Política de privacidad

1. Responsable del tratamiento

Obsidian Profile (el "Servicio", el sitio obsi.bio) es un servicio operado desde Chile. Los datos personales tratados por el Servicio se administran bajo la responsabilidad del operador del Servicio. Ante cualquier consulta sobre esta política puedes escribirnos en nuestra página de Contacto.

El Servicio puede estar disponible internacionalmente. Esta política se rige por la legislación chilena (Ley 19.628 sobre protección de la vida privada) y, cuando corresponda, por el Reglamento General de Protección de Datos de la Unión Europea (RGPD) en relación con personas en la UE. Nota: la Ley chilena 21.719, que moderniza la protección de datos personales, entrará en plena vigencia el 1 de diciembre de 2026; esta política se actualizará en consecuencia.

2. Datos que recopilamos

El Servicio recopila los siguientes datos personales:

Datos de cuenta

• Correo electrónico (para registro, inicio de sesión y recuperación de contraseña).
• Nombre de usuario y nombre para mostrar (públicos en tu perfil).
• Contraseña (almacenada solo como hash criptográfico, nunca en texto plano).
• Identificadores de terceros si inicias sesión con Discord, Google o GitHub (ID del proveedor, email, nombre y avatar que el proveedor entrega).
• Fecha y versión de aceptación de los Términos y de esta Política, y declaración de tener al menos 13 años.

Datos de perfil

• Avatar, banner, biografía, ubicación, profesión, empresa, sitio web, pronombres, estado y otros campos que tú configures.
• Preferencias de privacidad y de personalización visual (tema, colores, widgets, marcos, decoraciones, música).
• Enlaces sociales que agregues.

Datos de uso y analíticas

Cuando alguien visita un perfil público, el Servicio registra: fecha y hora, dirección IP (almacenada solo como hash irreversible, no como IP en bruto), tipo de navegador, sistema operativo, tipo de dispositivo, resolución de pantalla, página visitada y referrer. El país, ciudad y región aproximada se determinan en nuestros propios servidores a partir de una base de datos de geolocalización local; la IP del visitanteno se transmite a ningún tercero. Estos datos se muestran al dueño del perfil como estadísticas de visitas.

Datos de pago

Cuando contratas un plan de pago, el pago se procesa íntegramente a través de PayPal. Obsidian Profile no recibe ni almacena datos de tarjeta, ni datos de facturación del pagador. PayPal puede transmitirnos el identificador de la suscripción y el estado del pago para activar tu plan.

3. Base legal del tratamiento

• Ejecución del contrato: crear tu cuenta, gestionar tu perfil y prestar el Servicio (RGPD art. 6.1.b).
• Consentimiento: cuando aceptas los Términos de servicio y la Política de privacidad al registrarte, y cuando das tu consentimiento en formularios como el de contacto (RGPD art. 6.1.a).
• Interés legítimo: analíticas de visitas, prevención de fraude y seguridad del Servicio (RGPD art. 6.1.f).
• Cumplimiento legal: cuando una norma aplicable lo exija (RGPD art. 6.1.c).
• Bajo la Ley chilena 19.628, el tratamiento se ampara en el consentimiento del titular y en la ejecución del contrato de servicios.

4. Cómo se almacenan los datos

• Base de datos PostgreSQL en servidores propios (VPS).
• Archivos subidos (avatares, banners, medios) en el almacenamiento local del servidor.
• Las contraseñas se guardan únicamente como hash con bcrypt.
• Los tokens de acceso a proveedores externos (p. ej. Spotify, o los de las cuentas vinculadas por OAuth) se almacenan cifrados con cifrado simétrico (AES-256-GCM) y nunca se devuelven al navegador.

5. Proveedores y terceros

El Servicio usa los siguientes proveedores, que pueden recibir ciertos datos:

• PayPal: para procesar pagos y suscripciones. Recibe el identificador interno del usuario y los datos del pagador que tú mismo ingresas en PayPal. (Responsable independiente).
• Discord, Google y GitHub: para inicio de sesión (OAuth). Reciben y devuelven los datos de autenticación. (Responsables independientes).
• Gmail (Google Workspace SMTP): para enviar correos de recuperación de contraseña. (Encargado del tratamiento).
• Formspree: para recibir los mensajes del formulario de contacto (nombre, email, asunto, mensaje). (Encargado del tratamiento).
• OpenStreetMap, Spotify, GitHub, YouTube, Discord (embeds de widgets): reciben el identificador del contenido que el usuario decide incrustar en su perfil. (Responsables independientes).

⚠️ Los datos pueden ser transferidos internacionalmente (servidores en Estados Unidos, Unión Europea u otros países donde operen estos proveedores). PayPal y los proveedores de OAuth cuentan con sus propias políticas de privacidad y sus propios mecanismos de transferencia.

6. Retención de datos

• Datos de cuenta y perfil: se conservan mientras tu cuenta esté activa. Al eliminar tu cuenta, se suprimen de forma permanente (incluyendo los archivos subidos), salvo que la ley exija conservarlos.
• Analíticas (eventos individuales): se eliminan automáticamente según tu plan — 7 días en el plan Gratis, 30 días en Premium, 90 días en Deluxe. La limpieza se ejecuta de forma automática y periódica por el propio Servicio. Solo los contadores agregados de visitas se conservan mientras la cuenta permanezca activa.
• Correos de contacto: se conservan según las necesidades del soporte y las políticas de Formspree.
• Sesiones y tokens: los tokens expiran automáticamente (acceso 7 días, refresco 30 días) y se pueden revocar al cerrar sesión.

7. Cookies y almacenamiento local

El Servicio utiliza lo siguiente:

• Una cookie «access_token» en el panel de control (dashboard) para facilitar la sesión. No es una cookie de seguimiento.
• localStorage en el panel de control para guardar el token de acceso y el token de refresco de tu sesión.
• No utilizamos cookies de publicidad, de terceros ni sistemas de seguimiento externos.

Para más detalle consulta nuestra Política de cookies.

8. Seguridad

• Comunicaciones cifradas con TLS/HTTPS.
• Contraseñas almacenadas con hash (bcrypt).
• Tokens de recuperación de contraseña almacenados como hash y con expiración de 1 hora.
• Validación de la firma de los webhooks de pago de PayPal para evitar fraude.
• Sanitización de datos antes de exponerlos a las APIs.

9. Tus derechos

Como titular de los datos puedes ejercer, según la ley aplicable, los siguientes derechos:

• Acceso: conocer qué datos tenemos tuyos.
• Rectificación: corregir datos inexactos.
• Supresión (derecho al olvido): eliminar tu cuenta y tus datos.
• Oposición y limitación del tratamiento, cuando proceda.
• Portabilidad, cuando proceda.
• Revocar el consentimiento en cualquier momento.

Puedes ejercer tus derechos de la siguiente manera:

• Acceso y portabilidad: en Ajustes → «Descargar mis datos» obtienes un archivo JSON con tu perfil, widgets, configuración y datos exportables.
• Supresión (derecho al olvido): en Ajustes → «Eliminar mi cuenta» eliminas tu cuenta y tus datos de forma permanente, incluidos los archivos subidos.
• Rectificación: puedes editar tu perfil y ajustes en cualquier momento.
• Revocación del consentimiento: puedes dejar de usar el Servicio y eliminar tu cuenta cuando lo desees.

Para cualquier otra solicitud, escríbenos por Contacto o a soporte@obsi.bio.

Si estás en la Unión Europea, tienes derecho a presentar una reclamación ante la autoridad de control de protección de datos de tu país. En Chile, el tratamiento se ampara actualmente en la Ley 19.628; la autoridad competente será la Agencia de Protección de Datos Personales una vez que el régimen de la Ley 21.719 entre en plena vigencia (1 de diciembre de 2026).

Si el RGPD resulta aplicable a nuestro tratamiento (por ejemplo, por ofrecer servicios a personas en la UE de forma relevante), designaremos un representante en la UE conforme al artículo 27 RGPD cuando esa obligación efectivamente concurra según el volumen y la naturaleza del tratamiento, informando aquí de su identidad y datos de contacto.

10. Menores de edad

El Servicio está dirigido a mayores de 13 años. Al registrarte debes declarar tener al menos 13 años (declaración de edad que se almacena junto con la aceptación de estos términos). No realizamos una verificación documental de la edad. Si eres padre/madre o tutor y descubres que un menor nos ha proporcionado datos, contáctanos para su eliminación.

11. Cambios a esta política

Podemos actualizar esta política para reflejar cambios en el Servicio o en la normativa. Los cambios se publicarán en esta página con su fecha de actualización.