Política de privacidad
Última actualización: 2026-05-23
1. Responsable del tratamiento y ámbito territorial
Giacomo Cacciatore
Correo electrónico: info@turnix.ch
Para solicitudes formales por correo postal, contactar por correo electrónico
para solicitar la dirección postal del responsable; la respuesta a las solicitudes
de privacidad se proporciona en un plazo de 30 días desde el envío.
Edad mínima de uso: 18 años (servicio destinado a profesionales sanitarios mayores de edad) o, alternativamente, edad mínima del consentimiento digital establecida por el país de residencia del usuario (art. 8 RGPD: entre 13 y 16 años según el estado miembro) con autorización explícita del titular de la responsabilidad parental. Para el Reino Unido se aplica además el UK Age Appropriate Design Code 2020 (Código de los Niños) del ICO. Turnix no recoge ni trata conscientemente datos de menores sin las autorizaciones legales; cualquier tratamiento detectado en infracción será eliminado de inmediato.
Turnix se puede utilizar en las siguientes 32 jurisdicciones:
- Unión Europea (27 estados miembros): Alemania, Austria, Bélgica, Bulgaria, Chequia, Chipre, Croacia, Dinamarca, Eslovaquia, Eslovenia, España, Estonia, Finlandia, Francia, Grecia, Hungría, Irlanda, Italia, Letonia, Lituania, Luxemburgo, Malta, Países Bajos, Polonia, Portugal, Rumanía, Suecia.
- Espacio Económico Europeo (EEE, 3 estados extra-UE): Noruega, Islandia, Liechtenstein.
- Suiza (CH).
- Reino Unido (UK) post-Brexit.
La presente política es conforme a:
- Reglamento (UE) 2016/679 (RGPD) — aplicable en la UE 27 + EEE.
- UK General Data Protection Regulation (UK GDPR) y Data Protection Act 2018 — aplicable en el Reino Unido post-Brexit.
- Ley Federal sobre la Protección de Datos (nLPD/revDSG) en vigor desde el 1 de septiembre de 2023 y Ordenanza OLPD — aplicable en Suiza.
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) — aplicable en España como integración del RGPD.
Suiza se beneficia de una decisión de adecuación de la UE (15 de enero de 2024, Decisión 2024/254 de la Comisión Europea). El Reino Unido se beneficia de una decisión de adecuación de la UE (28 de junio de 2021, Decisión 2021/1772) actualmente en vigor con revisión periódica.
2. Datos recogidos
- Dirección de correo electrónico (registro y autenticación mediante correo y contraseña o mediante Google Sign-In OAuth)
- Contraseña de la cuenta (almacenada de forma cifrada en Supabase Auth, nunca en texto claro; NO aplicable si el usuario accede exclusivamente mediante Google Sign-In)
- Nombre identificativo elegido en la app
- Datos de turnos laborales: fecha, imagen recortada de la celda PDF (sticker visual) y huella visual pHash (hash perceptual de la celda) para reconocer turnos iguales o modificados. La app NO interpreta automáticamente el significado de la celda (código de turno, color, horarios): muestra solo la imagen real del PDF.
- Los horarios extraídos (cuando están disponibles en la leyenda del PDF) sirven solo para la planificación local de alarmas/recordatorios.
- Clústeres de celdas similares (agrupación pHash) y clasificación de usuario "laboral/descanso" indicada manualmente en las Estadísticas.
- Tokens OAuth Google: (a) si el usuario inicia sesión mediante Google Sign-In (alternativa opcional al inicio de sesión con correo y contraseña), o (b) si el usuario Premium conecta la sincronización Google Calendar. Los tokens se almacenan exclusivamente en el dispositivo (caja Hive) y nunca se envían a los servidores Turnix.
- Token push (Firebase Cloud Messaging) para recibir notificaciones de distribución de turnos del equipo.
- Archivos PDF temporales durante el procesamiento (no conservados en el servidor consumer, archivados en el team_archive solo para subidas de distribución de equipo en modalidad Enterprise).
- Datos de diagnóstico anónimos: stack-trace de fallos, versión de la app, modelo del dispositivo, sistema operativo (enviados a Sentry para reparar bugs — ningún dato personal).
Categorías de datos sanitarios (art. 9 RGPD / art. 5 nLPD): en el estado actual Turnix NO recoge datos biométricos, datos genéticos, datos relativos a opiniones religiosas-filosóficas-políticas-sindicales, origen étnico/racial, datos sociales o penales. Los datos de turno laboral constituyen datos personales ordinarios.
Funcionalidad opcional futura — Seguimiento del ciclo menstrual: Turnix prevé introducir en una versión futura una funcionalidad opcional para el seguimiento manual del ciclo menstrual (entrando en los "datos relativos a la salud" a tenor del art. 9 ap. 1 RGPD). Esta funcionalidad NO está actualmente habilitada y será activable exclusivamente mediante opt-in explícito separado con consent UI dedicado (base jurídica: art. 9 ap. 2 letra a RGPD — consentimiento explícito; para Suiza: art. 6 ap. 7 letra a nLPD). El usuario podrá desactivar la funcionalidad en cualquier momento con eliminación completa de los datos relacionados sin necesidad de cancelar la cuenta. La presente política será actualizada con una sección dedicada "Seguimiento del ciclo menstrual" en el momento de la activación.
Sin elaboración de perfiles automatizada: Turnix NO efectúa elaboración de perfiles ni decisiones automatizadas sobre tus datos a tenor del art. 22 RGPD / UK GDPR / art. 21 nLPD. La agrupación visual cluster pHash es una comparación determinista de imágenes (huella hash perceptual de la celda PDF), NO constituye perfilado ni evaluación automática de aspectos personales del usuario. La clasificación "laboral/descanso" del cluster es siempre indicada manualmente por el usuario en las Estadísticas.
3. Finalidades y base jurídica
Base jurídica RGPD (UE + EEE) y UK GDPR:
- Prestación del servicio (art. 6 ap. 1 letra b RGPD / UK GDPR — ejecución del contrato)
- Persistencia de clústeres pHash visuales para reconocer turnos iguales y modificados entre meses distintos (interés legítimo, art. 6 ap. 1 letra f RGPD / UK GDPR)
- Gestión de la suscripción a través de RevenueCat (ejecución del contrato)
- Autenticación opcional mediante Google Sign-In (consentimiento explícito, art. 6 párr. 1 let. a RGPD / UK GDPR) — alternativa al inicio de sesión con correo y contraseña. El usuario puede elegir libremente qué método de autenticación utilizar. Tokens OAuth Google almacenados exclusivamente en el dispositivo, nunca enviados a los servidores Turnix.
- Sincronización opcional con Google Calendar (consentimiento explícito, art. 6 ap. 1 letra a RGPD / UK GDPR) — activada solo si el usuario Premium conecta su cuenta de Google. Consentimiento revocable en cualquier momento.
- Diagnóstico de fallos y estabilidad de la app mediante Sentry (interés legítimo, datos anónimos)
- Envío de notificaciones push para la distribución de turnos del equipo mediante Firebase Cloud Messaging (ejecución del contrato, solo modalidad Enterprise equipo)
- Publicidad Google AdMob para usuarios freemium (consentimiento explícito mediante UMP SDK para usuarios UE/EEE/UK/CH, art. 6 ap. 1 letra a RGPD / UK GDPR + Directiva ePrivacy 2002/58/CE transpuesta por cada estado miembro)
Base jurídica nLPD/revDSG (Suiza): tratamiento necesario para la ejecución del contrato, para el interés legítimo del responsable y en base al consentimiento explícito del usuario para finalidades accesorias (art. 31 nLPD).
4. Conservación de los datos
Los datos se conservan mientras la cuenta esté activa. El usuario puede eliminar todos sus datos en cualquier momento desde Ajustes → Restablecer todos los datos. Tras la eliminación, los datos se borran de las copias de seguridad en un plazo de 30 días.
Retención específica por categoría:
- Dirección de correo electrónico cuenta: conservada mientras la cuenta esté activa. Eliminación en un plazo de 30 días desde la solicitud del usuario (Ajustes → Restablecer todos los datos) + supresión completa de las copias de seguridad en los 90 días siguientes (principio de minimización + derecho de supresión art. 17 RGPD / UK GDPR / art. 32 nLPD).
- Imágenes recortadas de la celda (stickers visuales): eliminadas automáticamente después de 365 días (principio de minimización de datos nLPD).
- Token OAuth de Google Calendar: eliminados inmediatamente cuando el usuario desconecta la cuenta desde Ajustes → Sincronización Google Calendar → Desconectar. El usuario también puede revocar el acceso directamente desde myaccount.google.com → Seguridad → Apps con acceso a tu cuenta.
- Token Firebase Cloud Messaging: eliminados al cerrar sesión o restablecer datos.
- PDF distribuidos por el jefe (modalidad team Enterprise): retención rolling FIFO máx. 6 meses.
- Datos diagnósticos Sentry: retención 90 días servidor Sentry UE Frankfurt.
5. Terceros (subencargados)
Supabase Inc. (almacenamiento de datos, autenticación) — Servidores en región: eu-west-1 (Irlanda, UE). DPA disponible en supabase.com/privacy.
RevenueCat Inc. (gestión de suscripciones) — Política de privacidad: revenuecat.com/privacy. RevenueCat recibe únicamente un identificador anónimo de la compra, no los datos de los turnos.
Google Mobile Ads / AdMob (Google LLC) — solo para usuarios freemium (tras la prueba de 14 días, sin suscripción Premium). Muestra banners publicitarios pequeños no invasivos. AdMob puede recoger el identificador publicitario del dispositivo (advertising ID Android / IDFA iOS), dirección IP, información de interacción con los anuncios. NINGÚN dato de turnos o personal se comparte. Política de privacidad: policies.google.com/privacy. Tipos de anuncios (personalizados vs no personalizados) controlables mediante el consentimiento UMP SDK en el primer arranque de la app + restablecer en Ajustes → "Restablecer consentimiento publicidad". Los usuarios Premium (CHF/EUR 19,90/año) NO reciben anuncios y Google Mobile Ads NO se activa para ellos.
Google LLC — Google Calendar API (solo usuarios Premium que activan la sincronización opcional). La app accede únicamente al ámbito "calendar.events" (CRUD sobre los eventos del calendario primario del usuario, NINGÚN acceso a la lista de calendarios ni lectura de otros eventos). Los token OAuth se almacenan exclusivamente en el dispositivo (Hive box "google_calendar_sync_v1"), nunca se envían a los servidores de Turnix. El usuario puede desconectar o revocar el acceso en cualquier momento desde Ajustes → Sincronización Google Calendar → Desconectar, o desde myaccount.google.com → Seguridad. Google recibe los eventos (fecha, hora, etiqueta de clúster) pero NINGÚN dato sensible (nombre del empleado, código de turno OCR), conforme al principio Strada B Pura.
Google LLC — Firebase Cloud Messaging (FCM). Solo modalidad team Enterprise para recibir notificaciones push cuando el jefe distribuye un PDF. El token FCM se almacena en Supabase (RLS activo, accesible solo al backend Cloud Run). Política de privacidad: firebase.google.com/support/privacy.
Sentry (Functional Software Inc.) — diagnóstico de fallos y estabilidad.
Servidores en región UE: Sentry Frankfurt (ingest.de.sentry.io). Recibe solo stack-trace,
versión de la app, modelo del dispositivo, sistema operativo. Flag sendDefaultPii=false
configurado — NINGÚN dato personal (correo electrónico, IP, identificadores de usuario) es enviado.
Retención de datos 90 días. Política de privacidad:
sentry.io/privacy.
Ningún dato de turnos se vende ni se cede a terceros con fines publicitarios.
5.1 Cookies y tecnologías de seguimiento
Conformidad con la Directiva ePrivacy 2002/58/CE (transpuesta en cada estado miembro UE/EEE, p. ej. d.lgs. 196/2003 art. 122 IT, BDSG-§25 TTDSG DE, LIL art. 82 FR, LSSI-CE art. 22 ES) + UK Privacy and Electronic Communications Regulations (PECR) 2003 + nLPD art. 45c CH.
App móvil Turnix: NO utiliza cookies HTTP (las apps nativas no tienen cookies de navegador). Almacenamiento local utilizado exclusivamente para:
- Hive boxes locales (preferencias del usuario, idioma del locale, caché del cluster pHash, token OAuth Google si Premium está activado): NO son cookies y NO son accesibles a terceros.
- SharedPreferences Android / NSUserDefaults iOS: estado del consentimiento UMP SDK publicidad, flag de onboarding completado. Tecnologías esenciales al funcionamiento (no se requiere consentimiento ePrivacy).
Publicidad AdMob (usuarios freemium): UMP SDK Google gestiona el consentimiento explícito en virtud del art. 6 ap. 1 letra a RGPD / UK GDPR + Directiva ePrivacy 2002/58/CE para usuarios UE/EEE/UK/CH. Posibilidad de revocación del consentimiento: Ajustes → "Restablecer consentimiento publicidad" (reabre el diálogo de consentimiento UMP SDK).
Sitio web turnix.ch: utiliza exclusivamente cookies técnicas esenciales (sin analytics, sin tracking, sin elaboración de perfiles, sin cookies de terceros). No se requiere consentimiento de cookies en virtud del art. 22 LSSI-CE + directrices EDPB cookie 03/2022.
5.2 Delegado de Protección de Datos (DPD)
Turnix no está obligado a nombrar un Delegado de Protección de Datos (DPD/DPO) en virtud del art. 37 ap. 1 RGPD / UK GDPR / art. 10 nLPD: el responsable no es autoridad pública, no efectúa tratamientos a gran escala de datos sensibles (art. 9-10 RGPD), no efectúa observación sistemática de interesados a gran escala. La Evaluación de Impacto relativa a la Protección de Datos (EIPD — art. 35 RGPD) no resulta obligatoria para el tratamiento realizado por Turnix en base a los criterios WP248 EDPB.
Para cualquier solicitud en materia de protección de datos personales, ejercicio de los derechos del interesado (véase §7) o reclamación, contactar directamente con el responsable del tratamiento en la dirección info@turnix.ch. Respuesta en un plazo de 30 días desde la solicitud (art. 12 ap. 3 RGPD).
6. Transferencia internacional de datos
Los datos personales pueden ser transferidos fuera de la UE/EEE, del Reino Unido y de Suiza en los casos descritos a continuación. Cada transferencia se basa en garantías adecuadas en virtud de los arts. 44-49 RGPD / UK GDPR y de los arts. 16-18 nLPD.
Transferencia de datos por proveedor:
- Supabase Inc. (US) — servidores eu-west-1 (Irlanda, UE) seleccionados explícitamente. Transferencia US eventual (backup) sobre la base de las Cláusulas Contractuales Tipo (SCC) Decisión UE 2021/914 + decisión de adecuación UE-US Data Privacy Framework (DPF, julio 2023). Para UK: International Data Transfer Agreement (IDTA) UK ICO. Para CH: SCC válidas mediante decisión de adecuación CH-UE.
- Google LLC (AdMob, Calendar, FCM) — transferencia a Estados Unidos sobre:
- UE/EEE: decisión de adecuación UE-US Data Privacy Framework (Google LLC certificada DPF) + SCC como fallback.
- UK: UK Extension to EU-US DPF + International Data Transfer Agreement (IDTA).
- CH: Swiss-US DPF (paralelo a EU-US DPF) + SCC como fallback.
- RevenueCat Inc. (US) — transferencia a Estados Unidos sobre la base de las Cláusulas Contractuales Tipo (SCC) UE 2021/914. Para UK: IDTA. Para CH: SCC adecuadas.
- Sentry — Functional Software Inc. (US/UE) — servidores UE Frankfurt (ingest.de.sentry.io) seleccionados explícitamente. NINGUNA transferencia US para los datos diagnósticos de Turnix. Conformidad RGPD / UK GDPR / nLPD garantizada por la localización de servidores en la UE.
Para los clientes del Reino Unido se aplica además el Data Protection Act 2018 (DPA 2018) como integración al UK GDPR. Para Suiza, la nLPD garantiza un nivel de protección equivalente al RGPD.
7. Derechos del interesado y derecho de desistimiento
En virtud del RGPD (arts. 15-22), del UK GDPR (arts. 15-22) y de la nLPD (arts. 25-27) tienes derecho a:
- Acceso a tus datos personales (art. 15)
- Rectificación de los datos inexactos (art. 16)
- Supresión "derecho al olvido" (art. 17) — disponible directamente en la app: Ajustes → Restablecer todos los datos
- Portabilidad de los datos en formato estructurado (art. 20)
- Oposición al tratamiento (art. 21)
- Limitación del tratamiento (art. 18)
- No ser sometido a decisiones automatizadas (art. 22) — Turnix NO realiza decisiones automatizadas sobre tus datos
- Revocación del consentimiento de publicidad: Ajustes → "Restablecer consentimiento publicidad"
- Revocación del consentimiento de Google Calendar: Ajustes → Sincronización Google Calendar → Desconectar (o myaccount.google.com → Seguridad)
Derecho de desistimiento 14 días
- UE 27 + EEE: Directiva 2011/83/UE sobre los derechos de los consumidores (transpuesta en España por el Real Decreto Legislativo 1/2007 — Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios). Tienes 14 días desde la compra de la suscripción Premium para desistir sin justificación. El desistimiento se ejerce comunicando la decisión (correo electrónico info@turnix.ch) o a través de la cuenta de la tienda (App Store / Google Play). El reembolso lo emite la tienda en un plazo de 14 días desde la comunicación.
- UK: Ley de Derechos del Consumidor 2015 (Consumer Rights Act 2015) + Reglamento de Contratos de Consumo 2013 (Consumer Contracts Regulations 2013) — 14 días de derecho de desistimiento para servicios digitales, excluido el uso completo previo al desistimiento (digital content unbundling rule).
- CH: la legislación suiza no prevé un derecho de desistimiento legal obligatorio para servicios digitales a distancia, pero Turnix garantiza voluntariamente el mismo plazo de 14 días por coherencia transterritorial.
Para ejercer estos derechos escribe a: info@turnix.ch
8. Autoridades de control
Tienes derecho a presentar una reclamación ante la autoridad de control de tu país de residencia o sede habitual. A continuación, la lista de las 32 autoridades competentes en las jurisdicciones en las que Turnix se puede utilizar.
European Data Protection Board (EDPB) — lista oficial actualizada de todas las autoridades UE+EEE: edpb.europa.eu/about-edpb/about-edpb/members_en
Unión Europea (27 estados)
- España: AEPD (Agencia Española de Protección de Datos) — aepd.es
- Italia: Garante per la protezione dei dati personali — garanteprivacy.it
- Francia: CNIL (Commission Nationale Informatique et Libertés) — cnil.fr
- Alemania: BfDI (Bundesbeauftragter für Datenschutz und Informationsfreiheit) — bfdi.bund.de
- Portugal: CNPD (Comissão Nacional de Proteção de Dados) — cnpd.pt
- Países Bajos: AP (Autoriteit Persoonsgegevens) — autoriteitpersoonsgegevens.nl
- Bélgica: APD/GBA (Autorité de Protection des Données) — autoriteprotectiondonnees.be
- Luxemburgo: CNPD (Commission Nationale pour la Protection des Données) — cnpd.lu
- Irlanda: DPC (Data Protection Commission) — dataprotection.ie
- Dinamarca: Datatilsynet — datatilsynet.dk
- Suecia: IMY (Integritetsskyddsmyndigheten) — imy.se
- Finlandia: Tietosuojavaltuutettu — tietosuoja.fi
- Austria: DSB (Datenschutzbehörde) — dsb.gv.at
- Polonia: UODO (Urząd Ochrony Danych Osobowych) — uodo.gov.pl
- Chequia: ÚOOÚ (Úřad pro ochranu osobních údajů) — uoou.cz
- Hungría: NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) — naih.hu
- Eslovaquia: ÚOOÚ (Úrad na ochranu osobných údajov) — dataprotection.gov.sk
- Eslovenia: IP (Informacijski pooblaščenec) — ip-rs.si
- Rumanía: ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) — dataprotection.ro
- Bulgaria: КЗЛД (Комисия за защита на личните данни) — cpdp.bg
- Croacia: AZOP (Agencija za zaštitu osobnih podataka) — azop.hr
- Grecia: HDPA (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) — dpa.gr
- Chipre: Επίτροπος Προστασίας Δεδομένων — dataprotection.gov.cy
- Malta: IDPC (Information and Data Protection Commissioner) — idpc.org.mt
- Estonia: AKI (Andmekaitse Inspektsioon) — aki.ee
- Letonia: DVI (Datu Valsts Inspekcija) — dvi.gov.lv
- Lituania: VDAI (Valstybinė Duomenų Apsaugos Inspekcija) — vdai.lrv.lt
Espacio Económico Europeo (EEE, 3 estados extra-UE)
- Noruega: Datatilsynet — datatilsynet.no
- Islandia: Persónuvernd — personuvernd.is
- Liechtenstein: DSS (Datenschutzstelle) — datenschutzstelle.li
Suiza
- FDPIC/EDÖB (Comisionado Federal Suizo de Protección de Datos y Transparencia) — edoeb.admin.ch
Reino Unido (UK post-Brexit)
- ICO (Information Commissioner's Office) — ico.org.uk
9. Seguridad
Los datos están protegidos mediante Row Level Security (RLS) en Supabase: cada usuario accede exclusivamente a sus propios datos. La comunicación se realiza mediante HTTPS/TLS.
Notificación de violaciones de datos personales (data breach): en caso de violación de seguridad de los datos personales que comporte un riesgo para los derechos y libertades del usuario, Turnix notificará a la autoridad de control competente del país de residencia del usuario en un plazo de 72 horas desde el descubrimiento de la violación, a tenor del art. 33 RGPD / UK GDPR y del art. 24 nLPD. Cuando la violación sea susceptible de presentar un riesgo elevado para los derechos y libertades de los usuarios afectados (art. 34 RGPD), Turnix comunicará la violación directamente a los usuarios sin demora injustificada, con lenguaje claro y sencillo, indicando: naturaleza de la violación, datos y categorías afectadas, consecuencias probables, medidas adoptadas o propuestas para atenuar los efectos, punto de contacto info@turnix.ch.
10. Modificaciones
Cualquier modificación sustancial será notificada a través de la app. El uso continuado de la app tras la notificación constituye aceptación.