Política de privacidad y cookies

Borrador generado en el Paso 10 del proyecto (analítica y cumplimiento).

Este documento explica, con el detalle que hoy tenemos, qué datos personales recoge RehabGuía, para qué los usamos, con quién los compartimos, cuánto tiempo los conservamos y cómo puedes ejercer tus derechos. Está escrito siguiendo la estructura que exigen el RGPD/GDPR (Unión Europea) y la CCPA (California, EE. UU.), pero no ha sido redactado ni revisado por un abogado — no lo uses como política de privacidad vigente hasta que esa revisión ocurra.

1. Responsable del tratamiento

RehabGuía es, a la fecha de este borrador, un proyecto en construcción sin entidad legal constituida ni dirección postal registrada. Esta sección está incompleta a propósito: no inventamos un nombre de empresa, un NIF/EIN ni una dirección. Antes de publicar esta política en el sitio real, debe completarse con la identidad legal exacta de quien opera el sitio (persona física autónoma, sociedad, etc.) y sus datos de contacto formales — es uno de los "doce elementos obligatorios" de una política RGPD (ver fuentes al final).

2. Qué datos personales recogemos

Según lo que el código del sitio hace realmente hoy:

• Datos que nos das directamente: si usas el formulario de descarga de guías (NewsletterForm.astro), recogemos tu correo electrónico, el idioma del formulario, qué guía pediste y la marca y fecha de tu consentimiento explícito (checkbox obligatorio). Estos datos se envían a nuestro proveedor de email marketing (Brevo, ver sección 5).
• Datos que recogemos automáticamente (solo si aceptas cookies de analítica): páginas vistas, el idioma del sitio, qué guía estás viendo, si descargaste un PDF, y una aproximación de tu ubicación/dispositivo a través de Google Analytics 4 (GA4), con la IP anonimizada (parámetro anonymize_ip activado). GA4 no se carga en absoluto si rechazas o no respondes el banner de cookies — ver sección 8.
• Lo que explícitamente NO recogemos: el formulario no pregunta por tu diagnóstico, tu condición médica real, ni ningún dato de salud en el sentido del artículo 9 del RGPD (categoría especial de datos). El checklist en PDF es contenido genérico, no un cuestionario de salud — ver docs/email/paso-8-email-lead-magnet.md, sección 7.

3. Para qué los usamos y con qué base legal

4. Con quién compartimos tus datos

No vendemos tus datos. Los únicos terceros que los procesan en nuestro nombre son:

• Brevo (proveedor de email marketing; antes "Sendinblue") — procesa tu correo electrónico para enviar la guía y la secuencia de bienvenida. Política de privacidad de Brevo: brevo.com/legal/privacypolicy.
• Google Analytics 4 (Google LLC / Google Ireland Limited) — procesa datos de uso del sitio, solo si aceptaste el banner de cookies. Política de privacidad de Google: policies.google.com/privacy.
• Cloudflare Pages — alojamiento del sitio y de la función que procesa el formulario (functions/api/subscribe.js). Política de privacidad de Cloudflare: cloudflare.com/privacypolicy.

5. Transferencias internacionales de datos

Google y Cloudflare procesan datos en servidores fuera de la Unión Europea (EE. UU., entre otros países). No tenemos confirmado todavía cuál es el mecanismo de transferencia vigente que cada proveedor aplica a esta cuenta en concreto (p. ej. cláusulas contractuales tipo, certificación bajo el EU-US Data Privacy Framework). Esto debe verificarse contra la documentación legal actualizada de cada proveedor antes de publicar esta política — no se asume ni se inventa aquí.

6. Cuánto tiempo conservamos tus datos

Este borrador no fija un número exacto de días, meses o años porque el proyecto todavía no ha definido una política de retención con Brevo ni ha confirmado el límite por defecto de esa plataforma, y no se ha recibido asesoría legal sobre un plazo apropiado. Lo que sí podemos decir con la información disponible:

• Conservamos tu correo mientras estés suscrito y no te hayas dado de baja.
• Si te das de baja (enlace en cada correo), dejamos de enviarte comunicaciones; cuánto tiempo exacto permanece el registro histórico en Brevo tras la baja es algo que debe confirmarse con la configuración real de esa cuenta, no se afirma aquí un plazo específico.
• Los datos de analítica (GA4) usan, por defecto, una retención de datos de usuario/eventos configurable en Google Analytics (Admin → Conservación de datos); el proyecto no ha fijado todavía ese valor en una cuenta real de GA4 — ver docs/analytics/paso-10-analitica-cumplimiento.md.

7. Tus derechos

Si estás en la Unión Europea (RGPD), tienes derecho a:

• Acceder a tus datos personales (art. 15), rectificarlos (art. 16) y solicitar su supresión (art. 17).
• Oponerte al tratamiento (art. 21) y solicitar la limitación del tratamiento (art. 18).
• Solicitar la portabilidad de tus datos (art. 20).
• Retirar tu consentimiento en cualquier momento, sin que afecte a la licitud del tratamiento previo.
• Presentar una reclamación ante la autoridad de control de tu país (en España, la AEPD).

El artículo 12.3 del RGPD establece que debemos responder a tu solicitud en el plazo de un mes natural desde que la recibimos, ampliable hasta dos meses adicionales en casos complejos (fuente: texto del RGPD, art. 12.3 — ver sección de fuentes).

Si eres residente de California (CCPA/CPRA), tienes además derecho a saber qué información recogemos sobre ti, a solicitar su eliminación, a corregirla, a optar por no permitir su "venta o compartición" (hoy no vendemos ni compartimos datos con fines publicitarios, pero este derecho aplica igual), a limitar el uso de información personal sensible, y a no recibir trato discriminatorio por ejercer estos derechos (fuente: resúmenes de la CCPA citados al final — no hemos confirmado un plazo de respuesta específico bajo CCPA para este proyecto, no se inventa aquí).

8. Cómo ejercer tus derechos

Escríbenos a privacidad@rehabguia.com (dirección de correo placeholder: el dominio rehabguia.com todavía no se ha comprado — ver Paso 11 del proyecto — así que esta dirección no existe todavía de verdad. Debe confirmarse/activarse antes de publicar esta política). Para darte de baja del correo educativo, usa el enlace de "unsubscribe" que incluye cada envío de Brevo.

9. Cookies y almacenamiento local

El sitio usa un banner de cookies propio (sin librerías de terceros) que bloquea Google Analytics hasta que decides. Esto es lo que se guarda:

Ninguna de las dos cookies de Google se crea si rechazas el banner o si todavía no has respondido — el script de Google (gtag.js) literalmente no se inserta en la página hasta que aceptas (ver src/components/CookieConsent.astro). Puedes cambiar tu decisión en cualquier momento desde "Preferencias de cookies" en el pie de página.

10. Relación con el aviso médico

Esta política cubre datos personales, no contenido clínico. El contenido educativo del sitio (ejercicios, síntomas, etc.) está sujeto a su propio aviso: ver Aviso médico.

11. Cambios a este borrador

Este documento cambiará conforme el proyecto avance (dominio real, cuenta de GA4 real, revisión legal, Paso 9 de monetización). Mientras siga marcado como BORRADOR LEGAL, cualquier cambio de contenido se controla en el historial de versiones del repositorio del proyecto, no en esta página.

Fuentes de esta estructura

• Checklist de los 12 elementos obligatorios de una política RGPD — Termly, "Privacy Policy Requirements Checklist for Websites & Apps" (termly.io/resources/checklists/privacy-policy-requirements/).
• Texto del RGPD, artículos 12 (plazo de respuesta de un mes, art. 12.3), 13, 15-21 — fuente primaria (eur-lex.europa.eu, Reglamento (UE) 2016/679).
• Resumen de derechos y divulgaciones exigidas por la CCPA/CPRA — fuentes agregadas vía búsqueda (secureprivacy.ai/blog/ccpa-privacy-policy-checklist, cookieyes.com/blog/ccpa-requirements).
• Nombres y duración por defecto de las cookies de GA4 (_ga, _ga_<container-id>, 2 años) — Google Analytics Help, "[GA4] Cookie usage on websites" (support.google.com/analytics/answer/11397207).

[BORRADOR LEGAL — pendiente de revisión por abogado, no es asesoría legal real]