Qué sabemos de ti, y por qué.

Quién trata tus datos

El responsable del tratamiento de tu cuenta y de la plataforma es el titular, que opera bajo el nombre comercial ProfBlu. Es el primer dato que una política de privacidad tiene que dar:

Titular

Germán Ezequiel Laso Andino

Identificación fiscal

Partita IVA 04702090988 · Codice fiscale LSNGMN88S04Z600M

Datos registrales

Actividad profesional no inscrita en el Registro delle Imprese (sin número REA)

Correo de contacto

privacidad@profblu.com

Los datos que faltan todavía no están publicados:

• Domicilio — dónde dirigirse por escrito.

En cuanto estén confirmados aparecen aquí, en esta misma página, sin cambiar nada más del texto.

No hay delegado de protección de datos designado: la ley no lo exige para una actividad de este tamaño. Escribe al correo de contacto y te contesta la persona que responde de esto.

Dos papeles distintos: tu organización y nosotros

Las aplicaciones de la plataforma son herramientas de trabajo de una organización —un club deportivo, una protectora, un alojamiento— para las personas con las que trata. Eso reparte la responsabilidad en dos, y cambia a quién tienes que pedirle qué:

• De tu cuenta respondemos nosotros. Correo, nombre, contraseña, sesiones, preferencias, avisos: es la identidad con la que entras a todas las aplicaciones, y la tratamos como responsables.
• De los datos que una organización introduce sobre ti responde esa organización —el club que te da de alta, la protectora que tramita tu adopción—. Ella decide qué guarda, para qué y durante cuánto tiempo, y es ella quien te pide el consentimiento cuando hace falta. Nosotros tratamos esos datos por encargo suyo y siguiendo sus instrucciones (artículo 28 del RGPD): los guardamos, los mostramos a quien la organización autoriza y no hacemos nada más con ellos.

En la práctica: para borrar tu cuenta o pedir una copia de tus datos nos escribes a nosotros; para que una organización retire o corrija lo que tiene de ti, habla con ella. Si nos llega una petición sobre datos que gestiona una organización, se la trasladamos.

Si sólo visitas el portal

No pasa casi nada, y conviene decirlo con precisión. El portal no instala cookies, no lleva píxeles publicitarios y no carga recursos de terceros. Nadie te sigue de una página a otra porque no hay con qué. Hay un solo formulario, el de pedir una llave, y sólo hace algo cuando lo envías: está contado más abajo.

Tampoco lleva analítica: hoy no se mide nada en el portal. Está explicado en la página de cookies, que dice la verdad en cada despliegue porque sale de la misma variable que el propio programa de medición.

Lo que sí ocurre es lo que ocurre en cualquier servidor web: al pedir la página, el servidor anota la petición —dirección IP, fecha y hora, recurso solicitado y navegador—. Esos registros se usan para operar el servicio y detectar abusos, y nada más. No se cruzan con ninguna cuenta.

Si pides una llave

El portal tiene un formulario para pedir una llave de una demo. Lo que se guarda es lo que escribes en él y nada más: tu nombre, tu correo, qué producto quieres probar y, si lo rellenas, el texto libre. No hay teléfono, ni empresa, ni cargo, ni casillas de marketing.

Para qué: para prepararte el acceso a la demo que has pedido y escribirte. Con qué base: porque es lo que hace falta para atender la petición que tú mismo nos haces. No es una suscripción a nada: no te vamos a mandar boletines ni ofertas, porque no existe en el código nada que lo haga.

De dónde venías. Al enviar el formulario se adjunta, si existe, el origen de tu visita: los parámetros utm_* del enlace por el que llegaste, el nombre del sitio desde el que viniste —sólo el nombre, nunca la página concreta— y la primera página que abriste de este portal. Se guarda en el navegador con sessionStorage, no con cookies, se borra al cerrar la pestaña y no viaja a ninguna parte hasta que pulsas el botón. Lo que no se guarda: tu dirección IP. Se mira en el momento para no admitir cien peticiones seguidas del mismo sitio, y se descarta.

Qué datos tratamos si tienes cuenta

Las cuentas son de la plataforma entera: una sola identidad sirve para todas las aplicaciones. Lo que sigue sale del código, no de una lista genérica.

De la cuenta

• Correo electrónico, nombre y apellidos, y un nombre de usuario si lo eliges.
• La contraseña, nunca en claro: se guarda como un hash bcrypt. No podemos leerla, ni recuperarla, ni decirte cuál es; sólo comprobar si la que escribes coincide.
• Preferencias: idioma, zona horaria, formato de fecha y hora, moneda y formato numérico.
• La fecha y hora en que aceptaste las condiciones de uso.
• Si la cuenta está activa, y su papel dentro de cada organización.

Del perfil, y sólo si lo rellenas

El perfil es opcional entero. Puede incluir una foto de perfil y una de portada, una biografía, teléfono, puesto y departamento, fecha de nacimiento, sexo, dirección, ciudad y país, aptitudes e idiomas que hablas. Lo que no rellenas, no se guarda.

Del inicio de sesión y de los avisos

• Si entras con Google o con Apple no guardamos ninguna contraseña: guardamos qué proveedor usaste y el identificador que ese proveedor nos devuelve, junto con el correo y el nombre que él nos envía.
• De cada sesión abierta guardamos la identificación del dispositivo que manda tu navegador o tu móvil (la cadena «User-Agent») y cuándo se usó por última vez, para que puedas ver y cerrar sesiones que no reconozcas.
• Si activas las notificaciones en una aplicación móvil, el identificador de notificaciones de ese dispositivo, para poder avisarte.

De cada aplicación

Cada aplicación añade lo suyo, y sólo lo suyo: lo que necesita para su oficio. Un club de entrenamiento guarda la ficha del deportista y lo que entrena, y parte de eso es información sobre el cuerpo de una persona; una protectora guarda las solicitudes de adopción; un alojamiento, las reservas. Esa información la introduce la persona o su organización, no nosotros, y cada aplicación en producción la detalla en su propia política:

• Brod: https://brod.profblu.com/privacy

De los errores

Cuando el servidor falla, se guarda el error para poder arreglarlo: el tipo de error, su mensaje, la traza técnica, el método y la dirección de la petición, el identificador de la persona que había iniciado sesión —si la había— y algo de contexto. Sólo se guardan los fallos del servidor; lo que es un error de quien llama, no.

Para qué, y con qué base

• Para darte el servicio —crear la cuenta, dejarte entrar, que las aplicaciones funcionen—: porque es lo que hace falta para cumplir lo que aceptaste al abrir la cuenta.
• Para escribirte lo imprescindible —la invitación, un aviso sobre tu cuenta, restablecer la contraseña—: por lo mismo. Son correos de servicio, no comerciales.
• Para avisarte en el móvil: con tu permiso, que das al aceptar las notificaciones y retiras apagándolas.
• Para tratar datos delicados que una aplicación necesite —sobre el cuerpo, la salud o la situación de una persona—: con el consentimiento explícito de esa persona, que recaba la organización que la da de alta y que se puede retirar en cualquier momento.
• Para mantener el servicio en pie —registros del servidor, registro de errores, control de abusos, copias de seguridad—: por interés legítimo en que la plataforma funcione y sea segura.

No hacemos perfilado, ni publicidad, ni decisiones automatizadas que te afecten, ni vendemos ni cedemos datos a terceros con fines comerciales. No es una declaración de intenciones: es que no existe en el código nada que haga eso.

Dónde se tratan, y quién más los ve

La plataforma corre en servidores de Hetzner en Núremberg (Alemania), y las copias de seguridad se guardan cifradas en el almacenamiento de objetos del mismo proveedor y la misma región, durante 35 días. Todo dentro del Espacio Económico Europeo: por el alojamiento no hay transferencia internacional de datos.

El correo saliente se entrega por SMTP a través de IONOS, con la cuenta en su región española.

Las notificaciones de las aplicaciones móviles las releva Expo (Expo, Inc., Estados Unidos): recibe el identificador del dispositivo y el texto del aviso para entregárselo a Apple o a Google. Es la única pieza de la operación diaria fuera del EEE, y va con las garantías del capítulo V del RGPD (cláusulas contractuales tipo).

Apple y Google intervienen si eliges entrar con su cuenta —para comprobar que el acceso es válido— y como tiendas que distribuyen las aplicaciones móviles. Tratan esos datos según sus propias condiciones. Si prefieres evitarlo, entra con correo y contraseña.

Dentro de una organización, quien tiene un papel que lo permite ve los datos de esa organización. Es el funcionamiento normal de una herramienta compartida, y conviene tenerlo presente. Cada organización puede además configurar su propio buzón de salida; en ese caso sus credenciales se guardan cifradas y el correo sale desde su dirección, no desde la nuestra. No hay nadie más.

Cuánto tiempo

Mientras la cuenta exista. Al darla de baja se marca como borrada y deja de poder usarse, pero la fila permanece hasta el borrado definitivo.

Vamos a ser exactos, porque es donde estos documentos suelen inventarse plazos: hoy no hay un proceso automático de borrado definitivo. Se hace a petición. Si quieres que tus datos desaparezcan del todo, escríbenos desde el correo de tu cuenta y se hace; tu copia en las copias de seguridad desaparece con su rotación, a los 35 días. Lo que una organización guarda de ti lo conserva ella el tiempo que decida; pídeselo a ella, o pídenoslo y se lo trasladamos.

Tus derechos

Puedes ejercer los derechos que te da el Reglamento General de Protección de Datos:

• Acceso: saber qué datos tuyos tenemos.
• Rectificación: corregir los que estén mal.
• Supresión: pedir que se borren.
• Portabilidad: recibirlos en un formato que pueda leer una máquina.
• Oposición: oponerte a un tratamiento que hagamos por interés legítimo.
• Limitación: pedir que los conservemos pero dejemos de usarlos mientras se resuelve algo.
• Retirar tu consentimiento, sin que afecte a lo hecho antes.

Para ejercer cualquiera de estos derechos, escribe a privacidad@profblu.com.

Contestamos en el plazo que marca la ley, un mes como máximo. Y en cualquier caso puedes reclamar ante la autoridad de control: en Italia, el Garante per la protezione dei dati personali, www.garanteprivacy.it; en España, la Agencia Española de Protección de Datos, www.aepd.es; o la autoridad del país de la Unión Europea en que vivas.

Menores

La plataforma no está dirigida a menores de catorce años y no la ofrecemos directamente a ellos. Si una organización da de alta a un menor, es ella quien garantiza que cuenta con la autorización de quien ejerce la patria potestad o la tutela. Si detectamos una cuenta de un menor sin esa autorización, la cerramos.

Seguridad

Las comunicaciones van cifradas (TLS), las contraseñas se guardan como hash, las credenciales de las aplicaciones móviles viven en el almacén seguro del teléfono, las copias de seguridad están cifradas y el acceso a los datos depende del papel de cada persona en su organización. Si detectamos una brecha que te afecte, te lo diremos, y a la autoridad de control en las 72 horas que marca la ley.

Un aviso sobre las demos

La plataforma tiene dos clases de entorno, y conviene distinguirlas. Los de demostración —los que viven bajo demo.profblu.com y demo.prosecco.group— se rehacen, se vacían y se vuelven a sembrar: no hay clientes, no se cobra por nada y el acceso lo autorizamos nosotros, uno a uno. Desde septiembre de 2026 hay además aplicaciones en producción, en sus propios dominios bajo profblu.com, con datos reales de personas reales. Lo que cada documento dice vale para las dos clases; donde una regla cambia según el entorno, lo dice.

Como consecuencia práctica: no metas en una demo datos reales de otras personas. Un entorno de demostración se rehace, se vacía y se vuelve a sembrar, y ese no es sitio para la ficha de nadie.

Cambios

Si cambiamos lo que hacemos con los datos, cambiamos este texto y movemos la fecha de revisión. Cuando el cambio sea importante, además avisamos dentro de las aplicaciones o por correo a quien tenga cuenta.