Política de privacidad

1. Quién trata tus datos

Criba es un producto de Terral Studio, denominación comercial compartida por dos profesionales autónomos independientes: Rubén Díaz Fraga (NIF 34281643M) y Daniel Aguilar Fernández (NIF 77199164D), con los domicilios que figuran en el aviso legal. Cada suscripción la contrata y la factura uno de ellos con sus propios datos fiscales. Contacto: contact@terral.studio.

No hay delegado de protección de datos designado, porque no concurre ninguno de los supuestos del artículo 37.1 RGPD.

Los dos profesionales deciden conjuntamente los fines y los medios del tratamiento de los datos de Criba, así que son corresponsables en el sentido del artículo 26 RGPD. Tienen suscrito un acuerdo que reparte entre ellos las obligaciones de protección de datos —el registro de actividades, la atención de derechos, la seguridad de la infraestructura y la notificación de brechas— y que designa un punto de contacto único. Con independencia de ese reparto, puedes ejercer tus derechos frente a cualquiera de los dos escribiendo a contact@terral.studio, y ambos responden solidariamente ante ti: eso el artículo 26.3 no lo puede cambiar.

2. Tres papeles distintos, y conviene no confundirlos

Respecto de tus datos como usuario —tu nombre, tu correo, tu suscripción— somos responsables del tratamiento, y esta política te dice todo lo que hacemos con ellos.

Respecto de la búsqueda de negocios y su puntuación, decidimos juntos: tú eliges la zona, el sector y lo que vendes, y nosotros decidimos de dónde salen los datos, qué se lee de cada web y cómo se puntúa. En esa fase somos corresponsables contigo (art. 26 RGPD), en los términos del contrato que aceptas al contratar: nosotros informamos en esta página, atendemos las peticiones de exclusión y nos ocupamos de que la búsqueda cumpla la ley; tú informas al negocio cuando lo contactas por primera vez.

Respecto de tu cartera —los negocios que guardas, lo que anotas y a quién llamas—, el responsable eres tú. Nosotros somos encargados del tratamiento y actuamos siguiendo tus instrucciones, según el contrato de encargo del artículo 28 RGPD que aceptas antes de empezar a buscar.

Y somos responsables de dos tratamientos propios: la lista de exclusión de negocios que han pedido no aparecer (apartado 7) y, sólo con las cuentas que lo activan, los recuentos agregados que mejoran la puntuación, que no contienen ningún dato de ningún negocio.

3. Datos de usuarios registrados

Tratamos lo que nos facilitas al registrarte (nombre, correo electrónico, contraseña, que guardamos derivada con sal y nunca en claro) y lo que añadas en tus ajustes (empresa, preferencias de búsqueda), con la finalidad de prestarte el servicio, gestionar tu suscripción y atenderte.

Al contratar te preguntamos dónde está tu empresa —el país y, en España, el código postal—, porque de eso depende el IVA de la factura. Si está en otro país de la Unión Europea, comprobamos su NIF-IVA en VIES, el registro de la Comisión Europea, y guardamos la respuesta como prueba, que es lo que exige la normativa del IVA para facturar sin él. Mientras dure la suscripción lo volvemos a comprobar cada 30 días, y guardamos también esas respuestas. Pueden incluir el nombre y la dirección que constan en el registro.

Base jurídica: ejecución del contrato (art. 6.1.b RGPD). Para la facturación y la comprobación del NIF-IVA, obligación legal (art. 6.1.c).

Conservación: mientras mantengas la cuenta. Tras la baja conservamos los datos 30 días por si quieres recuperarla y después los suprimimos, salvo los que tengan trascendencia fiscal o mercantil, que quedan bloqueados durante los plazos legales de prescripción.

4. Si pides una prueba gratuita

En /prueba tratamos tu nombre, tu correo, tu empresa y lo que nos cuentes sobre qué vendes y a quién, con la única finalidad de valorar la solicitud y darte acceso. No hay alta automática: la lee una persona.

Base jurídica: aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD).

Conservación: si aceptamos la solicitud, los datos pasan a formar parte de tu cuenta y se rigen por el apartado anterior. Si la rechazamos o no llegas a responder, se suprimen a los 12 meses.

5. Si visitas criba.work

Sólo si lo aceptas en el aviso de cookies, medimos las visitas a la web con Google Analytics: páginas vistas, procedencia, tipo de dispositivo y navegador y ubicación aproximada, de forma agregada y sin guardar tu IP. Si no lo aceptas, tu navegador no se conecta a Google. Dentro de la aplicación no se mide nada.

Base jurídica: tu consentimiento (art. 6.1.a RGPD), que puedes retirar cuando quieras desde «Configurar cookies», al pie de la web. Conservación: como máximo 14 meses en Google Analytics.

Guardamos también qué elegiste en el aviso —un identificador aleatorio, las categorías, la versión y la fecha, sin IP— para poder demostrar el consentimiento (art. 7.1 RGPD), durante tres años. Todo el detalle está en la política de cookies.

6. Datos de los negocios que se localizan con Criba

Cuando alguien busca, Criba consulta la API oficial de Google Places (nombre, dirección, teléfono, web, valoración y número de reseñas de los negocios de la zona) y visita la web que publica cada negocio para leer los datos de contacto que él mismo ha hecho públicos, en su portada y su página de contacto y respetando lo que su robots.txt prohíbe. Con eso calcula una puntuación.

Qué se guarda. De Google, sólo el identificador de la ficha, que es lo único que sus condiciones permiten conservar. El nombre, la dirección, el teléfono y las valoraciones de Google se ven al buscar y al abrir cada ficha, pero no se guardan. Sí se guarda lo que el negocio publica en su propia web y hemos leído (nombre, teléfono, correo y dirección de la web), la puntuación con sus motivos y lo que el usuario anote sobre él.

Cuánto tiempo. Un negocio que el usuario no trabaja —sin cambiarle el estado, sin notas, tareas ni personas de contacto— se borra solo a los 30 días. Los que sí se trabajan se conservan mientras el usuario los mantenga en su cartera y se suprimen a los 30 días de que se dé de baja. Las copias de seguridad los guardan 14 días más.

Puntuación automatizada: cada negocio recibe una puntuación de 0 a 100 con sus motivos, calculada con reglas fijas a partir de datos públicos: qué incluye su web, si publica un medio de contacto y su valoración en Google en el momento de buscar. Es elaboración de perfiles en el sentido del art. 4.4 RGPD. No es una decisión automatizada del art. 22: su único efecto es ordenar una lista, y de ella no se deriva ninguna consecuencia jurídica para el negocio. No interviene ningún modelo de inteligencia artificial.

Base jurídica: interés legítimo (art. 6.1.f RGPD) en facilitar el contacto profesional entre empresas, con la ponderación documentada que exige el art. 5.2 y que puedes solicitarnos.

Correos personales: descartamos automáticamente las direcciones con forma de nombre.apellido@, las de proveedores de correo personal como Gmail u Hotmail y las de privacidad o protección de datos. El filtro no es infalible; si detectas una dirección personal, escríbenos y la eliminamos.

7. Si tu negocio aparece en Criba y no quieres

Escríbenos a contact@terral.studio indicando el nombre del negocio y su web o teléfono. En el plazo máximo de un mes que fija el art. 12.3 RGPD lo retiramos de las carteras de todos los usuarios de Criba y lo añadimos a nuestra lista de exclusión, para que no vuelva a aparecer en ninguna búsqueda.

De esa lista solo guardamos lo mínimo para reconocer el negocio: el identificador de su ficha de Google, el dominio de su web, su teléfono y, si nos lo das, su correo cifrado de forma que no se puede leer. Si vuelves a ver tu negocio después de habérnoslo pedido, dínoslo y lo corregimos.

8. Con quién compartimos datos

No vendemos ni cedemos datos a nadie. Nos apoyamos en estos proveedores, que actúan como encargados o subencargados con contrato del art. 28 RGPD:

• OVHcloud — servidor y base de datos, en un centro de datos de Zúrich (Suiza), país que cuenta con decisión de adecuación de la Comisión Europea
• Cloudflare, Inc. — guarda las copias de seguridad en un depósito con jurisdicción de la Unión Europea. Van cifradas desde nuestro servidor y Cloudflare no puede leerlas; se borran a los 14 días. Adherida al Marco de Privacidad de Datos UE-EE. UU.
• Google Ireland Ltd. — Google Places API, para localizar los negocios (recibe la zona y el sector buscados, no datos de tu cuenta); Google Analytics, sólo si aceptas las estadísticas en el aviso de cookies; y Google Workspace, el correo con el que te atendemos
• Stripe Payments Europe Ltd. (Irlanda) — cobro de las suscripciones
• Resend, Inc. (EE. UU.) — envío de los correos de la aplicación
• CARTO — teselas del mapa de resultados. No recibe ningún dato de tu cartera, pero al dibujarse el mapa tu navegador se conecta a su servidor, que ve tu dirección IP y la zona que estás viendo. El mapa sólo se carga cuando lo pides
• OpenStreetMap Foundation (Nominatim) — convierte en el nombre de un lugar el punto que pinchas en el mapa. Se le consulta desde nuestro servidor y sólo recibe las coordenadas

Google y Resend pueden tratar datos en Estados Unidos. Las dos están adheridas al Marco de Privacidad de Datos UE-EE. UU., que cuenta con decisión de adecuación de la Comisión Europea. Puedes pedirnos más información sobre estas garantías.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a contact@terral.studio. Responderemos en el plazo de un mes, prorrogable por dos más si la solicitud es compleja, en cuyo caso te avisaremos.

Si consideras que no hemos atendido tu solicitud correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es), C/ Jorge Juan 6, 28001 Madrid.

10. Obligaciones de quien usa Criba

Criba te ayuda a saber a quién llamar, pero los datos que encuentras no te autorizan por sí solos a enviar publicidad. Esto conviene leerlo despacio:

• Correo electrónico, WhatsApp, SMS y mensajería: el art. 21 LSSI prohíbe las comunicaciones comerciales que no se han pedido o autorizado antes, también cuando el destinatario es una empresa. La AEPD lo sanciona con multas de miles de euros por envío reclamado. Trata igual los formularios de contacto de las webs y los mensajes de LinkedIn
• Llamadas: se pueden hacer por interés legítimo si antes has ponderado ese interés, llamas sólo a números que el negocio publica para su actividad y le ofreces algo relacionado con ella (Circular 1/2023 de la AEPD). Al empezar tienes que decir quién eres, que es una llamada comercial y que puede oponerse, y respetar su «no» en el momento. No se pueden hacer desde números móviles (Orden TDF/149/2025, art. 9.1, desde el 7 de junio de 2025)
• Listas de exclusión: si el titular del número puede ser una persona física —un autónomo, el móvil del dueño—, consulta antes la Lista Robinson (art. 23 LOPDGDD)
• Información al contactado: el art. 14 RGPD obliga a decirle de dónde has sacado sus datos, a más tardar en la primera comunicación. Criba te lo recuerda en cada ficha y te da el párrafo para tus plantillas
• Escribir después de llamar: si en la llamada te pide que le mandes información, confirma el canal y la dirección y anótalo en Criba antes de escribirle. Ese registro es tu prueba

El incumplimiento es responsabilidad de quien usa Criba y causa de suspensión o resolución del servicio.

11. Seguridad

Contraseñas derivadas con sal, sesiones firmadas, comunicaciones bajo HTTPS, base de datos no expuesta a internet, acceso administrativo restringido y aislamiento entre cuentas verificado en cada petición. Ninguna medida es infalible: si detectamos una violación de seguridad que afecte a tus datos te lo comunicaremos conforme al art. 34 RGPD.

Registros de acceso. El servidor que sirve esta web anota cada petición que recibe: la dirección IP de origen, la fecha, la dirección solicitada, el código de respuesta y el navegador que se declara. No lleva cookies ni identificadores, así que no sirve para reconocerte de una visita a otra: sirve para investigar un ataque cuando lo hay. La base jurídica es nuestro interés legítimo en la seguridad de los sistemas (art. 6.1.f RGPD). No se guardan por días sino por tamaño: el servidor sólo conserva los últimos 30 MB y va borrando lo más antiguo, lo que con el tráfico actual son unos pocos días.

12. Cambios en esta política

Si cambiamos algo sustancial te avisaremos por correo. La fecha de la última actualización figura arriba, y conservamos las versiones anteriores por si necesitas saber qué decía en una fecha concreta.