Política de Privacidad

1. Responsable del tratamiento

• Sitio web: estadoembalses.es
• Naturaleza: Proyecto informativo sin ánimo de lucro dedicado a la divulgación de datos hidrológicos públicos de España.
• Correo electrónico: contacto@estadoembalses.es

2. Datos que recogemos

estadoembalses.es ofrece la posibilidad de crear una cuenta de usuario para sincronizar favoritos entre dispositivos y recibir el newsletter. Los datos que se pueden recoger son:

• Datos de cuenta (usuarios registrados): Dirección de correo electrónico, contraseña (cifrada), nombre opcional, fecha de registro, consentimiento RGPD y dirección IP en el momento del registro.
• Favoritos sincronizados: Para usuarios autenticados, la lista de embalses favoritos se almacena en nuestros servidores para permitir el acceso desde cualquier dispositivo. Para usuarios no registrados, se almacenan únicamente en localStorage.
• Newsletter: Dirección de correo electrónico, preferencias de frecuencia y cuencas seleccionadas. Se requiere doble confirmación (double opt-in) para activar la suscripción.
• Datos anónimos de navegación: Dirección IP anonimizada, tipo de navegador, sistema operativo, páginas visitadas, tiempo de permanencia y origen de la visita. Estos datos se procesan exclusivamente mediante Google Analytics 4 y Vercel Analytics, siempre y cuando el usuario haya dado su consentimiento a través del banner de cookies.
• Datos de rendimiento web: Métricas de Web Vitals (tiempos de carga, interactividad, estabilidad visual) recogidas por Vercel Analytics para mejorar el rendimiento del sitio.

3. Finalidades del tratamiento

• Gestión de cuentas: Creación y mantenimiento de cuentas de usuario para la sincronización de favoritos entre dispositivos.
• Newsletter: Envío de resúmenes periódicos sobre el estado de los embalses a los usuarios que lo soliciten expresamente.
• Funcionamiento del sitio: Garantizar la correcta visualización y funcionamiento de las herramientas de consulta de datos hidrológicos.
• Estadísticas de uso: Comprender cómo los usuarios interactúan con el sitio para mejorar el contenido, la navegación y la experiencia general.
• Mejora del rendimiento: Identificar y resolver problemas de velocidad y rendimiento del sitio web.

4. Base legal del tratamiento

• Consentimiento (art. 6.1.a RGPD): Para la creación de cuenta, suscripción al newsletter y uso de cookies analíticas. El consentimiento se solicita de forma expresa mediante casilla de verificación y se registra con fecha, hora e IP.
• Ejecución de contrato (art. 6.1.b RGPD): Para la prestación del servicio de cuenta de usuario y sincronización de favoritos.
• Interés legítimo (art. 6.1.f RGPD): Para las cookies estrictamente necesarias que garantizan el funcionamiento técnico del sitio web.

5. Cesión de datos a terceros

No vendemos, alquilamos ni cedemos datos personales a terceros. Los únicos servicios de terceros que pueden recibir datos son:

• Google Analytics 4 (Google LLC): Servicio de análisis web que procesa datos de navegación anonimizados. La dirección IP se anonimiza antes de su almacenamiento. Google puede transferir datos a servidores fuera de la UE, contando con las garantías adecuadas (Cláusulas Contractuales Tipo y Marco de Privacidad de Datos UE-EE.UU.). Política de privacidad de Google.
• Vercel Inc.: Proveedor de hosting y análisis de rendimiento web. Procesa métricas de rendimiento (Web Vitals) de forma agregada. Política de privacidad de Vercel.
• Supabase Inc.: Proveedor de base de datos y autenticación. Almacena datos de cuentas de usuario, favoritos sincronizados y suscripciones al newsletter. Política de privacidad de Supabase.
• Resend Inc.: Servicio de envío de emails transaccionales y newsletter. Política de privacidad de Resend.

6. Transferencias internacionales de datos

Los servicios de terceros mencionados (Google, Vercel, Supabase, Resend) pueden transferir datos a servidores ubicados fuera del Espacio Económico Europeo (EEE), principalmente a Estados Unidos. Estas transferencias se realizan al amparo de:

• El Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework)
• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea

7. Plazo de conservación

• Datos de cuenta: Se conservan mientras la cuenta esté activa. Al solicitar la eliminación, se borran de forma inmediata e irreversible.
• Newsletter: Los datos se conservan hasta que el usuario se dé de baja. El email y la fecha de baja se conservan para evitar el reenvío no solicitado.
• Cookies analíticas: Los datos de Google Analytics se conservan durante 14 meses desde la última interacción.
• Datos de rendimiento (Vercel): Se conservan de forma agregada durante el periodo de suscripción al servicio.
• Datos en localStorage: Permanecen en tu navegador hasta que los elimines manualmente o borres los datos del sitio.

8. Tus derechos

De conformidad con el RGPD y la LOPDGDD, tienes los siguientes derechos respecto a tus datos personales:

• Derecho de acceso: Conocer qué datos personales tratamos sobre ti.
• Derecho de rectificación: Solicitar la corrección de datos inexactos.
• Derecho de supresión: Solicitar la eliminación de tus datos cuando ya no sean necesarios.
• Derecho de oposición: Oponerte al tratamiento de tus datos en determinadas circunstancias.
• Derecho a la portabilidad: Recibir tus datos en un formato estructurado y de uso común.
• Derecho a la limitación del tratamiento: Solicitar que se limite el uso de tus datos en determinados supuestos.
• Derecho a retirar el consentimiento: Puedes retirar tu consentimiento en cualquier momento a través del panel de configuración de cookies (icono en la esquina inferior izquierda) o desde tu panel de datos personales.

Para usuarios registrados: Puedes ejercer tus derechos de forma digital desde Mi cuenta > Mis datos, donde puedes exportar todos tus datos en formato JSON o eliminar tu cuenta de forma irreversible.

También puedes contactar con nosotros en contacto@estadoembalses.es.

Asimismo, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que tus derechos no han sido debidamente atendidos.

9. Medidas de seguridad

Hemos implementado las medidas técnicas y organizativas necesarias para proteger la información, incluyendo:

• Conexión cifrada mediante HTTPS/TLS
• Contraseñas cifradas con bcrypt (nunca almacenadas en texto plano)
• Autenticación mediante tokens JWT con expiración
• Row Level Security (RLS) en base de datos: cada usuario solo accede a sus propios datos
• Anonimización de direcciones IP en Google Analytics
• Registro de consentimientos RGPD con fecha, hora e IP

10. Modificaciones de esta política

Nos reservamos el derecho a modificar esta Política de Privacidad para adaptarla a novedades legislativas o jurisprudenciales. En caso de cambios significativos, se informará a los usuarios a través del sitio web. Te recomendamos revisar esta página periódicamente.