Política de privacidad

Última actualización: 2026-05-23

1. Responsable del tratamiento y ámbito territorial

Giacomo Cacciatore
Correo electrónico: info@turnix.ch
Para solicitudes formales por correo postal, contactar por correo electrónico para solicitar la dirección postal del responsable; la respuesta a las solicitudes de privacidad se proporciona en un plazo de 30 días desde el envío.

Edad mínima de uso: 18 años (servicio destinado a profesionales sanitarios mayores de edad) o, alternativamente, edad mínima del consentimiento digital establecida por el país de residencia del usuario (art. 8 RGPD: entre 13 y 16 años según el estado miembro) con autorización explícita del titular de la responsabilidad parental. Para el Reino Unido se aplica además el UK Age Appropriate Design Code 2020 (Código de los Niños) del ICO. Turnix no recoge ni trata conscientemente datos de menores sin las autorizaciones legales; cualquier tratamiento detectado en infracción será eliminado de inmediato.

Turnix se puede utilizar en las siguientes 32 jurisdicciones:

La presente política es conforme a:

Suiza se beneficia de una decisión de adecuación de la UE (15 de enero de 2024, Decisión 2024/254 de la Comisión Europea). El Reino Unido se beneficia de una decisión de adecuación de la UE (28 de junio de 2021, Decisión 2021/1772) actualmente en vigor con revisión periódica.

2. Datos recogidos

Categorías de datos sanitarios (art. 9 RGPD / art. 5 nLPD): en el estado actual Turnix NO recoge datos biométricos, datos genéticos, datos relativos a opiniones religiosas-filosóficas-políticas-sindicales, origen étnico/racial, datos sociales o penales. Los datos de turno laboral constituyen datos personales ordinarios.

Funcionalidad opcional futura — Seguimiento del ciclo menstrual: Turnix prevé introducir en una versión futura una funcionalidad opcional para el seguimiento manual del ciclo menstrual (entrando en los "datos relativos a la salud" a tenor del art. 9 ap. 1 RGPD). Esta funcionalidad NO está actualmente habilitada y será activable exclusivamente mediante opt-in explícito separado con consent UI dedicado (base jurídica: art. 9 ap. 2 letra a RGPD — consentimiento explícito; para Suiza: art. 6 ap. 7 letra a nLPD). El usuario podrá desactivar la funcionalidad en cualquier momento con eliminación completa de los datos relacionados sin necesidad de cancelar la cuenta. La presente política será actualizada con una sección dedicada "Seguimiento del ciclo menstrual" en el momento de la activación.

Sin elaboración de perfiles automatizada: Turnix NO efectúa elaboración de perfiles ni decisiones automatizadas sobre tus datos a tenor del art. 22 RGPD / UK GDPR / art. 21 nLPD. La agrupación visual cluster pHash es una comparación determinista de imágenes (huella hash perceptual de la celda PDF), NO constituye perfilado ni evaluación automática de aspectos personales del usuario. La clasificación "laboral/descanso" del cluster es siempre indicada manualmente por el usuario en las Estadísticas.

3. Finalidades y base jurídica

Base jurídica RGPD (UE + EEE) y UK GDPR:

Base jurídica nLPD/revDSG (Suiza): tratamiento necesario para la ejecución del contrato, para el interés legítimo del responsable y en base al consentimiento explícito del usuario para finalidades accesorias (art. 31 nLPD).

4. Conservación de los datos

Los datos se conservan mientras la cuenta esté activa. El usuario puede eliminar todos sus datos en cualquier momento desde Ajustes → Restablecer todos los datos. Tras la eliminación, los datos se borran de las copias de seguridad en un plazo de 30 días.

Retención específica por categoría:

5. Terceros (subencargados)

Supabase Inc. (almacenamiento de datos, autenticación) — Servidores en región: eu-west-1 (Irlanda, UE). DPA disponible en supabase.com/privacy.

RevenueCat Inc. (gestión de suscripciones) — Política de privacidad: revenuecat.com/privacy. RevenueCat recibe únicamente un identificador anónimo de la compra, no los datos de los turnos.

Google Mobile Ads / AdMob (Google LLC) — solo para usuarios freemium (tras la prueba de 14 días, sin suscripción Premium). Muestra banners publicitarios pequeños no invasivos. AdMob puede recoger el identificador publicitario del dispositivo (advertising ID Android / IDFA iOS), dirección IP, información de interacción con los anuncios. NINGÚN dato de turnos o personal se comparte. Política de privacidad: policies.google.com/privacy. Tipos de anuncios (personalizados vs no personalizados) controlables mediante el consentimiento UMP SDK en el primer arranque de la app + restablecer en Ajustes → "Restablecer consentimiento publicidad". Los usuarios Premium (CHF/EUR 19,90/año) NO reciben anuncios y Google Mobile Ads NO se activa para ellos.

Google LLC — Google Calendar API (solo usuarios Premium que activan la sincronización opcional). La app accede únicamente al ámbito "calendar.events" (CRUD sobre los eventos del calendario primario del usuario, NINGÚN acceso a la lista de calendarios ni lectura de otros eventos). Los token OAuth se almacenan exclusivamente en el dispositivo (Hive box "google_calendar_sync_v1"), nunca se envían a los servidores de Turnix. El usuario puede desconectar o revocar el acceso en cualquier momento desde Ajustes → Sincronización Google Calendar → Desconectar, o desde myaccount.google.com → Seguridad. Google recibe los eventos (fecha, hora, etiqueta de clúster) pero NINGÚN dato sensible (nombre del empleado, código de turno OCR), conforme al principio Strada B Pura.

Google LLC — Firebase Cloud Messaging (FCM). Solo modalidad team Enterprise para recibir notificaciones push cuando el jefe distribuye un PDF. El token FCM se almacena en Supabase (RLS activo, accesible solo al backend Cloud Run). Política de privacidad: firebase.google.com/support/privacy.

Sentry (Functional Software Inc.) — diagnóstico de fallos y estabilidad. Servidores en región UE: Sentry Frankfurt (ingest.de.sentry.io). Recibe solo stack-trace, versión de la app, modelo del dispositivo, sistema operativo. Flag sendDefaultPii=false configurado — NINGÚN dato personal (correo electrónico, IP, identificadores de usuario) es enviado. Retención de datos 90 días. Política de privacidad: sentry.io/privacy.

Ningún dato de turnos se vende ni se cede a terceros con fines publicitarios.

5.1 Cookies y tecnologías de seguimiento

Conformidad con la Directiva ePrivacy 2002/58/CE (transpuesta en cada estado miembro UE/EEE, p. ej. d.lgs. 196/2003 art. 122 IT, BDSG-§25 TTDSG DE, LIL art. 82 FR, LSSI-CE art. 22 ES) + UK Privacy and Electronic Communications Regulations (PECR) 2003 + nLPD art. 45c CH.

App móvil Turnix: NO utiliza cookies HTTP (las apps nativas no tienen cookies de navegador). Almacenamiento local utilizado exclusivamente para:

Publicidad AdMob (usuarios freemium): UMP SDK Google gestiona el consentimiento explícito en virtud del art. 6 ap. 1 letra a RGPD / UK GDPR + Directiva ePrivacy 2002/58/CE para usuarios UE/EEE/UK/CH. Posibilidad de revocación del consentimiento: Ajustes → "Restablecer consentimiento publicidad" (reabre el diálogo de consentimiento UMP SDK).

Sitio web turnix.ch: utiliza exclusivamente cookies técnicas esenciales (sin analytics, sin tracking, sin elaboración de perfiles, sin cookies de terceros). No se requiere consentimiento de cookies en virtud del art. 22 LSSI-CE + directrices EDPB cookie 03/2022.

5.2 Delegado de Protección de Datos (DPD)

Turnix no está obligado a nombrar un Delegado de Protección de Datos (DPD/DPO) en virtud del art. 37 ap. 1 RGPD / UK GDPR / art. 10 nLPD: el responsable no es autoridad pública, no efectúa tratamientos a gran escala de datos sensibles (art. 9-10 RGPD), no efectúa observación sistemática de interesados a gran escala. La Evaluación de Impacto relativa a la Protección de Datos (EIPD — art. 35 RGPD) no resulta obligatoria para el tratamiento realizado por Turnix en base a los criterios WP248 EDPB.

Para cualquier solicitud en materia de protección de datos personales, ejercicio de los derechos del interesado (véase §7) o reclamación, contactar directamente con el responsable del tratamiento en la dirección info@turnix.ch. Respuesta en un plazo de 30 días desde la solicitud (art. 12 ap. 3 RGPD).

6. Transferencia internacional de datos

Los datos personales pueden ser transferidos fuera de la UE/EEE, del Reino Unido y de Suiza en los casos descritos a continuación. Cada transferencia se basa en garantías adecuadas en virtud de los arts. 44-49 RGPD / UK GDPR y de los arts. 16-18 nLPD.

Transferencia de datos por proveedor:

Para los clientes del Reino Unido se aplica además el Data Protection Act 2018 (DPA 2018) como integración al UK GDPR. Para Suiza, la nLPD garantiza un nivel de protección equivalente al RGPD.

7. Derechos del interesado y derecho de desistimiento

En virtud del RGPD (arts. 15-22), del UK GDPR (arts. 15-22) y de la nLPD (arts. 25-27) tienes derecho a:

Derecho de desistimiento 14 días

Para ejercer estos derechos escribe a: info@turnix.ch

8. Autoridades de control

Tienes derecho a presentar una reclamación ante la autoridad de control de tu país de residencia o sede habitual. A continuación, la lista de las 32 autoridades competentes en las jurisdicciones en las que Turnix se puede utilizar.

European Data Protection Board (EDPB) — lista oficial actualizada de todas las autoridades UE+EEE: edpb.europa.eu/about-edpb/about-edpb/members_en

Unión Europea (27 estados)

Espacio Económico Europeo (EEE, 3 estados extra-UE)

Suiza

Reino Unido (UK post-Brexit)

9. Seguridad

Los datos están protegidos mediante Row Level Security (RLS) en Supabase: cada usuario accede exclusivamente a sus propios datos. La comunicación se realiza mediante HTTPS/TLS.

Notificación de violaciones de datos personales (data breach): en caso de violación de seguridad de los datos personales que comporte un riesgo para los derechos y libertades del usuario, Turnix notificará a la autoridad de control competente del país de residencia del usuario en un plazo de 72 horas desde el descubrimiento de la violación, a tenor del art. 33 RGPD / UK GDPR y del art. 24 nLPD. Cuando la violación sea susceptible de presentar un riesgo elevado para los derechos y libertades de los usuarios afectados (art. 34 RGPD), Turnix comunicará la violación directamente a los usuarios sin demora injustificada, con lenguaje claro y sencillo, indicando: naturaleza de la violación, datos y categorías afectadas, consecuencias probables, medidas adoptadas o propuestas para atenuar los efectos, punto de contacto info@turnix.ch.

10. Modificaciones

Cualquier modificación sustancial será notificada a través de la app. El uso continuado de la app tras la notificación constituye aceptación.