Política de Privacidad

Última actualización: septiembre 2026

1. Información que recopilamos

Recopilamos la información que nos proporcionas directamente: nombre, email, foto de perfil opcional, zona horaria, idioma preferido y todo el contenido que creas dentro de la plataforma (proyectos, tareas, comentarios, documentos, entradas de tiempo).

2. Cómo usamos tu información

Usamos tu información para operar el servicio, autenticarte, enviarte notificaciones operativas (recordatorios de deadlines, asignaciones, digests configurables), y proteger la plataforma frente a abusos. No la usamos para perfilado publicitario ni la compartimos con redes de anuncios.

3. Almacenamiento y seguridad

Tus datos se almacenan en servidores propios, alojados en Francia (Unión Europea). Las contraseñas se hashean con bcrypt; los tokens de actualización tienen rotación con detección de compromiso. Todas las conexiones usan TLS 1.2+. Los tokens sensibles (claves API, SCIM) se guardan únicamente como hash SHA-256.

4. Compartir datos

No vendemos tu información personal. La compartimos con terceros solo cuando es estrictamente necesario para operar el servicio:

• Alojamiento: Contabo GmbH, que opera el servidor donde vive todo lo anterior, en Francia.
• Correo: Resend recibe tu dirección y el contenido de los correos que te enviamos — verificación, invitaciones, recuperación de contraseña y avisos.
• Diagnóstico de errores: Sentry recibe los errores del servidor junto con el contexto de la petición que falló, lo que incluye tu identificador de cuenta y tu dirección IP. Los datos se procesan en Alemania.
• Notificaciones push: Firebase Cloud Messaging (Google) recibe el token del dispositivo y el contenido de la notificación.
• Integraciones opcionales: Slack, GitHub, Microsoft Teams, Google Calendar — solo cuando tú o un administrador de tu organización las habilita. Lo que Google nos deja ver, y lo que hacemos con eso, está en la sección 5.
• SSO/SAML: tu Identity Provider corporativo, solo si tu organización configura SSO.

5. Datos de Google

Orkestra usa dos servicios de Google y ninguno se enciende solo: los dos empiezan cuando tú los conectas.

Entrar con Google

Al usar el botón «Continuar con Google» pedimos openid email profile. Recibimos tu dirección de correo, si Google la tiene por verificada, tu nombre y la dirección de tu foto. Con eso reconocemos tu cuenta o la creamos: el correo queda como tu identificador, y el nombre y la foto rellenan tu perfil, que después puedes cambiar. No pedimos acceso permanente ni guardamos ninguna credencial de ese permiso, así que una vez que entraste no queda ninguna puerta abierta hacia tu cuenta de Google.

Sincronizar con Google Calendar

Cómo accedemos. Pedimos un solo permiso, calendar.app.created, que alcanza únicamente los calendarios que esta aplicación creó. Tus calendarios y tus eventos anteriores no quedan a salvo por una promesa nuestra: son inalcanzables para Orkestra. Al conectar creamos en tu cuenta un calendario propio, llamado «Orkestra», y trabajamos solo dentro de él.

Cómo lo usamos. Escribimos ahí tus tareas, tus subtareas asignadas y tus actividades — el nombre, la fecha, la hora y un recordatorio. Cada quince minutos leemos ese mismo calendario para ver si cambiaste algo, y de lo que leemos tomamos dos cosas y ninguna más: cuándo es y cómo se llama. Un evento que Orkestra no escribió se ignora en lugar de adoptarse. Nada de esto se usa para publicidad, para perfilarte ni para entrenar modelos de inteligencia artificial, ni nuestros ni de terceros.

Qué guardamos. La credencial que nos permite seguir escribiendo, el identificador del calendario que creamos y, por cada evento que escribimos, su identificador y la fecha en que empieza, para saber a qué tarea corresponde. Todo eso vive en el mismo servidor de Francia que el resto de tus datos. No guardamos el contenido de ningún evento que no hayamos escrito nosotros.

Con quién lo compartimos. Con nadie. Ningún dato recibido de Google se vende, se cede ni se transfiere a otro servicio.

Cómo lo borras. Desconectar el calendario en Configuración → Calendario borra la credencial y las correspondencias entre eventos y tareas. El calendario «Orkestra» queda en tu cuenta de Google, que es tuya: lo conservas o lo borras tú. También puedes retirar el permiso desde myaccount.google.com/permissions. Al eliminar tu cuenta de Orkestra se va todo lo anterior.

Uso Limitado

El uso y la transferencia por parte de Orkestra de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos los requisitos de Uso Limitado. En los términos en que Google lo exige: «Orkestra's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.»

6. Tus derechos

Puedes acceder, corregir o eliminar tu información en cualquier momento desde la configuración de tu cuenta. Para ejercer derechos GDPR (acceso, portabilidad, supresión, rectificación) escríbenos a privacy@orkestra.team.

7. Retención

Conservamos tu información mientras tu cuenta esté activa. Al eliminar tu cuenta, los datos personales se borran o anonimizan según corresponda. Los administradores de organizaciones pueden configurar políticas de retención adicionales para tareas, comentarios y logs de auditoría.

8. Contacto

Para consultas sobre privacidad, escríbenos a privacy@orkestra.team.