Política de privacidad

Quién es el responsable

OPALITH SAS es el responsable del tratamiento de los datos personales descritos en esta política, para el sitio web rdv.dev y para la aplicación app.rdv.dev. Su domicilio social está en 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156).

No hemos designado un delegado de protección de datos. Las preguntas sobre esta política y las solicitudes relativas a tus datos se dirigen a hello@rdv.dev. Los datos del editor y del proveedor de alojamiento figuran en el aviso legal.

Hay un caso que funciona de otra manera. Cuando una empresa usa rdv.dev para recibir reservas, es ella quien decide para qué y cómo usa los datos de sus invitados, y nosotros tratamos esos datos por cuenta suya. Si has reservado una reunión con uno de nuestros clientes, lee primero Si has reservado una reunión a través de rdv.dev.

Qué cubre esta política

• El sitio web rdv.dev: sus páginas, el formulario de contacto y los enlaces a la aplicación.
• La aplicación app.rdv.dev: cuentas, espacios de trabajo, conexiones de calendario, tipos de evento, disponibilidad, reservas, marca, recordatorios por SMS, y la API pública, el servidor MCP y los webhooks.
• Las páginas de reserva públicas, en direcciones como rdv.dev/{espacio}/{evento}, en la parte del tratamiento que decidimos nosotros: servir la página, mantenerla segura y hacer funcionar el servicio.

rdv.dev es un servicio para empresas. No está dirigido a menores, y no recogemos a sabiendas datos de menores de 16 años.

En el sitio web

Formulario de contacto. Cuando nos escribes desde la página de contacto, recibimos lo que escribes: tu nombre, tu dirección de correo electrónico, tu empresa si la indicas y tu mensaje. Los usamos para responderte y para dar seguimiento a esa conversación. No te añadimos a ninguna lista de correo.

Medición de audiencia. Usamos Vercel Web Analytics y Vercel Speed Insights para contar las visitas a las páginas y medir lo rápido que cargan. No instalan ninguna cookie, no guardan nada en tu dispositivo y no conservan ningún identificador tuyo. Solo vemos cifras agregadas: páginas vistas, sitios de procedencia, países, navegadores y dispositivos, y tiempos de carga.

Idioma y tema. La cookie NEXT_LOCALE recuerda el idioma que elegiste, para que la siguiente página que abras esté en el mismo idioma. Tu elección de tema claro u oscuro se guarda en el almacenamiento local de tu navegador. Ambos son estrictamente necesarios para lo que has pedido y no requieren consentimiento.

Registros del servidor. Nuestro proveedor de alojamiento trata los datos técnicos que acompañan a toda petición web (dirección IP, navegador, página solicitada, hora) para servir la página y proteger el servicio frente a abusos.

Enlaces a la aplicación. Los enlaces «Empieza gratis» transmiten el código de recomendación (ref) y los parámetros de campaña (utm_*) que llevaba la dirección por la que llegaste, para que la aplicación sepa cómo nos conociste. El sitio web en sí no los guarda.

En la aplicación

Cuenta. Tu nombre y apellidos, tu dirección de correo electrónico y tu contraseña si eliges una (solo guardamos un hash de ella). Tu cargo, tu número de teléfono y la dirección de tu perfil de LinkedIn si los añades. Tu zona horaria, tu idioma y tu foto de perfil. La versión de las condiciones y de esta política que aceptaste, y cuándo.

Inicio de sesión con Google o Microsoft. Recibimos tu nombre, tu dirección de correo electrónico y el identificador de tu cuenta, tu foto de perfil de Google y, si se trata de una cuenta de Google Workspace, el dominio de tu organización. Los usamos para crear tu cuenta, iniciar tu sesión y ofrecerte unirte al espacio de trabajo de tu empresa. Consulta Datos de usuario de Google y Datos de usuario de Microsoft.

Espacios de trabajo y pertenencia. Los espacios de trabajo que creas o a los que te unes, tu rol en cada uno, cómo te uniste (invitación, código, dominio de empresa o solicitud), las invitaciones que envías y las direcciones de correo a las que van, las solicitudes para unirse y los dominios de empresa que reclama un espacio de trabajo.

Seguridad. Para cada sesión iniciada, la dirección IP y el navegador (user agent) desde los que se abrió, y cuándo. Puedes ver tus sesiones y cerrarlas en Ajustes → Seguridad. También contamos las peticiones por cuenta y por dirección IP en forma de hash para limitar los abusos.

Archivos. Las fotos de perfil, los logos de los espacios de trabajo y las fuentes de marca se guardan en un almacenamiento de archivos público (Vercel Blob), después de que los recodifiquemos. Cualquiera que tenga la dirección de un archivo puede abrirlo: así es como aparece un logo en una página de reserva o en un correo. Se eliminan junto con la cuenta o el espacio de trabajo al que pertenecen.

Agenda. Tus tipos de evento, tu horario semanal y tus reglas de reserva, y las reservas hechas contigo: fecha y hora, lugar o enlace de videollamada, estado, los datos del invitado (consulta Si has reservado una reunión a través de rdv.dev) y quién hizo la reserva, una persona o un agente.

Calendarios. Solo si conectas uno, y solo como se describe en Datos de usuario de Google y Datos de usuario de Microsoft.

Marca a partir de tu sitio web. Cuando un propietario o un administrador pide a rdv.dev que lea el sitio web del espacio de trabajo, nuestros servidores descargan la dirección indicada y las páginas, hojas de estilo, logos y fuentes a los que apunta, y después sugieren logos, colores y fuentes. No se aplica nada hasta que alguien lo revisa y lo marca. Cuando esta opción está activada, se pide a Firecrawl (Estados Unidos) una segunda lectura de los sitios que no podemos leer nosotros; recibe la dirección del sitio web y lee sus páginas públicas. Un análisis y los logos que dejó preparados se eliminan 30 días después de que termine, o 7 días después si falló o se canceló. Lo que apliques pasa a formar parte de tu marca.

Recomendaciones. Si te registras mediante un enlace que lleva un código de recomendación, guardamos ese código con tu cuenta para saber quién te recomendó.

Agentes, API y webhooks. Las claves de API y los clientes OAuth que crea tu espacio de trabajo (las claves solo se guardan como hash), los endpoints de webhook que registra y los envíos que se les hacen, y un registro de las peticiones realizadas con ellos.

Recordatorios por SMS. Solo se envían a un invitado cuando este indica un número de móvil y marca la casilla para recibir recordatorios. Consulta Si has reservado una reunión a través de rdv.dev.

Pagos. Cuando un espacio de trabajo se suscribe a un plan de pago, Stripe recoge los datos de la tarjeta; nunca vemos el número completo. Conservamos el contacto de facturación, la dirección de facturación, el número de IVA, la marca de la tarjeta y sus cuatro últimos dígitos, y las facturas.

Correos que enviamos. Confirmaciones de dirección, restablecimientos de contraseña, invitaciones, confirmaciones de reserva y avisos sobre un calendario que ha dejado de funcionar. Los envía Mailtrap.

Para qué los usamos y con qué base jurídica

Datos de usuario de Google

rdv.dev usa Google de dos formas distintas. Cada una pide su propio permiso, e iniciar sesión con Google nunca da acceso a tu calendario.

Iniciar sesión con Google

Solo pedimos los ámbitos básicos: openid, email y profile. Recibimos tu nombre, tu dirección de correo electrónico, tu foto de perfil, el identificador de tu cuenta de Google y, si se trata de una cuenta de Google Workspace, el dominio de tu organización. Los usamos para crear tu cuenta, iniciar tu sesión y ofrecerte unirte al espacio de trabajo de tu empresa. Este permiso no da acceso a tu calendario, a tu correo ni a tus archivos.

Google Calendar

Conectas un calendario por separado, en Ajustes → Cuentas conectadas, mediante una ventana de conexión gestionada por Nango. rdv.dev pide dos permisos:

• calendar.events.freebusy, para ver cuándo estás ocupado en los calendarios que conectas;
• calendar.events.owned, para crear, actualizar y eliminar los eventos que rdv.dev reserva por ti.

Qué hacemos con ellos:

• Libre/ocupado. Leemos la hora de inicio y de fin de tus periodos ocupados para calcular qué horas se pueden reservar. Los leemos en tiempo real, cuando se muestran los horarios disponibles o se hace una reserva, y no los guardamos.
• Eventos. Cuando se reserva, se cambia de hora o se cancela una reunión, creamos, actualizamos o eliminamos el evento correspondiente en tu calendario, con su título, hora, invitado, lugar o enlace de videollamada y descripción. Guardamos el identificador del evento para poder actualizarlo o eliminarlo más adelante.
• Nada más. No guardamos en nuestra base de datos los títulos, las descripciones, los asistentes ni ningún otro contenido de los eventos de tu calendario.
• Tokens. Tus tokens OAuth los custodia Nango, nuestro encargado del tratamiento para las conexiones de calendario (Estados Unidos). Nunca llegan a nuestra base de datos ni a nuestro código. Nuestras peticiones a Google, y las respuestas de Google, pasan por Nango.

Quién los ve:

• Compartimos tu disponibilidad, es decir, cuándo estás libre y nunca lo que contienen tus eventos, solo con las personas que reservan contigo a través de tus páginas de reserva, y con los clientes de API, los clientes MCP y los webhooks que tú o tu espacio de trabajo autoricéis.
• Nango, nuestro proveedor de alojamiento y nuestro proveedor de base de datos los tratan como encargados del tratamiento por cuenta nuestra, en virtud de un contrato, solo para prestar el servicio (consulta Quién recibe datos personales).

Lo que nunca hacemos:

• No usamos los datos de usuario de Google con fines publicitarios y no los vendemos.
• No los usamos para desarrollar, mejorar ni entrenar modelos generalizados de inteligencia artificial o de aprendizaje automático.
• Nadie en OPALITH SAS los lee, salvo que nos des permiso para datos concretos (por ejemplo, en una solicitud de soporte), que sea necesario por seguridad (por ejemplo, para investigar un abuso) o que la ley lo exija.
• No los transferimos a nadie, salvo para prestar las funciones que usas, para cumplir la ley o en el marco de una fusión, adquisición o venta de activos, después de informarte.

Revocar el acceso y eliminar los datos:

• Desconecta el calendario en Ajustes → Cuentas conectadas. Revocamos la autorización de Google, eliminamos la conexión en Nango y en nuestros sistemas, y dejamos de leer y de escribir en ese calendario.
• También puedes quitar rdv.dev en cualquier momento desde la página de permisos de tu cuenta de Google.
• Eliminar tu cuenta desconecta todos los calendarios de la misma manera. Los eventos ya creados se quedan en tu calendario: son tuyos.

«rdv.dev's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.» (El uso que haga rdv.dev de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustarán a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado).

Datos de usuario de Microsoft

Microsoft funciona igual, con dos permisos distintos.

Iniciar sesión con Microsoft

Pedimos openid, email, profile, offline_access y User.Read, los permisos básicos para leer tu nombre, tu dirección de correo electrónico y el identificador de tu cuenta. No importamos tu foto de perfil de Microsoft. Como es la organización que gestiona una cuenta de Microsoft la que fija su dirección de correo electrónico, siempre confirmamos esa dirección por correo antes de considerarla fiable.

Calendarios de Outlook (Microsoft Graph)

Conectas un calendario de Outlook o de Microsoft 365 por separado, a través de Nango. rdv.dev pide Calendars.ReadWrite, que Microsoft exige tanto para leer cuándo estás ocupado como para escribir los eventos que rdv.dev reserva.

• Horas ocupadas. Cuando leemos tu calendario (calendarView), solo pedimos cuatro campos por evento: inicio, fin, estado libre/ocupado y si está cancelado (start, end, showAs, isCancelled). Nunca el asunto, el cuerpo, los asistentes ni el lugar. Los leemos en tiempo real y no los guardamos.
• Eventos. Creamos, actualizamos y eliminamos los eventos que reserva rdv.dev, con un enlace de Microsoft Teams cuando el tipo de evento lo usa, y guardamos el identificador de cada evento.
• Las demás reglas son las mismas que para Google: tokens custodiados por Nango, ningún contenido de eventos en nuestra base de datos, disponibilidad compartida solo con las personas que reservan contigo y con las integraciones que autorizas, sin publicidad, sin venta, sin entrenamiento de modelos de IA o de aprendizaje automático, y sin acceso humano salvo con tu permiso, por seguridad o cuando la ley lo exige.

Para revocar el acceso, desconecta el calendario en Ajustes → Cuentas conectadas, o quita rdv.dev de la página de aplicaciones de tu cuenta de Microsoft. Si se trata de una cuenta profesional o educativa, también puede quitarlo tu administrador.

Si has reservado una reunión a través de rdv.dev

Cuando reservas a través de una página de reserva en rdv.dev/{espacio}, la empresa que gestiona ese espacio de trabajo es la responsable del tratamiento de tus datos: decide por qué acepta reservas y qué hace con ellas. OPALITH SAS trata tus datos por cuenta suya, como su encargado del tratamiento, conforme a nuestro acuerdo de tratamiento de datos. Se aplica la política de privacidad de esa empresa.

Lo que conservamos por cuenta suya:

• tu nombre, tu dirección de correo electrónico, tu zona horaria y tu idioma;
• las notas o respuestas que añades al reservar;
• la reunión: fecha, hora, duración, lugar o enlace de videollamada, estado, y cualquier cambio de hora o cancelación;
• tu número de móvil y tu consentimiento para recibir recordatorios por SMS, solo si los pediste;
• un hash del token de tu enlace de gestión. El enlace en sí solo está en tu correo.

Quién los recibe:

• el anfitrión o los anfitriones de la reunión, en rdv.dev y en su calendario. El evento que creamos allí te incluye como invitado, así que Google o Microsoft también pueden enviarte una invitación;
• Mailtrap, que entrega tu confirmación y cualquier cambio o cancelación;
• ClickSend (Australia), que entrega los recordatorios por SMS, solo si los pediste.

Recordatorios por SMS. Solo si indicas un número de móvil y marcas la casilla. Un SMS el día antes de la reunión, o una hora antes si se reservó con poca antelación, y un SMS si el anfitrión la cancela. Para dejar de recibirlos, escribe a la empresa con la que reservaste, o a nosotros a hello@rdv.dev, y dejaremos de enviar SMS para esa reserva.

Cambiar o cancelar. Usa el enlace de gestión de tu correo de confirmación.

Tus derechos. Envía las solicitudes sobre tu reserva a la empresa con la que reservaste. Si una solicitud nos llega a nosotros, se la remitimos a esa empresa y la ayudamos a responder.

Durante cuánto tiempo. Mientras la empresa mantenga su espacio de trabajo, salvo que elimine tu reserva antes. Eliminar el espacio de trabajo elimina sus reservas. Los registros de los recordatorios por SMS se eliminan 30 días después de su envío.

Quién recibe datos personales

No vendemos datos personales ni los compartimos con fines publicitarios. Las empresas que figuran a continuación los tratan para una tarea concreta y solo reciben lo que esa tarea necesita.

También comunicamos datos a las autoridades cuando la ley lo exige, y solo lo que exige.

Transferencias fuera de la Unión Europea

La base de datos de la aplicación está en Fráncfort (Alemania) y sus funciones se ejecutan allí. Varios de los proveedores anteriores son empresas con sede en Estados Unidos o en Australia, por lo que los datos pueden tratarse fuera de la Unión Europea. Cada una de esas transferencias se basa en el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado y, en caso contrario, en las cláusulas contractuales tipo de la Comisión Europea (decisión 2021/914), con medidas adicionales: cifrado en tránsito y en reposo, y el mínimo de datos posible en cada proveedor. Por ejemplo, los tokens de calendario nunca llegan a nuestra base de datos, y las lecturas de libre/ocupado nunca se guardan.

Puedes pedirnos una copia de estas garantías en hello@rdv.dev. El acuerdo de tratamiento de datos describe lo que hacemos si un gobierno de fuera de la UE solicita datos.

Cuánto tiempo los conservamos

• Cuenta. Mientras exista la cuenta. Eliminar tu cuenta (Ajustes → Seguridad) elimina de inmediato tu perfil, tus sesiones, tus conexiones de calendario y tus archivos. Las próximas reuniones en las que eres anfitrión se cancelan, y se avisa a sus invitados.
• Sesiones. Una sesión caduca 30 días después de su último uso; las sesiones caducadas, con su dirección IP y su navegador, se eliminan cada día.
• Datos del espacio de trabajo. Los tipos de evento, los horarios, la marca, los logos y las reservas se conservan mientras exista el espacio de trabajo. Eliminar el espacio de trabajo lo elimina todo, archivos incluidos.
• Invitaciones y solicitudes para unirse. Las invitaciones se eliminan 30 días después de caducar o de ser revocadas; las solicitudes para unirse, 90 días después de resolverse.
• Análisis de sitios web para la marca. 30 días después de que termine el análisis, o 7 días si falló o se canceló, junto con los logos que dejó preparados.
• Registros de recordatorios por SMS. 30 días después del envío del SMS.
• Mensajes de contacto. Mientras la conversación siga abierta y, después, hasta 3 años desde nuestro último intercambio.
• Facturas y registros contables. 10 años, como exige el derecho mercantil francés.
• Registros del servidor. Como máximo 30 días, salvo que un incidente exija conservarlos más tiempo.
• Copias de seguridad. Los datos eliminados pueden permanecer durante un breve periodo, como máximo 30 días, en el historial de restauración de nuestro proveedor de base de datos antes de desaparecer.

Cómo los protegemos

• Cifrado en tránsito (HTTPS) en todas partes, y cifrado en reposo por parte de nuestros proveedores de base de datos y de almacenamiento de archivos.
• Contraseñas guardadas solo como hash. Enlaces de gestión, claves de API y secretos de invitación guardados solo como hash, o no guardados en absoluto.
• Tokens de calendario custodiados por Nango, nunca en nuestra base de datos ni en nuestro código.
• Cada acción en la aplicación comprueba, en el servidor, quién la pide y qué permite su rol.
• Acceso a los sistemas de producción limitado a las personas que gestionan el servicio.

Si una violación de la seguridad de los datos puede suponer un riesgo para tus derechos, la notificamos a la CNIL en un plazo de 72 horas y, cuando la ley lo exige, te la comunicamos.

Tus derechos

En virtud del RGPD y de la legislación francesa, tienes derecho a:

• acceder a los datos personales que tenemos sobre ti y obtener una copia;
• rectificarlos si son incorrectos o están incompletos;
• suprimirlos;
• limitar su uso mientras se resuelve una cuestión;
• exportarlos en un formato común y de lectura mecánica (portabilidad);
• oponerte al tratamiento basado en nuestro interés legítimo;
• retirar tu consentimiento en cualquier momento, cuando nos basemos en él, sin que ello afecte a lo realizado anteriormente;
• registrar instrucciones sobre el destino de tus datos tras tu fallecimiento, como permite la ley francesa.

Mucho de esto puedes hacerlo tú mismo en la aplicación: editar tu perfil, desconectar un calendario, eliminar tu cuenta. Para todo lo demás, incluida una copia o una exportación de tus datos, escribe a hello@rdv.dev. Respondemos en el plazo de un mes; si una solicitud es compleja, podemos ampliar este plazo dos meses más y te explicaremos por qué. Podemos pedirte que acredites tu identidad cuando exista una duda razonable.

Si has reservado una reunión con uno de nuestros clientes, envía primero tus solicitudes a ese cliente (consulta Si has reservado una reunión a través de rdv.dev).

También puedes presentar una reclamación ante la CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia, cnil.fr, o ante la autoridad de control del país de la UE donde vivas o trabajes.

Cookies y almacenamiento

Ni el sitio web ni la aplicación usan cookies publicitarias ni de seguimiento, así que ninguno de los dos muestra un banner de cookies. Todo lo que figura a continuación es estrictamente necesario para un servicio que has pedido, o guarda una preferencia que has establecido.

Vercel Web Analytics y Speed Insights no usan ninguna cookie ni almacenamiento del navegador. Cuando conectas un calendario, la ventana de conexión la sirve Nango, y las pantallas de inicio de sesión, Google o Microsoft; allí se aplican sus propias cookies y políticas.

Cambios en esta política

La fecha que figura al principio de esta página corresponde a la versión vigente. Si un cambio afecta a cómo usamos tus datos, lo comunicamos a los titulares de cuentas por correo electrónico o en la aplicación antes de que se aplique y, cuando la ley lo exige, te pedimos que aceptes la nueva versión. Las versiones anteriores están disponibles a petición.

Contacto

OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France. Correo electrónico: hello@rdv.dev. Respondemos en inglés o en francés.