← Volver al inicio

Política de privacidad

Última actualización: 5 de noviembre de 2026

1. Responsable del tratamiento

El responsable del tratamiento es VisitCard, operado por Fiducium Sàrl, c/o Gaël Ghislain Monney, Rue des Beaux-Arts 14, 2000 Neuchâtel, Suiza (número de identificación de empresa: CHE-488.904.546). Contacto: hello@visitcard.app. Esta empresa está sujeta a la Ley Federal suiza de Protección de Datos (nLPD) y, para los usuarios ubicados en la Unión Europea, procura respetar los principios del RGPD. Conforme a estos marcos, la designación formal de un delegado de protección de datos no es obligatoria para el tamaño de nuestra organización. Consultas sobre datos: hello@visitcard.app.

2. Datos recogidos y bases legales

• Datos de cuenta (email, nombre, contraseña cifrada) — base legal: ejecución de contrato (art. 6.1.b RGPD); fecha del último inicio de sesión y de la última actividad en el panel (solo dos fechas, sin historial ni dirección IP), para el soporte y el seguimiento del servicio — base legal: interés legítimo (art. 6.1.f RGPD)
• Perfil de tarjeta (foto, cargo, teléfono, redes sociales) — base legal: contrato + consentimiento
• Datos de pago (suscripción, plan, historial de facturas) — base legal: contrato + obligación legal (art. 6.1.b y c)
• Analítica agregada (vistas, país visitante, tipo de dispositivo) — base legal: interés legítimo (art. 6.1.f), datos seudonimizados
• Logs técnicos (IP para rate-limiting, marcas de tiempo) — base legal: interés legítimo (seguridad)
• Escáner de tarjetas de visita — La foto de una tarjeta de visita se transmite a Anthropic PBC (Estados Unidos), nuestro encargado del tratamiento para el análisis de imágenes, únicamente para leer los datos de contacto, en dos casos: cuando el titular de una cuenta utiliza la función «Escanear una tarjeta» (desde su panel, su tarjeta o su enlace de escaneo personal), y cuando un visitante de una tarjeta elige «Rellenar con una foto de mi tarjeta» para rellenar previamente el formulario de contacto. Este botón es opcional: el visitante siempre puede introducir sus datos a mano. VisitCard no conserva la foto y Anthropic no la utiliza para entrenar sus modelos. Solo se guardan los datos revisados: por el titular, en su agenda; en el caso del visitante, únicamente si después envía el formulario. Las transferencias a Estados Unidos se rigen por cláusulas contractuales tipo.
• Visibilidad de su tarjeta — su tarjeta es accesible para cualquier persona que tenga su enlace o su código QR. Por defecto, no se ofrece a los motores de búsqueda (etiqueta noindex) ni figura en nuestro mapa del sitio; solo lo hace si marca «Hacer visible mi tarjeta en Google» en el editor, y puede desmarcar esta casilla en cualquier momento — base legal: consentimiento (art. 6.1.a RGPD)
• Contactos comerciales y boletín — Cuando solicita una demo, el envío de un código QR por correo o la suscripción al boletín, registramos su correo electrónico, el idioma y el origen de la solicitud (para una demo, también la empresa y el tamaño del equipo). En respuesta a una solicitud de demo, podemos enviarle un enlace personal a una página de demo, válido durante 14 días; para limitar su reenvío, contamos sus aperturas (fecha de la primera y de la última, número y una huella del dispositivo calculada a partir del navegador y de una parte de la dirección IP, nunca la dirección en sí); estos datos se suprimen junto con la solicitud de demo. Si marca la casilla prevista o se suscribe al boletín, le enviamos por correo un enlace de confirmación: su consentimiento solo se registra al hacer clic en ese enlace (doble opt-in). Conservamos entonces la prueba de ese consentimiento (fecha, texto aceptado, huella de la dirección IP, nunca la dirección en sí) y le enviamos nuestras novedades y consejos por correo electrónico — base legal: consentimiento (art. 6.1.a RGPD, art. 3.1.o de la LCD suiza). Estos envíos se realizan a través de Resend, Inc. (encargado del tratamiento) y no contienen píxel de seguimiento de aperturas ni enlaces de seguimiento de clics. Puede retirar su consentimiento en cualquier momento con el enlace de baja de cada correo; sus datos se conservan hasta que se dé de baja o solicite su supresión en hello@visitcard.app. Sin consentimiento confirmado, su dirección solo sirve para atender su solicitud; se retira de la lista de contactos comerciales 30 días después de su última solicitud.
• Programa de embajadores — Si es embajador: su código, su reparto, sus comisiones y pagos, la huella (no reversible) de las direcciones IP usadas en su espacio y sus datos de pago (nombre, dirección, tipo de beneficiario, número IDE o de IVA en su caso, IBAN), cifrados (AES-256) y usados únicamente para pagarle. Las facturas (PDF) adjuntas a sus solicitudes de transferencia se guardan en un espacio privado, accesibles solo para usted y la administración, para el pago y la contabilidad. Si llegó por un enlace de embajador: el código de ese enlace (cookie vc_ref, 60 días), la huella de su dirección IP y la de su tarjeta de pago (proporcionada por Stripe), que solo sirven para evitar la autorrecomendación. El embajador solo ve su nombre y la inicial de su apellido. Base legal: ejecución del contrato e interés legítimo (prevención de abusos).
• Pedido de tarjetas NFC — Si pide una tarjeta NFC física: el pedido, la dirección de envío y el número de teléfono introducidos al pagar (Stripe), y los datos impresos en la tarjeta (nombre, cargo, empresa, logotipo, enlace de su tarjeta). Solo sirven para fabricar y enviar la tarjeta: los datos impresos y la dirección de envío se transmiten, para la fabricación, a una imprenta establecida en Francia (Unión Europea). Base legal: ejecución del contrato.

3. Almacenamiento y seguridad

Sus datos están alojados en la infraestructura de Cloudflare (datacenters certificados ISO 27001). La base de datos (Cloudflare D1) y las imágenes subidas (Cloudflare R2) se almacenan en la Unión Europea (jurisdicción UE de Cloudflare); la aplicación se sirve desde la red global de Cloudflare, y cada solicitud la atiende el centro de datos más cercano. La base de datos usa D1 SQLite con cifrado en reposo. Las contraseñas se cifran con PBKDF2-SHA256 con 100.000 iteraciones. Las comunicaciones se cifran con TLS 1.3. Los tokens CSRF protegen todos los formularios.

4. Subencargados (art. 28 RGPD)

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use).

5. Cookies

VisitCard utiliza, en particular, las siguientes cookies estrictamente necesarias: visitcard_session (autenticación, HttpOnly, SameSite=Lax), csrf_token (protección CSRF, SameSite=Lax, Max-Age 24h) y vc_signup (inicio de sesión automático tras la verificación del email, 3 horas). Otras cookies funcionales de corta duración (autenticación de dos factores, inicio de sesión con Google o Microsoft, panel) se detallan en la Política de cookies. Visitantes situados en Suiza (país de la dirección IP): Google Tag Manager y la etiqueta de Google se cargan en cada página desde su llegada, con Google Consent Mode v2 en modo avanzado, configurado por defecto en «denegado» (analytics_storage, ad_storage, ad_user_data y ad_personalization en denied). Mientras no haya aceptado, no se instala ni se lee ninguna cookie de Google; no obstante, la etiqueta envía a Google señales sin cookies («pings»): estado del consentimiento, página consultada, marca de tiempo, tipo de navegador y dirección IP (utilizada para la transmisión y una localización aproximada). Google las utiliza para estimar, de forma agregada y modelizada, las visitas y conversiones no medidas. Tras su consentimiento, Google Analytics 4 y Google Ads instalan sus cookies y miden, cada uno según la categoría aceptada (Analíticas / Marketing). Visitantes situados fuera de Suiza: Google Tag Manager y la etiqueta de Google solo se cargan después de su consentimiento (Analíticas o Marketing); antes, no se transmite nada a Google, ni siquiera señales sin cookies. Su elección se guarda en la cookie vc_consent (365 días). La cookie vc_src (30 días, medición interna) memoriza la procedencia de su primera visita (sitio de origen, campaña, enlace de referido o clic en un anuncio, sin identificador publicitario) para las estadísticas internas de VisitCard; se asocia a su cuenta si se registra y nunca se transmite a terceros. Visitantes en Suiza (país de la dirección IP): se instala en la primera visita y se elimina si rechaza las cookies analíticas; otros visitantes: solo se instala si acepta las cookies analíticas. Si llega a través de un anuncio de Google Ads, el identificador de ese clic se conserva en la cookie vc_gclid (90 días) con su consentimiento a las cookies de marketing (en Suiza, mientras no las haya rechazado en el banner) y, si se registra, con su cuenta, para medir las conversiones de nuestros anuncios (registro, prueba, compra): VisitCard lo transmite entonces a Google Ads con esas conversiones. Conversiones mejoradas de Google Ads: solo si acepta las cookies de marketing, al registrarse, iniciar una prueba o realizar una compra, la dirección de correo electrónico de su cuenta se transmite a Google en forma cifrada mediante hash (huella SHA-256 calculada en su navegador, nunca en claro ni en una dirección web), para atribuir esa conversión a nuestros anuncios. Las tarjetas públicas (visitcard.app/c/…) no instalan ninguna cookie ni cargan herramientas de terceros de medición de audiencia o de publicidad; sus tipos de letra se sirven desde visitcard.app: Google Fonts no recibe la dirección IP del visitante. Detalles: Política de cookies.

6. Sus derechos (RGPD)

Conforme a los arts. 15–22 del RGPD, tiene derecho de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad (art. 20) y oposición (art. 21). Para ejercer estos derechos: hello@visitcard.app. Respondemos en un máximo de 30 días.

7. Períodos de conservación

8. Transferencias internacionales

Cloudflare, Stripe, Resend, Google, Microsoft, Anthropic son empresas estadounidenses. La base de datos y las imágenes subidas se almacenan en la Unión Europea (jurisdicción UE de Cloudflare) y los emails transaccionales se envían desde la región UE de Resend (Irlanda). No obstante, la aplicación se sirve desde la red global de Cloudflare y estos proveedores siguen sujetos al derecho estadounidense. Las transferencias a destinatarios certificados en el EU-U.S. Data Privacy Framework y en su extensión suiza (Swiss-U.S. Data Privacy Framework, reconocida por el Consejo Federal desde el 15 de septiembre de 2024), en particular Cloudflare, Stripe, Google, Microsoft y HubSpot, se basan en estas decisiones de adecuación (art. 45 RGPD; art. 16, apdo. 1, nLPD y anexo 1 de la Ordenanza suiza sobre protección de datos, OPDo). En su defecto, se rigen por las cláusulas contractuales tipo de la Comisión Europea (decisión 2021/914), con las adaptaciones al derecho suizo reconocidas por el Delegado federal de protección de datos y transparencia (PFPDT; art. 16, apdo. 2, letra d, nLPD). En la tabla del § 4, «DPF» designa el Data Privacy Framework y «CCT» las cláusulas contractuales tipo.

9. Formulario de contacto público

Cuando un visitante envía un mensaje a través del formulario de contacto de una tarjeta VisitCard, los datos introducidos (nombre, email, teléfono opcional, mensaje) se reenvían por email al propietario y se almacenan en la base de datos de VisitCard (Cloudflare D1). La base legal es el interés legítimo (art. 6.1.f RGPD). Los datos se conservan 3 años desde el último contacto y pueden suprimirse a petición en hello@visitcard.app. Cuando el titular de una tarjeta ha alcanzado el límite de contactos de su plan, los datos enviados mediante el formulario quedan conservados por VisitCard «en espera», sin que el titular pueda acceder a ellos, durante un máximo de 90 días; pasan a estar accesibles para el titular si este cambia a un plan superior dentro de ese plazo y, en caso contrario, se eliminan. Puede solicitar su eliminación en hello@visitcard.app.

Si el titular de la tarjeta ha activado el correo de agradecimiento automático (planes de pago), el visitante recibe una sola vez, en la dirección que introdujo, un breve correo de parte del titular («Gracias por nuestra conversación», con un enlace a su tarjeta y sus datos de contacto): es la respuesta a su propia solicitud de ser contactado, sin contenido promocional ni seguimiento publicitario. Las respuestas llegan directamente al titular. Para no enviarlo nunca dos veces, VisitCard conserva una huella no reversible de la dirección (hash), nunca la dirección en sí, mientras exista la tarjeta.

Si el titular de la tarjeta ha conectado su CRM (HubSpot, Pipedrive o bexio), los datos enviados mediante el formulario se transmiten a él siguiendo sus instrucciones; el titular es entonces responsable de ese tratamiento. La dirección IP de los visitantes no se registra al consultar una tarjeta; para los mensajes enviados mediante el formulario de contacto, se registra de forma seudonimizada (último bloque puesto a cero) y se borra a los 30 días.

10. Menores

VisitCard está reservado a personas de al menos 18 años (Términos de uso, § 3bis). No recopilamos a sabiendas datos de personas menores de 18 años; si sabemos que una cuenta ha sido abierta por una de ellas, podrá ser eliminada.

11. Contacto y reclamaciones

Para cualquier consulta sobre protección de datos: hello@visitcard.app. Si no está satisfecho con nuestra respuesta, puede contactar con el Comisionado Federal Suizo de Protección de Datos y Transparencia (FDPIC): edoeb.admin.ch. Si reside en la Unión Europea, también conserva el derecho de presentar una reclamación ante la autoridad de protección de datos de su país.