Política de Privacidad

Última revisión: 2026-10-14

1. Introducción

Esta Política de Privacidad explica cómo TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "nosotros", "nos") recopila, utiliza y protege los datos personales en relación con los sitios web tobrief.gr y tobrief.eu, las aplicaciones móviles To Brief para iOS y Android, y los servicios relacionados (en conjunto, el "Servicio"). TO BRIEF es el responsable del tratamiento de los datos personales procesados a través del Servicio, excepto cuando se identifique expresamente a otro responsable a continuación.

Detalles del responsable del tratamiento

• Nombre legal: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Domicilio social: Troon 26, 118 51, Αθήνα, Αττική, Ελλάδα
• GEMI: 188116103000
• AFM: 803045387
• Correo electrónico: [email protected]
• Contacto de protección de datos: [email protected]

Actualmente no contamos con un Delegado de Protección de Datos designado por ley; no obstante, todas las consultas sobre protección de datos se canalizan a través del contacto dedicado mencionado anteriormente y se gestionan bajo un proceso documentado que cumple con los estándares esperados de una función de DPD bajo los Art. 37-39 del RGPD, cuando sea aplicable.

2. Qué datos recopilamos

Recopilamos solo los datos mínimos necesarios para ejecutar el Servicio y cumplir con nuestras obligaciones legales.

2.1 Datos de la cuenta

Cuando registra una cuenta, almacenamos: su dirección de correo electrónico, una contraseña cifrada de forma segura, su nombre de usuario elegido (opcional), la fecha de creación de la cuenta, la edición a través de la cual se registró (GR o EU) y el estado de la suscripción. Base legal: ejecución de un contrato (Art. 6(1)(b) del RGPD).

2.2 Datos de uso del sitio web y análisis

Si —y solo si— usted otorga el consentimiento de medición opcional a través de nuestro banner de cookies, recopilamos señales de uso agregadas a través de Google Analytics 4, señales de análisis de UX/sesión a través de Contentsquare/Hotjar, señales de conversión a través del píxel de X y señales de conversión a través del píxel de Meta (Facebook/Instagram): páginas vistas, clase de dispositivo/navegador, geografía aproximada (país/región a partir de la IP, nunca la IP sin procesar), referente, duración de la sesión, eventos de interacción, señales de fricción en la experiencia del usuario, registros y conversiones de suscripción. Base legal: consentimiento (Art. 6(1)(a) del RGPD y Art. 5(3) de la Directiva sobre privacidad y comunicaciones electrónicas). Con el mismo consentimiento, nuestro servidor también informa a OpenAI cuando crea una cuenta en nuestro sitio web o cuando se verifica allí el primer pago de su suscripción, para que podamos medir y mejorar los anuncios de To Brief en ChatGPT. OpenAI recibe su dirección de correo electrónico en forma de hash, un identificador aleatorio de cliente en forma de hash, la referencia del clic en un anuncio de ChatGPT si llegó a través de uno, la hora y, en el caso de una suscripción, el importe y la moneda. OpenAI no instala ninguna cookie ni carga ningún script en su navegador. Base jurídica: consentimiento (art. 6.1.a) del RGPD).

2.3 Datos de pago

Los pagos de suscripción son procesados por Stripe Payments Europe, Limited ("Stripe"). El ingreso de la tarjeta es gestionado por Stripe; los números de tarjeta y los códigos CVV no se envían a nuestros servidores de aplicaciones a través de nuestro proceso de pago. El aviso de privacidad de Stripe se encuentra en https://stripe.com/privacy. Recibimos los registros necesarios para administrar las suscripciones y verificar los pagos: identificadores de cliente, suscripción, factura y reembolso; montos y monedas de pago/reembolso; fechas y estado; detalles de facturación y registros de facturas. Asociamos estos registros con su cuenta de To Brief. Base legal: ejecución de un contrato y obligación legal para la facturación y contabilidad. El uso publicitario opcional de un pago verificado sigue las reglas separadas en la §2.7.

2.4 Datos de quejas e informes

Cuando utiliza /report o envía una queja por correo electrónico, almacenamos: su correo electrónico, el texto de la queja, los archivos adjuntos que proporcione, un hash con sal de su dirección IP (no la IP sin procesar), el número de ticket que asignamos y el resultado de la investigación. Base legal: interés legítimo (operar un servicio de noticias responsable y defender reclamaciones legales) y obligación legal (Art. 20 de la EMFA, Art. 16 de la DSA).

2.5 Datos de dispositivo y navegador

Nuestros servidores reciben metadatos de solicitud HTTP estándar —agente de usuario, Accept-Language, referente, IP truncada— que se conservan en los registros de acceso. Base legal: interés legítimo (seguridad, prevención de fraude, diagnósticos).

2.6 Categorías sensibles

No recopilamos deliberadamente categorías especiales de datos personales (Art. 9 del RGPD) como datos sobre salud, religión, opiniones políticas u orientación sexual. Por favor, no envíe dichos datos a través de campos de texto libre.

2.7 Medición de aplicaciones móviles

Utilizamos AppsFlyer para comprender qué campañas generan instalaciones de aplicaciones y suscriptores de pago, y para mejorar la publicidad de To Brief en Meta (Facebook/Instagram), X y Reddit. Esta medición publicitaria es opcional y se basa en el consentimiento. El acceso a la cuenta, la administración de suscripciones y los registros de seguridad necesarios para respetar sus elecciones siguen siendo funciones de servicio separadas.

Solo usuarios nuevos en esta versión. La medición opcional mediante AppsFlyer comienza únicamente después de verificar una cuenta nueva y una primera instalación realizada tras el inicio del despliegue, y de que usted dé su permiso. Se excluyen las cuentas existentes, las actualizaciones, las reinstalaciones y las instalaciones de origen incierto. Comprobamos los requisitos antes de solicitar permiso de seguimiento o cargar AppsFlyer. Las opciones de medición de los lectores existentes no cambian.

Cuando la medición de la aplicación está habilitada y permitida, AppsFlyer recibe su identificador de instalación, un identificador publicitario disponible, lanzamientos de aplicaciones e información técnica de la aplicación/dispositivo utilizada para atribución, análisis y prevención de fraude. Esto puede incluir versiones del sistema operativo y de la aplicación, idioma, diagnósticos de lanzamiento e información de red. Sus servidores reciben la dirección IP de la conexión y pueden derivar la geografía aproximada. No solicitamos acceso a la ubicación precisa o GPS para esta medición. Nuestro backend mantiene la asociación de instalación, el estado del permiso y las revisiones, la información de la aplicación/plataforma, la hora de instalación nativa y una observación de campaña limitada cuando esté disponible.

Después de un primer inicio de sesión de cuenta elegible, vinculamos la instalación a esa cuenta utilizando un identificador de cliente aleatorio separado. Registramos el registro, un uso calificado inicial de la aplicación, el inicio del proceso de pago y eventos de suscripción verificados. Si paga en nuestro sitio web utilizando la misma cuenta de To Brief, podemos asociar ese pago con una instalación de aplicación elegible. Los eventos permitidos enviados a través de AppsFlyer pueden incluir registros y pagos de suscripción, renovaciones o reembolsos, con un identificador de evento, monto, moneda y hora. Cada socio recibe los eventos configurados para su integración; no todos los eventos se envían a todos los socios. Con el mismo permiso en la aplicación, nuestro servidor también envía directamente a OpenAI hasta tres eventos, para que podamos medir y mejorar los anuncios de To Brief en ChatGPT: el registro, el primer pago verificado de la suscripción y una nueva instalación de la aplicación. Solo se envían para nuevas instalaciones que cumplen los requisitos y solo para eventos posteriores a su permiso, nunca para instalaciones existentes, actualizaciones de la aplicación ni reinstalaciones. Cada evento incluye su dirección de correo electrónico en forma de hash, un identificador aleatorio de cliente en forma de hash, la referencia del clic en un anuncio de ChatGPT si se registró al crear la cuenta, la hora y, en el caso de una suscripción, el importe y la moneda. Las renovaciones y los reembolsos no se envían a OpenAI.

No incluimos su correo electrónico, nombre, número de teléfono, texto de comentarios, títulos de artículos, temas de lectura, consultas de búsqueda, intereses políticos, detalles de tarjeta o documentos de factura en estas cargas útiles de eventos publicitarios. El intercambio con socios puede incluir nuevos usuarios elegibles de fuentes orgánicas y otras fuentes de campaña, no solo usuarios atribuidos a ese socio. La única excepción son los eventos destinados a OpenAI descritos en el §2.2 y en esta sección, que incluyen su dirección de correo electrónico solo en forma de hash, nunca en texto sin cifrar.

Su elección. En iOS, el aviso estándar de Transparencia de Seguimiento de Aplicaciones (ATT) de Apple es el único aviso de permiso de seguimiento. Puede cambiarlo más tarde en la Configuración del iPhone. En Android, utilice la opción de medición de la aplicación y su entrada en Configuración. Puede usar la aplicación aunque rechace el seguimiento. Una elección de cookies del sitio web no puede anular un rechazo de seguimiento de la aplicación. La aplicación vuelve a verificar la elección de la plataforma cuando regresa al primer plano; nuestro backend verifica el permiso registrado actual y la asociación de cuenta antes de enviar eventos en cola. La retirada detiene el SDK en el dispositivo y actualiza nuestro backend; si el dispositivo está desconectado, esa actualización del servidor se reintenta cuando se restablece la conectividad.

El mecanismo de atribución agregada separado de Apple puede permanecer activo después del rechazo de ATT. Informa valores de conversión limitados sin nuestros identificadores de cuenta o de AppsFlyer. La retirada detiene la medición de publicidad personal futura; no es una eliminación automática de los datos ya recibidos por un proveedor. La eliminación de la cuenta inicia el proceso de borrado aplicable, elimina las observaciones de campaña locales y corta los vínculos publicitarios de los registros de facturación conservados. Los registros en poder del proveedor se manejan a través del proceso de borrado en lugar de asumirse eliminados inmediatamente. También puede solicitar el borrado a través de [email protected]. Se aplican las distinciones de retención en la §4.

3. Por qué utilizamos sus datos

Propósito	Categorías de datos	Base legal
Proporcionar la experiencia de lectura	Cuenta, dispositivo	Contrato, interés legítimo
Facturación, prevención de fraude, cumplimiento fiscal	Pago, cuenta	Contrato, obligación legal
Medir la participación y mejorar el producto	Medición	Consentimiento
Análisis de UX a través de Contentsquare/Hotjar	Medición	Consentimiento
Medición de conversión a través del píxel de X	Medición	Consentimiento
Medición de conversión a través del píxel de Meta	Medición	Consentimiento
Medición de conversiones de anuncios de OpenAI (desde el servidor)	Medición	Consentimiento
Medición opcional de adquisición y suscripción de la app	Instalación, permiso, cuenta y eventos de pago	Consentimiento
Manejo de quejas y correcciones	Quejas, cuenta	Interés legítimo, obligación legal
Seguridad, detección de abuso, respuesta a incidentes	Dispositivo, cuenta	Interés legítimo
Cumplimiento de solicitudes legales	Todas las categorías, según corresponda	Obligación legal

No utilizamos datos personales para la toma de decisiones automatizada que produzca efectos legales o significativamente similares en usted (Art. 22 del RGPD).

4. Cuánto tiempo conservamos sus datos

• Observaciones de campaña de la aplicación local: caducan 89 días después de la fecha anterior entre el primer registro de instalación en el backend o la recepción de la observación de campaña, y se borran antes en caso de retirada o eliminación de la cuenta. Las devoluciones de llamada de campaña repetidas no extienden el período.
• Vínculos directos de evento a instalación: excluidos de los informes de medición después de 89 días desde el evento y eliminados mediante limpieza programada. Las reclamaciones de conversión de navegador antiguas también se eliminan después de 89 días. Las identidades financieras, los montos y los registros de eventos mínimos necesarios para evitar registros de pago/conversión duplicados están separados de estos vínculos publicitarios.
• Registros de permiso y borrado: los registros de instalación necesarios para hacer cumplir las elecciones, evitar la reasignación de cuentas y cumplir con las solicitudes de borrado se mantienen por separado de las observaciones de campaña. Un identificador de proveedor requerido para una solicitud de borrado pendiente permanece hasta que se confirme la finalización. Se conserva un registro de supresión restringido para evitar que esa identidad retirada se reutilice para publicidad. Estos registros no son anónimos y no se utilizan como datos de audiencia de campaña. La retención del lado del proveedor y una solicitud de borrado individual están separadas de nuestra caducidad de campaña local.
• Datos de la cuenta: mientras la cuenta esté activa y hasta dos (2) años después del cierre, para manejar disputas y devoluciones de cargo posteriores al cierre.
• Datos de análisis: catorce (14) meses para GA4; las cookies de medición de Contentsquare/Hotjar se conservan de acuerdo con su propósito y generalmente hasta trece (13) meses para cookies de análisis de UX a nivel de visitante.
• Datos de pago / facturación: siete (7) años, para cumplir con las obligaciones de archivo fiscal griego (Κ.Φ.Α.Σ. / Ley 4174/2013).
• Datos de quejas: tres (3) años desde la respuesta final, alineado con el estatuto de cinco años para reclamaciones contractuales pero recortado donde sea posible.
• Registros de acceso: noventa (90) días.
• Copias de seguridad: las copias de seguridad cifradas se eliminan en un plazo de 35 días.

Después de estos períodos, eliminamos o anonimizamos irreversiblemente los datos.

5. Con quién compartimos datos

Compartimos datos personales solo con los destinatarios y para los fines enumerados aquí. No vendemos datos personales a ningún tercero.

• Stripe (pagos, como responsable independiente).
• Google Ireland Limited (GA4) — solo si usted da su consentimiento para el análisis.
• Contentsquare/Hotjar — solo si usted da su consentimiento para la medición opcional de análisis de UX.
• X — medición de conversión opcional del sitio web y uso compartido de eventos de la aplicación permitido a través de AppsFlyer.
• Meta (Facebook/Instagram) — medición de conversión opcional del sitio web y uso compartido de eventos de la aplicación permitido a través de AppsFlyer.
• AppsFlyer — nuestro proveedor de servicios de medición y atribución móvil, incluido el vínculo permitido de cuenta a suscripción y el manejo de borrado descrito en la §2.7.
• Reddit — uso compartido de eventos de la aplicación permitido a través de AppsFlyer para medir y mejorar las campañas de To Brief.
• OpenAI (OpenAI Ireland Limited): medición opcional de conversiones de los anuncios de To Brief en ChatGPT, enviada por nuestro servidor según se describe en los §2.2 y §2.7.
• Proveedores de alojamiento e infraestructura (p. ej., Vercel, AWS, Cloudflare) que actúan estrictamente como procesadores bajo contratos del Art. 28.
• Asesores profesionales (abogados, contadores, auditores) cuando sea legalmente necesario y bajo confidencialidad.
• Autoridades competentes, cuando estemos obligados por una solicitud legal, específica y proporcionada (orden judicial, DPA, autoridad fiscal).

Una lista actual y auditable de subprocesadores se mantiene internamente y puede proporcionarse bajo solicitud.

6. Transferencias internacionales de datos

Algunos de nuestros procesadores están establecidos en los Estados Unidos u operan a nivel mundial. Cuando los datos personales se transfieren fuera del EEE, nos basamos en:

• las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), o
• una decisión de adecuación (p. ej., el Marco de Privacidad de Datos UE-EE. UU., para Stripe, Google y otros importadores certificados), o
• su consentimiento explícito para transferencias limitadas y específicas.

Medidas complementarias como el cifrado en tránsito (TLS 1.2+), el cifrado en reposo y los controles de acceso se aplican además del mecanismo de transferencia legal.

7. Sus derechos bajo el RGPD

Usted tiene los siguientes derechos bajo los Arts. 15-22 del RGPD:

• Acceso — confirmación de que procesamos sus datos y una copia de los mismos.
• Rectificación — corrección de datos inexactos o incompletos.
• Borrado ("derecho al olvido") — eliminación cuando existan motivos.
• Restricción — limitar cómo procesamos sus datos pendiente de verificación.
• Portabilidad — una copia legible por máquina de los datos que proporcionó bajo contrato o consentimiento.
• Oposición — al procesamiento basado en intereses legítimos, incluida la elaboración de perfiles.
• Retirar el consentimiento — en cualquier momento, sin afectar el procesamiento realizado antes de la retirada.
• Presentar una queja ante una autoridad de control — especialmente la Autoridad Helénica de Protección de Datos (ver §12).

Para ejercer cualquier derecho, envíe un correo electrónico a [email protected] desde la dirección registrada o proporcione otro medio razonable de verificación de identidad. Respondemos dentro de un (1) mes, prorrogable una vez por dos (2) meses adicionales para solicitudes complejas; explicaremos cualquier extensión.

8. Cookies

Utilizamos cookies y tecnologías similares. Las categorías, propósitos y duración de cada cookie se describen en la Política de Cookies. Puede configurar sus preferencias y retirar el consentimiento en cualquier momento a través de /cookie-preferences.

9. Menores

El Servicio no está dirigido a menores de quince (15) años, la edad de consentimiento digital en Grecia bajo el Art. 21 de la Ley 4624/2019. No recopilamos deliberadamente datos de niños más pequeños. Si cree que un menor se ha registrado, comuníquese con [email protected] y eliminaremos la cuenta.

10. Seguridad

Aplicamos medidas técnicas y organizativas comercialmente razonables —incluyendo TLS, contraseñas cifradas (familia Argon2), entornos aislados, principio de acceso de menor privilegio, registro, copias de seguridad y procedimientos de respuesta a incidentes— pero ningún sistema es perfectamente seguro. En caso de una violación de datos personales que probablemente resulte en un riesgo para sus derechos, notificaremos a la DPA Helénica dentro de las 72 horas según lo requerido por el Art. 33 del RGPD y, cuando el riesgo sea alto, también le notificaremos directamente.

11. Cambios en esta política

Publicaremos una versión revisada en esta URL y, para cambios materiales, daremos aviso con al menos treinta (30) días de antelación a través del Servicio o por correo electrónico. La fecha de "Última revisión" en la parte superior siempre refleja la actualización más reciente. Las versiones históricas de este documento se conservan en el registro de cambios de las páginas legales.

12. Contacto y autoridad de control

• Consultas sobre protección de datos: [email protected]
• Dirección postal: Troon 26, 118 51, Αθήνα, Αττική, Ελλάδα

Usted tiene derecho a presentar una queja ante la Autoridad Helénica de Protección de Datos (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Sitio web: https://www.dpa.gr
• Postal: Kifissias 1-3, 115 23 Athens, Greece

Los residentes de la UE fuera de Grecia también pueden ponerse en contacto con la autoridad de control en su Estado miembro de residencia habitual.