Política de privacidad de SmallFriendFiles

Versión: 0.2 (borrador, beta abierta) Fecha de entrada en vigor: 30 de agosto de 2026 Última actualización: 13 de octubre de 2026

Documento jurídico no definitivo. Se trata de un borrador de trabajo para la beta abierta y gratuita de SmallFriendFiles. Antes del lanzamiento público de pago (V1.1) será revisado obligatoriamente por un abogado español especializado en protección de datos. Su carácter de borrador no limita ninguno de los derechos que le reconoce la normativa aplicable.

Versiones lingüísticas. Este documento está disponible en español, ruso, inglés y ucraniano. En caso de discrepancia entre versiones, prevalecerá la versión en español, sin perjuicio de los derechos que le reconozca la normativa imperativa de protección de los consumidores.

1. Quiénes somos

El servicio SmallFriendFiles (en adelante, el «Servicio» o «nosotros») es prestado por:

• Responsable del tratamiento: Ekaterina Pustovaia, dada de alta como trabajadora autónoma en España
• NIF/NIE: Z2391039X
• Domicilio a efectos de notificaciones: Avenida de Francia, 79, bloque B, planta 10, puerta 8, 46024 València (Valencia), España
• Correo electrónico para consultas sobre protección de datos: privacy@smallfriendfiles.fyi
• Soporte: support@smallfriendfiles.fyi

Dado que el responsable del tratamiento está establecido en España, el tratamiento de datos personales se rige por:

• Reglamento (UE) 2016/679 (RGPD), Reglamento General de Protección de Datos
• Ley Orgánica 3/2018 (LOPDGDD), de Protección de Datos Personales y garantía de los derechos digitales
• Las demás normas de la Unión Europea y de España que resulten aplicables

Autoridad de control: Agencia Española de Protección de Datos (AEPD): https://www.aepd.es.

2. Qué datos recogemos

2.1. Datos de la cuenta

• Correo electrónico
• Nombre (si lo ha facilitado)
• Identificador de Google (si se registró mediante Google OAuth): únicamente el sub-claim y el correo electrónico, sin conservar tokens de larga duración
• Contraseña cifrada mediante hash (si se registró con correo electrónico y contraseña): bcrypt; no tenemos acceso a la contraseña en texto claro
• Idioma de la interfaz elegido o detectado
• Constancia de la aceptación de las Condiciones de uso: versión del documento, fecha y hora, e idioma en el que se mostró

Qué datos son obligatorios. Para crear la cuenta es necesario un correo electrónico y una contraseña, o bien iniciar sesión con Google; sin ellos no podemos crear la cuenta ni prestarle el Servicio. Para crear el perfil de una mascota son necesarios su nombre y su especie; el resto de los datos de la mascota es opcional. Subir documentos, fotos o notas, crear enlaces para compartir y enviar solicitudes de soporte es voluntario: si no lo hace, simplemente no podrá utilizar la función correspondiente.

2.2. Datos de la mascota

• Nombre de la mascota, especie (perro/gato/otra), raza, fecha de nacimiento, peso y sexo
• Notas libres sobre la mascota (introducidas por el titular, hasta 1000 caracteres)
• Foto de la mascota (almacenada en el almacenamiento de archivos del Servicio; véase la sección 5)

2.3. Contenido del archivo (Vault)

• Documentos subidos: PDF, JPEG, PNG y WebP, de hasta 15 MB por archivo (informes veterinarios, resultados de análisis, facturas o tiques, cartillas o pasaportes de vacunación, etc.)
• Metadatos del documento: tipo (vacuna/resultado de análisis/factura/pasaporte/otro), nombre del veterinario o de la clínica (introducido como texto libre por el titular), fecha del documento, etiquetas y notas
• Datos del pasaporte veterinario de la mascota: número de microchip y fecha de implantación, número de pasaporte, quién lo expidió y dónde, registro de identificación, historial de vacunación y, además, los datos de contacto del titular que figuran en el pasaporte: nombre, dirección, teléfono y correo electrónico. Estos datos se extraen automáticamente de las páginas del pasaporte que usted sube. La ficha completa puede eliminarse junto con la mascota o con la cuenta; la edición de campos concretos estará disponible cuando se habilite la pantalla del pasaporte.

Datos de otras personas. El contenido de los documentos y los metadatos pueden incluir datos personales de personas distintas de usted: nombres de veterinarios y datos profesionales de clínicas y, si la mascota tuvo otro titular, sus datos de contacto tal como figuran en el pasaporte o en una factura. Tratamos estos datos únicamente como parte del historial de la mascota que usted conserva, sin buscarlos ni combinarlos con otras fuentes, y sobre la base del interés legítimo (art. 6.1.f del RGPD) de usted y nuestro en disponer de un historial veterinario completo y fiel al documento original. Su consentimiento no sustituye la base jurídica relativa a esas personas, que no son parte del contrato con usted. Como no tenemos sus datos de contacto ni un medio razonable para comunicarnos con ellas, les facilitamos la información del art. 14 del RGPD mediante esta política (art. 14.5.b), y pueden ejercer sus derechos escribiendo a privacy@smallfriendfiles.fyi. Le pedimos que no suba documentos que no guarden relación con su mascota y que elimine los datos de terceros que no necesite.

Reconocimiento de documentos mediante IA. Cada documento que se sube se transmite a un servicio de IA de un tercero (Google (servicios de IA en la nube), EE. UU. y otros países en los que opera Google) para extraer metadatos (tipo de documento, fecha, clínica, veterinario, especialidad y etiquetas), elaborar un breve resumen del documento y, cuando el documento las contiene, extraer las vacunaciones. Junto con el documento se transmiten el idioma de la interfaz y el nombre de la mascota, para que el resultado se redacte en su idioma y el resumen se refiera a la mascota por su nombre. El mismo documento puede transmitirse de nuevo si falla la conexión con el proveedor (reintentos técnicos automáticos) o si usted solicita volver a reconocerlo. Esto ocurre automáticamente en cada subida: no existe un interruptor independiente, y la única forma de no transmitir un documento es no subirlo al Servicio; puede introducir los datos manualmente en lugar de subir el documento. El archivo y su registro se guardan en el Servicio en el mismo momento de la subida, antes del reconocimiento e independientemente de su resultado. La transmisión se rige por Condiciones adicionales de Google para sus API de IA: al estar el responsable establecido en el EEE, se aplican las condiciones de tratamiento de datos de los servicios de pago; Google no utiliza el contenido para mejorar sus productos y lo trata conforme a su DPA (Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, CCT); conserva registros durante un tiempo limitado para detectar abusos (véase la sección 4.2). Los metadatos extraídos sirven para rellenar previamente el formulario: puede editar o eliminar cualquier campo. Si sube páginas del pasaporte veterinario, al mismo servicio se le transmite también lo que figura en ellas, incluidos sus propios datos de contacto (nombre, dirección, teléfono y correo electrónico), si constan en el pasaporte.

Traducción de la colección compartida para el veterinario. La primera vez que una colección compartida (share-link) se abre en un idioma determinado, el título de la colección, la raza de la mascota y los títulos de los documentos que contiene se envían al mismo servicio de IA (Google (servicios de IA en la nube), EE. UU. y otros países en los que opera Google) para traducirlos a ese idioma. Solo se envía ese texto, nunca los archivos de los documentos ni su contenido. La traducción se hace una vez por idioma, se conserva junto con la colección y se elimina con ella; si cambia el nombre de un documento, el nuevo título se traducirá la próxima vez que se abra la colección. El nombre de la mascota no se envía al servicio: se convierte al alfabeto latino de forma automática, sin IA.

Le advertimos con transparencia de dos detalles técnicos. Los documentos de gran tamaño (a partir de unos 12 MB) no se envían al proveedor en el cuerpo de la solicitud, sino que se suben a su almacenamiento de archivos, donde la copia del documento existe durante un tiempo limitado conforme a las normas del proveedor. Además, el resultado original del reconocimiento se conserva en nuestros sistemas separado de sus modificaciones: es necesario para diagnosticar y evaluar la calidad del reconocimiento. Sus modificaciones no sobrescriben esta referencia, que se elimina junto con el documento.

Sobre la ficha del pasaporte en particular. La ficha pertenece a la mascota, no a un archivo concreto: se compone a partir de todas las páginas del pasaporte que usted haya subido. Por ello, eliminar un documento-página NO elimina la ficha, ni sus campos ni su referencia de reconocimiento. La ficha (junto con los datos de contacto del titular que figuran en el pasaporte y todo el historial de vacunación) se elimina cuando usted elimina la mascota o la cuenta, y dicha eliminación es irreversible.

2.4. Enlaces para compartir (share-links)

• Un token aleatorio (22 caracteres, apto para URL, 128 bits de entropía procedentes de un generador criptográfico de números aleatorios)
• La vinculación con la mascota y con un intervalo de fechas
• Plazo de validez: 30 días desde su creación; el enlace puede prorrogarse otros 30 días o revocarse en cualquier momento
• Una marca de revocación (si el titular ha revocado el enlace)

2.5. Datos técnicos

• Dirección IP (en los registros del servidor y en los accesos a la página compartida)

• User-Agent (tipo de navegador y de dispositivo)

• Eventos técnicos y errores del frontend/backend (a través de Sentry, para diagnosticar fallos). Sentry puede registrar trazas de pila (stack traces), fragmentos de código y la dirección IP. Procuramos no transmitir a Sentry el contenido de los documentos ni los datos personales relativos a la mascota: filtramos los campos sensibles en el propio SDK.

• Con el consentimiento del usuario, analítica de producto a través de PostHog EU:

  • eventos: visualizaciones de páginas (ruta sin query string, con los identificadores de la dirección sustituidos por una plantilla), clics y envíos de formularios sin el texto de los elementos, clics repetidos y «muertos», mapa de clics, errores de JavaScript, métricas de velocidad de carga (Web Vitals), inicio y finalización del registro, creación de una mascota y subida de un documento;
  • grabaciones de sesión (session replay): una grabación reproducible de cómo usa la interfaz — desplazamiento, movimientos del puntero y clics, paso de una pantalla a otra. Todo el texto de la página y todos los campos de entrada se enmascaran en su navegador antes de enviarse; las imágenes, los documentos y sus vistas previas no se graban en absoluto; las solicitudes de red no se graban; en las páginas públicas compartidas (share) no se graba nada;
  • vinculación con su cuenta: tras iniciar sesión, los eventos y las grabaciones se vinculan al identificador interno de su cuenta (UUID) — sin su correo electrónico ni su nombre — para poder seguir el recorrido de un mismo usuario entre visitas.

  Para ello, PostHog guarda en su navegador identificadores aleatorios de dispositivo y de sesión (una cookie y localStorage, véase la sección 11). Al recibir los eventos, el servidor de PostHog recibe su dirección IP y su User-Agent; la dirección IP no se conserva. No se transmiten a PostHog nombres, correos electrónicos, nombres de mascotas, números de documentos ni de microchips, nombres de archivos ni el contenido de los documentos.

• Cookies de autenticación (necesarias para el funcionamiento del Servicio; sin ellas no es posible iniciar sesión)

2.6. Solicitudes de soporte

El texto de la solicitud, la categoría elegida, las capturas de pantalla y vídeos adjuntos (JPEG / PNG / WebP / MP4 / MOV / WebM, de hasta 50 MB) y el contexto técnico: la página desde la que se envió la solicitud, el tamaño de la ventana del navegador y el User-Agent. La solicitud se envía por correo electrónico al responsable; los enlaces a los archivos adjuntos incluidos en ese correo son válidos durante 7 días.

2.7. Qué datos NO recogemos

• Datos de pago: en la V1 (beta gratuita) no hay pagos. En la V1.1, cuando integremos Stripe, le redirigiremos a Stripe Checkout: Stripe recoge los datos de pago por sí mismo y nosotros solo recibimos el estado de la suscripción y el identificador de cliente.
• Datos biométricos, datos relativos a la salud de las personas, geolocalización precisa, voz o contactos del teléfono: no los solicitamos y el Servicio no está concebido para ellos.
• Categorías especiales de datos del art. 9 del RGPD (datos relativos a la salud de las personas, origen racial o étnico, etc.): el Servicio no está diseñado para documentos médicos de personas, y está prohibido subirlos (Condiciones de uso, sección 5). Técnicamente no revisamos el contenido de los archivos subidos, por lo que le rogamos que no suba documentos que contengan datos de salud de personas.

Nota sobre los datos de salud: el RGPD incluye entre las categorías especiales los datos relativos a la salud de personas físicas. Los datos médicos de animales no están comprendidos en el art. 9. No obstante, les son aplicables los principios generales del RGPD.

3. Para qué tratamos estos datos y con qué base jurídica

Solo recurrimos al interés legítimo cuando sobre él no prevalecen sus derechos y libertades. Puede oponerse al tratamiento basado en el interés legítimo (véase la sección 8).

4. Quién tiene acceso a sus datos

4.1. Dentro del equipo

En la V1, únicamente la autora y desarrolladora (véase la sección 1), con acceso a las herramientas de administración de Supabase. Reducimos al mínimo la consulta efectiva de los datos de los usuarios: solo examinamos registros concretos ante un incidente o a petición expresa del usuario.

4.2. Encargados del tratamiento (que actúan por cuenta nuestra)

Google como proveedor de inicio de sesión. Si elige «Continuar con Google», Google (Google Ireland Ltd. / Google LLC) le autentica conforme a sus propias condiciones y su propia política de privacidad, como responsable independiente de ese tratamiento, y nos comunica únicamente su identificador de cuenta y su correo electrónico. No es un encargado que actúe por cuenta nuestra.

Puede solicitar una copia de las garantías aplicables a cada transferencia internacional (cláusulas contractuales o certificación) escribiendo a privacy@smallfriendfiles.fyi.

La lista de encargados (y subencargados) del tratamiento puede cambiar. Le informaremos de los cambios sustanciales con al menos 30 días de antelación a su entrada en vigor, mediante la actualización de esta página con una nueva fecha en el encabezado y, si disponemos de su correo electrónico, por correo, para que tenga la posibilidad de oponerse.

Upstash (caché para la limitación de frecuencia)

Qué: una base de datos Redis de Upstash almacena los contadores de limitación de frecuencia para el inicio de sesión y el registro, la exportación de datos, las solicitudes de soporte y las páginas compartidas públicas. Qué datos: la dirección IP (para los puntos de acceso anteriores al inicio de sesión y para las páginas compartidas públicas) y su identificador interno o un hash de su correo electrónico (para las acciones dentro de la cuenta), vinculados al contador con un tiempo de vida (TTL) de entre 1 minuto y 1 día. No almacena el contenido de las solicitudes ni sus documentos. Dónde: región UE (Fráncfort). DPA: suscrito en modalidad self-service.

Sentry: seudonimización del identificador de usuario

Seudonimización del identificador de usuario: en los eventos enviados a Sentry, su identificador interno se transmite como un hash breve e irreversible en lugar del UUID. El correo electrónico, la dirección IP y la query string de las solicitudes se eliminan antes del envío.

4.3. Comunicación a terceros por iniciativa suya (enlaces para compartir)

Cuando usted crea un enlace para compartir y facilita la URL a un veterinario (o a otro destinatario), usted pone voluntariamente el contenido de la página compartida a disposición de un tercero. SmallFriendFiles no controla a quién envía usted el enlace.

Medidas de protección que aplicamos por defecto:

• Plazo de validez: 30 días
• Puede revocarse en cualquier momento mediante el botón de revocación
• Token aleatorio de 22 caracteres apto para URL (128 bits de entropía)
• <meta name="robots" content="noindex,nofollow">: los motores de búsqueda no deben indexar la página compartida
• Ninguna analítica publicitaria ni de producto en la página compartida. Solo funciona la monitorización técnica de errores y rendimiento (Sentry, instancia de la UE), que recibe el tipo de error, la traza de pila y una URL anonimizada, sin correo electrónico, dirección IP ni contenido de los documentos

Usted, como titular, es responsable de la elección del destinatario, de la seguridad del canal por el que transmite el enlace (mensajería, correo electrónico) y de revocar el enlace a tiempo tras la visita.

4.4. Otras comunicaciones de datos

Podemos comunicar datos:

• En cumplimiento de un requerimiento obligatorio de una autoridad pública (juzgados y tribunales, AEPD, Administración tributaria), únicamente en la medida exigida por la ley
• Para proteger derechos, la vida o la seguridad de las personas (fuerza mayor)
• En caso de venta del negocio o fusión, con notificación previa y manteniendo las condiciones de la presente política

No vendemos ni alquilamos sus datos a terceros con fines publicitarios.

5. Dónde se almacenan físicamente los datos

• Base de datos principal y datos de autenticación: Supabase, región Suiza (Zúrich). Aquí se encuentran su cuenta, el perfil de su mascota y los metadatos de los documentos.
• Los propios archivos (documentos del Vault, fotos de mascotas, adjuntos de las solicitudes): Cloudflare R2, jurisdicción de la UE. Cloudflare es una empresa estadounidense; el tratamiento está amparado por el DPA de Cloudflare y el almacenamiento se realiza en la jurisdicción seleccionada.
• Parte de servidor de la aplicación: Vercel, región Alemania (Fráncfort, región fra1). Allí se ejecuta el código que lee y escribe sus datos; el contenido estático de la aplicación se almacena además en caché en nodos edge de todo el mundo. Esto significa que, al procesar una solicitud, sus datos se transmiten entre la región de almacenamiento y la región de ejecución.
• Registros de Sentry: instancia de la UE (ingest.de.sentry.io).
• Eventos y grabaciones de sesión de PostHog: EU Cloud (Fráncfort).
• Reconocimiento mediante IA: Google (servicios de IA en la nube), EE. UU. y otros países en los que opera Google.
• Inicio de sesión con Google: infraestructura de Google, conforme a sus propias condiciones (véase la sección 4.2).

Transferencias fuera del EEE. Suiza no forma parte del EEE, pero la Comisión Europea ha reconocido que ofrece un nivel de protección de datos adecuado, por lo que las transferencias a dicho país no requieren garantías adicionales.

Las funciones de servidor se ejecutan en Alemania; ello no constituye por sí mismo una transferencia internacional. No obstante, varios encargados son empresas estadounidenses o pertenecen a grupos estadounidenses (Vercel, Cloudflare, Sentry, PostHog, Upstash, Resend) y pueden acceder a los datos o tratarlos fuera del EEE, por ejemplo con fines de soporte, seguridad o mediante sus subencargados. Además, el servicio de IA de reconocimiento (EE. UU. y otros países en los que opera Google) y Resend (EE. UU.) tratan datos fuera del EEE. En todos estos casos la transferencia se ampara en las garantías indicadas en la columna «Contrato/DPA» de la sección 4.2: el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está certificado, o las cláusulas contractuales tipo (CCT) de la Comisión Europea incorporadas a su DPA. Puede solicitar una copia de estas garantías (véase la sección 4.2).

Nota para los usuarios de la Federación de Rusia

SmallFriendFiles no aloja ninguna base de datos en el territorio de la Federación de Rusia. El Servicio lo presta un responsable establecido en España (trabajadora autónoma), conforme al Derecho de la UE (RGPD); base de datos: Suiza (Zúrich); archivos: Cloudflare R2, jurisdicción de la UE; funciones de servidor: Alemania (Fráncfort, región fra1).

La legislación rusa sobre datos personales (en particular, el art. 18 de la Ley Federal n.º 152-FZ) contiene requisitos de localización de bases de datos. El Servicio no está organizado para cumplir esos requisitos y su infraestructura se encuentra en la UE y en Suiza. Le informamos de ello para que pueda decidir con conocimiento de causa si utiliza el Servicio; esta información no traslada a usted ninguna obligación que corresponda al responsable.

6. Durante cuánto tiempo conservamos los datos

Una vez eliminados de nuestros sistemas operativos, los datos se borran de forma irreversible. Los registros de la base de datos pueden permanecer durante un tiempo en sus copias de seguridad automáticas (como máximo 7 días): no existe acceso operativo a ellos y, al finalizar dicha ventana, las copias se sobrescriben. Los archivos se eliminan del almacenamiento en el momento de la eliminación; si en ese momento el almacenamiento no responde, la eliminación se reintenta automáticamente cada noche hasta completarse, y entretanto no existe ningún enlace que permita acceder a ellos. No existen copias de seguridad de los archivos.

Cuando una norma nos obligue a conservar determinados datos (por ejemplo, la documentación contable a partir de la V1.1), los conservaremos bloqueados, es decir, solo a disposición de jueces y tribunales, del Ministerio Fiscal o de las Administraciones públicas competentes, durante el plazo de prescripción correspondiente, y los destruiremos después (art. 32 de la LOPDGDD).

7. Eliminación de la cuenta y de los datos

Puede eliminar su cuenta en cualquier momento por sí mismo, desde la aplicación: Perfil → Zona de peligro → «Eliminar cuenta». Le pediremos que confirme la acción con su contraseña; si inicia sesión con Google, en lugar de la contraseña deberá introducir una palabra de confirmación. El acceso a la cuenta y a todos sus datos se desactiva de inmediato, y la eliminación es irreversible. Los datos se borran de nuestros sistemas operativos en ese mismo momento; las excepciones (copias de seguridad, archivos cuya eliminación debe reintentarse, copias de solicitudes de soporte en el correo y datos que debamos conservar por ley) se describen en la sección 6.

Si todavía puede iniciar sesión pero prefiere dirigirse a nosotros, escríbanos a través de Perfil → Ayuda. Si ha perdido el acceso a la cuenta y no puede utilizar el formulario (solo está disponible tras iniciar sesión), escriba a la dirección de contacto indicada en la sección 13. Atenderemos la solicitud recibida por cualquiera de estos canales sin dilación indebida y, en todo caso, en el plazo de un mes desde su recepción (art. 12.3 del RGPD), y le confirmaremos su ejecución por correo electrónico. Antes de eliminar la cuenta a petición por correo podremos pedirle que acredite que es su titular.

Al eliminar la cuenta:

• el perfil de la mascota, los documentos del Vault y los archivos almacenados se eliminan de forma irreversible;
• todos los enlaces para compartir dejan de abrirse;
• las solicitudes de soporte y los archivos adjuntos a ellas se eliminan junto con la cuenta; la copia en el buzón de correo del responsable se elimina conforme a la sección 6.

Con independencia de la eliminación de la cuenta, puede eliminar en cualquier momento un documento concreto (de forma inmediata e irreversible) o una mascota: la mascota permanece 90 días en estado «congelado» para que la eliminación pueda deshacerse y, transcurrido ese plazo, se elimina automáticamente.

8. Sus derechos (arts. 12 a 22 del RGPD)

Usted tiene derecho a:

1. Ser informado de qué datos suyos tratamos (arts. 13 y 14): la presente política constituye el ejercicio de este derecho
2. Acceso a sus datos: solicitar una copia de los datos que conservamos (art. 15)
3. Rectificación de los datos inexactos (art. 16)
4. Supresión («derecho al olvido», art. 17): véase la sección 7
5. Limitación del tratamiento en determinados supuestos (art. 18)
6. Portabilidad de los datos (art. 20): exportación de sus datos en un formato estructurado de lectura mecánica, JSON (los archivos se facilitan mediante enlaces temporales incluidos en dicho JSON)
7. Oposición al tratamiento basado en el interés legítimo o con fines de mercadotecnia directa (art. 21)
8. Retirar el consentimiento en cualquier momento (art. 7), cuando la base jurídica sea el consentimiento
9. No ser objeto de decisiones automatizadas que produzcan efectos jurídicos o le afecten significativamente (art. 22). En la V1 no adoptamos decisiones automatizadas respecto de usted.
10. Presentar una reclamación ante la AEPD (Agencia Española de Protección de Datos, https://www.aepd.es) o ante la autoridad de control del Estado miembro en el que tenga su residencia habitual o su lugar de trabajo, o en el que se haya producido la supuesta infracción (art. 77 del RGPD).

Derecho a la portabilidad (art. 20): en la página «Perfil» está disponible el botón «Descargar mis datos». Este devuelve un archivo JSON que contiene todos los datos de sus mascotas y los metadatos de los documentos, junto con enlaces temporales (24 horas) a los propios archivos almacenados. Los archivos se descargan por separado mediante dichos enlaces.

Para ejercer cualquiera de estos derechos, envíe su solicitud mediante el formulario de contacto de la aplicación, Perfil → Ayuda: es el canal que ya está operativo y llega directamente al responsable. También puede escribir a privacy@smallfriendfiles.fyi. Le responderemos sin dilación indebida y, en todo caso, en el plazo de un mes desde la recepción de la solicitud. Ese plazo puede prorrogarse otros dos meses si la solicitud es compleja o son numerosas; en ese caso le informaremos de la prórroga y de sus motivos dentro del primer mes (art. 12.3 del RGPD). Si tenemos dudas razonables sobre su identidad, podremos pedirle información adicional para confirmarla.

El ejercicio de los derechos es gratuito. Si una solicitud es manifiestamente infundada o excesiva (por su carácter repetitivo), podremos cobrar un canon razonable o negarnos a actuar, motivando nuestra decisión.

9. Seguridad

Medidas técnicas y organizativas de protección:

• TLS 1.2 o superior para todo el tráfico (HSTS activado)
• Cifrado de los datos «en reposo» por parte de Supabase (AES-256)
• bcrypt para las contraseñas; los tokens OAuth no se conservan a largo plazo
• Seguridad a nivel de fila (Row Level Security, RLS) en Postgres: cada usuario solo ve sus propios datos
• Acceso a las herramientas de administración únicamente mediante autenticación multifactor (MFA)
• Acceso al entorno de producción reservado exclusivamente a la autora y desarrolladora
• Tokens aleatorios de 22 caracteres para los enlaces para compartir (alfabeto apto para URL, 128 bits de entropía): su obtención por fuerza bruta es inviable
• Almacenamiento de archivos privado: la ruta de cada archivo comienza por el identificador de su titular, y el servidor verifica la titularidad antes de emitir cualquier enlace, tanto de subida como de lectura. Los archivos solo se sirven mediante enlaces firmados de vigencia limitada: 1 hora para la visualización en la aplicación y en la página compartida, 24 horas para la exportación de datos y 7 días para los adjuntos de las solicitudes de soporte
• Copias de seguridad periódicas de la base de datos (gestionadas por Supabase); el almacenamiento de archivos funciona sin control de versiones
• Las fotos de la mascota se vuelven a guardar directamente en el navegador, lo que elimina los metadatos EXIF (incluidas las coordenadas GPS). En las imágenes de documentos esto solo ocurre al comprimir archivos de más de 2 MB: las imágenes pequeñas y los PDF se guardan tal cual, con sus metadatos

Pese a las medidas adoptadas, ningún sistema es absolutamente seguro. Si se produce una brecha de seguridad que afecte a datos personales, la notificaremos a la AEPD sin dilación indebida y, a ser posible, en un plazo de 72 horas desde que tengamos constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas (art. 33 del RGPD). Si es probable que la brecha entrañe un alto riesgo para usted, se lo comunicaremos también a usted sin dilación indebida (art. 34 del RGPD).

10. Menores

El Servicio está destinado a personas mayores de 18 años. No recogemos conscientemente datos de menores de edad. Si usted es padre, madre o tutor y descubre que un menor ha creado una cuenta, escriba a privacy@smallfriendfiles.fyi y eliminaremos la cuenta.

En España, la edad para prestar consentimiento al tratamiento de datos conforme a la LOPDGDD es de 14 años, pero fijamos un umbral superior de 18 años para simplificar el cumplimiento normativo y porque el Servicio puede contener facturas o documentos con datos financieros de los titulares adultos de las mascotas.

11. Cookies y tecnologías similares

El Servicio utiliza únicamente cookies propias (first-party). No se instalan cookies publicitarias ni píxeles de marketing. La simple visita a la página pública del producto no instala ninguna cookie nuestra.

Las cookies de sesión, pawfile_recovery y pf_pet_gate son técnicamente necesarias para el inicio de sesión, la seguridad y el funcionamiento de las páginas que usted solicita. pf_active_pet, pf_locale y pf_welcomed solo guardan preferencias o acciones que usted ha realizado de forma expresa y sirven para prestarle el servicio que ha pedido; pf_analytics_consent guarda su propia elección sobre las cookies. Conforme al art. 22.2 de la LSSI-CE (Ley 34/2002) y a la Guía sobre el uso de las cookies de la AEPD, estas cookies están exceptuadas del deber de consentimiento, pero le informamos de ellas en esta política. Ninguna se utiliza para elaborar perfiles ni con fines publicitarios.

Analítica (PostHog). La analítica de producto y las grabaciones de sesión descritas en las secciones 2.5 y 3 solo se activan después de pulsar «Permitir» en el banner. Solo entonces PostHog instala la cookie ph_…_posthog y escribe en localStorage/sessionStorage. Si no ha permitido la analítica, PostHog no se carga, no guarda nada y no se envía ningún evento. Si permitió la analítica antes del 12 de octubre de 2026, cuando funcionaba sin grabaciones de sesión y sin cookies, se lo volveremos a preguntar.

Cambiar o retirar su consentimiento. Puede cambiar su elección en cualquier momento mediante el enlace «Configuración de cookies», disponible al pie de la página pública, al final de esta política y en el Perfil. Si retira el consentimiento, el Servicio deja de inmediato de enviar eventos y de grabar la sesión, y los identificadores de PostHog se restablecen, también en las demás pestañas abiertas en cuanto vuelva a ellas; PostHog solo conserva en su navegador una marca de rechazo. Retirar el consentimiento es tan sencillo como darlo y no afecta a la licitud del tratamiento anterior.

12. Modificaciones de la política

Esta política es un documento informativo: no necesita aceptarla, y su contenido no amplía por sí mismo los tratamientos que realizamos. Le informaremos de los cambios sustanciales con al menos 30 días de antelación por correo electrónico y mediante un aviso en el Servicio. Las modificaciones menores (corrección de erratas, aclaraciones de redacción) se publican sin aviso previo, actualizando la fecha de «Última actualización» al principio del documento.

Si un cambio requiere su consentimiento (por ejemplo, un nuevo tratamiento basado en el consentimiento), se lo pediremos de forma expresa y separada; el simple hecho de seguir utilizando el Servicio no se considerará consentimiento.

13. Contacto

• Consultas sobre datos personales: privacy@smallfriendfiles.fyi
• Consultas generales: support@smallfriendfiles.fyi
• Dirección postal: Ekaterina Pustovaia, Avenida de Francia, 79, bloque B, planta 10, puerta 8, 46024 València (Valencia), España

Anexo: glosario

• Responsable del tratamiento (controller): determina los fines y medios del tratamiento. En nuestro caso, una trabajadora autónoma establecida en España (véase la sección 1).
• Encargado del tratamiento (Processor): trata los datos por cuenta del responsable. Por ejemplo, Supabase, Vercel, Sentry, etc.
• Subencargado del tratamiento (sub-processor): encargado contratado por otro encargado (por ejemplo, la región de AWS utilizada por Supabase es un subencargado de Supabase).
• DPA (Data Processing Agreement, contrato de encargo del tratamiento): contrato entre el responsable y el encargado sobre la protección de datos, conforme al art. 28 del RGPD.
• CCT (cláusulas contractuales tipo; en inglés, SCC): cláusulas contractuales tipo de la Comisión Europea para la transferencia de datos personales fuera del EEE.
• Solicitud de ejercicio de derechos (DSAR, Data Subject Access Request): solicitud del interesado para ejercer los derechos previstos en los arts. 15 a 22 del RGPD.

Configuración de cookies