Política de privacidad

1. Responsable

El responsable del tratamiento es Figaro Lab / Sarastro, plataforma digital de inteligencia pública y análisis político disponible en sarastro.es. Contacto para privacidad: hola@sarastro.es.

Si eres cliente de pago, los datos de facturación que deban constar legalmente aparecerán en la factura emitida a través de Stripe o en la comunicación contractual correspondiente.

2. Resumen por tratamientos

Visita y seguridad de la web

·Datos: IP o hash de IP, navegador, sistema operativo, URL visitada, fecha, referrer y registros técnicos.
·Finalidad: Prestar la web, prevenir abuso, resolver incidencias, medir disponibilidad y proteger formularios.
·Base jurídica: Interés legítimo en seguridad y funcionamiento del servicio; obligación técnica para prestar la web solicitada.
·Conservación: Logs técnicos hasta 30 días salvo incidencia de seguridad. Eventos internos agregados o seudonimizados hasta 24 meses.

Cuenta Sarastro Pro

·Datos: Email, contraseña gestionada por Supabase Auth, identificador de usuario, estado de suscripción y datos necesarios para acceder al servicio.
·Finalidad: Crear y autenticar la cuenta, controlar acceso Pro, gestionar prueba, suscripción, soporte y portal de cliente.
·Base jurídica: Ejecución del contrato o medidas precontractuales solicitadas por el usuario.
·Conservación: Mientras la cuenta esté activa y, después, durante los plazos necesarios para atender responsabilidades legales o contractuales.

Acceso privado de evaluación

·Datos: Nombre y email de la invitación, hash irreversible del código VIP, fecha del primer y último acceso, número de entradas, vencimiento de la prueba, hash de IP, navegador, referrer y ruta solicitada.
·Finalidad: Gestionar invitaciones VIP individuales, comprobar su activación y uso, limitar la evaluación gratuita, prevenir abuso y atender solicitudes de ampliación o revocación.
·Base jurídica: Medidas precontractuales solicitadas por la persona invitada e interés legítimo en controlar y proteger el acceso de evaluación.
·Conservación: Hasta 12 meses desde el último acceso o durante el tiempo necesario para gestionar una ampliación, incidencia o relación posterior.

Pagos, facturas y suscripciones

·Datos: Email, plan, ciclo mensual/anual, identificadores de cliente/suscripción/precio de Stripe, estado de pago, facturas y datos de facturación aportados en Stripe.
·Finalidad: Procesar pagos, emitir facturas, gestionar pruebas, renovaciones, cancelaciones, impagos y portal de cliente.
·Base jurídica: Ejecución del contrato y cumplimiento de obligaciones legales fiscales y contables.
·Conservación: Datos contractuales mientras dure la relación. Facturas y justificantes durante los plazos legales fiscales y contables aplicables.

Solicitudes Pro, contacto y soporte

·Datos: Nombre, email, organización, perfil, mensaje, uso previsto, temas, territorio, user agent y referrer.
·Finalidad: Responder solicitudes, valorar encaje, preparar demo, soporte o propuesta comercial y mantener trazabilidad mínima de la conversación.
·Base jurídica: Medidas precontractuales o interés legítimo en responder comunicaciones recibidas.
·Conservación: Hasta 24 meses desde el último contacto si no hay relación contractual; más tiempo si la conversación deriva en cliente.

·Datos: Email de suscripción.
·Finalidad: Enviar comunicaciones editoriales o de producto de Sarastro y gestionar la baja.
·Base jurídica: Consentimiento.
·Conservación: Hasta que solicites la baja o revoques el consentimiento.

Test de afinidad política

·Datos: Respuestas al test, resultado, datos demográficos amplios voluntarios, hash irreversible de IP, duración aproximada, user agent abreviado, referrer, honeypot y señal interna de calidad.
·Finalidad: Calcular resultado, generar estadísticas agregadas, proteger el test frente a manipulación y mejorar preguntas.
·Base jurídica: Consentimiento al realizar el test e interés legítimo en seguridad estadística. Las respuestas se tratan separadas de email/cuenta.
·Conservación: Respuestas anónimas o seudonimizadas de forma indefinida para series agregadas. Señales anti-abuso se conservan mientras sean útiles para integridad estadística.

Mis ideas / buzón ciudadano

·Datos: Idea enviada, tema, motivo, comunidad autónoma opcional, email opcional, votos, hash de IP para evitar abuso y metadatos técnicos.
·Finalidad: Publicar y ordenar ideas ciudadanas, evitar voto duplicado o abuso y, si dejas email, avisarte sobre avances.
·Base jurídica: Consentimiento al enviar la idea; interés legítimo en moderación, seguridad y prevención de abuso.
·Conservación: Ideas publicadas mientras el producto exista o hasta retirada editorial. Email opcional hasta cumplir la finalidad o solicitud de supresión.

Analítica y mejora de producto

·Datos: Consentimiento de cookies, páginas visitadas, eventos de producto, sesión aleatoria, área, path, evento, metadatos limitados, IP hasheada, user agent y referrer.
·Finalidad: Entender uso agregado, embudos, descargas de informes, formularios y errores para mejorar Sarastro.
·Base jurídica: Consentimiento para Google Analytics, PostHog y telemetría interna de producto no necesaria.
·Conservación: Preferencia de consentimiento hasta que la cambies. Analítica externa según configuración del proveedor. Eventos internos hasta 24 meses salvo agregación o eliminación anterior.

Consultas con IA y análisis

·Datos: Texto de consulta, tema o pregunta introducida, etiquetas temáticas inferidas, longitud de respuesta y contexto necesario para generar respuesta. Antes de guardar señales agregadas se depuran emails, teléfonos, DNI y URLs si aparecieran en el texto.
·Finalidad: Responder a la consulta, detectar intereses sociales agregados, mejorar claridad editorial y, en su caso, cachear resultados de forma no vinculada a identidad.
·Base jurídica: Ejecución del servicio solicitado e interés legítimo en calidad y rendimiento.
·Conservación: No se vincula a identidad salvo que el usuario lo incluya en el texto. Señales depuradas de interés agregado hasta 24 meses; cachés anónimas hasta 90 días cuando se usen.

3. Datos especialmente sensibles

Sarastro trata contenido político. Por diseño, el test de afinidad no se vincula a tu identidad, email, cuenta Pro ni pago. Las respuestas del test se guardan separadas de las tablas de newsletter, cuentas, suscripciones y contacto. Si escribes voluntariamente datos personales o ideología identificable en campos libres, trataremos ese contenido solo para la finalidad indicada en el formulario correspondiente.

4. Proveedores y destinatarios

No vendemos datos personales. Usamos proveedores necesarios para operar Sarastro como encargados o proveedores tecnológicos. Cuando proceda, suscribimos o aplicamos condiciones de tratamiento y garantías de transferencia.

Proveedor	Servicio	Transferencias
Vercel	Hosting, despliegue, CDN y logs técnicos.	Estados Unidos/EEE con garantías contractuales.
Supabase	Base de datos, autenticación, almacenamiento y APIs.	Infraestructura en la UE cuando está configurada así; soporte internacional con garantías.
Stripe	Checkout, suscripciones, facturación, portal de cliente y prevención de fraude en pagos.	EEE/Estados Unidos y otros países con garantías contractuales.
Google Analytics	Analítica web opcional si aceptas cookies de analítica.	Tratamiento internacional con configuración y garantías de Google.
PostHog EU	Analítica de producto opcional si aceptas analítica; formularios enmascarados en session replay si estuviera activo.	Infraestructura europea cuando se usa host EU.
OpenAI/Anthropic u otros proveedores de IA	Generación de análisis cuando una funcionalidad lo requiere.	EEE/Estados Unidos con garantías contractuales según proveedor.
Resend u otro proveedor de email	Envío de newsletters, avisos operativos o correos de soporte.	EEE/Estados Unidos con garantías contractuales.

5. Cookies y tecnologías similares

Sarastro usa cookies técnicas y almacenamiento local necesario. La analítica con Google Analytics o PostHog solo se activa si aceptas expresamente. Puedes rechazarla o cambiar tu decisión en cualquier momento en la Política de cookies.

6. Derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento escribiendo a hola@sarastro.es. Responderemos en el plazo legal máximo de un mes, salvo casos complejos previstos por la normativa.

También puedes reclamar ante la Agencia Española de Protección de Datos en www.aepd.es.

7. Seguridad

Aplicamos HTTPS/TLS, separación de tablas por finalidad, control de acceso mediante Supabase Auth, claves de servidor fuera del navegador, RLS en tablas sensibles, rate limiting, hashes de IP cuando se necesita prevenir abuso y minimización de metadatos. Ninguna medida es infalible, pero diseñamos Sarastro para reducir exposición y trazabilidad innecesaria.

8. Menores

Sarastro no está dirigido a menores de 14 años. Si detectamos una cuenta o envío de datos de un menor sin legitimación suficiente, podremos eliminar la información.

9. Cambios

Actualizaremos esta política cuando cambien los tratamientos, proveedores o requisitos legales. Si el cambio afecta de forma sustancial a clientes Pro o suscriptores, lo comunicaremos por un medio razonable.