# Política de privacidad

Qué guardamos, por qué, quién más lo ve y cómo borrarlo. Sin rodeos y con la base jurídica de cada dato.

Última revisión: 2026-11-09

## Quién trata tus datos

El responsable del tratamiento es Murabi OÜ, código registral 17470796, con domicilio en Harju maakond, Tallinn, Kesklinna linnaosa, Tornimäe tn 5, 10145, Estonia. Contacto: contract@murabi.io.

La sociedad está establecida en Estonia, dentro de la Unión Europea, así que no necesita representante en la UE. La autoridad de control principal es la Inspección Estonia de Protección de Datos; si resides en España, también puedes reclamar ante la AEPD.

## En breve

Lo esencial, en seis líneas:

- Guardamos tu correo y tu cuenta de Firebase para que puedas entrar.
- Guardamos tus preferencias y tus planes para repetir y ajustar la semana.
- Los alérgenos son dato de salud: solo los tratamos si los marcas y puedes retirarlos.
- Enviamos la foto de una receta y los nombres de ingredientes a Google Gemini para leerlos y emparejarlos; no enviamos tu cuenta, tus planes ni tus alérgenos.
- Lemon Squeezy cobra las suscripciones como vendedor registrado; Cuadra no ve tu tarjeta.
- Puedes descargar tus datos y borrar la cuenta desde Ajustes; el borrado elimina la cuenta y su contenido.

## Qué datos tratamos

| Dato | Para qué | Base jurídica | Conservación |
| --- | --- | --- | --- |
| Correo y cuenta de Firebase | identificarte y darte acceso | contrato (art. 6.1.b) | mientras exista la cuenta; se borra con ella |
| Preferencias: hogar, dieta, exclusiones, tiempo, tienda | acotar el menú | contrato (art. 6.1.b) | mientras exista la cuenta |
| Alérgenos y su severidad | no planificar recetas ni productos con ellos | consentimiento (art. 6.1.a y 9.2.a) | mientras exista la cuenta; se retira desmarcando |
| Planes, comidas, presupuesto y precios | generar y revisar la semana | contrato (art. 6.1.b) | mientras exista la cuenta o el plan |
| Cesta, sustituciones y eventos de compra | calcular la compra y conciliar la tienda | contrato (art. 6.1.b) | mientras exista la cuenta o el plan |
| Recetas propias | guardar tus borradores privados | contrato (art. 6.1.b) | mientras exista la cuenta; se borran con ella |
| Enlace compartido: token y contraseña cifrada | que otra persona vea el plan | consentimiento (art. 6.1.a) | hasta que caduque (máximo 365 días) o lo revoques |
| Facturación: identificadores y estado | cobrar y gestionar la suscripción | contrato y obligación legal | mientras exista la cuenta; las facturas las conserva Lemon Squeezy |
| Tokens de agentes MCP y contadores | permitir el acceso que autorizas | contrato (art. 6.1.b) | acceso 900 s; refresco 30 días; contadores hasta borrar la cuenta |
| Informes de problemas: mensaje, página y contexto del navegador | diagnosticar fallos y responder | interés legítimo (art. 6.1.f) | mientras exista la cuenta; se borran con ella |
| Registros técnicos, sin dirección IP | seguridad y diagnóstico | interés legítimo (art. 6.1.f) | según la política del proveedor de cloud |

Los datos de cuenta son necesarios para el contrato: sin ellos no podemos darte el servicio. Los alérgenos son opcionales; si no los facilitas, el plan no filtra por ellos.

El interés legítimo del emparejamiento de ingredientes es mejorar el catálogo sin crear perfiles: solo viajan cadenas de ingredientes, nunca tu cuenta ni tu plan.

## Alérgenos y datos de salud

Para evitar alérgenos necesitamos saber cuáles debes evitar. Es un dato de salud, así que solo lo tratamos si nos das tu consentimiento expreso, puedes retirarlo cuando quieras en Ajustes, y afecta solo a esa función.

No pedimos alérgenos para crear la cuenta ni los usamos para publicidad, perfilado o para compartirlos con terceros. No los enviamos al modelo de IA. Si los retiras, dejamos de filtrar por ellos y el plan vuelve a incluir esos ingredientes.

Cuadra no garantiza que un producto o una receta esté libre de trazas: comprueba siempre el etiquetado. La información de alérgenos depende del catálogo de la tienda y de Open Food Facts, y puede estar incompleta.

El consentimiento se presta al marcar los alérgenos en la bienvenida o en Ajustes. Hoy no guardamos un registro separado con fecha; si necesitas acreditar tu consentimiento o retirarlo por correo, escribe a contract@murabi.io.

## Uso de inteligencia artificial

Usamos Google Gemini para dos cosas: leer la foto de una receta que tú subes y emparejar nombres de ingredientes con nuestro catálogo. El cálculo del plan y de la cesta es aritmética determinista y no lo hace un modelo.

El plan no es una decisión automatizada del artículo 22 del RGPD: es una sugerencia que puedes editar o descartar y no produce efectos jurídicos ni te afecta de forma significativa.

[Leer la transparencia sobre IA](/legal/transparencia-ia)

## Quién más los ve

Los proveedores que tratan datos por nuestra cuenta están en la página de subencargados: Google Cloud (Firebase Authentication, Gemini, Cloud Run y registros) y el proveedor de PostgreSQL gestionado en la UE.

Lemon Squeezy no es un subencargado: actúa como vendedor registrado y es responsable independiente de los datos de la compra. Recibe tu correo y los identificadores de la suscripción; la tarjeta la recoge él.

Si autorizas a un agente mediante MCP, ese agente recibe los datos que tú autorizas y responde de su propio tratamiento.

[Ver los subencargados](/legal/subencargados)

## Transferencias internacionales

Los datos de cuenta, preferencias, planes y cesta se alojan en la Unión Europea. Google Cloud puede tratar datos en Estados Unidos con las cláusulas contractuales tipo y una evaluación de impacto de la transferencia. Lemon Squeezy está en Estados Unidos y aplica el mismo mecanismo.

La lista de proveedores, su ubicación y el mecanismo de cada uno están en la página de subencargados.

## Cuánto tiempo

La cuenta, las preferencias, los planes, la cesta, la despensa, los favoritos, los informes de problemas y las recetas propias se conservan mientras la cuenta exista. Al borrarla se eliminan en la misma operación y la cuenta de Firebase se borra a continuación.

El enlace compartido se conserva hasta que caduque o lo revoques. Los tokens de acceso de agentes duran 900 segundos y los de refresco 30 días. Los contadores diarios de uso se borran con la cuenta.

Los registros técnicos no incluyen la dirección IP y se conservan según la política del proveedor de cloud. El limitador de peticiones guarda la IP en memoria durante 60 segundos y no la escribe en la base de datos.

Lemon Squeezy conserva las facturas y los datos de la compra según sus propias obligaciones fiscales.

## Tus derechos

Puedes ejercer estos derechos escribiendo a contract@murabi.io:

- Acceso: descarga un JSON con tu cuenta, preferencias, planes, cesta, despensa, recetas propias, favoritos e informes de problemas desde Ajustes.
- Rectificación: corrige tu correo, idioma y preferencias en Ajustes. Si el correo de la cuenta está mal, escríbenos.
- Supresión: elimina la cuenta y su contenido desde Ajustes, sin esperar a que lo hagamos nosotros.
- Limitación y oposición: escríbenos y dejamos de tratar el dato concreto mientras lo revisamos.
- Portabilidad: la exportación es un JSON que puedes llevarte a otro servicio.
- Retirada del consentimiento: desmarca los alérgenos en Ajustes; el resto del servicio sigue funcionando.

La autoridad de control principal es la Inspección Estonia de Protección de Datos (aki.ee). Si resides en España, puedes reclamar ante la Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madrid, aepd.es.

## Seguridad

Usamos TLS en todo el tráfico, autenticación de Firebase, consultas filtradas por usuario, secretos en Secret Manager y acceso restringido a la base de datos. No afirmamos certificaciones que no tenemos.

## Menores

El servicio no está dirigido a menores de 14 años. Si crees que hemos recibido datos de un menor, escribe a contract@murabi.io y borraremos la cuenta.

## Cambios en esta política

Cada versión de esta política lleva fecha y número. Publicamos la nueva versión en esta página y mantenemos el historial de cambios. No modificamos el texto de una versión ya publicada: si cambia algo, cambia la versión.

---
Fuente: https://cuadra-staging.murabi.io/legal/privacidad