Política de Privacitat

L'entitat responsable del tractament de les teves dades personals és:

• Nom: Francisco Alberto Cano Prieto
• NIF: 36528793D
• Domicili: Mallorca 609, 08026 Barcelona, España
• Lloc web: dnainfolab.org
• Contacte: info@dnainfolab.org · 652693041

Avís legal

Recollim i tractem les dades següents, proporcionades voluntàriament per tu o generades automàticament:

• Dades de compte: nom d’usuari i adreça de correu, sempre obligatoris. Si et registres amb contrasenya, en guardem el hash (bcrypt) i mai la contrasenya en text pla; si entres amb Google, no hi ha contrasenya i guardem el teu identificador de Google.
• Dades genètiques (categoria especial segons l'art. 9 del RGPD): els SNP del fitxer d'ADN en brut que puges i els resultats derivats, incloses les puntuacions per tret calculades internament, que ja no es mostren a l'informe però se segueixen desant i s'inclouen a la teva exportació de dades.
• Dades de sessió: identificador de sessió en cookie HttpOnly per mantenir-te connectat, a més de la data del teu últim accés i de la teva última activitat (es fan servir per comptar usuaris actius i per eliminar comptes inactius).
• Dades tècniques: adreça IP i user-agent, registrades únicament en registres d'error (conservats 90 dies).
• Analítica de producte: esdeveniments d'ús no identificatius (p. ex. una funció que has fet servir) vinculats al teu compte, sense IP ni user-agent, conservats 365 dies. Es fan servir només per entendre i millorar el producte.
• Dades de comanda i pagament: import, moneda, data, estat de la comanda, idioma i versió de les condicions acceptades, i identificadors de Stripe (sessió de pagament, càrrec, reemborsament). NO rebem ni emmagatzemem el número de la teva targeta.

Dades obligatòries, i què passa si no les facilites. Per tenir compte: nom d’usuari i correu, més una contrasenya si et registres amb contrasenya — amb Google no hi ha contrasenya, i en canvi rebem el teu identificador de Google i el teu correu. El correu és obligatori en tots dos camins, perquè és el canal del restabliment i de la confirmació de compra que exigeix la normativa de consum. Per generar un informe: el fitxer d’ADN i el consentiment genètic. Sense això no podem crear el compte, generar l’informe ni vendre’l — no hi ha cap altra conseqüència, i res d’això s’utilitza per a cap altra finalitat.

Les teves dades es tracten estrictament amb les finalitats següents:

• Crear i gestionar el teu compte.
• Per creuar els teus SNP amb les bases de dades del Catàleg GWAS, PharmGKB i ClinVar i elaborar el teu informe.
• Generar, emmagatzemar i mostrar els teus informes genètics.
• Per generar explicacions en llenguatge planer amb IA, cosa que implica enviar a Anthropic (Claude) l'àrea de salut corresponent i els seus recomptes de variants, els noms dels gens, els identificadors de variant (rsid), els teus genotips en aquestes variants, l'al·lel de risc, la mida de l'efecte i el tret que va mesurar cada estudi, a més de resums públics de PubMed. NO enviem el teu fitxer d'ADN complet.
• Gestionar la compra: crear la comanda, cobrar a través de Stripe, donar accés a l’informe complet i tramitar desistiments i reemborsaments.
• Enviar-te els correus necessaris per al servei: restabliment de contrasenya i la confirmació del contracte en suport durador, amb el text exacte de les condicions que has acceptat. No enviem comunicacions comercials.
• Portar el registre comptable i fiscal de les vendes durant el termini que exigeix la llei.
• Entendre i millorar el producte amb analítica pròpia: quines funcions es fan servir i en quin punt s’abandona un procés. Si acceptes les cookies d’analítica, aquesta mateixa finalitat es cobreix també amb Google Analytics.
• Mantenir la seguretat del servei: detectar i limitar abusos i diagnosticar errors.

• Consentiment (art. 6.1.a i 9.2.a RGPD): Ens proporciones consentiment explícit per tractar les teves dades genètiques quan puges un fitxer d’ADN: es demana abans de cada pujada i es registra amb la seva versió, el seu idioma i el text exacte que has llegit. És també la base de les cookies d’analítica de tercers, que només s’activen si les acceptes al bàner. Pots retirar qualsevol dels dos en qualsevol moment — el genètic esborrant les teves dades o el teu compte, i el de cookies des del bàner.
• Contracte (art. 6.1.b RGPD): El tractament de les dades de compte i de les dades de comanda i pagament és necessari per executar el contracte que sol·licites: crear el teu compte, cobrar l’informe, donar-te accés al que has comprat i enviar-te la confirmació de la compra.
• Interès legítim (art. 6.1.f RGPD): Dos tractaments es fonamenten en el nostre interès legítim. Els registres d’error amb IP i user-agent es conserven 90 dies per diagnosticar incidències i prevenir abusos. I l’analítica de producte pròpia registra quines funcions es fan servir, vinculada al teu compte però sense IP, sense user-agent i sense text lliure, per saber on falla el producte; hem ponderat que la dada és mínima, no es comparteix amb ningú, no s’usa per a publicitat ni per decidir res sobre tu, i que pots oposar-t’hi escrivint-nos.
• Obligació legal (art. 6.1.c RGPD): El registre de comandes i pagaments es conserva durant el termini que exigeixen la normativa comptable i fiscal, encara que esborris el teu compte. Aquesta base no depèn del teu consentiment i, mentre corri aquest termini, no es pot retirar.

Aquests són els proveïdors i destinataris que intervenen en el servei. No tots són encarregats: alguns decideixen pel seu compte una part del tractament, com s’explica a sota.

• Stripe: Passarel·la de pagament (Stripe Payments Europe, Limited, Irlanda; per a pagaments regulats a l’EEE hi pot intervenir Stripe Technology Europe, Limited). Rep el teu correu i les dades de la targeta directament a la seva pàgina; nosaltres només guardem identificadors i l’import. Stripe actua com a encarregat quan cobra el pagament per compte nostre, i com a responsable independent per a la prevenció del frau i les seves obligacions normatives.
• Hetzner Online GmbH: Allotjament dels servidors i de la base de dades, a Alemanya (UE). Tracta totes les dades per compte nostre.
• Cloudflare: Xarxa, DNS i protecció contra atacs. Tot el trànsit del lloc passa per Cloudflare, inclosa la pujada del teu fitxer d’ADN: Cloudflare termina la connexió xifrada (TLS) al centre de dades més proper a tu, que pot ser fora de la Unió Europea, i per això tracta en trànsit el contingut de les peticions, el fitxer inclòs. No l’emmagatzema per compte nostre ni l’utilitza per a finalitats pròpies, i actua com a encarregat del tractament d’acord amb el seu acord de tractament de dades i amb les Clàusules Contractuals Tipus.
• Brevo (Sendinblue): Enviament de correu transaccional (restabliment de contrasenya, confirmació de compra). Rep la teva adreça de correu i el contingut del missatge.
• Google Analytics 4: Google Analytics 4 (Google Ireland Limited), estadístiques de navegació, i només si acceptes les cookies d’analítica al bàner: fins llavors l’script no es carrega. Rep dades PSEUDÒNIMES, no anònimes — un identificador de client (cookie _ga) que et distingeix entre visites, la pàgina i el referent, els esdeveniments, el navegador i el dispositiu, i una geolocalització aproximada derivada de la teva IP. Mai dades genètiques ni de comanda. Pot tractar dades als Estats Units. L’analítica pròpia de producte descrita més amunt no fa servir cookies i no surt dels nostres servidors.
• Google OAuth: Només per a autenticació, si fas servir Inicia sessió amb Google. Rebem el teu identificador de Google i el teu correu. Google actua com a responsable independent del seu propi tractament — consulta la seva política de privacitat. És un servei diferent de Google Analytics.
• Anthropic Claude API: Només explicacions amb IA, i només quan les demanes. Enviem els resultats derivats d'aquella àrea de salut: quantes variants hi seguim i quantes s'han trobat al teu fitxer i, de cada variant destacada, el rsID, el gen, el teu genotip, l'al·lel de risc, la zigositat (heterozigot o homozigot), la mida de l'efecte (OR o beta) i el tret que va mesurar l'estudi; a més de resums de fins a tres articles públics de PubMed. No s'envia cap puntuació global, nivell de risc ni percentil, perquè no se'n produeix cap per mostrar. El fitxer d'ADN en brut no es transmet mai. Anthropic tracta les dades als Estats Units sota Clàusules Contractuals Tipus (art. 46 del RGPD).
• NCBI PubMed: Base de dades pública de recerca (NCBI, EUA). Consultem PubMed per PMID per obtenir resums — no s'envien dades personals.

Encarregat i responsable independent no són el mateix: un encarregat tracta les dades només per compte nostre i amb les nostres instruccions (Hetzner, Cloudflare, Brevo, Anthropic); un responsable independent decideix ell mateix sobre un tractament i en respon. Stripe és les dues coses segons el tractament: encarregat quan cobra el pagament per compte nostre, i responsable independent per a la prevenció del frau i les seves pròpies obligacions normatives, sobre les quals no li donem instruccions. Google, si inicies sessió amb Google, actua com a responsable independent.

Transferències internacionals: l’allotjament, la base de dades i el correu es presten dins de la Unió Europea, i allà és on queden emmagatzemades les teves variants i els teus resultats. Surten de la UE, com a mínim, aquests tres tractaments. Anthropic tracta als Estats Units les dades derivades que se li envien per a les explicacions, mai el fitxer. Cloudflare, en terminar la connexió xifrada al centre de dades més proper, pot tractar en trànsit el contingut de les teves peticions fora de la UE — inclòs el fitxer d’ADN en el moment de pujar-lo. I Google Analytics, si acceptes les cookies d’analítica, tracta dades de navegació als Estats Units. Totes s’emparen en les Clàusules Contractuals Tipus de la Comissió Europea (art. 46 RGPD).

Com obtenir les garanties: pots demanar-nos una còpia de les Clàusules Contractuals Tipus que emparen aquestes transferències, i la informació sobre les mesures complementàries, escrivint a l’adreça de contacte de l’apartat 1. S’envia sense cost.

• Si compres l’informe, les teves dades d’ADN i l’informe es conserven mentre el teu compte estigui actiu. Si no el compres, l’anàlisi —les variants extretes i l’informe— s’esborra automàticament 30 dies després de pujar-lo: no conservem dades genètiques de qui no ha comprat. Pots exportar-ho tot abans, esborrar-ho tu en qualsevol moment des de l’historial, o tornar a pujar el fitxer més endavant.
• Les explicacions generades per IA es guarden al costat de l'informe al qual pertanyen, perquè puguis tornar a llegir-les sense una nova petició a la IA. S'eliminen amb l'informe.
• Els registres d'error es purguen automàticament al cap de 90 dies.
• Les dades de comanda i pagament es conserven durant el termini que exigeix la normativa comptable i fiscal, encara que esborris el teu compte. En aquest cas el registre deixa d’estar associat al teu compte i al teu informe, però conserva l’import, la data i els identificadors de Stripe del pagament i dels seus reemborsaments. Això és pseudonimització, no anonimització: tots sols, aquests identificadors no et nomenen, però Stripe continua conservant el pagament amb les teves dades, de manera que qui tingui accés a Stripe podria tornar a vincular-los. No podem esborrar aquest registre abans del termini legal i no l’utilitzem per a cap altra finalitat.
• Quan elimines el teu compte o una pujada concreta, s’esborren de manera permanent les dades genètiques, l’informe i les seves explicacions d’IA. El registre de pagament es conserva durant el termini que exigeix la normativa comptable, desvinculat del teu compte i del teu informe en els termes del punt anterior.

Tens els drets següents sobre les teves dades personals (arts. 15–22 RGPD):

• Dret d'accés — obtenir una còpia de les dades que tenim sobre tu (autoservei a Compte → Descarrega les teves dades).
• Dret de rectificació — corregir dades inexactes.
• Dret de supressió — eliminar el teu compte i totes les dades associades.
• Dret de portabilitat — rebre les teves dades en un format llegible per màquina (exportació JSON des de la teva pàgina de Compte).
• Dret a la limitació del tractament — demanar que deixem de tractar les teves dades, conservant-les, mentre es comprova la seva exactitud o es resol si el tractament és legítim.
• Dret d'oposició — retirar el consentiment o oposar-te a tractaments específics.

Per exercir qualsevol d’aquests drets, escriu-nos a info@dnainfolab.org. Et respondrem en un termini màxim de 30 dies.

Apliquem mesures tècniques i organitzatives raonables per protegir les teves dades:

• Les contrasenyes es xifren amb hash bcrypt (cost 12). No s'emmagatzemen mai en text pla.
• Les cookies de sessió són HttpOnly, SameSite=Strict i Secure (només HTTPS) en producció.
• Tot el trànsit es xifra en trànsit mitjançant TLS (HTTPS). Els servidors són a Alemanya (UE) a Hetzner Online GmbH.
• Protecció CSRF: validació de la capçalera Origin + capçalera personalitzada X-Requested-With en totes les peticions que modifiquen l'estat.
• Capçaleres Content Security Policy i X-Frame-Options: DENY per prevenir XSS i clickjacking.
• HSTS activat en producció per forçar HTTPS en totes les connexions futures.