Política de privacidad

Tov.events recopila los siguientes datos:

• Cuenta del organizador: nombre, correo, contraseña (cifrada con hash, nunca legible), foto de perfil si inicia sesión con Google, idioma, zona horaria y nombre de usuario (visible en la dirección de sus invitaciones).
• Sesiones de inicio de sesión: dirección IP y navegador de cada sesión abierta, mostrados en su configuración para que pueda revocarlas.
• Llaves de acceso (passkey): si añade una, la clave pública creada por su dispositivo, su identificador, su tipo y el nombre del dispositivo (por ejemplo «iPhone»). Su rostro, su huella y el código de su teléfono permanecen en el dispositivo: Tov nunca los recibe. Una llave se borra cuando usted la elimina, cuando restablece su contraseña y con su cuenta.
• Eventos: título, fecha, lugar, descripción, ceremonias, fotos subidas y, si los completa, su memoria familiar (familiares, fechas de yahrzeit).
• Invitados: nombre, nombre hebreo, teléfono, correo, notas e idioma, ingresados por el organizador (a mano, como lista pegada, desde un archivo o desde sus contactos).
• Respuestas de los invitados: asistencia, número de personas, niños, acompañantes (sus nombres y los de los niños, si el invitado los da), mensaje y respuestas a las preguntas personalizadas. Si el formulario lo pide, el invitado también puede indicar una dieta kósher y alergias alimentarias: son datos sensibles (convicciones religiosas, salud), ingresados voluntariamente por el invitado para organizar la comida. Son visibles para el organizador y sus editores (incluso en la exportación de respuestas y en la página del servicio de comida); un lector solo ve las cifras (cuántos glatt, cuántas alergias), salvo si el organizador le abre el detalle. Cuando se modifica una respuesta, la anterior se guarda en un archivo. Tov no registra la dirección IP de los invitados junto con su respuesta.
• Contactos de Google importados: si importa sus contactos de Google, se copian en una zona temporal, que se borra en cuanto usted los ve para hacer su elección; solo los contactos que usted elige se convierten en invitados. Tov no conserva ningún token de acceso de Google. Detalle en la sección 9.
• Agenda de contactos: cada hogar invitado a una de sus celebraciones entra en su agenda («Mis contactos»), visible solo para usted: nombre del hogar, nombre hebreo, las personas del hogar (nombre, apellido, teléfono, correo electrónico), los grupos que usted crea y una nota privada (le aconsejamos no escribir en ella ninguna información de salud). Los contactos leídos desde su teléfono o desde un archivo de contactos (.vcf) se leen en su navegador: solo los que usted marca se envían a Tov. Los invitados que un coorganizador añade a su celebración entran en su agenda, la del propietario de la celebración. Los nombres que usted escribe en «Quién viene» del plan de mesas, incluidos los que un invitado dio al responder y que usted guarda, se añaden a las personas del hogar.
• Plan de mesas: para sentar a sus invitados, puede poner etiquetas («Rabanim», «Jóvenes»…) a personas y a mesas, formar grupos dentro de una familia y, si la sala está separada (mehitsá), indicar el lado de hombres o de mujeres de cada persona. Tov propone ese lado a partir de un nombre claro o de un título escrito («Rav», «Sra.»), sin inteligencia artificial; una propuesta solo se guarda si usted la confirma, y un nombre usado por ambos queda por verificar. Esta información solo la ven el organizador y sus editores, nunca un lector ni los invitados, y se borra con la celebración. Un invitado solo ve el número de su mesa.
• Regalos: si el organizador los indica, sus formas de recibir un regalo (número de Bit o Wero, enlace del código QR de Bit —leído en una captura de pantalla que nunca sale del dispositivo del organizador—, enlace de PayBox, PayPal, Revolut, de una colecta o de una lista, IBAN y nombre del titular), que ven sus invitados; cada alta o cambio se guarda (antes y después) para el correo de seguridad y el botón «No fui yo». Cuando un invitado toca una de esas formas en su invitación, Tov lo anota en la página Regalos del organizador con la forma elegida, la fecha, el mensaje de su respuesta y, si lo escribe, un importe. Ese regalo solo lo ven el organizador y sus editores, nunca un lector, y nunca se publica. Tov nunca recibe, transmite ni ve el dinero: el pago se hace en la aplicación del invitado (Bit, PayBox, su banco…). El orden en que la invitación muestra estas formas sigue el país del invitado: el de su número de teléfono si el organizador lo anotó, si no, el país de conexión que indica Cloudflare; este país nunca se guarda.
• Proveedores: si el organizador los anota, el nombre de cada proveedor (salón, catering…), su teléfono si lo indica, el precio, cada pago (importe, fecha, qué lado de la familia pagó) y, si la toma, la foto del recibo (limpiada en el navegador antes del envío, como las demás fotos). Estos datos son visibles para el organizador y sus editores; un lector solo ve los gastos si el organizador marca «Ver los gastos» para él, y nunca el teléfono de un proveedor ni un recibo. Se borran con la fiesta; borrar un pago o un proveedor elimina la foto de su recibo. Si el organizador de una boda comparte los gastos con la otra familia, es mediante un enlace que puede detener en cualquier momento: la página muestra los gastos y qué lado los pagó, nunca los regalos, los invitados ni el teléfono de un proveedor; la respuesta escrita desde ese enlace («De acuerdo», «Falta un gasto» y su nota) se guarda con la fiesta, sin nombre ni número, y nunca se mide.
• Aperturas de invitaciones: Tov registra internamente las aperturas de una invitación (para que el organizador sepa quién la leyó), sin cookies y sin consentimiento, con un identificador seudónimo; estos datos no se envían a ningún tercero. El organizador, y los coorganizadores que ven el detalle de las respuestas (editores, o lectores a quienes él se lo abrió), ven qué familia abrió su enlace personal y cuándo (la primera apertura). Un coorganizador que solo ve las cifras ve únicamente cuántas familias lo abrieron, nunca cuáles, y ese total solo se le muestra si no permite adivinar una familia. Un enlace personal reenviado a otra persona cuenta como una apertura de la familia; una apertura puede, en raras ocasiones, no quedar registrada.
• Registros y formularios: registro de los correos enviados (solo el dominio del destinatario), mensajes de comentarios (conservados sin su identidad tras la eliminación de la cuenta) y lista de espera (correo, país, navegador).
• Medición de audiencia e informes de errores: solo con su consentimiento para el navegador; vea la sección 6.

Fotos. Antes del envío, cada foto se redibuja en su navegador: la posición GPS, el dispositivo y la hora de la toma que contiene se eliminan. Una foto que aún los lleve es rechazada. Solo la fecha de la toma (el día, nunca la hora) se lee antes de esta limpieza y se guarda con la foto de su álbum: puede corregirla o borrarla en el taller de fotos; puede aparecer en su invitación (modelo Éphéméride).

Si usted es invitado. Cuando responde a una invitación, su respuesta (asistencia, número de personas, mensaje y, si los indica, dieta kósher y alergias) se guarda para el organizador de la celebración, que decide su uso. Solo el organizador y sus coorganizadores la ven; nunca se publica. Para que la modifiquen o la borren, pídaselo al organizador o escriba a contact@tov.events. Si el anfitrión lo retira de su lista, su respuesta se borra junto con su ficha.

Los datos se usan para:

• Prestar el servicio de invitaciones en línea.
• Gestionar las respuestas (RSVP) y el seguimiento de las confirmaciones.
• Indicar al organizador que una invitación fue abierta.
• Enviar notificaciones relacionadas con el servicio al organizador y a sus colaboradores (confirmaciones, recordatorios, alertas de seguridad). Tov no escribe a los invitados, salvo un correo: si el organizador lo elige, la mañana de la fiesta cada familia que asiste recibe su mesa (número, nombre de la mesa, hora y lugar) en la dirección de correo indicada por el organizador o por el invitado; un enlace al final de ese correo basta para dejar de recibirlo.
• Enviar al organizador, como máximo una vez cada 3 días (salvo el aviso de un cambio todavía no comunicado a los invitados), consejos escritos de antemano cuando su celebración parece en pausa (ninguna celebración creada, invitación nunca enviada, envío empezado y luego detenido, celebraciones duplicadas, un cambio de día, hora o lugar todavía no avisado a los invitados). Estos correos solo contienen números, nunca el nombre ni el mensaje de un invitado. La hora de sus últimas visitas nos sirve para escribirle en un momento práctico; ningún píxel mide si se abren, y un enlace al pie de cada uno basta para dejar de recibirlos.
• Garantizar la seguridad de las cuentas y corregir los errores del servicio.
• Con su consentimiento, medir el tráfico del sitio público.

El tratamiento de los datos se basa en la ejecución del contrato de servicio (creación de cuenta, aceptación de las condiciones de uso), en el interés legítimo de garantizar la seguridad del servicio y de ayudarle a llevar adelante su celebración (consejos por correo, a los que puede renunciar con un clic), y en su consentimiento para la medición de audiencia y los informes de errores del navegador. Los datos de los invitados los ingresa el organizador, que decide a quién invita, o el propio invitado cuando responde.

Sus celebraciones se conservan mientras usted no las elimine. Una celebración y sus datos (invitados, respuestas, mensajes, regalos…) se conservan mientras su propietario no la elimine; puede hacerlo en cualquier momento: la celebración pasa entonces 30 días en una papelera, cerrada a los invitados y recuperable por su propietario, y después se borra. Las mediciones de apertura de las invitaciones se conservan un año. La copia temporal de los contactos de Google importados se borra en cuanto se muestra o, si nunca se abre, en la limpieza siguiente una vez pasada una hora (sección 9); las sesiones de inicio de sesión duran 30 días y luego las sesiones vencidas se borran; los contadores de uso diarios (textos redactados por la IA, invitaciones de coorganizadores), que sirven para los límites, se borran después de 30 días. Los enlaces de inicio de sesión y de restablecimiento de contraseña se borran un día después de su vencimiento. El recuento de intentos de inicio de sesión con llave de acceso, que sirve para bloquear los intentos repetidos, se borra en el siguiente inicio de sesión correcto o, si no, un día después del final de su ventana de 15 minutos. Las respuestas anteriores, conservadas cuando un invitado cambia de opinión, se borran después de 180 días; las notificaciones, el registro de correos (solo el dominio), el registro de consejos enviados por correo y la lista de espera, después de un año; los mensajes de comentarios, después de dos años. El registro de las acciones del equipo de Tov sobre una cuenta o una celebración (asistencia, eliminación, restauración), llevado por seguridad, guarda solo identificadores, el tipo de navegador y el país; se borra después de dos años. Cuando un organizador cambia la dirección de sus invitaciones (@nombre) o elimina su cuenta, la dirección anterior se guarda como una huella (nunca en texto legible), sin límite de tiempo, para que ninguna otra cuenta pueda tomarla y los enlaces ya enviados nunca lleven a otra persona.

Su agenda se conserva mientras usted no la vacíe. Eliminar una celebración no borra los hogares de su agenda. Eliminar una ficha la quita de la agenda; las celebraciones conservan a sus invitados, salvo si usted marca «Eliminar también de todas mis celebraciones» (solicitud de supresión: el hogar y sus respuestas desaparecen entonces de todas sus celebraciones). Eliminar su cuenta borra su agenda.

Eliminar una celebración borra su página, sus momentos, sus invitados y sus respuestas; las fotos de la celebración se borran del almacenamiento al mismo tiempo. Su propietario puede hacerlo en cualquier momento. Eliminar un invitado también borra su respuesta y sus respuestas anteriores.

El resumen posterior a la celebración es privado por defecto. Para las celebraciones creadas desde el 1 de octubre de 2026, la página de recuerdo solo es visible si el organizador la publica; entonces muestra el balance y las fotos aprobadas; los mensajes de los invitados no aparecen en ella. Nunca la indexan los motores de búsqueda. El organizador puede volver a ocultarla en cualquier momento.

Eliminar su cuenta (Configuración, Privacidad) requiere una confirmación por correo, válida durante una hora, y luego borra de inmediato la cuenta, sus celebraciones, sus invitados y sus respuestas. Permanecen: los mensajes de comentarios (sin su identidad, dos años como máximo), los conteos de aperturas (seudónimos), el registro de correos (solo el dominio, un año como máximo), la lista de espera (un año como máximo) y el historial técnico de la base de datos, que permite restaurar las últimas seis horas. Los archivos de las fotos se borran con la celebración; tras la eliminación de una cuenta, a más tardar en 24 horas.

Tov nunca vende sus datos: solo sirven para su celebración y para el funcionamiento del servicio. Se confían a los siguientes proveedores, cada uno solo para su función:

• Cloudflare: alojamiento y ejecución del sitio (red mundial), almacenamiento de las fotos y protección contra robots Turnstile en el registro, la contraseña olvidada y el formulario de respuesta de los invitados.
• Neon: base de datos (Unión Europea, Fráncfort).
• Resend: envío de los correos del servicio al organizador y a sus colaboradores y, si el organizador lo elige, del correo «Su mesa» a los invitados la mañana de la fiesta.
• Inngest: tareas programadas (recordatorios, resúmenes, agradecimientos).
• Google: inicio de sesión con Google, importación de sus contactos a su pedido, ingreso de direcciones (Google Maps) y, con su consentimiento, Google Analytics.
• Google (Gemini): ayuda para redactar, solo cuando usted la pide (botón «Escribir con Tov» o del asistente), y traducción de sus textos, a petición suya y luego automáticamente cuando su invitación se lee en otro idioma; Tov solo envía los textos necesarios y el tipo de celebración, nunca los nombres (sustituidos antes del envío) ni los datos de contacto de sus invitados. Única excepción: cuando da una indicación o hace una pregunta al asistente del plan de mesas (Tovy), Google recibe, para entenderla, su indicación, las últimas líneas de la conversación en curso (seis como máximo) y los nombres y apellidos de las familias de ese momento, su lado, sus etiquetas y las mesas — nunca una dieta, una alergia, un mensaje, una nota privada, un teléfono ni un correo. Tov no guarda esta conversación: se borra cuando usted sale del plan. Lo que hace el asistente se aplica enseguida en el plan y se deshace con un gesto.
• PostHog (servidores europeos): con su consentimiento, medición del uso del sitio.
• Sentry: informes de errores técnicos del servidor y, con su consentimiento, del navegador.
• Servicios de notificación de su navegador: si activa las notificaciones.
• UptimeRobot: supervisión de la disponibilidad del sitio (solo la dirección pública).
• Hostinger: buzón de correo contact@tov.events.

Algunos de estos proveedores pueden tratar datos fuera de la Unión Europea (Google Analytics, en particular, en los Estados Unidos, en el marco del Data Privacy Framework UE–EE. UU.; el tratamiento de sus textos por Google (Gemini) también puede realizarse fuera de la Unión Europea). También comunicamos datos a las autoridades competentes cuando la ley lo exige. Por último, el equipo de Tov puede abrir temporalmente (dos horas) el espacio de un organizador para brindar soporte técnico.

Cookies esenciales (sin consentimiento): cookie de sesión (30 días, inaccesible para JavaScript), caché de sesión (1 hora), dos cookies técnicas mientras se añade o se usa una llave de acceso (10 minutos como máximo) y, para el equipo de Tov durante el soporte, una cookie temporal (2 horas).

Almacenamiento local del navegador (sin consentimiento): no son cookies. Tov guarda allí su elección de cookies, el idioma del espacio del organizador, el estado «sesión iniciada», el estado de la barra lateral, el sobre abierto de una invitación, su preferencia de música, y si este dispositivo ya tiene una llave de acceso para Tov (y si ya se le propuso). Nada de eso sale de su dispositivo.

Medición de audiencia (con su consentimiento): la categoría «Medición de audiencia» del aviso abarca tres herramientas:

• Google Analytics: páginas vistas del sitio público, con las cookies de Google. Google puede tratar estos datos en los Estados Unidos. Las señales de Google y la personalización publicitaria están desactivadas.
• PostHog: uso del sitio y de los recorridos (servidores europeos), con el almacenamiento propio de PostHog en su navegador.
• Sentry: informes de errores del navegador, cargados con el primer error, con una repetición de la pantalla (todos los textos ocultos, medios bloqueados) para una parte de las sesiones y para toda sesión con error.

Estas tres herramientas nunca funcionan en las invitaciones, en el espacio del organizador, en el inicio de sesión, en los borradores ni en las páginas de colaboración, y nunca en una dirección que contenga un enlace personal. No se usa ninguna cookie publicitaria. Puede retirar su consentimiento en cualquier momento desde la configuración de su espacio o borrando los datos del sitio en su navegador; entonces vuelve a aparecer el aviso «Gestión de cookies».

De acuerdo con el RGPD, usted dispone de los siguientes derechos:

• Derecho de acceso: obtener una copia de sus datos personales.
• Derecho de rectificación: corregir sus datos inexactos.
• Derecho de supresión: eliminar una celebración o su cuenta desde su configuración (vea la sección 4).
• Derecho a la portabilidad: recibir sus datos en un formato estructurado y legible por máquina (exportación JSON de las celebraciones de las que es propietario, sin los archivos de fotos, desde su configuración; exportación CSV de las respuestas).
• Derecho de oposición: oponerse al tratamiento de sus datos.

Si usted es invitado, puede dirigirse al organizador de la celebración o a nosotros. Para ejercer estos derechos, escríbanos a contact@tov.events.

Aplicamos medidas técnicas y organizativas para proteger sus datos: hash de las contraseñas, sesiones firmadas en una cookie inaccesible para JavaScript, protección CSRF, validación sistemática de las entradas, limitación de frecuencia (rate-limit) y el desafío contra robots Cloudflare Turnstile en el registro, la recuperación de contraseña y el formulario de respuesta de los invitados. Las respuestas de los invitados son visibles según el rol (propietario, editor, lector) que el organizador asigna a sus colaboradores.

Tov.events ofrece dos funciones que pasan por su cuenta de Google. Solo se usan si usted las elige.

• Iniciar sesión con Google: Tov le pide a Google solo su identidad básica (permisos «openid», «email» y «profile»): su nombre, su correo, su foto de perfil y el identificador de su cuenta de Google. Sirven únicamente para crear su cuenta de Tov y para iniciar sesión. Tov no guarda ningún token de acceso de Google: los que Google transmite al iniciar sesión se descartan antes de guardar cualquier dato.
• Importar sus contactos de Google (página «Invite» de una celebración, o «Import contacts» de «My contacts», en el espacio del organizador, solo si usted hace clic en ese botón): Tov pide acceso de solo lectura a sus contactos (permiso «contacts.readonly») y lee, de cada contacto, su nombre, su número de teléfono principal y su correo principal, nada más, con un máximo de 2000 contactos. Tov nunca modifica ni elimina sus contactos en Google. El token de acceso solo sirve durante esa lectura: nunca se guarda, y Tov no pide ningún acceso duradero.

Uso y almacenamiento: sus contactos solo sirven para que usted elija a quién invitar o a quién añadir a su libreta. La lista leída en Google se copia en una zona temporal de nuestra base de datos, vinculada a su cuenta (y a su celebración, si la importación parte de una celebración). Se borra en cuanto la lista de selección se le muestra, justo después de que vuelve de Google; una lista que nunca se haya abierto se borra en la limpieza siguiente, una vez pasada una hora. Solo los contactos que usted marca se convierten en invitados de su celebración o en fichas de su libreta; los demás no se conservan. Esos invitados y fichas se tratan luego como los ingresados a mano (secciones 1 y 4).

Transferencia a terceros: los datos recibidos de Google nunca se venden, nunca se usan para publicidad (ni segmentación, ni retargeting, ni publicidad personalizada), nunca se usan para evaluar la solvencia y nunca se transmiten a plataformas publicitarias ni a intermediarios de datos. No sirven para entrenar ningún modelo de inteligencia artificial. No se transfieren a nadie, salvo a los proveedores técnicos que hacen funcionar el servicio (Cloudflare para el alojamiento, Neon para la base de datos; vea la sección 5), cuando es necesario para la seguridad del servicio o cuando la ley lo exige.

Lectura por una persona: nadie en Tov lee sus contactos de Google. El equipo de Tov solo consulta los invitados que usted eligió si usted pide ayuda al soporte (sección 5), por la seguridad del servicio o para cumplir la ley.

Revocar el acceso y borrar estos datos: puede quitar en cualquier momento el acceso de Tov.events a su cuenta de Google en myaccount.google.com/permissions. Quitar el acceso no borra lo que ya eligió en Tov: elimine los invitados correspondientes o la celebración en su espacio, o elimine su cuenta (Configuración, Privacidad) para borrar el nombre, el correo y la foto recibidos de Google (sección 4). También puede escribirnos a contact@tov.events.

Compromiso «Limited Use»: el uso por parte de Tov.events de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, cumplen la Google API Services User Data Policy, incluidos los requisitos «Limited Use». Texto de referencia: «Tov.events’ use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.»