Aviso de privacidad

1. Quién es responsable de tus datos

Hugh Halford-Thompson, que opera como QRVane, decide cómo se usan los datos personales que aquí se describen. Para cualquier cosa sobre tus datos, escribe a privacy@qrvane.com.

2. Qué recogemos y para qué

Tu cuenta

Tu dirección de correo, y tu nombre si lo das, con el espacio de trabajo del que eres propietario. Los necesitamos para que funcione tu cuenta, y la dirección es lo que determina de quién es un código: quien pueda leer ese buzón puede cambiar los códigos creados con él. Un espacio de trabajo tiene una sola persona, así que no guardamos invitaciones ni lista de miembros.

No hay contraseña. El correo que te enviamos para iniciar sesión lleva un enlace y un código de 4 dígitos. El enlace funciona una vez y caduca a los 15 minutos, el código a los 10; cada uno se guarda solo en una forma que no se puede volver a convertir en el enlace ni en el código.

Llaves de acceso

Si añades una llave de acceso, guardamos su clave pública, una etiqueta del dispositivo en el que se creó (por ejemplo «Chrome en Windows») y cuándo se añadió. La clave privada no sale nunca de tu dispositivo o de tu gestor de contraseñas, así que nunca tenemos nada que pueda iniciar sesión como tú.

Sesiones de inicio de sesión

Cada vez que inicias sesión guardamos un registro de sesión con la dirección IP y los datos del navegador (el «user agent») desde los que se creó. Eso te permite ver dónde tienes la sesión abierta y cerrarla en un dispositivo que no reconozcas. Un registro de sesión se borra cuando cierras la sesión; uno que termina sin cerrarla se borra 30 días después de caducar.

Borrar tu cuenta

Cuando nos pides borrar tu cuenta, se bloquea al instante y se cierra la sesión en todas partes, y te enviamos por correo un enlace que la restaura. Ese enlace lo guardamos solo como un hash de un solo sentido. Funciona hasta que la cuenta se borra, 30 días después de tu petición.

Proteger el inicio de sesión

Para que nadie inunde un buzón de enlaces de inicio de sesión ni vaya probando cuentas, contamos las peticiones. Cuando alguien pide un enlace de inicio de sesión, tenga cuenta o no, guardamos un recuento asociado a su dirección IP y a un hash de un solo sentido de la dirección de correo que escribió. Los recuentos se borran unas 48 horas después de la última petición que cuentan.

Tus códigos y tus páginas

A dónde lleva cada código, las páginas alojadas que escribes y los archivos que subes, como un logotipo o una carta. Los guardamos para dar el servicio, hasta que los borres o borres tu cuenta. Cuando los códigos de un espacio de trabajo paran, lo guardamos todo, para que un plan con sitio para ellos los recupere todos y para que puedas exportar tus datos de escaneos en cualquier momento.

Los 14 días de cada código y tu suscripción

Cuándo se creó cada código y el momento en que terminan sus primeros 14 días; y, si te suscribes, qué plan, cuándo empezó, cuándo se renueva y cuándo terminó. Los necesitamos para decidir, en cada escaneo, si un código muestra tu destino o la página de QRVane, y para enviar los avisos sobre tu suscripción que describen las condiciones.

Los escaneos de tus códigos dinámicos

Cuando alguien escanea un código dinámico registramos la hora, el lugar aproximado (país, región y ciudad, que nuestro proveedor deduce de la conexión) y el tipo de dispositivo, el sistema operativo y el navegador. No se pone ninguna cookie, y el registro del escaneo no lleva dirección IP. La dirección IP se usa un instante, junto con los datos del navegador y un valor aleatorio que se sustituye cada día, para formar un código de un solo sentido que nos permite contar escaneos únicos de ese día; la dirección IP en sí no se guarda. El valor aleatorio de cada día se borra al sustituirse, así que el código de un escaneo no puede volver a relacionarse nunca con una dirección IP. Los escaneos únicos se cuentan por día: el mismo móvil escaneando en dos días distintos cuenta una vez cada día. En un periodo se suman, así que alguien que escaneó el lunes y otra vez el viernes cuenta dos veces. Los registros de escaneos se borran a los 24 meses.

Cloudflare, que redirige cada escaneo, puede guardar sus propios registros de peticiones, que incluyen la dirección IP, según su propia política de privacidad y para sus propios fines de seguridad. Nosotros no activamos ninguna retención de registros propia para esas peticiones, y no las copiamos a ningún sitio.

La revisión de enlaces

Cuando se crea un código o se cambia su destino, comprobamos el enlace con nuestras propias reglas, dentro de QRVane: ningún servicio de revisión externo lo recibe, y no hay ninguno activado. Si algún día activamos uno, lo nombraremos aquí y en la lista de encargados de más abajo antes de hacerlo. Un enlace que no pase la comprobación puede detener el código antes de que nadie lo escanee; se avisa a su propietario del motivo y puede pedir que lo revise una persona, como explica la política de uso aceptable.

Las páginas denunciadas

Cualquiera que escanee un código puede denunciar la página que abre. Guardamos la denuncia, el código que nombra y cualquier nota o dirección de correo que dé quien denuncia, y enviamos una copia a la dirección que usamos para denuncias de abuso. Las denuncias las lee y las decide una persona; nada se detiene automáticamente por su número.

El idioma

El idioma en el que se sirve una página se deduce del país al que nuestro proveedor asocia la conexión, o del idioma que pide tu navegador, y de la cookie que escribe el selector de idioma cuando eliges uno. El país se lee solo en ese momento y no se guarda, y la cookie no lleva nada más que el código del idioma.

Los pagos

Los pagos los cobra Paddle, que vende nuestros planes como comercializador oficial y emite las facturas. Así que cuando te suscribes compras a Paddle, que recoge tus datos de pago como responsable por derecho propio, según su propio aviso de privacidad. Paddle nos dice tu nombre, tu dirección de correo, tu país y tu plan, y si cada pago salió bien, se devolvió o se anuló. Nunca vemos tu número de tarjeta. Guardamos los extractos de cada venta que emite Paddle en nuestra propia contabilidad el tiempo que exige la agencia tributaria británica: «at least 5 years after the 31 January submission deadline» del ejercicio fiscal.

Los correos

Te enviamos lo que tu cuenta necesita: el enlace de inicio de sesión y su código, una bienvenida cuando se crea tu cuenta, avisos sobre tu cuenta, y los avisos sobre una suscripción que recogen las condiciones. No enviamos ningún correo sobre los 14 días propios de un código. No enviamos novedades del producto a una dirección recogida por «Conseguir mi código», porque ese paso no ofrece forma de rechazarlas; si algún día enviamos novedades, irán solo a quienes se les ofreció esa opción, y cada uno de esos correos llevará un enlace de baja en un clic.

Las denuncias de abuso

Si denuncias un código a abuse@qrvane.com, guardamos tu denuncia y tu dirección de correo mientras la tramitamos, y después 24 meses como constancia de lo que hicimos, por si vuelve el mismo código o la misma cuenta.

Esta web

Nuestras páginas públicas no ponen cookies. Si algún día activamos Cloudflare Web Analytics para contar las visitas a esta web, tampoco pondrá cookies ni guardará nada que nombre a un visitante; lo diríamos aquí antes de hacerlo. La declaración de cookies enumera las cookies de inicio de sesión que ponemos, y la que recuerda el idioma que elegiste.

3. Por qué podemos usarlos

• Hacer funcionar tu cuenta, tu espacio de trabajo, sus códigos y páginas alojadas, los primeros 14 días de cada código y tu suscripción. Contrato: lo necesitamos para dar el servicio que contrataste.
• Sesiones, llaves de acceso, límites de peticiones y límites de envío. Interés legítimo: mantener las cuentas seguras y el servicio disponible para todo el mundo.
• Contar los escaneos de tus códigos dinámicos. Interés legítimo: mostrar al propietario de un código cómo se usa, sin guardar nada que nombre a quien escanea.
• Revisar enlaces y tramitar denuncias de abuso. Interés legítimo: proteger a quienes escanean códigos del phishing y del software malicioso; y obligación legal, cuando la ley nos obliga a actuar o a guardar constancia.
• Los correos que tu cuenta necesita, y las novedades del producto a clientes. Contrato para los correos que tu cuenta necesita; interés legítimo para las novedades del producto, que puedes rechazar al registrarte y de las que puedes darte de baja en un clic en cada correo.
• Contar las visitas a esta web, si activamos Cloudflare Web Analytics. Interés legítimo: saber qué páginas se leen, sin cookies y sin guardar nada que nombre a un visitante.
• Servir una página en tu idioma. Interés legítimo para deducir el idioma de tu país o de tu navegador; y tu propia elección, recordada en una cookie, que gana a los dos.
• Las obligaciones fiscales y contables. Obligación legal: la agencia tributaria británica exige a un autónomo conservar sus registros de negocio al menos 5 años.

4. Con quién compartimos los datos

Encargados que actúan por nosotros

Estas empresas tratan datos personales solo siguiendo nuestras instrucciones, con contratos que las limitan a eso:

• Cloudflare (Estados Unidos). Aloja la web y la aplicación, redirige cada escaneo, guarda los archivos que subes, como un logotipo o una carta en PDF, y envía nuestros correos. Sus servidores atienden las peticiones que hace tu navegador o el móvil de quien escanea, direcciones IP incluidas. Aviso de privacidad de Cloudflare.
• Neon (Estados Unidos). Hace funcionar nuestra base de datos en Londres: tu cuenta, tu espacio de trabajo, sus códigos, las sesiones y los registros de escaneos. Neon forma parte de Databricks. Aviso de privacidad de Neon.

El servicio que revise los enlaces se nombrará aquí antes de activarse. Solo recibe el enlace, nada más.

Empresas que deciden por sí mismas

Estas empresas son responsables por derecho propio: deciden qué hacen con los datos personales que tienen, según sus propios avisos de privacidad, y nosotros no podemos cambiarlo.

• Paddle (Reino Unido). Vende nuestros planes como comercializador oficial: compras a Paddle, que cobra, calcula el impuesto, emite la factura y gestiona las devoluciones, según su propio aviso de privacidad y sus condiciones de compra. Paddle tiene tus datos de tarjeta; nosotros no los vemos nunca. Nos envía: Tu nombre, tu dirección de correo, tu país, tu plan, y si cada pago salió bien, se devolvió o se anuló. Aviso de privacidad de Paddle.

Nuestra base de datos está en Londres, y la aplicación funciona en la red de Cloudflare. Cloudflare y Neon están establecidas en Estados Unidos, así que parte de tus datos puede tratarse allí. Para cada una nos apoyamos en la garantía de su acuerdo de tratamiento de datos: la extensión británica del marco de privacidad de datos UE-EE. UU. cuando la empresa está certificada en él, o si no el acuerdo internacional de transferencia de datos del Reino Unido o su anexo. Escribe a privacy@qrvane.com para pedir una copia. No vendemos datos personales, y no los compartimos con fines publicitarios.

5. Cuánto tiempo los guardamos

• Tu cuenta (dirección de correo, nombre y espacios de trabajo de los que eres propietario): Mientras tu cuenta esté abierta. Cuando la borras, se bloquea al instante y se borra para siempre 30 días después.
• Las llaves de acceso (la clave pública, una etiqueta como «Chrome en Windows» y cuándo se añadió): Hasta que quites la llave de acceso o borres tu cuenta.
• Las sesiones de inicio de sesión (con la dirección IP y el navegador desde los que se crearon): Se borran cuando cierras la sesión. Una sesión que termina sin cerrarse se borra 30 días después de caducar.
• Los enlaces de inicio de sesión (guardados solo como un hash de un solo sentido): Hasta que se usan o caducan, y borrados en el plazo de un día después.
• Los enlaces para restaurar la cuenta (guardados solo como un hash de un solo sentido): Hasta que restauras tu cuenta, o se borra para siempre 30 días después de tu petición.
• Los recuentos de límite de peticiones (una dirección IP, o un hash de un solo sentido de una dirección de correo, con un número): Unas 48 horas después de la última petición que cuentan, y después borrados. Se guardan para cualquiera que pida un enlace de inicio de sesión, tenga cuenta o no.
• Los archivos que subes para una página alojada (una carta en PDF, una foto para una tarjeta de visita, un logotipo): Mientras exista el código que los usa. Se borran cuando borras el código o tu cuenta, y una subida que no se termina se borra en el plazo de un día.
• Los registros de escaneos (hora, lugar aproximado, tipo de dispositivo): 24 meses, y después borrados.
• Las denuncias de abuso (la denuncia, la dirección de correo de quien denuncia y lo que hicimos): 24 meses después de cerrar el caso, y después borradas.
• Lo que Paddle nos cuenta de tus compras (plan, país y si un pago salió bien): Mientras tu cuenta esté abierta, y borrado con ella.
• Los registros de pago y facturación: Los guarda Paddle según su propio aviso de privacidad, el tiempo que exija la normativa fiscal.
• La cookie del idioma: Un año desde el día en que eliges un idioma, y se sustituye cada vez que vuelves a elegir. Borrarla no te cuesta más que esa elección.
• Nuestra propia contabilidad (los extractos de cada venta de Paddle: el plan, el importe, el país del comprador y su nombre o dirección de correo cuando el extracto los muestra): Al menos 5 años después del plazo de presentación del 31 de enero del ejercicio fiscal de la venta, como exige la agencia tributaria británica a un autónomo, y después borrados.

6. Tus derechos

Puedes pedirnos una copia de tus datos, que los corrijamos, que los borremos, que limitemos su uso, oponerte a ese uso, o que te los enviemos en un formato que puedas llevarte a otro sitio. Cuando una decisión sobre tu código se haya tomado automáticamente, como un enlace marcado por la revisión, puedes pedir que lo mire una persona. Escribe a privacy@qrvane.com. También puedes borrar tu cuenta tú mismo desde sus ajustes. Los escaneos de un código se pueden exportar en CSV en cualquier momento: en sus primeros 14 días, en un periodo de gracia y después de que deje de funcionar.

Si no estás conforme con cómo tratamos tus datos, puedes reclamar ante la Information Commissioner’s Office en ico.org.uk/make-a-complaint, o ante la autoridad de protección de datos de tu país de residencia; aunque nos gustaría tener antes la oportunidad de arreglarlo.

7. Menores

QRVane es un servicio para negocios y no está pensado para menores.

8. Cambios en este aviso

Cuando este aviso cambia, también cambia la fecha de arriba, y escribimos a los titulares de cuenta sobre cualquier cambio que les afecte.

Fuente: GOV.UK, Business records if you're self-employed: How long to keep your records; leído el 22 de octubre de 2026.