Empieza gratis

Política de privacidad

Vigente desde el 2026-10-19 · Versión 3

1. Quiénes somos

You Shouldn’t Have es operada por AI Eh By Solutions, una empresa canadiense («nosotros»), 51 Earle St, Grand Falls-Windsor, NL A2B 1H5, Canada. Somos responsables de la información personal que tenemos y cumplimos la Ley de Protección de la Información Personal y los Documentos Electrónicos de Canadá (PIPEDA) y, para las personas en Quebec, la Ley sobre la protección de la información personal en el sector privado de Quebec.

Nuestro responsable de privacidad (Privacy Officer) es la persona a cargo de la protección de la información personal y atiende preguntas, solicitudes y quejas: privacy@ai-eh-by.ca. Para cualquier otro asunto, escriba a contact@youshouldnthave.ca.

Esta política cubre todas las partes de You Shouldn’t Have:

  • el sitio web youshouldnthave.ca;
  • la aplicación web app.youshouldnthave.ca;
  • la aplicación para iOS y la aplicación para Android («las aplicaciones móviles»);
  • los correos y notificaciones que enviamos.

2. Qué recopilamos

Cuenta

Su nombre, correo electrónico, el identificador que nos da su proveedor de inicio de sesión (Google, Apple donde esté disponible, o su correo y una contraseña), su idioma, zona horaria y tema de pantalla. Si inicia sesión con correo y contraseña, la contraseña la gestiona Google Identity Platform; nunca la vemos ni la guardamos en forma legible. Si usa Iniciar sesión con Apple, guardamos un token de Apple cifrado para poder revocar nuestro acceso cuando elimine su cuenta. Opcionalmente, su país y código postal, usados solo para estimar plazos de entrega (sección 13.3); nunca pedimos su dirección ni usamos la ubicación de su dispositivo.

Contenido

  • Eventos: lo que ingresan los organizadores: título, descripción, fecha, hora, zona horaria, lugar, presupuesto, reglas del sorteo (hogares y parejas que no deben tocarse entre sí), una dirección de envío para una lista de regalos si el organizador la agrega, y los nombres, correos y (opcionalmente) teléfonos y hogares de las personas invitadas. Si alguien le invitó, recibimos de esa persona su nombre y correo. Por ahora no enviamos mensajes de texto ni hacemos llamadas.
  • Ideas y listas de regalos: sus intereses, notas (por ejemplo tallas) y los enlaces que agrega; los artículos de las listas, quién los reservó o compró y el estado de los regalos.
  • Mensajes: preguntas y respuestas anónimas en los hilos del Amigo secreto.
  • Asignaciones del Amigo secreto: quién regala a quién, guardado cifrado (sección 13.1).
  • Calendario: si crea un feed de calendario, un token de enlace secreto guardado solo como hash; si conecta Google Calendar, un token de actualización de Google cifrado y el identificador de cada evento que agregamos a su Google Calendar (sección 13.5).

Dispositivo y uso

  • Registros de envío: para cada correo y notificación push, la dirección o cuenta de destino, el tipo de mensaje, el idioma, la hora y si se entregó. Nunca el contenido de un correo; de las notificaciones push, solo el título.
  • Notificaciones: si activa las notificaciones push, la dirección push y las claves de su navegador (web) o el token push de su dispositivo (aplicaciones móviles); sus preferencias de notificación y horas de silencio.
  • Registros de consentimiento: las versiones de los términos y de esta política que aceptó, y su consentimiento para las notificaciones push, con la fecha y hora, el idioma, dónde aceptó (sitio web, iOS o Android) y cómo, el texto que vio para las notificaciones push, la dirección IP y el navegador o la aplicación.
  • Datos técnicos: nuestro alojamiento guarda registros de solicitudes (dirección IP, navegador o aplicación, hora, página y errores) por seguridad y para resolver problemas. No usamos herramientas publicitarias ni analíticas, herramientas de informes de fallos ni rastreadores de terceros.

Este sitio web

  • Formularios: lo que envía en los formularios de contacto, soporte o eliminación de cuenta (nombre, correo, tema, mensaje, y la página y el idioma que usó). Lo guardamos en nuestra base de datos en Canadá, con la indicación de si se entregó, y lo enviamos a nuestro equipo por correo electrónico.
  • Ajuste de tema: si elige el tema claro u oscuro, su navegador lo recuerda (sección 8).
  • Cookies: el sitio web no usa ninguna.

Las aplicaciones móviles (iOS y Android)

  • Inicio de sesión en su dispositivo: el inicio de sesión con Google usa el de Google en su dispositivo (Google Sign-In en iOS, Credential Manager en Android); Iniciar sesión con Apple, donde esté disponible, usa el de Apple. Nos dan los mismos datos de cuenta que en la web (nombre, correo, identificador del proveedor). La sesión en sí queda en el almacenamiento propio de la aplicación en su dispositivo (sección 8).
  • Notificaciones push: el único permiso que piden las aplicaciones móviles es el de notificaciones, y solo cuando usted las activa. Entonces Firebase Cloud Messaging (Google) le da a la aplicación un token push, que guardamos con la plataforma (iOS o Android), la versión de la aplicación y cuándo se registró y se vio por última vez. En iOS, Firebase entrega las notificaciones a Apple Push Notification service (APNs). La biblioteca de Firebase Cloud Messaging en su dispositivo también crea un identificador de instalación que Google usa para entregar las notificaciones.
  • Datos del dispositivo: la plataforma (iOS o Android) y la versión de la aplicación, enviadas con su token push; nuestros registros de alojamiento ven las solicitudes de la aplicación como cualquier otra (dirección IP, hora, errores).
  • Lo que las aplicaciones móviles no usan: ningún permiso de ubicación, contactos, cámara, fotos, micrófono o calendario, y ningún identificador publicitario (se quitó de la aplicación para Android).
  • Almacenamiento en su dispositivo: algunos ajustes (sección 8). Los archivos que descarga (la exportación de sus datos, archivos de calendario) se guardan en el almacenamiento temporal de la aplicación y se pasan al menú para compartir de su dispositivo.

3. Para qué la usamos y lo que nunca hacemos

Usamos esta información solo para hacer funcionar el servicio: iniciar su sesión, enviar invitaciones, hacer el sorteo, entregar mensajes anónimos, mostrar listas de deseos y de regalos, consultar enlaces, estimar entregas, enviar los recordatorios y notificaciones descritos en la aplicación, mantener el servicio seguro, registrar su consentimiento y cumplir la ley.

Nunca vendemos información personal, nunca la usamos para publicidad ni para crear perfiles publicitarios, nunca le rastreamos en otros sitios o aplicaciones y nunca damos su contenido a nadie para entrenar modelos de IA. El sorteo es aleatorio y la aplicación no toma decisiones automatizadas con efectos legales o de importancia similar.

4. Consentimiento

Al crear una cuenta o unirse a un evento, usted acepta este uso; la pantalla de inicio de sesión lo indica y registramos qué versiones de los términos y de esta política aceptó. Los organizadores confirman que tienen permiso para agregar a las personas que invitan.

Las funciones opcionales empiezan desactivadas y son decisiones separadas, nunca unidas al inicio de sesión: las notificaciones push (cada tipo por separado), el correo de resumen diario de la lista de regalos, el feed de calendario y Google Calendar, y el código postal. Puede retirar su consentimiento en cualquier momento: cambie sus Ajustes, desactive las notificaciones en su dispositivo, use el enlace para darse de baja de un correo, desconecte Google Calendar o elimine su cuenta. Sin ciertos datos (por ejemplo su correo) es posible que no pueda participar en los eventos.

5. Con quién la compartimos

  • Otros participantes, como se describe en las secciones 13.1 y 13.2.
  • Proveedores de servicios que tratan datos por cuenta nuestra, solo para prestar el servicio:
    • Google Cloud (Canadá): servidores de la aplicación, base de datos, Secret Manager, tareas programadas, copias de seguridad y registros, en la región northamerica-northeast1 (Montreal); las páginas pueden entregarse mediante Firebase Hosting, la red mundial de Google.
    • Google Identity Platform (Estados Unidos y otros países): inicio de sesión, incluido el de correo y contraseña y el de Google.
    • Apple (Estados Unidos), si usa Iniciar sesión con Apple donde esté disponible: inicio de sesión y el token que revocamos al eliminar la cuenta.
    • Google Workspace (API de Gmail, Estados Unidos y otros países): envía nuestros correos desde noreply@youshouldnthave.ca y nos entrega los mensajes de los formularios del sitio.
    • Firebase Cloud Messaging (Google, Estados Unidos) y, en iOS, Apple Push Notification service (Estados Unidos), si activa las notificaciones en las aplicaciones móviles: su token push y la notificación.
    • El servicio push de su navegador, si activa las notificaciones en la web: Apple (Safari), Google (Chrome y la mayoría de navegadores Android), Mozilla (Firefox) o Microsoft (Edge). Recibe la dirección push de su navegador y la notificación, cifrada para que solo su navegador pueda leerla.
    • Google Calendar (Estados Unidos), solo si lo conecta: los eventos que creamos para usted (sección 13.5).
  • Sitios de comercios: cuando pega un enlace, nuestros servidores (no su dispositivo) consultan esa página (sección 13.3); no se envía información personal.
  • Motivos legales: cuando la ley lo exija, o en una venta o transferencia de nuestro negocio (se lo informaremos).

6. Dónde se guarda y transferencias

Nuestra base de datos, copias de seguridad y registros están en Canadá (Montreal). Algunos de los proveedores anteriores (inicio de sesión, correo, servicios push, entrega de páginas y Google Calendar) pueden tratar datos fuera de Quebec y de Canadá, incluso en Estados Unidos, donde los tribunales y las autoridades podrían acceder a ellos según las leyes locales. Usamos proveedores que protegen la información por contrato y con medidas de seguridad comparables a las nuestras, y solo les enviamos lo que necesitan.

7. Cuánto tiempo la conservamos

  • Datos de la cuenta (perfil, preferencias de notificación, registros de consentimiento, conexión de calendario, listas de deseos y mensajes que escribió): hasta que elimine su cuenta (la conexión de calendario también termina cuando se desconecta).
  • Suscripciones push y tokens push de las aplicaciones móviles: hasta que desactive las notificaciones, cierre sesión en ese dispositivo o elimine su cuenta; se eliminan antes cuando el servicio push indica que ya no son válidos, o después de 60 días sin renovarse.
  • Eventos (con sus participantes, listas de deseos, mensajes, artículos y reservas): hasta que un organizador elimine el evento, o hasta que su propietario elimine su cuenta sin que quede ningún coorganizador. Los eventos se cierran 30 días después de su fecha, pero no se eliminan automáticamente.
  • Registros de envío: 13 meses después de enviado el correo o la notificación, o menos si elimina su cuenta.
  • Personas invitadas que nunca se unieron: 90 días después de la fecha del evento se eliminan su nombre, correo, teléfono, registros de envío y enlace de invitación.
  • Consultas de enlaces: unos 7 días (sección 13.3).
  • Registro de auditoría de organizadores (sorteos, cambios y revelaciones de solución de problemas): 2 años después de la fecha del evento, o 2 años después de que se elimine el evento si se elimina antes de su fecha.
  • Registros de seguridad de corta duración (contadores de intentos de inicio de sesión y otros, solicitudes de conexión con Google Calendar y confirmaciones de solución de problemas): 30 días como máximo; se eliminan de inmediato cuando elimina su cuenta.
  • Bajas y rebotes: una huella unidireccional de la dirección (no la dirección en sí) con el tipo de correo, para no volver a escribirle en contra de su voluntad.
  • Copias de seguridad: copias de la base de datos hechas antes de cada actualización de la aplicación, guardadas en Canadá: 35 días.
  • Registros del alojamiento: 30 días.
  • Mensajes de los formularios del sitio: 13 meses después del envío en nuestra base de datos (luego se eliminan automáticamente), y en nuestro correo el tiempo necesario para atender su solicitud.

8. Cookies y almacenamiento en su dispositivo

No usamos cookies publicitarias ni analíticas. Lo que guardamos en su dispositivo:

  • Aplicación web: una cookie, __session (HttpOnly, Secure, 14 días), mantiene su sesión; se elimina al cerrar sesión. La biblioteca de inicio de sesión (Firebase) guarda su sesión en el IndexedDB de su navegador; se borra al cerrar sesión. En el almacenamiento local de su navegador: youshouldnthave.lang (idioma), youshouldnthave.theme (tema), youshouldnthave.auth.lastProvider (el último método de inicio de sesión que usó, para que la pantalla de inicio de sesión lo marque; nunca su correo), youshouldnthave.installBanner.dismissed (cerró el aviso de instalación). En el almacenamiento de sesión, que se borra al cerrar la pestaña: youshouldnthave.pendingLink (un inicio de sesión en curso mientras vincula dos métodos de inicio de sesión), youshouldnthave.pendingReauth (una confirmación en curso en Ajustes), youshouldnthave.justJoined (para ofrecerle notificaciones justo después de unirse). El service worker guarda en caché los archivos propios de la aplicación (sin datos personales) para que abra rápido.
  • Sitio web: youshouldnthave.theme en el almacenamiento local si elige el tema claro u oscuro (una clave antigua, ysh-site-theme, se traslada allí y se elimina). Ninguna cookie.
  • Aplicaciones móviles: la sesión (Firebase, IndexedDB dentro de la aplicación) y los ajustes anteriores en el almacenamiento de la aplicación, además de youshouldnthave.push.device (qué registro push hizo este dispositivo). youshouldnthave.auth.lastProvider se guarda con Capacitor Preferences (UserDefaults en iOS, SharedPreferences en Android). En iOS, el almacenamiento de la aplicación puede incluirse en las copias de seguridad de su dispositivo; la aplicación para Android desactiva las copias de seguridad.
  • Cuándo se borra: al cerrar sesión se eliminan la cookie de sesión, la sesión y el registro push de este dispositivo. Al eliminar la cuenta también se elimina youshouldnthave.auth.lastProvider. Los ajustes de idioma, tema y aviso quedan hasta que borre los datos del sitio en su navegador o desinstale la aplicación.

9. Sus derechos

  • Acceso y exportación: Ajustes > Descargar mis datos le da una copia de sus datos en un formato estructurado y de uso común (JSON).
  • Corrección: edite su perfil en Ajustes; pida al organizador que corrija los detalles del evento que ingresó.
  • Retirar el consentimiento: sección 4.
  • Eliminación: sección 10.
  • Otras solicitudes: escriba a nuestro responsable de privacidad a privacy@ai-eh-by.ca para pedir acceso, corrección, eliminación o información sobre cómo usamos sus datos. Respondemos en un plazo de 30 días.
  • Quejas: comuníquese primero con nuestro responsable de privacidad. También puede presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá (priv.gc.ca) o, en Quebec, ante la Commission d’accès à l’information du Québec (cai.gouv.qc.ca).

10. Eliminación de la cuenta

Elimine su cuenta en la aplicación web o en las aplicaciones móviles desde Ajustes > Eliminar cuenta, o sin la aplicación desde la página de eliminación de cuenta en youshouldnthave.ca/es/delete-account. Esa página indica exactamente qué se elimina de inmediato y qué se conserva, y durante cuánto tiempo: en resumen, se eliminan su cuenta, su perfil, sus registros push, sus registros de consentimiento, su conexión de calendario, sus listas de deseos, los mensajes que escribió y sus registros de envío; los eventos de los que es propietario pasan a un coorganizador o se eliminan; las entradas del registro de auditoría de organizadores (2 años), las huellas de bajas, las copias de seguridad (35 días) y los registros del alojamiento (30 días) se conservan durante los plazos de la sección 7.

11. Seguridad, vulneraciones y riesgos

Cifrado en tránsito (HTTPS) y en reposo, asignaciones selladas, tokens de calendario y de Apple cifrados, acceso a la base de datos limitado a la cuenta de servicio de la aplicación, cookies de sesión HttpOnly y Secure, y registro de acciones sensibles. Ningún sistema es perfectamente seguro, y cualquier persona que tenga el enlace de su feed de calendario o un enlace abierto a una lista puede ver lo que muestra. Llevamos un registro de cada vulneración de la privacidad (incidente de confidencialidad). Cuando una vulneración represente un riesgo real de daño significativo (un riesgo de perjuicio grave según la ley de Quebec), avisaremos a las personas afectadas y a la Oficina del Comisionado de Privacidad de Canadá y, para las personas en Quebec, a la Commission d’accès à l’information, como lo exige la ley.

12. Menores

Las cuentas son para personas de 14 años o más (sección 2 de los Términos de uso). No recopilamos a sabiendas información de menores de 14 años sin el consentimiento de su madre, padre o tutor. Un organizador solo puede incluir a un menor de 14 años en un evento con el permiso de su madre, padre o tutor, usando el correo de esa persona adulta. Si cree que un menor de 14 años nos dio información sin ese consentimiento, contáctenos y la eliminaremos.

13. Funciones del producto

13.1 Secreto del Amigo secreto

Las asignaciones se cifran con una clave guardada en Google Cloud Secret Manager, de modo que no pueden leerse ni siquiera mirando la base de datos. Cada persona ve solo a quién le regala; la persona que le regala a usted ve su nombre, intereses y lista de deseos. Los organizadores ven una tabla de estado (se unió, vio su asignación, lista de deseos lista, estado del regalo, preguntas sin responder, última entrega de correo) que nunca muestra las asignaciones. Un organizador puede revelar la asignación de una sola persona, solo mediante una herramienta de solución de problemas, después de dos confirmaciones, escribiendo el nombre de esa persona y dando un motivo por escrito; cada revelación queda registrada (quién la hizo, de quién, el motivo y la hora) y se muestra a todos los organizadores del evento. Los mensajes anónimos nunca muestran la identidad de quien regala a quien recibe, y las notificaciones nunca dicen con quién le tocó.

13.2 Listas de regalos

Los organizadores ven quién reservó o compró cada artículo; los demás invitados solo ven cuántos quedan disponibles. Una dirección de envío, si el organizador la agrega, solo la ven los organizadores y los invitados que se unieron. Cualquier persona con un enlace abierto a una lista ve el título, la fecha y la descripción del evento, el nombre de pila del organizador y los artículos, nunca quién los reservó.

13.3 Consulta de enlaces y estimaciones de entrega

Cuando usted o un organizador pegan un enlace, nuestros servidores consultan esa página web para leer el nombre, la imagen y el precio del producto. Las páginas de Amazon son la excepción: nunca las consultamos; para un enlace de Amazon tomamos el nombre del producto del propio enlace, no mostramos imagen ni precio, y la aplicación dice «Ver el precio en Amazon»; para comprobar el presupuesto, un precio de Amazon se considera desconocido. El comercio ve una solicitud de nuestros servidores, no de su dispositivo. El resultado (el enlace y los detalles del producto, no quién lo pegó) se reutiliza durante 24 horas y se elimina después de unos 7 días. Para las tiendas con las que no tenemos programa de afiliados, guardamos el nombre del sitio, un conteo, las fechas en que apareció por primera y última vez y un enlace de ejemplo, no quién lo pegó, para decidir a qué programas unirnos. Las estimaciones de entrega las calculamos nosotros a partir de tiempos habituales que fijamos para cada tienda y de su país y código postal; no se envía nada sobre usted a la tienda.

13.4 Enlaces de afiliado

Cuando participamos en el programa de afiliados de un comercio, los enlaces a ese comercio llevan nuestra etiqueta de afiliado y aparecen primero entre los lugares para comprar. No enviamos su información personal a los comercios. Al seguir un enlace a una tienda, sale de nuestro servicio: el comercio (por ejemplo Amazon, que puede tratar datos en Estados Unidos) puede usar sus propias cookies y trata sus datos según su propia política de privacidad. No recibimos detalles de sus compras más allá de lo que sus programas de afiliados nos informan.

13.5 Calendarios y Google Calendar

Los enlaces «Agregar al calendario» abren Google Calendar, Outlook, Office 365 o Yahoo con el título, la fecha y el lugar del evento y un enlace a él; ese servicio los recibe cuando usted lo elige. El enlace de su feed de calendario muestra sus eventos y fechas límite a cualquier persona que lo tenga; puede cambiarlo o quitarlo en Ajustes.

Si elige conectar Google Calendar (cuando esté disponible), Google le pide que nos dé acceso con el alcance de Google Calendar «calendar.events». Usamos ese acceso solo para crear en su calendario principal de Google un evento por cada evento de You Shouldn’t Have que usted organiza o al que se unió, para actualizar ese mismo evento cuando el evento cambia (volver a conectar o volver a agregar el evento lo actualiza; nunca crea una copia), y para eliminarlo cuando el evento se elimina o usted lo deja. No leemos, cambiamos ni eliminamos ningún otro evento, y no usamos nada de su calendario para ningún otro fin. Guardamos el token de Google cifrado, con el identificador de cada evento de Google que creamos. Cuando se desconecta o elimina su cuenta, eliminamos de su Google Calendar los eventos que creamos (cuando Google todavía nos lo permite), revocamos nuestro acceso ante Google y eliminamos el token; también puede quitar nuestro acceso en cualquier momento en myaccount.google.com/permissions (los eventos que agregamos quedan entonces en su calendario hasta que usted los elimine). El uso y la transferencia a cualquier otra aplicación, por parte de You Shouldn’t Have, de la información recibida de las API de Google cumplirán la Política de Datos del Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use) (developers.google.com). No usamos los datos de usuarios de Google para publicidad, no los vendemos, no los usamos para entrenar modelos de IA y no permitimos que personas los lean, salvo con su consentimiento, por seguridad o cuando la ley lo exija.

13.6 Correos y notificaciones

Todos nuestros correos tratan de eventos que usted organiza, en los que participa o a los que fue invitado: invitaciones (enviadas a pedido de un organizador e indicando su nombre), avisos de asignación, preguntas y respuestas, recordatorios y, solo si lo activa, un resumen diario de la lista de regalos. No enviamos correos de marketing ni promocionales. Cada correo identifica a You Shouldn’t Have y a AI Eh By Solutions, con nuestra dirección postal (51 Earle St, Grand Falls-Windsor, NL A2B 1H5, Canada) y nuestra dirección de contacto (contact@youshouldnthave.ca), e incluye un enlace para darse de baja de ese tipo de correo, que funciona sin iniciar sesión y tiene efecto de inmediato. También puede elegir cada tipo de correo en Ajustes > Notificaciones.

Las notificaciones push, en la web y en las aplicaciones móviles, están desactivadas hasta que usted las active; usted elige cada tipo, y no se envía ninguna durante sus horas de silencio (de 22:00 a 07:00, salvo que las cambie). Las notificaciones se ven en la pantalla bloqueada, por eso nunca dicen con quién le tocó. Pasan por los servicios push de la sección 5.

14. Cambios en esta política

Publicamos cada cambio aquí con un nuevo número de versión y fecha de vigencia, y lo anotamos en nuestro registro de cambios. Le avisamos de los cambios importantes en la aplicación o por correo antes de que entren en vigor, y la aplicación le pide aceptar la nueva versión antes de continuar.

15. Contacto

Responsable de privacidad: privacy@ai-eh-by.ca. Contacto general: contact@youshouldnthave.ca. Por correo postal: AI Eh By Solutions, 51 Earle St, Grand Falls-Windsor, NL A2B 1H5, Canada.

Esta política está disponible en inglés, francés y español, y cada versión tiene el mismo efecto.