Política de privacidad

El responsable del tratamiento es Timéo Ragazzini, editor individual del servicio Timline bajo el régimen francés de autoempresario (auto-entrepreneur), inscrito con el número SIRET 103 815 551 00017. Los datos completos del editor figuran en la página de aviso legal.

Para cualquier pregunta sobre la protección de los datos personales o para ejercer tus derechos, la dirección de contacto es support@timline.fr. Dada la naturaleza y el volumen de los tratamientos, Timline no está obligada a designar un delegado de protección de datos en el sentido del artículo 37 del RGPD: las solicitudes las atiende directamente el editor.

Timline trata los datos necesarios para crear y gestionar tu cuenta: correo electrónico, nombre, contraseña cifrada, imagen de perfil, estado de la suscripción y datos de sesión.

Cuando usas la aplicación, también pueden guardarse datos de trabajo: proyectos, visuales, plantillas, archivos multimedia importados, base de datos deportiva, mensajes de contacto y registros de seguridad.

Estos datos se utilizan para autenticar a los usuarios, ofrecer las funciones de creación gráfica, gestionar las suscripciones, prestar asistencia, proteger la plataforma contra abusos y cumplir las obligaciones legales.

Los datos de seguridad pueden incluir información técnica limitada, como la dirección IP, la ruta solicitada y el agente de usuario, cuando se detecta un evento de seguridad o una acción de administración sensible.

Ejecución del contrato (art. 6.1.b del RGPD): creación y gestión de la cuenta, prestación de las funciones de creación gráfica, alojamiento de tus proyectos y archivos multimedia, gestión de las suscripciones y la facturación, asistencia relacionada con el uso del servicio.

Interés legítimo (art. 6.1.f): protección de la plataforma contra abusos y fraude, registros de seguridad y de auditoría de administración, atención de las solicitudes de contacto, mejora del servicio, así como el tratamiento de los datos de jugadores y miembros del club registrados por un usuario para producir sus propios soportes de comunicación (véase la sección «Datos de terceros»).

Obligación legal (art. 6.1.c): conservación de los documentos contables y fiscales, respuesta a las solicitudes de las autoridades competentes.

Consentimiento (art. 6.1.a): inicio de sesión con Google. Este tratamiento solo se activa si lo solicitas expresamente, y puedes retirar tu consentimiento en cualquier momento desde los ajustes de tu cuenta.

Los pagos y la gestión de las suscripciones se basan en Stripe (Estados Unidos). Timline no almacena los números completos de las tarjetas bancarias. Stripe actúa como encargado del tratamiento y dispone de un acuerdo de tratamiento de datos (DPA) conforme al RGPD.

La aplicación está alojada y ejecutada por OVH SAS (Francia), en un servidor situado en Alemania (Unión Europea). El tráfico pasa por la red de Cloudflare (protección contra ataques y robots, cifrado HTTPS), que no conserva el contenido de las páginas. La base de datos está alojada en Supabase (PostgreSQL gestionado, región UE-Fráncfort). El envío de correos transaccionales lo realiza IONOS (Alemania, Unión Europea). Los archivos multimedia subidos (fotos, logotipos, imágenes) se almacenan en Cloudflare R2 (región UE-Oeste).

Si eliges iniciar sesión con Google, la autenticación la realiza Google, que nos transmite tu correo electrónico, tu nombre y tu imagen de perfil. En este marco, Google actúa como responsable del tratamiento independiente para sus propios fines: su política de privacidad se aplica a este tratamiento. Esta transmisión solo tiene lugar si usas este modo de inicio de sesión; el registro con correo y contraseña no implica a ningún tercero.

Los formularios públicos (registro, contacto) están protegidos contra robots mediante Cloudflare Turnstile, que recibe datos técnicos limitados (dirección IP, agente de usuario, señales del navegador) con el único fin de distinguir a un usuario humano de un programa automático. No se realiza ninguna elaboración de perfiles publicitarios.

La limitación de solicitudes y la protección contra abusos se basan en Upstash (base Redis gestionada, región europea). Upstash solo trata datos técnicos limitados —identificador de cuenta o dirección IP, contadores de solicitudes y marcas de tiempo— durante un periodo de unos minutos a unas horas. No se le transmite ningún contenido de proyecto, ningún dato deportivo ni ningún archivo multimedia.

El recorte automático de las fotos se ejecuta íntegramente en tu dispositivo: tus imágenes no se envían a ningún servidor, ni de Timline ni de un tercero, para esta operación. En el navegador, el modelo de segmentación utilizado es un componente de software estático: cuando no se sirve desde la infraestructura de Timline, se descarga desde un espacio de almacenamiento de Google, que recibe entonces únicamente la dirección IP y las cabeceras técnicas de tu navegador, nunca tus imágenes. En la aplicación de iPhone, el recorte utiliza el motor de Apple integrado en iOS, sin intercambio con ningún tercero.

En la aplicación de Android, el recorte utiliza ML Kit, un componente de Google proporcionado por los servicios de Google Play de tu teléfono. El cálculo se realiza en el dispositivo y tus imágenes no se transmiten. Los servicios de Google Play pueden descargar el modelo de recorte y recopilar, por cuenta propia, información técnica sobre su uso (modelo de dispositivo, versión del sistema y de la aplicación, duración del procesamiento, identificadores técnicos de instalación), destinada al buen funcionamiento y la mejora del servicio. Google actúa entonces como responsable del tratamiento independiente; se aplica su política de privacidad. En un dispositivo sin servicios de Google Play, el recorte se ejecuta como en el navegador.

Las transferencias de datos a encargados o destinatarios establecidos fuera de la Unión Europea (Stripe, Supabase, Cloudflare, así como Google si inicias sesión con este servicio o usas el recorte en la aplicación de Android) están reguladas por cláusulas contractuales tipo (CCT) o por las garantías adecuadas previstas en el RGPD. Los datos se alojan en regiones europeas para cada servicio afectado.

Los archivos multimedia importados por los usuarios se conservan para permitir la edición, la automatización y la exportación de visuales. En el servidor se aplican controles de tamaño, tipo y seguridad.

Las importaciones externas se limitan a usos técnicos legítimos y pueden bloquearse cuando un destino de red se considera sensible o peligroso.

Timline permite a un club registrar o importar datos de sus jugadores y miembros: apellido, nombre, dorsal, foto, fecha de nacimiento, nacionalidad y estadísticas deportivas. Estas personas no son usuarios del servicio: es el usuario —el club, la escuela o la agencia— quien decide registrarlas y quien determina su contenido.

Este tratamiento se basa en el interés legítimo de Timline y de su usuario en producir los soportes de comunicación del club, y se limita estrictamente a los datos necesarios para crear un visual deportivo. No se solicita ni se utiliza ningún dato sensible en el sentido del artículo 9 del RGPD (salud, opiniones, origen).

Algunas de estas personas pueden ser menores de edad. Corresponde al usuario que registra estos datos disponer del derecho a hacerlo y, en particular, obtener la autorización del representante legal para fotografiar a un menor y para registrar y difundir su imagen, de conformidad con las Condiciones Generales de Uso. Timline no tiene relación directa con estas personas y no puede obtener este consentimiento en lugar del usuario.

Cualquier persona afectada, o su representante legal, puede solicitar el acceso, la rectificación o la supresión de sus datos escribiendo a support@timline.fr. Timline transmite la solicitud al club correspondiente y puede, si es necesario o a falta de respuesta, suprimir directamente los datos en cuestión.

Los datos se conservan mientras la cuenta siga activa o mientras sea necesario para prestar el servicio, atender una solicitud de asistencia, aportar una prueba o cumplir una obligación legal.

Los registros técnicos y de seguridad se conservan durante un periodo limitado y proporcionado a su finalidad de protección, investigación y auditoría.

De conformidad con el RGPD, tienes derecho de acceso, rectificación, supresión, limitación del tratamiento y oposición. También puedes ejercer tu derecho a la portabilidad y recibir una copia de tus datos en un formato estructurado y de lectura mecánica.

En los ajustes de la aplicación hay una función para eliminar la cuenta. Desde los ajustes de tu cuenta puedes obtener una exportación completa de tus datos personales. No obstante, algunos datos de facturación u obligaciones legales pueden exigir una conservación residual limitada.

Para cualquier solicitud relativa a tus derechos, usa la mensajería integrada o contacta con el equipo a través de los canales de asistencia indicados por Timline. También tienes derecho a presentar una reclamación ante la CNIL, la autoridad francesa de protección de datos (cnil.fr).

Si tienes acceso a tu cuenta, puedes solicitar una exportación de tus datos desde los ajustes de la aplicación. Esta exportación se entrega en un formato estructurado y de lectura mecánica.

Si ya no tienes acceso a tu cuenta, puedes contactar con Timline a través de los canales de asistencia. Antes de transmitir cualquier dato podrá solicitarse una verificación de identidad o de la dirección de correo afectada.

Las solicitudes se atienden sin demora indebida y, en principio, en un plazo máximo de un mes desde su recepción, salvo en casos complejos o ante solicitudes manifiestamente excesivas en el sentido del RGPD.

Timline aplica medidas técnicas y organizativas razonables: cifrado de los secretos y de los campos sensibles mediante AES-256-GCM, hash bcrypt de las contraseñas, autenticación en dos pasos (2FA) disponible, control de acceso, validación de las entradas, registro cifrado de las acciones de administración, limitación de solicitudes (Upstash Redis), protecciones HTTP (HSTS, CSP, X-Frame-Options) y supervisión de las operaciones sensibles.

Con fines de asistencia y de resolución de incidencias, un administrador de Timline puede tener que acceder temporalmente a tu cuenta y usarla tal como la verías tú («acceso de asistencia»). Este acceso está reservado a los administradores, estrictamente limitado al tiempo necesario, registrado de forma cifrada (autor, cuenta afectada, fecha y hora), y no permite realizar en tu lugar acciones irreversibles o sensibles (pago, eliminación de la cuenta, cambio del correo electrónico, de la contraseña o de la autenticación en dos pasos). Tras cada acceso de este tipo se te informa mediante una notificación y un correo electrónico.

Ninguna solución ofrece riesgo cero. En caso de incidente grave, se aplica un procedimiento de respuesta y de rotación de los secretos. Se notifica a las personas afectadas y a la CNIL cuando la normativa lo exige.

Timline solo utiliza cookies estrictamente necesarias para el funcionamiento del servicio: la cookie de sesión de NextAuth para mantener la autenticación, una cookie de preferencia de tema (claro / oscuro) y una cookie del aviso de cookies (13 meses). Estas cookies están exentas de consentimiento previo en virtud del artículo 82 de la ley francesa de Informática y Libertades.

Por defecto no se instala ninguna cookie publicitaria, ninguna cookie de medición de audiencia de terceros (Google Analytics, Meta Pixel, etc.) ni ninguna cookie de redes sociales. Durante un pago, Stripe puede instalar sus propias cookies en el dominio de pago para prevenir el fraude; estas cookies son responsabilidad de Stripe y se rigen por su propia política.

Como todas estas cookies son estrictamente necesarias, no se requiere consentimiento previo y no se te impone ninguna elección al entrar. Simplemente se muestra un aviso en tu primera visita, que se recuerda durante 13 meses para no repetirse; puedes hacer que vuelva a aparecer borrando los datos del sitio en tu navegador.

Si algún día Timline introdujera una herramienta de medición de audiencia o un rastreador que no sea estrictamente necesario, solo se instalaría tras obtener tu consentimiento expreso, y esta política se actualizaría previamente.

Cuenta de usuario activa: se conserva mientras la suscripción esté activa o mientras uses el servicio. Cuenta suspendida: 30 días antes de su eliminación definitiva. Cuenta de pago caducada y no renovada: 36 meses, con un aviso por correo electrónico al menos 30 días antes de la eliminación; basta con iniciar sesión para conservar la cuenta.

Visuales en la papelera: 30 días. Visuales sin abrir desde hace tiempo: 24 meses (aviso previo a los 22 meses). Notificaciones leídas o enviadas: 30 días. Solicitudes de contacto: 24 meses. Registros de auditoría de administración: 12 meses. Códigos 2FA de un solo uso: 10 minutos.

Datos de facturación conservados en virtud de las obligaciones contables y fiscales: plazo mínimo previsto por la ley francesa (por lo general, 10 años para los documentos contables).

Mes de prueba gratuito: para reservar la prueba a un solo registro por dirección, Timline conserva una huella de la dirección de correo electrónico (un hash, nunca la dirección en sí), incluso después de eliminar la cuenta, durante 3 años.

Para cualquier pregunta sobre privacidad, asistencia o el ejercicio de tus derechos, usa la mensajería integrada si tienes una cuenta, o contacta con el equipo en support@timline.fr.

Si consideras que no se respetan tus derechos, puedes presentar una reclamación ante la CNIL (Commission Nationale de l'Informatique et des Libertés): 3 place de Fontenoy, 75007 París, Francia, o en línea en cnil.fr.