Política de tratamiento de datos personales

Revisión 1.2, de fecha 21.10.2026.

1. Disposiciones generales

1.1. Esta política describe cómo Daniil Shastovsky (el «Responsable») trata los datos personales de quienes visitan surfup.dev (el «Sitio»), de quienes se ponen en contacto con nosotros mediante el formulario o el bot de Telegram @surfup_ai_bot y de los clientes del estudio SurfUp.

1.2. Se basa en la Ley Federal rusa n.º 152-FZ, de 27 de julio de 2006, «Sobre los datos personales». Para las personas de la UE, el Espacio Económico Europeo y el Reino Unido también se aplica la sección 11.

1.3. La aplicación privada del espacio de trabajo app.surfup.dev funciona únicamente por invitación. Los datos de inicio de sesión que utiliza se describen en la tabla de la sección 3 (finalidad D).

1.4. Esta política se publica en el Sitio y está disponible sin necesidad de registrarse.

2. Responsable y contacto

Responsable: Daniil Aleksandrovich Shastovsky, contribuyente ruso del impuesto sobre los ingresos profesionales (trabajador autónomo), INN 781631339830. Dirección: calle Zavodskaya, 17, San Petersburgo, 192076, Rusia. Teléfono: +7 958 175-40-99. Correo para solicitudes sobre datos personales: surfup_dev@protonmail.com. El Responsable es la persona encargada del tratamiento de los datos personales.

3. Qué datos tratamos, con qué finalidad y sobre qué base

3.1. No solicitamos ni recopilamos categorías especiales de datos (salud, creencias y similares), datos biométricos, contraseñas ni datos de pago. No los envíes mediante el formulario ni por Telegram.

3.2. No enviamos correos de marketing ni boletines. Si esto cambia, solicitaremos un consentimiento independiente.

3.3. Si no facilitas ningún dato de contacto, no podremos responder a tu solicitud.

4. Qué hacemos con los datos

Recopilación, registro, organización, acumulación, almacenamiento, actualización, uso, transferencia (divulgación) a los destinatarios indicados en la sección 6, anonimización, eliminación y destrucción. El tratamiento se realiza por medios automatizados. No se toman automáticamente decisiones que produzcan efectos jurídicos para ti.

5. Dónde se almacenan los datos

5.1. Las solicitudes llegan a través del formulario del Sitio y del bot de Telegram @surfup_ai_bot. Para reenviar una solicitud mediante Telegram LLC (en adelante, también «Telegram») al destinatario designado por el Responsable, este la almacena temporalmente en el servidor del Sitio (aplicación web), en una cola técnica de reintentos. La cola puede contener datos de contacto e información de la solicitud y se utiliza únicamente para volver a intentar reenviarla por Telegram. En cuanto Telegram confirma el envío del mensaje, el registro se elimina inmediatamente de la cola. Si Telegram no confirma el envío, el registro se elimina durante el siguiente ciclo automático de limpieza una vez transcurridas 72 horas desde la recepción de la solicitud. Si no es posible reenviar la solicitud durante ese plazo, no se entregará. Tras el reenvío, Telegram almacena los datos: en la conversación con el bot y en el chat del Responsable, dentro de la infraestructura de Telegram y conforme a sus reglas.

5.2. El Sitio está alojado en servidores de Hetzner Online GmbH (Alemania), donde se conservan el código del Sitio y los registros técnicos (dirección IP, hora de la solicitud, dirección de la página y tipo de navegador). Si se envía una solicitud mediante el bot de Telegram, el Responsable guarda en el servidor del Sitio el ID del chat de Telegram y el nombre disponible en el perfil de Telegram para continuar la conversación a través del bot: el nombre de usuario o, si no se ha indicado ninguno, el nombre o los apellidos proporcionados por Telegram, si están disponibles. Estos datos se utilizan únicamente para dirigir las respuestas en Telegram. El registro se elimina durante el siguiente ciclo automático de limpieza una vez transcurridos 365 días desde el envío de la solicitud. Para que el bot funcione, el Responsable guarda el ID del chat de Telegram y el idioma de interfaz elegido. Estos datos se utilizan únicamente para seleccionar el idioma. El registro se elimina durante el siguiente ciclo automático de limpieza una vez transcurridos 180 días desde la última interacción con el bot. Cuando se rellena una solicitud a través del bot de Telegram, los datos introducidos se guardan temporalmente en el archivo de estado de servicio del bot en el servidor del Sitio, una vez otorgado el consentimiento. Si la persona no completa la solicitud, estos datos se eliminan durante el siguiente ciclo automático de limpieza una vez transcurridas 24 horas desde su última interacción con el bot.

5.3. El Responsable elimina las solicitudes de su propio chat de Telegram al cabo de 1 año desde su envío, o en un plazo de 30 días si lo solicitas escribiendo a surfup_dev@protonmail.com. Su eliminación de ese chat no borra las copias que Telegram conserva según sus propias reglas ni el historial de tu propio chat.

5.4. Los datos de clientes (finalidad C) y de usuarios del espacio de trabajo (finalidad D) se almacenan en Google Firebase (Google LLC, EE. UU.). Mientras el acceso al espacio de trabajo esté activo, los datos se conservan sin un plazo fijo; se eliminan a petición o al cerrar el acceso.

6. Quién recibe los datos

6.1. No vendemos datos personales ni los compartimos con fines publicitarios.

6.2. Transferencias transfronterizas: Alemania es parte del Convenio 108 del Consejo de Europa y se considera que ofrece una protección adecuada. Los datos que envías por Telegram se transfieren directamente a Telegram conforme a sus condiciones.

7. Cómo protegemos los datos

Transmisión por un canal seguro (HTTPS); el token del bot se almacena únicamente en el servidor; solo el Responsable puede acceder a los registros; se aplican límites de frecuencia y protección contra el spam en las solicitudes; el espacio de trabajo privado no está indexado por los motores de búsqueda; se realizan copias de seguridad y se mantienen registros. Si se detecta una brecha, el Responsable notificará a Roskomnadzor dentro de los plazos legales.

8. Tus derechos

8.1. Puedes solicitar confirmación del tratamiento y acceso a tus datos, su rectificación, limitación o eliminación, retirar tu consentimiento y oponerte al tratamiento.

8.2. Cómo hacerlo: escribe a surfup_dev@protonmail.com desde una dirección o cuenta que nos permita localizar tu solicitud e indica qué necesitas. Por motivos de seguridad, podemos pedirte que confirmes tu identidad.

8.3. Plazos: responderemos en un plazo de 10 días laborables (ampliable en los casos permitidos por la ley); si retiras el consentimiento, dejaremos de tratar los datos en un plazo de 30 días, salvo que la ley exija conservarlos durante más tiempo.

8.4. Puedes presentar una reclamación ante Roskomnadzor (rkn.gov.ru) o acudir a los tribunales.

9. Cookies

El uso de cookies y del almacenamiento local se describe en el Aviso sobre cookies.

10. Menores

Los servicios del estudio están dirigidos a personas adultas y organizaciones. No recopilamos deliberadamente datos de menores. Si crees que hemos recibido datos de este tipo, escribe a surfup_dev@protonmail.com y los eliminaremos.

11. Personas de la UE, el EEE y el Reino Unido

11.1. Para las personas de la UE/EEE/Reino Unido, el Responsable actúa como responsable del tratamiento en el sentido del RGPD (RGPD del Reino Unido).

11.2. Bases del artículo 6 del RGPD: para las finalidades A, B y C, el apartado 1(b) (medidas solicitadas por ti antes de celebrar un contrato y cumplimiento de un contrato) y, si marcaste la casilla de consentimiento, el apartado 1(a); para la finalidad D, el apartado 1(b); para la finalidad E, el apartado 1(f) (interés legítimo en la seguridad del Sitio).

11.3. Representante en la UE (art. 27 del RGPD): Korlear Oleksei, Triton Road, Betaghstown, Bettystown, Co. Meath, A92 H588, Irlanda; olesekot@protonmail.com.

11.4. Transferencias: el Responsable se encuentra en Rusia, país para el que la Comisión Europea no ha adoptado una decisión de adecuación. Cuando envías un formulario o un mensaje al bot, tú mismo transfieres tus datos al Responsable en Rusia, donde se tratan conforme a esta Política.

11.5. Derechos adicionales: portabilidad de los datos (art. 20), oposición al tratamiento basado en intereses legítimos (art. 21) y retirada del consentimiento en cualquier momento, sin afectar al tratamiento anterior. Responderemos en el plazo de un mes. Puedes presentar una reclamación ante la autoridad de control de tu lugar de residencia o trabajo, o del lugar donde se haya producido la supuesta infracción.

11.6. Facilitar datos es voluntario; sin un medio de contacto no podremos responder. No se realiza elaboración de perfiles ni toma de decisiones automatizada.

12. Cambios e idioma

12.1. Podemos actualizar esta política. Se aplica la revisión publicada en el Sitio; su versión y fecha aparecen en la parte superior. El consentimiento se registra junto con la versión del documento y la hora.

12.2. La política se publica en varios idiomas para mayor comodidad. Si hay diferencias, prevalece la versión rusa, salvo que la legislación imperativa de tu país de residencia te otorgue mayor protección.

Anexo a la Política de privacidad de surfup.dev

Revisión de fecha 21 de octubre de 2026.

Este Anexo forma parte integrante de la Política de privacidad de surfup.dev (la «Política») y se aplica exclusivamente al tratamiento de datos personales relacionado con el envío, la revisión, la verificación y la publicación de reseñas en el Sitio, así como al tratamiento técnico de direcciones IP para limitar la frecuencia de envío.

Si este Anexo entra en conflicto con la Política principal respecto a las reseñas o al tratamiento técnico de direcciones IP, prevalecerá este Anexo.

1. Información sobre el Responsable

1.1. El responsable del tratamiento de los datos personales (el «Responsable») es:

• Nombre completo: Daniil Aleksandrovich Shastovsky, contribuyente del impuesto sobre los ingresos profesionales (trabajador autónomo)
• INN (número de identificación fiscal ruso): 781631339830
• Dirección: calle Zavodskaya, 17, San Petersburgo, 192076, Rusia
• Correo para solicitudes sobre datos personales: surfup_dev@protonmail.com
• Teléfono: +7 958 175-40-99

1.2. El Responsable se encarga de organizar el tratamiento de los datos personales.

1.3. Los datos personales se tratan conforme a la legislación de la Federación de Rusia, incluida la Ley Federal n.º 152-FZ, de 27 de julio de 2006, «Sobre los datos personales» («Ley 152-FZ»). Los datos de las reseñas se almacenan en el servidor del Sitio ubicado en Alemania; cuando una reseña se verifica mediante Telegram, el identificador del chat se transfiere a Telegram tal como se describe en la sección 6 de este Anexo.

2. Términos y disposiciones generales

2.1. Los términos «datos personales», «tratamiento», «difusión», «transferencia transfronteriza» y «destrucción» tienen el significado que les atribuye la Ley 152-FZ.

2.2. Este Anexo regula el tratamiento de las siguientes categorías de datos que se generan al utilizar la función de reseñas:

• datos facilitados por quien escribe la reseña: nombre (o seudónimo), título de la reseña, texto, valoración e idioma de la página; una imagen asociada a la reseña, si un administrador la añade a la ficha;
• un identificador técnico generado a partir del ID de Telegram (HMAC-SHA-256), para evitar reseñas duplicadas;
• la dirección IP y su hash (SHA-256), así como un contador de solicitudes, para limitar la frecuencia de envío y prevenir usos indebidos.

2.3. El Responsable no trata categorías especiales de datos personales ni datos personales biométricos mediante la función de reseñas. Quienes publiquen una reseña no deben incluir esos datos. El Responsable puede eliminar una reseña que los contenga sin aviso por separado.

3. Finalidades y bases jurídicas del tratamiento

3.1. Recopilación, registro, revisión, verificación y publicación de una reseña. La finalidad es recibir una reseña, verificar su autoría mediante el bot de Telegram, someterla a la revisión de un administrador y publicar las reseñas aprobadas. La base jurídica es el consentimiento de quien escribe la reseña para el tratamiento y la publicación de sus datos personales, otorgado al marcar una casilla obligatoria e independiente del formulario (artículo 6(1)(1) y artículo 10.1 de la Ley 152-FZ).

3.2. La publicación (difusión) de una reseña aprobada consiste en poner los datos indicados en la cláusula 3.1 a disposición de un número ilimitado de personas en el Sitio. Solo se permite una vez verificada la reseña y aprobada por un administrador.

3.3. Prevención de reseñas duplicadas. La finalidad es limitar la posibilidad de que una misma persona usuaria de Telegram envíe reseñas repetidas. La base jurídica es el consentimiento de quien escribe la reseña (cláusula 3.1); para conservar el HMAC después de eliminar una reseña, es el interés legítimo del Responsable en prevenir usos indebidos (artículo 6(1)(7) de la Ley 152-FZ), siempre que este interés no vulnere los derechos y libertades del interesado. Si el Responsable considera inadecuado basarse en el interés legítimo, el HMAC se conserva tras eliminar la reseña sobre la base del consentimiento otorgado al enviar el formulario.

3.4. Limitación de la frecuencia de envío. La finalidad es proteger el Sitio frente a envíos automatizados y abusivos. La base jurídica es el interés legítimo del Responsable en la seguridad del Sitio y la prevención de usos indebidos (artículo 6(1)(7) de la Ley 152-FZ). El tratamiento de la dirección IP y su hash para estas finalidades se limita al alcance y periodo mínimos necesarios (sección 5).

4. Datos tratados

4.1. Para la función de reseñas, el Responsable trata los siguientes datos:

4.2. El ID de Telegram no se almacena en texto plano en la base de datos de reseñas. El servidor lo utiliza para generar un HMAC-SHA-256 y solo almacena ese valor. HMAC-SHA-256 es una transformación irreversible pero determinista; cuando se combina con información de la que dispone el Responsable, se considera un identificador seudonimizado y se trata conforme a la Ley 152-FZ.

4.3. Limitación de la frecuencia de envío. La aplicación calcula un hash SHA-256 de la dirección IP para limitar la frecuencia de envío. La función de reseñas no almacena la dirección IP sin procesar; el hash y el contador de solicitudes se conservan en la memoria del proceso y no se escriben en la base de datos.

5. Plazos de conservación y destrucción

5.1. Los plazos de conservación se calculan desde el momento en que se envía la reseña.

5.2. Motivo del plazo de conservación de 365 días del HMAC. Conservar el HMAC durante 365 días desde el envío de la reseña, incluso después de eliminar la reseña, es necesario para prevenir duplicados durante un periodo razonable. Si una reseña se elimina antes, el HMAC se conserva hasta que hayan transcurrido 365 días desde su envío, porque no existe otro mecanismo que permita lograr la misma finalidad sin conservar el identificador seudonimizado, o bien dicho mecanismo implicaría un coste desproporcionado. Transcurridos 365 días, el HMAC deja de servir a la finalidad indicada.

5.3. Si se retira el consentimiento para el tratamiento de los datos personales, el Responsable deja de tratarlos y los destruye en un plazo de 30 días desde la recepción de la retirada, salvo que la ley exija conservarlos o que los datos sean necesarios para que el Responsable cumpla sus obligaciones. Si una reseña ya se ha publicado, la retirada del consentimiento para su difusión implica que la reseña se eliminará de la página de acceso público dentro del mismo plazo.

5.4. La destrucción de los datos se documenta mediante un acta u otro documento, conforme a los procedimientos internos del Responsable. El interesado puede solicitar confirmación de la destrucción tal como se describe en la sección 8.

6. Transferencia transfronteriza de datos relacionados con Telegram

6.1. Las reseñas se verifican mediante el bot de Telegram. Telegram es un servicio extranjero y no actúa como encargado del tratamiento siguiendo instrucciones del Responsable. Al interactuar con Telegram, el Responsable transfiere únicamente los datos mínimos necesarios: el identificador de usuario de Telegram (chat_id) y, si es técnicamente necesario para la verificación, un mensaje de servicio que no contiene el texto de la reseña. El texto de la reseña, el nombre de quien la escribe y la valoración no se transfieren a Telegram, salvo que esto se derive directamente de la implementación técnica; el Responsable se asegura de que esos datos no se transfieran a Telegram, excepto cuando sea estrictamente necesario para enviar a la persona autora un mensaje de servicio sobre la verificación.

6.2. Al interactuar con Telegram, los datos pueden transferirse fuera del país donde está alojado el Sitio y Telegram puede tratarlos conforme a sus propias reglas.

6.3. La base jurídica para la transferencia transfronteriza a Telegram es el consentimiento del interesado, otorgado al enviar la reseña y verificarla mediante Telegram, y la necesidad de ejecutar el acuerdo con el interesado (prestar la función de verificación de reseñas). El interesado puede rechazar la verificación mediante Telegram; en ese caso, la reseña no podrá verificarse y se eliminará según lo indicado en la cláusula 5.1.

6.4. El Responsable no controla el tratamiento de datos que realiza Telegram. Telegram se utiliza para verificar las reseñas; no se ofrece otro método de verificación.

7. Consentimiento para el tratamiento y la publicación de una reseña

7.1. Publicar una reseña (nombre o seudónimo, título, texto, valoración e imagen, si se añade a la ficha) constituye difusión de datos personales (artículo 3(5) de la Ley 152-FZ). Para enviar una reseña, su autor debe marcar una casilla obligatoria e independiente que confirme su consentimiento para el tratamiento y la publicación de esos datos (artículo 6(1)(1) y artículo 10.1 de la Ley 152-FZ). La casilla no está marcada de forma predeterminada.

7.2. Antes de enviar el formulario, se pide a quien escribe la reseña que marque una casilla obligatoria para consentir el tratamiento y la publicación en el Sitio de su nombre (o seudónimo), título y texto de la reseña y valoración, así como de una imagen asociada a la reseña si un administrador la añade a la ficha, una vez realizada la verificación mediante Telegram y obtenida la aprobación de un administrador. La persona también consiente el tratamiento del idioma de la página y del identificador de Telegram para verificar la reseña y prevenir duplicados. En la base de datos de reseñas solo se guarda el hash HMAC-SHA-256 del identificador de Telegram; el identificador en sí no se almacena allí en texto plano. Este Anexo y la Política de privacidad informan sobre el Responsable, las finalidades del tratamiento, los plazos de conservación y los derechos de quien escribe la reseña; junto a la casilla aparece un enlace a la Política de privacidad.

7.3. Después de enviar el formulario, quien escribe la reseña la verifica mediante Telegram. La verificación no hace pública la reseña automáticamente: solo se puede publicar tras la aprobación de un administrador. Hasta que se apruebe, la reseña se almacena de forma privada durante el plazo indicado en la cláusula 5.1 y después se elimina.

7.4. Quien escribe la reseña puede retirar su consentimiento para el tratamiento y la publicación en cualquier momento poniéndose en contacto con la dirección indicada en la sección 1. El Responsable deja de publicarla (retira la reseña de la página de acceso público) y destruye los datos dentro del plazo establecido en la cláusula 5.3, salvo que la ley disponga otra cosa.

8. Derechos del interesado y cómo ejercerlos

8.1. El interesado tiene los derechos previstos por la Ley 152-FZ, incluido el derecho a obtener información sobre el tratamiento de sus datos personales; solicitar la rectificación, el bloqueo o la destrucción de datos incompletos, obsoletos, inexactos o tratados ilícitamente; retirar su consentimiento; oponerse al tratamiento basado en el interés legítimo; y presentar una reclamación sobre las actuaciones del Responsable ante Roskomnadzor o un tribunal.

8.2. Las solicitudes deben enviarse a la dirección de correo indicada en la sección 1. El Responsable responde en un plazo de 10 días laborables desde su recepción. Este plazo puede ampliarse hasta un máximo de 5 días laborables si se notifica al interesado el motivo de forma razonada.

8.3. Si se retira el consentimiento para el tratamiento (incluido el consentimiento para la difusión), el Responsable deja de tratar los datos y los destruye dentro del plazo indicado en la cláusula 5.3, salvo que la ley exija conservarlos.

9. Medidas de protección

9.1. El Responsable adopta medidas jurídicas, organizativas y técnicas para proteger los datos personales frente al acceso, la destrucción, la modificación, el bloqueo, la copia, la puesta a disposición, la difusión y otras acciones ilícitas no autorizadas, conforme al artículo 19 de la Ley 152-FZ.

9.2. En particular, el acceso a los datos está limitado a personas autorizadas; los datos se transmiten entre el formulario y el servidor mediante una conexión segura; los valores HMAC y los hashes de las direcciones IP no se almacenan en texto plano; se supervisan los registros de acceso; y solo se transfiere la cantidad mínima de datos necesaria al utilizar Telegram.

10. Disposiciones finales

10.1. Este Anexo entra en vigor en la fecha de su publicación en el Sitio y permanece vigente hasta que se sustituya por una nueva versión.

10.2. El Responsable puede modificar este Anexo. La nueva versión se publica en el Sitio con su fecha de entrada en vigor. Si los cambios afectan a la base jurídica del tratamiento o al alcance de los derechos del interesado, el Responsable lo notifica por un medio disponible (por ejemplo, mediante un aviso en el Sitio) antes de que entren en vigor.

10.3. Los asuntos no contemplados en este Anexo se rigen por la Política de privacidad principal y la legislación de la Federación de Rusia.

Fecha de publicación: 21 de octubre de 2026 Versión anterior: Política de privacidad, revisión 1.2 de fecha 21 de octubre de 2026.