Política de Privacidad

Qué datos recopilamos

ZYXmon recopila únicamente los datos que usted proporciona expresamente:

• Autenticación: dirección de correo electrónico y token de Google OAuth (si utiliza el inicio de sesión con Google). Nunca almacenamos su contraseña de Google.
• Datos de cartera: posiciones (símbolos, número de acciones, precios medios), transacciones, elementos de la lista de seguimiento, preferencias de alertas.
• Ajustes de la aplicación: idioma, tema, tipos impositivos y preferencias de análisis — almacenados en el localStorage de su navegador.

No recopilamos: hábitos de navegación, huellas de dispositivo, datos de ubicación, ni ninguna información más allá de la que usted introduce directamente. Las direcciones IP se procesan de forma transitoria para limitar la frecuencia de peticiones y prevenir abusos, pero no se almacenan ni se usan para rastreo.

Base jurídica del tratamiento (Art. 6 RGPD)

Tratamos sus datos conforme a las siguientes bases jurídicas:

• Ejecución de un contrato (Art. 6.1.b): el tratamiento de sus datos de cartera, transacciones e información de cuenta es necesario para prestar el Servicio contratado.
• Interés legítimo (Art. 6.1.f): medidas de seguridad (limitación de peticiones, prevención de abusos, registros del servidor) para proteger el Servicio y a sus usuarios.
• Consentimiento (Art. 6.1.a): autenticación mediante Google OAuth — usted elige expresamente iniciar sesión con Google y autoriza la transferencia de datos.

Cómo se cifran sus datos

Sus datos de cartera están protegidos por una arquitectura de cifrado multicapa. Ni siquiera nuestro equipo puede acceder a sus posiciones.

• Aislamiento por usuario: la cartera de cada usuario se almacena en un archivo de base de datos SQLite cifrado independiente. No existe una tabla compartida donde sus posiciones puedan filtrarse.
• AES-256-GCM: cifrado autenticado estándar de la industria, utilizado por bancos y gobiernos. A prueba de manipulación — cualquier modificación del archivo cifrado se detecta.
• Argon2id: algoritmo ganador del Password Hashing Competition. Resistente a ataques de fuerza bruta con GPU y ASIC.
• Aislamiento de la clave de cifrado: cuando el cifrado basado en contraseña está activado, su contraseña deriva la clave de cifrado localmente. No podemos descifrar sus datos porque no poseemos las claves. Con el inicio de sesión mediante Google OAuth (sin contraseña), las claves de cifrado se derivan en el servidor y están protegidas por controles de acceso, pero no son de conocimiento cero (zero-knowledge).

Qué se comparte y qué es privado

ZYXmon separa los datos en dos categorías:

Los datos compartidos son análisis a nivel de valor que benefician a la comunidad. Cuando cualquier usuario añade una acción, el análisis se calcula una única vez y se almacena en caché para todos. Ningún usuario es identificado nunca en los datos compartidos — solo contienen información de mercado, nunca composiciones de cartera.

Servicios de terceros y transferencias internacionales

ZYXmon obtiene datos de mercado de:

• Proveedores de datos de mercado — precios de acciones, fundamentales, dividendos, resultados. Solo se envían los símbolos bursátiles (sin datos personales).
• Proveedores de tipos de cambio — tipos de cambio basados en EUR (datos del Banco Central Europeo). No se envían datos personales.
• Google OAuth — solo para autenticación. Recibimos su nombre y correo electrónico; Google no recibe los datos de su cartera.

Google OAuth implica una transferencia de datos a los servidores de Google, que pueden incluir servidores fuera del EEE. Google opera conforme a las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea para transferencias internacionales de datos. No se comparte con ningún tercero ningún dato personal más allá del necesario para la autenticación.

No compartimos, vendemos, alquilamos ni transferimos sus datos personales a ningún otro tercero.

Cookies, rastreo y almacenamiento local

ZYXmon no utiliza ningún tipo de rastreo.

• Sin cookies HTTP.
• Sin rastreadores de analítica (sin Google Analytics, sin Mixpanel, sin Hotjar).
• Sin redes publicitarias ni píxeles de publicidad.
• Sin scripts de terceros que rastreen el comportamiento.
• Sin rastreo entre sitios (cross-site) ni fingerprinting.

El Servicio utiliza el localStorage del navegador para almacenar los datos estrictamente necesarios para su funcionamiento:

Todos los datos almacenados son estrictamente necesarios para el funcionamiento del Servicio y están exentos de los requisitos de consentimiento conforme a la Directiva ePrivacy (Art. 5.3). No se necesita ningún banner de consentimiento porque no se utiliza almacenamiento opcional ni de rastreo. Los datos se almacenan únicamente en su navegador y nunca se envían a servicios externos.

Como cualquier servicio web, nuestro servidor registra automáticamente cierta información técnica de cada solicitud con fines de seguridad y de medición agregada del tráfico.

• Dirección IP, user-agent del navegador, página solicitada y código de respuesta — sin cookies ni identificadores de seguimiento.
• Se usa para detectar abuso/seguridad y para medir agregados de tráfico por página (por ejemplo, cuántas visitas recibe cada superficie pública) — nunca para perfilar a una persona concreta.
• Retención limitada y rotada automáticamente (5 ficheros de 50 MiB); no se comparte con terceros ni se usa con fines publicitarios.

Decisiones automatizadas (Art. 22 RGPD)

ZYXmon utiliza algoritmos automatizados y modelos de IA para generar análisis de acciones, incluidos indicadores técnicos, estimaciones de valor justo, puntuaciones de seguridad del dividendo y narrativas de contexto de inversión. Estas salidas son exclusivamente informativas y no constituyen decisiones que produzcan efectos jurídicos o de importancia similar sobre usted.

El contenido generado por IA se etiqueta como tal en todo el Servicio. Todas las salidas algorítmicas deben tratarse como una entrada más entre muchas dentro de su propio proceso de investigación.

La información que usted proporciona sobre su perfil de inversión (tolerancia al riesgo, visión del ciclo económico, horizonte temporal, divisa base) se utiliza únicamente para filtrar y ordenar el feed de investigación que usted ve — un servicio de filtrado no personalizado. NO se utiliza para alterar las clasificaciones algorítmicas por instrumento publicadas por ZYXmon, que son idénticas para todos los usuarios que consulten el mismo instrumento en el mismo momento. Esta separación mantiene el servicio de clasificación algorítmica fuera del ámbito del artículo 22 del RGPD sobre decisiones individuales automatizadas con efectos significativos.

Sus derechos (RGPD)

Conforme al Reglamento General de Protección de Datos de la UE, usted tiene derecho a:

• Acceso: consultar todos sus datos a través de la aplicación en cualquier momento. Cada dato que almacenamos sobre usted es visible en su cartera, transacciones y configuración.
• Exportación: descargar la totalidad de los datos de su cartera en CSV o Excel desde Configuración → Exportar cartera. La exportación incluye todas las posiciones, transacciones y dividendos en un formato estándar y legible por máquina.
• Rectificación: editar cualquier dato incorrecto directamente desde la aplicación (posiciones, transacciones, notas).
• Supresión: utilice «Eliminar todos los datos» en Configuración para borrar permanentemente todos los datos de cartera. Para eliminar la cuenta por completo, contáctenos en legal@zyxmon.com — eliminaremos su archivo de base de datos cifrado y todos los registros asociados en un plazo de 30 días.
• Portabilidad: la exportación en CSV/Excel proporciona sus datos en formatos estándar que pueden importarse a otras herramientas.
• Presentar una reclamación: tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es, o ante la autoridad de control local si reside en otro Estado miembro de la UE.

Conservación y eliminación de datos

• Sus datos se conservan mientras exista su cuenta.
• Las cuentas inactivas sin inicio de sesión durante 24 meses pueden programarse para su eliminación, previa notificación por correo electrónico.
• Al eliminar la cuenta, su archivo de base de datos cifrado se destruye permanentemente. Esta acción es irreversible — como no podemos descifrar sus datos, tampoco podemos recuperarlos.
• Los datos compartidos de análisis de acciones (anónimos, no vinculados a ningún usuario) se conservan indefinidamente en beneficio de la comunidad.
• Los registros del servidor que contienen metadatos de las peticiones se rotan y eliminan a los 30 días.

Medidas de seguridad

• Cifrado en reposo: AES-256-GCM por usuario mediante SQLCipher.
• Cifrado en tránsito: todo el tráfico se sirve mediante HTTPS (TLS 1.3) a través de Caddy con certificados automáticos de Let's Encrypt.
• Autenticación: tokens JWT con claves secretas seguras. Google OAuth 2.0 para inicio de sesión sin contraseña.
• Limitación de peticiones: los límites de la API previenen abusos y ataques de fuerza bruta.
• Cabeceras de seguridad: HSTS, X-Content-Type-Options, X-Frame-Options y Content-Security-Policy configuradas en el proxy inverso.
• Sin secretos en texto plano: toda la configuración sensible (claves JWT, claves de API, contraseñas de base de datos) se carga desde variables de entorno y nunca se incluye en el código.

Delegado de Protección de Datos

Dada la naturaleza y el alcance de nuestro tratamiento de datos, el nombramiento de un Delegado de Protección de Datos no es obligatorio conforme al artículo 37 del RGPD. Para cualquier consulta sobre protección de datos, contáctenos en legal@zyxmon.com. Respondemos a todas las solicitudes de privacidad en un plazo de 30 días.