inicia sesión, se recibe información básica del perfil desde su proveedor de identidad (actualmente Google, Microsoft y Planning Center; podrán añadirse otros proveedores con el tiempo): nombre, dirección de correo electrónico, foto de perfil y, en algunos casos, número telefónico. Esto se utiliza únicamente para identificar al usuario dentro de la aplicación y personalizar su experiencia.

Datos de la organización

Los documentos, archivos y demás datos organizacionales que el usuario crea pertenecen a su organización. Estos datos se almacenan para prestar el servicio y ponerlos a disposición de los miembros autorizados de la organización. Para más detalles sobre la titularidad de los datos organizacionales y la licencia de contenido, consulte nuestros Términos del Servicio.

Registros de seguridad

Se registran direcciones IP e información básica de sesión únicamente con fines de seguridad:

• Detectar intentos de acceso no autorizados
• Prevenir el secuestro de sesiones
• Investigar incidentes de seguridad en caso de que ocurran

Los registros de seguridad se conservan hasta por 12 meses, tras lo cual se eliminan de forma permanente. Nunca se utilizan con fines de marketing ni para elaborar perfiles de usuarios.

Cookies que se utilizan

Únicamente se utilizan cookies esenciales necesarias para el funcionamiento de la aplicación:

Cookie	Propósito	Duración
tb_session	Mantiene la sesión iniciada	Hasta cerrar sesión o hasta que expire
tb_csrf	Protege contra ataques entre sitios	Mientras dure la sesión
tb_org	Recuerda la última organización visitada para mayor comodidad	6 meses

Eso es todo. Sin cookies de analítica, sin cookies publicitarias y sin rastreadores de redes sociales. Como no se utilizan cookies de marketing, no hay nada de lo cual desuscribirse.

Recuento anónimo de visitas

Se cuentan las visitas a nuestro sitio web de marketing para saber qué páginas resultan útiles. Esto se realiza enteramente en nuestro propio servidor — sin cookies, sin herramientas de terceros, sin elaborar perfil alguno de usted como individuo.

Por cada visita se registran la ruta de la página, el idioma, el dominio (sólo el dominio, no la URL completa) del sitio que originó la visita, en su caso, y un hash unidireccional del visitante. El hash se construye a partir de su dirección IP combinada con un secreto del servidor que se renueva cada día a medianoche UTC. La dirección IP nunca se almacena. Una vez renovado el secreto diario, el hash de ayer no puede vincularse con el de hoy — ni siquiera por nosotros. El hash existe únicamente para no contar diez veces al mismo visitante cuando lee diez páginas.

Sin cookies, sin huella digital del navegador, sin analítica de terceros, sin perfiles publicitarios.

Los eventos de visita en bruto se conservan durante 30 días; transcurrido ese plazo, sólo permanecen los agregados diarios (recuento por página, por idioma, por día).

Cómo se protegen los datos

• Todos los datos se cifran en tránsito mediante TLS 1.3
• Nunca se almacenan contraseñas (se utiliza OAuth con proveedores de confianza)
• Las sesiones se aseguran criptográficamente y se rotan con regularidad
• Los controles de acceso garantizan que solo los miembros autorizados de la organización vean los datos del usuario
• Se siguen las mejores prácticas de seguridad y se auditan los sistemas con regularidad

Servicios de terceros

Se utiliza un número limitado de servicios de terceros para operar:

• Proveedores de identidad (actualmente Google, Microsoft y Planning Center; podrán añadirse otros proveedores con el tiempo) — únicamente para autenticación
• Infraestructura en la nube (Amazon Web Services) — para alojar y almacenar los datos del usuario de forma segura en los Estados Unidos
• Proveedor de correo electrónico — para enviar correos transaccionales como códigos de verificación, invitaciones y notificaciones
• Proveedor de SMS — para enviar códigos de verificación de número telefónico y notificaciones opcionales

Los datos del usuario no se comparten con ningún tercero con fines de marketing o publicidad.

Transferencias internacionales de datos

Los servidores de TrueBoard se encuentran en los Estados Unidos. Si el usuario accede a TrueBoard desde fuera de los Estados Unidos, sus datos se transferirán y procesarán en los Estados Unidos. Al utilizar TrueBoard, el usuario consiente dicha transferencia.

Para los usuarios en el Espacio Económico Europeo (EEE), la base legal de esta transferencia es que resulta necesaria para la ejecución de nuestro contrato con el usuario (RGPD Art. 49(1)(b)). Las organizaciones que requieran Cláusulas Contractuales Tipo o un Acuerdo de Tratamiento de Datos podrán comunicarse con nosotros a info@trueboard.org.

Derechos de privacidad del usuario

Se reconocen los siguientes derechos a todos los usuarios, sin importar su ubicación:

• Derecho de conocer/acceso — Solicitar detalles sobre la información personal que se recopila y cómo se utiliza
• Derecho de rectificación — Solicitar la corrección de información personal inexacta
• Derecho de eliminación — Solicitar la eliminación de la cuenta y los datos personales asociados (sujeto a la retención de registros organizacionales; véase más adelante)
• Derecho a la no discriminación — Nunca se discriminará al usuario por ejercer sus derechos de privacidad

Ejercer los derechos individuales anteriores — incluido acceder a una copia de tus propios datos personales y obtenerla — es siempre gratuito.

Los administradores de organización podrán solicitar una exportación de los datos de su organización en un formato legible por máquina de uso común (como JSON o CSV). Las solicitudes de exportación se atenderán dentro de los 30 días. Como no ofrecemos actualmente la exportación por autoservicio, estas exportaciones de datos organizacionales se preparan manualmente, por lo que podremos cobrar una tarifa razonable basada en el tiempo y los materiales involucrados. No eliminaremos los datos de una organización sin antes ofrecer una oportunidad razonable de obtener una exportación.

No se vende ni se comparte la información personal del usuario. Como nunca se vende ni se comparte la información personal con fines publicitarios o de marketing, no hay necesidad de optar por no participar. El usuario ya cuenta con la protección más sólida de forma predeterminada.

Residentes de California (CCPA/CPRA)

Estos derechos se garantizan a los residentes de California bajo la Ley de Privacidad del Consumidor de California (CCPA) y la Ley de Derechos de Privacidad de California (CPRA). Categorías de información personal que se recopilan:

• Identificadores (nombre, dirección de correo electrónico, ID de cuenta)
• Actividad en Internet (dirección IP, datos de sesión únicamente con fines de seguridad)
• Información profesional (pertenencia a una organización, función dentro de las organizaciones)

Cómo ejercer estos derechos

Escríbanos a info@trueboard.org. Los residentes de California podrán incluir "California Privacy Request" en el asunto del mensaje. Verificaremos la identidad del solicitante y responderemos dentro de los 45 días.

Retención de datos y registros organizacionales

Los datos personales del usuario se conservan únicamente mientras tenga una cuenta activa o el tiempo necesario para prestar servicios a su organización. Cuando el usuario elimina su cuenta, sus datos personales (nombre, correo electrónico, teléfono, foto de perfil) se eliminan de los sistemas activos dentro de los 30 días. Las copias de seguridad cifradas podrán conservar los datos hasta por 90 días antes de ser rotadas.

No obstante, los registros de gobierno organizacional son distintos. Los documentos, minutas de reuniones, mociones, votos y demás contenido creado dentro de una organización pertenecen a esa organización. Los registros de las acciones del usuario como miembro de la directiva (votos emitidos, mociones presentadas, documentos redactados) forman parte del registro oficial de la organización y podrán conservarse aun después de que el usuario se retire o elimine su cuenta.

Esto refleja el funcionamiento del gobierno organizacional en el mundo físico: un miembro saliente de la directiva no puede exigir a la organización que borre los registros de su gestión. Las organizaciones a menudo tienen obligaciones legales de conservar estos registros, y TrueBoard les permite hacerlo de manera fiel.

La base legal de esta retención es el interés legítimo (RGPD Art. 6(1)(f)) — las organizaciones tienen una necesidad legítima de mantener registros de gobierno completos e inalterables. Para más detalles, consulte nuestros Términos del Servicio.

Tratamiento de datos para organizaciones

Si la organización del usuario está sujeta a normativas de protección de datos (como el RGPD), TrueBoard actúa como encargado del tratamiento por cuenta de la organización (la responsable del tratamiento). Las organizaciones que requieran un Acuerdo de Tratamiento de Datos (DPA) podrán comunicarse con nosotros a info@trueboard.org.

Notificación de violación de datos

En caso de una violación de datos que afecte la información personal del usuario, se notificará a los usuarios afectados y a las autoridades correspondientes dentro de las 72 horas posteriores a tener conocimiento de la violación, conforme lo exija la ley aplicable. La notificación incluirá la naturaleza de la violación, los datos afectados y las medidas que se están tomando en respuesta.

Cambios a esta política

Si se realizan cambios significativos a esta política, se notificará al usuario a través de la aplicación o por correo electrónico con al menos 14 días de anticipación a la entrada en vigor de los cambios. No se reducirán materialmente las protecciones de privacidad sin previo aviso.

Contáctenos

¿Preguntas sobre esta política o nuestras prácticas de privacidad? Con gusto le ayudamos.

Correo electrónico: info@trueboard.org

---

Esta política de privacidad está redactada en lenguaje claro porque consideramos que el usuario merece entender realmente cómo se manejan sus datos.