Política de privacidad

Tallgrass es operado por JOCO INC, una empresa con sede en Quebec (Canadá). JOCO INC es responsable de la información personal descrita en esta política (el «responsable del tratamiento» según el RGPD).

Esta política se aplica al sitio web Tallgrass. Está redactada para cumplir la Ley sobre la protección de la información personal en el sector privado de Quebec (modificada por la Ley 25), la Ley de protección de información personal y documentos electrónicos de Canadá (PIPEDA) y, cuando correspondan, el Reglamento General de Protección de Datos de la UE y del Reino Unido (RGPD) y las leyes de privacidad de los estados de EE. UU., como la California Consumer Privacy Act (CCPA/CPRA).

Según la ley de Quebec, la persona responsable de la protección de la información personal en JOCO INC es su presidente. Puedes contactarla desde la página de contacto (elige «Solicitud de privacidad») o por correo electrónico a red@tallgrass.io.

Cuando solo navegas. No necesitas una cuenta para ver el catálogo y los precios. No te rastreamos. Contamos las visitas y medimos la velocidad de carga con Vercel Web Analytics y Speed Insights, que no usan cookies, no te identifican y solo nos dan totales agregados (un visitante solo se reconoce durante un día como máximo, mediante un hash que luego se descarta). Para entregar las páginas y proteger el sitio, nuestros proveedores de alojamiento procesan automáticamente datos técnicos como tu dirección IP, el tipo de navegador (agente de usuario), la página solicitada y la hora; conservan estos registros por períodos cortos según sus propias políticas. Dos pequeñas cookies recuerdan tu idioma y tu moneda de visualización; consulta la Política de cookies.

Cuando usas el formulario de contacto. Tu nombre, tu correo electrónico, el tipo de solicitud, tu mensaje, una URL opcional, el idioma del sitio al escribir, el agente de usuario de tu navegador, la fecha y un hash con sal de tu dirección IP. Guardamos ese hash —no la dirección IP en sí— solo para evitar abusos y limitar los envíos repetidos.

Cuando tienes una cuenta (el registro público está cerrado por ahora; esto se aplicará cuando se abra):

• Datos de la cuenta: correo electrónico, nombre de usuario y nombre visible. Tu contraseña la gestiona por completo nuestro proveedor de autenticación, Supabase Auth; Tallgrass nunca la ve y no guarda contraseñas ni hashes de contraseñas. Supabase Auth también conserva registros técnicos de inicio de sesión (por ejemplo, la hora de tu último inicio de sesión) y una cookie de sesión mantiene tu sesión abierta.
• Datos de colección: las cartas que tienes, cantidades, estado, gradación, precio de compra y su moneda, notas, carpetas con sus nombres y descripciones, listas de deseos, productos sellados y todo lo que importes desde un archivo CSV.
• Preferencias: como tu moneda de visualización y tu idioma.

No pedimos información sensible (salud, cuentas financieras, etc.), y te pedimos que no la incluyas en notas ni descripciones de carpetas. En Tallgrass no se procesa ningún pago.

Usamos la información personal solo para estos fines:

• crear y proteger tu cuenta y mantener tu sesión iniciada;
• guardar tu colección, mostrártela y calcular su valor estimado;
• mostrar una carpeta mediante un enlace público, solo si decides compartirla;
• importar y exportar tus datos (CSV);
• responder tus mensajes y atender tus solicitudes, incluidas las de privacidad y las de retiro de contenido;
• corregir los errores que reportes y mantener el sitio funcionando;
• prevenir abusos, spam y ataques (por ejemplo, limitando envíos con la dirección IP en hash);
• cumplir la ley y establecer o defender reclamaciones legales.

Solo recopilamos lo necesario para estos fines. Si algún día quisiéramos usar tu información para un fin nuevo, primero te pediríamos tu consentimiento, salvo que la ley disponga otra cosa.

• Sin publicidad, sin píxeles de seguimiento, sin cookies de marketing de terceros, sin analítica basada en cookies (solo estadísticas de visitas agregadas y sin cookies).
• No vendemos ni alquilamos información personal, ni la «compartimos» para publicidad conductual entre contextos.
• No elaboramos perfiles ni tomamos decisiones sobre ti basadas únicamente en un tratamiento automatizado.
• No enviamos correos de marketing. De hecho, Tallgrass todavía no envía ningún correo.

Al enviarnos un mensaje o crear una cuenta, aceptas que recopilemos y usemos tu información para los fines anteriores. Puedes retirar tu consentimiento en cualquier momento —por ejemplo, eliminando tu cuenta o pidiéndonos que borremos tus mensajes—, pero es posible que entonces no podamos ofrecerte el servicio relacionado. Retirar el consentimiento no afecta el tratamiento ya realizado ni la información que la ley nos obliga a conservar.

Solo compartimos información personal con:

• Nuestros proveedores de servicios, que la tratan en nuestro nombre y por contrato: Supabase (base de datos y autenticación), Vercel Inc. (alojamiento web, distribución de contenido, funciones sin servidor y estadísticas de visitas sin cookies) y, cuando se muestra la verificación de seguridad en un formulario, Cloudflare, Inc. (Turnstile, que usa señales técnicas como tu dirección IP y tu navegador para distinguir a las personas de los bots). Solo pueden usarla para prestarnos sus servicios.
• Las personas que elijas, cuando compartes el enlace de una carpeta: cualquiera que tenga el enlace puede verla.
• Las autoridades, cuando la ley lo exige (por ejemplo, una orden judicial válida) o cuando es necesario para proteger derechos, la seguridad o el servicio.
• Un sucesor, si Tallgrass se vendiera o transfiriera; en ese caso la información seguiría protegida como exige la ley y esta política seguiría aplicándose.

Si agregamos un proveedor de correo transaccional (como Resend) para enviar correos de la cuenta, actualizaremos esta política antes de hacerlo.

Nuestra base de datos y la autenticación (Supabase) están alojadas en Canadá, en la región AWS Canada (Central) de Montreal. El sitio en sí está alojado por Vercel Inc., una empresa de Estados Unidos, y se sirve mediante una red perimetral global. Por eso, los datos de las solicitudes (como la dirección IP) y el contenido de las páginas que cargas pueden procesarse en Estados Unidos y en otros países donde haya servidores perimetrales.

Como exige la ley de Quebec, evaluamos estas comunicaciones de información fuera de Quebec antes de recurrir a ellas —teniendo en cuenta la sensibilidad de la información, los fines, las medidas de protección (incluidas las contractuales) y el marco jurídico de esos países— y concluimos que la información recibe una protección adecuada. Nuestros proveedores están obligados por contrato a protegerla y a usarla solo para prestar sus servicios. La información tratada en el extranjero puede estar sujeta a las leyes de ese país, incluido el acceso legal de sus autoridades.

• Mensajes de contacto: hasta 24 meses después de cerrar tu solicitud, y más tiempo solo si es necesario para establecer o defender una reclamación legal (por ejemplo, un retiro disputado).
• Datos de cuenta y de colección: mientras tu cuenta esté activa. Cuando nos pides eliminar tu cuenta, la eliminamos en un plazo de 30 días; las copias en las copias de seguridad diarias de nuestro proveedor desaparecen en unos 7 días más.
• Carpetas compartidas: dejan de ser públicas en cuanto dejas de compartirlas o las eliminas.
• Registros de alojamiento: nuestros proveedores los conservan por períodos cortos según sus propias políticas.

Cuando la información ya no es necesaria, la destruimos o la anonimizamos conforme a la ley.

Aplicamos medidas de seguridad razonables y adecuadas a la sensibilidad de la información: conexiones cifradas (HTTPS) en todo el sitio, cifrado en reposo en nuestro proveedor de base de datos, acceso limitado a quien lo necesita (hoy, solo el propietario), autenticación reforzada en las cuentas de administración, contraseñas gestionadas únicamente por nuestro proveedor de autenticación y direcciones IP guardadas solo como hash con sal en los mensajes de contacto.

Ningún sistema es perfectamente seguro, pero trabajamos para mantener bajos los riesgos y revisamos las medidas a medida que el sitio crece.

Si ocurre un incidente de confidencialidad (como un acceso no autorizado a información personal o su pérdida), actuaremos rápidamente para reducir el riesgo de daño y evitar que se repita. Llevamos un registro de incidentes. Si un incidente presenta un riesgo de daño grave, avisaremos con prontitud a la Commission d’accès à l’information du Québec y a las personas afectadas; cuando se aplique la PIPEDA y exista un riesgo real de daño significativo, también lo informaremos a la Oficina del Comisionado de Privacidad de Canadá y avisaremos a las personas afectadas.

Según la ley, tienes derecho a:

• acceder a la información personal que tenemos sobre ti y saber cómo se usa y a quién se ha comunicado;
• corregir la información inexacta, incompleta o ambigua;
• retirar tu consentimiento al uso de tu información;
• pedir la eliminación de tu información, o pedirnos que dejemos de difundirla o que desindexemos los enlaces a ella cuando la ley lo prevea;
• recibir tus datos en un formato portátil: ya puedes exportar tu colección en CSV, y podemos entregarte el resto de tu información en un formato estructurado y de uso común si lo pides;
• presentar una queja ante una autoridad de privacidad (consulta «Preguntas y quejas» más abajo).

Cuando se abran las cuentas, podrás editar tus datos y exportar tu colección tú mismo desde la configuración de tu cuenta.

Usa la página de contacto y elige «Solicitud de privacidad», o escribe a red@tallgrass.io. Para proteger tu información, podemos pedirte que confirmes tu identidad antes de actuar. Respondemos en un plazo de 30 días, sin costo. Si no podemos atender tu solicitud por completo, te explicaremos por qué y cómo impugnar nuestra decisión.

Tallgrass no está dirigido a menores de 13 años, que no pueden crear una cuenta. En Quebec, no recopilamos información personal de menores de 14 años sin el consentimiento de su padre, madre o tutor. Si descubrimos que recopilamos información de un menor sin el consentimiento necesario, la eliminaremos. Los padres pueden escribirnos para hacer una solicitud en nombre de su hijo o hija.

Nos basamos en estas bases jurídicas del RGPD:

• Ejecución de un contrato: para ofrecerte la cuenta, el seguimiento de colección, el uso compartido y las funciones CSV;
• Interés legítimo: para responder tus mensajes, atender solicitudes de retiro, proteger el sitio y prevenir abusos (incluidos el hash de la IP y los registros de alojamiento), y para establecer o defender reclamaciones legales;
• Consentimiento: cuando lo pedimos; puedes retirarlo en cualquier momento;
• Obligación legal: cuando la ley nos obliga a conservar o comunicar información.

Además de los derechos anteriores, puedes pedir la limitación del tratamiento y oponerte al tratamiento basado en el interés legítimo. También puedes presentar una reclamación ante la autoridad de protección de datos del lugar donde vives o trabajas.

Transferencias internacionales. La Comisión Europea reconoce que Canadá ofrece un nivel de protección adecuado para las organizaciones comerciales. Las transferencias a Estados Unidos (nuestro proveedor de alojamiento web) se basan en las garantías adecuadas que ofrece el proveedor, como las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU.

Algunos estados de EE. UU., como California, otorgan derechos de privacidad específicos a sus residentes. Esto es lo que nos exigen informarte, respecto de los últimos 12 meses:

• Categorías recopiladas: identificadores (nombre, correo electrónico, nombre de usuario, hash de la IP); actividad en internet (registros de alojamiento, agente de usuario); la información que ingresas sobre las cartas que tienes, incluidos los precios de compra; y credenciales de acceso a la cuenta, que se usan solo para que puedas iniciar sesión.
• Fuentes: tú y tu navegador cuando usas el sitio.
• Divulgaciones: solo a nuestros proveedores de servicios (Supabase y Vercel), para los fines descritos arriba.
• Sin venta ni uso compartido: no vendemos información personal ni la compartimos para publicidad conductual entre contextos, y no lo hemos hecho. No tenemos conocimiento de haber vendido ni compartido información de consumidores menores de 16 años. Como no hay nada de lo que excluirse, las señales del navegador como Global Privacy Control se respetan siempre en la práctica.

Tienes derecho a saber qué recopilamos, a acceder a ello, a eliminarlo y a corregirlo, y a no ser discriminado por ejercer estos derechos. Puedes usar un agente autorizado; podemos pedirle prueba de su autorización. Si rechazamos tu solicitud, puedes pedirnos que la reconsideremos (apelación) respondiendo a nuestra decisión.

Solo usamos unas pocas cookies propias estrictamente necesarias y algo de almacenamiento del navegador para tus preferencias. La lista completa está en nuestra Política de cookies.

Actualizaremos esta política cuando cambien nuestras prácticas (por ejemplo, si empezamos a enviar correos). La fecha de arriba indica la versión vigente. Para los cambios importantes, avisaremos en el sitio —y por correo electrónico a los titulares de cuentas cuando existan los correos de cuenta— antes de que entren en vigor, y pediremos tu consentimiento cuando la ley lo exija.

Escríbenos primero desde la página de contacto («Solicitud de privacidad») o a red@tallgrass.io: haremos lo posible por resolver tu inquietud. También puedes presentar una queja ante:

• la Commission d’accès à l’information du Québec — www.cai.gouv.qc.ca;
• la Oficina del Comisionado de Privacidad de Canadá — www.priv.gc.ca;
• si estás en la UE o el Reino Unido, tu autoridad local de protección de datos;
• si estás en Estados Unidos, el fiscal general o la agencia de privacidad de tu estado.