Privacidad y seguridad

Transmisión cifrada

La comunicación con Evylla va por HTTPS/TLS.

Las contraseñas IMAP de aplicación y del buzón, y los tokens OAuth, se guardan cifrados con AES-256-GCM. La contraseña de tu cuenta Evylla solo se guarda como un hash irreversible.

Acceso con el mínimo privilegio

Evylla solo debe acceder a los datos necesarios para cada función.

Los permisos internos se conceden según el principio del mínimo privilegio.

Protección de los datos guardados

Los datos personales y otros datos que hay que proteger se protegen con medidas técnicas y organizativas. Según el tipo de datos, esto incluye en particular:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Las medidas concretas dependen de la naturaleza, el alcance y el riesgo del tratamiento.

Evylla se desarrolla para tener en cuenta la protección de datos ya al diseñar una función.

Eso significa, por ejemplo:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Depende de las funciones que uses.

Cuenta de usuario

Para tu cuenta de Evylla se pueden tratar, por ejemplo, estos datos:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Conexiones de correo

Si vinculas una cuenta de correo, Evylla puede tratar los mensajes que hayas autorizado para reconocer información de compras.

Eso puede incluir, por ejemplo:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla procura tratar solo la información necesaria para la función, y nada más.

Servicios de pago y financieros

Si más adelante vinculas un servicio de pago o financiero, se puede tratar, según el proveedor y los permisos que concedas, por ejemplo esta información:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

El alcance concreto depende del proveedor y de la conexión.

🤖 IA y tratamiento automático

Evylla puede usar procedimientos automatizados y, en su caso, con IA para reconocer y estructurar información de tus datos.

Por ejemplo, una confirmación de compra puede reconocerse automáticamente:

« Pedido en el comercio X – 14.09.2026 – 79,99 € – producto Y »

El tratamiento automático sirve para preparar la información de las funciones de Evylla que pides.

Un análisis automático no significa que se tome una decisión automatizada jurídicamente relevante sobre ti.

Si Evylla introduce funciones con decisiones automatizadas o elaboración de perfiles según el art. 22 del RGPD, la información necesaria se facilitará por separado.

🧠 Tus datos no se usan para otros fines

Los datos que aportas se tratan, en principio, para los fines con los que usas Evylla.

En particular, tus datos de compras y de cuenta no deben usarse para cualquier otro fin.

Un uso para fines adicionales, por ejemplo ciertos análisis, marketing o entrenamiento, solo se hace si hay una base jurídica y se cumplen los requisitos de protección de datos.

🚫 No vendemos tus datos personales

Evylla no vende los datos personales de sus usuarios.

Una cesión puede ser necesaria si se usan prestadores para operar Evylla o si existe una obligación legal.

Esos prestadores solo reciben el acceso necesario para su tarea.

Evylla puede admitir distintos servicios externos.

Eso puede incluir, por ejemplo:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Al vincular un servicio se te muestran los permisos necesarios para esa conexión.

Desconectar detiene nuevas descargas; las compras guardadas se quedan. Quitar la cuenta de correo borra la conexión, los correos y las compras asociadas.

También puedes borrar solo los datos importados de una conexión; la conexión sigue existiendo.

🗑️ Borrado de tus datos

En la cuenta, en Privacidad y seguridad, eliges con precisión qué se borra.

Al borrar, obligaciones legales de conservación o copias de seguridad necesarias pueden hacer que algunos datos no desaparezcan al instante de todos los sistemas.

Esos datos se borran o anonimizan al acabar los plazos de conservación o de copia, salvo que otra base legal obligue a guardarlos.

Plazos de supresión concretos:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Exportación de datos

En principio tienes derecho a recibir tus datos personales en un formato estructurado, de uso común y legible por máquina, cuando se cumplen las condiciones de portabilidad.

Evylla puede ofrecer una función de exportación para ello.

El derecho a la portabilidad está en el art. 20 del RGPD.

Según las condiciones legales, tienes en particular estos derechos:

Acceso

Puedes pedir qué datos personales tratamos sobre ti.

Rectificación

Puedes pedir la rectificación de datos personales inexactos.

Supresión

Puedes, cuando se cumplen las condiciones legales, pedir la supresión de tus datos personales.

Limitación del tratamiento

Puedes, en determinadas condiciones, pedir que se limite el tratamiento de tus datos.

Oposición

Puedes, cuando se cumplen las condiciones legales, oponerte a un tratamiento.

Portabilidad

Puedes, cuando se cumplen las condiciones legales, recibir los datos personales que aportaste en un formato estructurado, de uso común y legible por máquina.

Retirada del consentimiento

Si un tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento con efectos futuros. La licitud del tratamiento ya realizado no se ve afectada.

⚖️ Con qué base trata Evylla los datos

La base jurídica concreta depende de la operación de tratamiento.

Según la función, pueden ser relevantes en particular estas bases:

Art. 6, apdo. 1, letra a, del RGPD
Consentimiento.

Art. 6, apdo. 1, letra b, del RGPD
Tratamiento necesario para ejecutar un contrato o para medidas precontractuales.

Art. 6, apdo. 1, letra c, del RGPD
Tratamiento necesario para cumplir una obligación legal.

Art. 6, apdo. 1, letra f, del RGPD
Tratamiento basado en el interés legítimo, cuando se cumplen las condiciones legales.

Qué base corresponde a cada operación se explica en la política de privacidad completa.

🏢 Responsable

El responsable del tratamiento de datos personales es:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Representado por: Udo Urban

Correo electrónico

…

🛡️ Delegado de protección de datos

Actualmente no hay delegado de protección de datos, porque no se cumplen las condiciones legales.

🔧 Encargados y prestadores técnicos

Para operar Evylla pueden usarse prestadores técnicos.

Eso puede incluir en particular:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Cuando estos prestadores tratan datos personales por nuestra cuenta, lo hacen con los acuerdos de protección de datos necesarios.

Un resumen actual de los prestadores y del tratamiento está en la política de privacidad completa.

🌍 Dónde se tratan tus datos

El tratamiento puede realizarse en la Unión Europea o en el Espacio Económico Europeo.

Si hay prestadores que tratan datos fuera de la UE o del EEE, la transferencia solo se hace cumpliendo los requisitos de protección de datos.

Lugares actuales de almacenamiento y tratamiento:
La aplicación, la base de datos y las copias de seguridad se operan en Alemania o en la Unión Europea.

Transferencias a terceros países:
Stripe (EE. UU.) puede tratar datos de pago fuera de la UE y se apoya en garantías adecuadas, en particular cláusulas contractuales tipo. Detalles: https://stripe.com/privacy

💳 Datos de pago

Los pagos de las tarifas de pago de Evylla pueden tramitarse con prestadores de pago externos.

El tratamiento de los datos de pago sigue entonces las condiciones y la política de privacidad del prestador.

Evylla no guarda números de tarjeta completos, salvo que la función lo exija y el pago técnico pase por un prestador especializado.

Prestadores de pago utilizados:
Stripe Payments Europe, Ltd. y las sociedades del grupo; detalles en stripe.com/privacy.

🔒 Medidas técnicas y organizativas

Evylla adopta medidas técnicas y organizativas adecuadas para proteger los datos personales frente a pérdida, destrucción, alteración y acceso no autorizado.

Eso puede incluir en particular:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Las medidas se revisan y se desarrollan según el estado de la técnica y el riesgo.

El art. 32 del RGPD exige medidas técnicas y organizativas adecuadas teniendo en cuenta, entre otras cosas, el estado de la técnica, el coste, la naturaleza y el alcance del tratamiento y el riesgo para los derechos y libertades de las personas.

🚨 Incidentes de seguridad

Pese a amplias medidas de seguridad, ningún servicio en internet puede garantizar un sistema sin ningún riesgo.

Si hay una violación de datos personales, Evylla valora el incidente sin demora y toma las medidas necesarias.

Cuando la ley lo exige, se informa a las autoridades de control y a las personas afectadas conforme a las normas aplicables.