Borrador pendiente de revisión jurídica. Los textos entre <…> y los marcados [PENDIENTE: …] son datos por completar.

Política de privacidad — Mi Riesgo Climático y Nota Climática (Canal Meteo)

Borrador — no es asesoramiento jurídico; debe revisarlo un abogado. Los textos entre <...> y los marcados [PENDIENTE: ...] son datos que faltan o supuestos que hay que confirmar antes de publicar. Versión del borrador: 21/10/2026. Revisada contra el código del servidor (servidor/acceso.py, pagos.py, nota_api.py) en esa fecha. Lista de lo que falta en docs/legal/pendientes.md.

Última actualización: <fecha de publicación>

En esta política explicamos qué datos personales tratamos cuando usas Mi Riesgo Climático y cuando compras la Nota Climática, para qué, durante cuánto tiempo y qué derechos tienes. Intentamos tratar los menos datos posibles: el mapa público no necesita que te identifiques; para la ficha a pie de calle solo pedimos un correo electrónico, y los pagos los gestiona Stripe.

1. Quién es el responsable del tratamiento


Responsable	Poniente Media Group LLC, que opera con el nombre comercial Canal Meteo (también titular de la cuenta de Stripe)
Forma jurídica	Sociedad de responsabilidad limitada (LLC) de Estados Unidos, constituida en Texas (n.º de registro 805980905)
Número fiscal	EIN 33-4452828
Domicilio	5900 Balcones Dr Ste 100, Austin, TX 78731, Estados Unidos
Correo de contacto y de privacidad	hola@canalmeteo.tv `[PENDIENTE: valorar un buzón propio, p. ej. privacidad@canalmeteo.tv]`
Web	miriesgoclimatico.com (antes riesgo.canalmeteo.tv) y app Mi Riesgo Climático para iPhone
Representante en la Unión Europea (art. 27 RGPD)	`<representante en la UE: nombre, dirección postal en un Estado miembro —preferiblemente España— y correo>`
Delegado de protección de datos	No hemos designado delegado de protección de datos porque, con el tratamiento descrito, no es obligatorio (art. 37 RGPD y art. 34 LOPDGDD). `<confirmar>`

Como no tenemos establecimiento en la Unión Europea pero ofrecemos el servicio a personas que están en España y en el resto de la UE, nos aplica el Reglamento General de Protección de Datos (RGPD, art. 3.2) y, para los usuarios en España, la Ley Orgánica 3/2018 (LOPDGDD). Puedes dirigirte indistintamente a nosotros o a nuestro representante en la UE para cualquier cuestión de privacidad.

2. Qué datos tratamos y para qué

2.1 Si solo consultas el mapa público (sin cuenta)

No te pedimos datos ni creamos un perfil.
Registros técnicos del servidor. Como en cualquier web, nuestro servidor registra automáticamente cada petición: dirección IP, fecha y hora, dirección pedida (por ejemplo, una tesela del mapa), navegador y página de procedencia. Las teselas que pide tu navegador pueden revelar la zona que estás mirando. Usamos estos registros solo para que la web funcione, para su seguridad y para detectar abusos, y se borran a los 14 días.
Contadores de uso. Contamos cuántas veces se usa cada función (por ejemplo, cuántas fichas se abren al día) con contadores agregados, sin cookies ni identificadores y sin guardar quién hace cada cosa. [PENDIENTE: confirmar cuando esté publicado que no se guarda la IP ni ningún identificador con el contador]
Recursos de terceros. Hoy la web carga tipografías de Google Fonts (fonts.googleapis.com / fonts.gstatic.com) y librerías de cdnjs.cloudflare.com. Al hacerlo, tu navegador envía tu IP a Google y a Cloudflare. Al abrir «Mis lugares» o la ficha de un municipio, descarga además el fichero común de avisos de AEMET del almacenamiento de Canal Meteo en DigitalOcean (canalmeteo-public.sfo3.digitaloceanspaces.com, Estados Unidos), que recibe tu IP pero no tus lugares. [PENDIENTE: añadir DigitalOcean a la tabla de encargados o servir el fichero desde nuestro dominio] [PENDIENTE: alojarlos en nuestro servidor antes del lanzamiento y borrar este párrafo]
No usamos herramientas de analítica de terceros ni de publicidad.

2.2 Si creas una cuenta

Dato	Para qué lo usamos	Base jurídica (art. 6 RGPD)
Correo electrónico, lengua elegida, fecha de alta y último acceso	Crear y gestionar tu cuenta, enviarte el enlace de acceso (no usamos contraseñas) y avisos imprescindibles del servicio (confirmaciones de compra, cambios en las condiciones, respuesta a una corrección)	Ejecución del contrato (art. 6.1.b)
Versión de las condiciones aceptadas y fecha	Poder demostrar qué aceptaste	Interés legítimo (art. 6.1.f) y cumplimiento de obligaciones legales (art. 6.1.c)
Solicitudes de enlace de acceso: correo, IP, fecha	Enviarte el enlace y limitar los envíos para evitar abusos	Ejecución del contrato e interés legítimo en la seguridad (art. 6.1.f)
Sesión: una cookie con un código aleatorio (en nuestra base solo guardamos su huella cifrada), fechas de inicio y de último uso	Mantenerte identificado	Ejecución del contrato (art. 6.1.b)
Búsquedas de direcciones en la ficha a pie de calle	Encontrar el edificio. La búsqueda se hace en nuestro servidor; no guardamos lo que buscas en tu cuenta, aunque la petición queda en los registros técnicos 14 días	Ejecución del contrato (art. 6.1.b)
Historial de fichas abiertas: municipio o zona, referencia catastral, formato (pantalla o PDF), fecha	Mostrarte tu historial y prevenir abusos (scraping)	Ejecución del contrato e interés legítimo (art. 6.1.f)
Mensajes que nos envías (por ejemplo, para comunicar un error)	Responderte, revisar y corregir el dato, y dejar constancia de la corrección	Interés legítimo (art. 6.1.f); cuando ejerces un derecho, obligación legal (art. 6.1.c)

2.3 Si compras la Nota Climática o te suscribes a un plan

Dato	Para qué lo usamos	Base jurídica
Notas generadas: referencia catastral o dirección escrita, resultado, si fue por la web o por la API, cómo se cobró (plan, crédito, consulta), fecha y el PDF	Entregarte la Nota, dejarte descargarla de nuevo, contar las Notas de tu plan y facturar la API	Ejecución del contrato (art. 6.1.b)
Plan contratado, créditos disponibles y estado de la suscripción (incluido un impago)	Darte acceso a lo que has pagado	Ejecución del contrato (art. 6.1.b)
Identificadores de Stripe (cliente y suscripción) y registro de cada pago: producto, importe, moneda y fecha	Gestionar pagos, renovaciones, cancelaciones y devoluciones, y cumplir las obligaciones fiscales y contables	Ejecución del contrato (art. 6.1.b) y obligación legal (art. 6.1.c)
Nombre de tu marca y logotipo (solo plan Pro, si los das)	Ponerlos en tus Notas	Ejecución del contrato (art. 6.1.b)
Claves de API (solo guardamos su huella cifrada, un prefijo, un nombre y las fechas de creación y último uso)	Identificar tus peticiones a la API	Ejecución del contrato (art. 6.1.b)

Lo que no vemos. Los datos de tu tarjeta, tu nombre de titular y tu dirección de facturación los recoge directamente Stripe en su página de pago. Nosotros no los recibimos ni los guardamos.

Lo que no hacemos: - No vendemos ni cedemos tus datos a nadie, tampoco a agencias inmobiliarias, aseguradoras ni entidades financieras. - No usamos tus datos para publicidad ni elaboramos perfiles comerciales. - No tomamos decisiones automatizadas sobre ti con efectos jurídicos (art. 22 RGPD). La puntuación describe un edificio y su entorno, no a una persona. - No te pedimos datos especialmente protegidos.

2.4 Si usas la app Mi Riesgo Climático para iPhone

Correo electrónico, para entrar: te mandamos un código de un solo uso que caduca a los 15 minutos. Es la misma cuenta que en la web y se trata igual (apartado 2.2).
Direcciones que buscas y fichas de edificio que abres: se envían a nuestro servidor para darte la respuesta. No las guardamos en tu cuenta; solo quedan en los registros técnicos del servidor (apartado 4).
Ubicación: si le das permiso, la app la usa solo dentro del iPhone para centrar el mapa o encontrar tu edificio. No nos llega.
Avisos meteorológicos en la app (opcional). Si activas los avisos en la app de iPhone, guardamos el identificador de notificaciones que Apple asigna a tu dispositivo (y, si usas las Actividades en directo, sus identificadores), el idioma, el entorno de la app y las viviendas que elijas: nombre que les des, municipio, referencia catastral si la hay y coordenadas. También guardamos qué avisos te hemos enviado ya, para no repetirlos, y los borramos al terminar cada aviso. Lo usamos solo para cruzar tus viviendas con los avisos oficiales de AEMET y enviarte la notificación a través del servicio de notificaciones de Apple (APNs), que recibe el identificador y el texto del aviso. Base: tu consentimiento al activarlos (art. 6.1.a RGPD). Se borra al desactivar los avisos en la app, cuando Apple nos indica que el identificador ya no es válido o al borrar la cuenta.
[PENDIENTE: compras dentro de la app: las cobra Apple con su propia política de privacidad; nosotros recibimos de Apple solo el justificante de la compra para activar la Nota o el plan]
La app no lleva publicidad ni herramientas de seguimiento de terceros.

2.5 Si aceptas recibir novedades y ofertas

Es opcional: una casilla sin marcar al crear la cuenta, aparte de la aceptación de las condiciones. No marcarla no limita nada del servicio.

Datos	Para qué	Base jurídica	Cuánto tiempo
Correo, idioma, fecha del consentimiento	Enviarte por correo novedades del servicio y ofertas de Mi Riesgo Climático (art. 21 LSSI)	Tu consentimiento (art. 6.1.a RGPD)	Hasta que te des de baja o borres la cuenta

Puedes retirarlo cuando quieras: con el enlace «Darse de baja» que lleva cada correo (un clic, sin entrar en la cuenta), desde Cuenta o escribiendo a hola@canalmeteo.tv. Retirarlo no afecta a los correos necesarios de tu cuenta (acceso y compras).
A quien ya nos ha comprado podemos escribirle sobre productos nuestros parecidos a los que compró, salvo que se oponga (art. 21.2 LSSI); en cada correo puede oponerse con un clic.
Los envíos se hacen con Twilio SendGrid (apartado 5). No compartimos la lista con nadie.

3. Información sobre inmuebles y sobre las personas que viven en ellos

La ficha y la Nota describen un edificio a partir de datos públicos: la huella y las características del Catastro (año, uso, número de viviendas, plantas), la cartografía de zonas inundables, el relieve, la temperatura de superficie, el movimiento del terreno, la foto aérea y la vegetación del entorno.

No mostramos ni tratamos el nombre, el NIF ni el domicilio fiscal de los titulares, ni el valor catastral, que son datos protegidos según el art. 51 del Texto Refundido de la Ley del Catastro Inmobiliario.
No relacionamos los edificios con las personas que los habitan.
Las fichas y Notas por dirección no se indexan en buscadores, para no crear un registro público de «riesgo casa por casa».

Aun así, en una vivienda unifamiliar, la información sobre un edificio puede llegar a referirse indirectamente a quien vive en él. Si eres propietario u ocupante y quieres hacernos alguna consulta, o ejercer tu derecho de oposición (art. 21 RGPD) respecto a la información de tu inmueble, escríbenos a hola@canalmeteo.tv. Valoraremos cada caso, teniendo en cuenta que la información procede de fuentes públicas y tiene una finalidad divulgativa y de interés general. <confirmar con el abogado la base jurídica de este tratamiento (art. 6.1.f / libertad de información, art. 85 RGPD) y si conviene un procedimiento de exclusión>.

4. Cuánto tiempo conservamos los datos

Dato	Plazo
Datos de la cuenta	Mientras la cuenta esté activa. Si la borras, se suprimen en el momento (y de las copias de seguridad en `[PENDIENTE: plazo de rotación de las copias]`)
Solicitudes de enlace de acceso (con la IP)	7 días
Sesiones	Hasta que cierres sesión o, como máximo, 90 días
Historial de fichas y de Notas	Mientras la cuenta esté activa `[PENDIENTE: decidir un máximo, p. ej. 24 meses por entrada]`
PDF de la Nota	30 días desde que se genera
Registro de pagos (producto, importe, moneda, fecha)	`[PENDIENTE: plazo fiscal y contable, p. ej. 6 años (art. 30 del Código de Comercio) o el que corresponda al vendedor]`. Si borras la cuenta, se conserva sin vínculo con tu cuenta
Registros técnicos del servidor	14 días
Comunicaciones de errores y correcciones	`<3 años>` desde su cierre, para documentar el historial de correcciones del servicio
Cuentas inactivas	`[PENDIENTE: decidir; p. ej. aviso y borrado tras 24 meses sin uso, salvo suscripción activa]`

Cuando termina el plazo, suprimimos los datos o los anonimizamos de forma irreversible (por ejemplo, contando cuántas Notas se generan por municipio, sin direcciones ni cuentas).

Si borras tu cuenta: cancelamos antes tu suscripción en Stripe; después borramos tus Notas en PDF, tu historial, tus claves de API, tus sesiones y tus solicitudes de acceso, y desvinculamos de ti los registros de pago, que conservamos solo por obligación fiscal. Si no podemos cancelar la suscripción, no borramos nada y te pedimos que la canceles desde el portal de pagos. Los efectos sobre tus compras están en las Condiciones de uso, apartado 8.

5. Con quién compartimos los datos

Con proveedores que nos prestan servicios técnicos y que actúan como encargados del tratamiento, con contrato según el art. 28 RGPD:

Proveedor	Para qué	Dónde trata los datos
Hetzner Online GmbH (Alemania)	Alojamiento del servidor, la base de datos y los PDF	Centro de datos de Hillsboro, Oregón (Estados Unidos) `[PENDIENTE: confirmar o trasladar a un centro de datos de la UE]`
Twilio Inc. (SendGrid)	Envío de los correos de acceso y de servicio y, si los aceptas, de novedades y ofertas	Estados Unidos
Apple Inc. (APNs)	Entrega de las notificaciones de la app	Estados Unidos
Stripe `[PENDIENTE: entidad contratante — Stripe Payments Europe, Ltd. (Irlanda) o Stripe, Inc. (EE. UU.) según la cuenta]`	Pagos, suscripciones, recibos y devoluciones	UE y Estados Unidos

Stripe actúa como encargado para procesar tus pagos y, además, como responsable independiente para sus propias obligaciones legales (prevención del fraude y del blanqueo de capitales, obligaciones financieras). Para eso se aplica su política de privacidad: https://stripe.com/es/privacy.

Google y Cloudflare reciben tu IP mientras la web cargue tipografías y librerías desde sus servidores (apartado 2.1).

La foto aérea y las teselas de ortofoto las pide nuestro servidor al Instituto Geográfico Nacional: el IGN no recibe tus datos.

Además, podríamos tener que comunicar datos a autoridades o tribunales cuando la ley nos obligue (por ejemplo, a la administración tributaria).

6. Transferencias internacionales

Poniente Media Group LLC está en Estados Unidos, y nuestro servidor, SendGrid y parte de Stripe también, así que tus datos se tratan allí. <Indicar el mecanismo aplicable:>

<Si Poniente Media Group LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework): «Estamos certificados en el Data Privacy Framework (puedes comprobarlo en dataprivacyframework.gov), que la Comisión Europea reconoce como garantía adecuada (Decisión de ejecución (UE) 2023/1795)».>
<Si no está certificada: «Para los envíos de datos a proveedores fuera del Espacio Económico Europeo usamos las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de ejecución (UE) 2021/914), junto con medidas adicionales cuando son necesarias». Puedes pedirnos una copia en hola@canalmeteo.tv.>
[PENDIENTE: para cada proveedor, comprobar si está certificado en el DPF (dataprivacyframework.gov/list) o qué cláusulas tipo firma: Twilio, Stripe, Hetzner.]

<Nota para el abogado: los datos que el usuario nos facilita directamente al registrarse quizá no constituyan una «transferencia» en el sentido del capítulo V del RGPD (Directrices EDPB 05/2021), pero sí la constituyen los envíos a encargados fuera del EEE. Revisar la redacción.>

7. Tus derechos

Puedes ejercer en cualquier momento, gratis, los derechos de: - acceso: saber qué datos tenemos sobre ti; - rectificación: corregir datos inexactos; - supresión: borrar tus datos; puedes borrar tu cuenta desde los ajustes de la cuenta o pedírnoslo (con los efectos del apartado 4); - oposición: oponerte a los tratamientos basados en interés legítimo; - limitación del tratamiento; - portabilidad: recibir los datos de tu cuenta, tu historial y tus Notas en un formato estructurado; - retirar el consentimiento, cuando el tratamiento se base en él, sin que afecte a lo hecho antes.

Cómo ejercerlos: escribe a hola@canalmeteo.tv (o a nuestro representante en la UE, <representante en la UE>) desde el correo de tu cuenta, indicando qué derecho quieres ejercer. Si tenemos dudas razonables sobre tu identidad, podremos pedirte información adicional, pero nunca más de la necesaria. Responderemos en el plazo de un mes, ampliable dos meses más en casos complejos, y te avisaremos si hay ampliación (art. 12.3 RGPD).

Reclamación ante la autoridad: si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, https://www.aepd.es, o ante la autoridad de protección de datos del país de la UE donde vivas o trabajes. Te agradeceremos que antes nos escribas, por si podemos solucionarlo.

8. Edad mínima

Para crear una cuenta debes tener al menos <18 años>. En España, la edad mínima para consentir el tratamiento de datos es de 14 años (art. 7 LOPDGDD), pero el servicio está pensado para personas adultas que toman decisiones sobre una vivienda, y comprar requiere capacidad para contratar. <confirmar la edad elegida>. Si sabemos que una cuenta pertenece a un menor por debajo de esa edad, la borraremos.

9. Seguridad

Aplicamos medidas técnicas y organizativas proporcionadas: conexión cifrada (HTTPS), acceso por enlace de un solo uso que caduca a los 30 minutos (sin contraseñas), enlaces, sesiones y claves de API guardados solo como huella cifrada (SHA-256), PDF accesibles solo para la cuenta que los generó, verificación de la firma de los avisos de Stripe, acceso restringido a los datos dentro de la empresa y minimización de los registros. [PENDIENTE: describir las copias de seguridad] Si se produjera una brecha de seguridad que supusiera un riesgo para ti, la notificaremos a la autoridad de control en 72 horas y, cuando proceda, a ti (arts. 33 y 34 RGPD).

10. Cookies y almacenamiento en el navegador

Nombre	Tipo	Para qué	Duración
`riesgo_sesion`	Cookie propia, técnica	Mantener tu sesión iniciada (solo si entras con tu cuenta)	Hasta que cierres sesión o 90 días
`mrc.lang`	Almacenamiento local del navegador	Recordar la lengua que has elegido	Hasta que lo borres
`riesgo_satelite`	Almacenamiento local del navegador	Recordar si quieres ver la foto aérea de fondo	Hasta que lo borres
`mrc.favoritos`	Almacenamiento local del navegador	Guardar los municipios y edificios que añades a «Mis lugares» (código del municipio o referencia catastral y nombre). No se envía a nuestro servidor: para mostrar los avisos de AEMET, el navegador descarga un fichero común para todos y filtra tus lugares en tu dispositivo	Hasta que los quites o borres los datos del navegador

Son técnicas o de preferencias que tú eliges, así que no necesitan consentimiento (art. 22.2 LSSI y Guía de cookies de la AEPD). No usamos cookies de analítica ni de publicidad, y los contadores de uso (apartado 2.1) no guardan nada en tu navegador. La página de pago de Stripe usa sus propias cookies para procesar el pago y prevenir el fraude; las explica su política de cookies: https://stripe.com/es/legal/cookies-policy.

<Si se añade analítica u otras cookies no necesarias, habrá que pedir consentimiento previo mediante un banner y publicar una política de cookies separada.>

11. Usuarios de Estados Unidos (incluido Texas)

El servicio está pensado sobre todo para el público de España. Si lo usas desde Estados Unidos, tratamos tus datos de la misma forma descrita en esta política y puedes ejercer los mismos derechos escribiendo a hola@canalmeteo.tv. No vendemos datos personales ni los usamos para publicidad dirigida.

<Nota interna: la Texas Data Privacy and Security Act (TDPSA) probablemente no obliga a Poniente Media Group LLC en su conjunto si la empresa es una «small business» según la definición de la SBA, aunque incluso en ese caso prohíbe vender datos sensibles sin consentimiento, cosa que no hacemos. Ver Notas para el abogado.>

12. Cambios en esta política

Si cambiamos esta política, publicaremos la nueva versión con su fecha. Si el cambio es importante (por ejemplo, una nueva finalidad o un nuevo destinatario), te avisaremos por correo antes de que se aplique.

13. Contacto

[PENDIENTE: titular definitivo] Poniente Media Group LLC (Canal Meteo) · 5900 Balcones Dr Ste 100, Austin, TX 78731, EE. UU. · hola@canalmeteo.tv Representante en la UE: <representante en la UE>

Notas para el abogado

Supuestos y puntos abiertos 1. Representante en la UE (art. 27 RGPD). A nuestro juicio es necesario si el responsable sigue siendo la LLC estadounidense. La excepción del art. 27.2.a solo cubre tratamientos ocasionales. Según el art. 30 LOPDGDD, la AEPD puede dirigirse al representante. Fuentes: RGPD https://eur-lex.europa.eu/eli/reg/2016/679/oj (arts. 3.2 y 27); Directrices EDPB 3/2018; LOPDGDD https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 (art. 30). Si el vendedor pasa a ser una sociedad española, no hace falta representante. 2. Delegado de protección de datos (DPD). No parece obligatorio: no hay observación habitual y sistemática a gran escala ni categorías especiales (art. 37 RGPD), y la actividad no figura en la lista del art. 34 LOPDGDD. El historial de direcciones consultadas podría acercarse a la «observación» si llegara a una escala muy grande; conviene revisarlo. 3. Direcciones consultadas como dato personal. La dirección que consulta un usuario registrado es dato personal del usuario. La información del edificio puede ser dato personal del ocupante en viviendas unifamiliares (GT29, Dictamen 4/2007). Valorar la base jurídica para estos terceros y el art. 14.5.b RGPD. 4. Datos protegidos del Catastro: art. 51 TRLCI, https://www.boe.es/buscar/act.php?id=BOE-A-2004-4163. 5. Transferencias: DPF, Decisión (UE) 2023/1795; lista de entidades certificadas, https://www.dataprivacyframework.gov/list. Cláusulas contractuales tipo, Decisión (UE) 2021/914. El servidor está en EE. UU. (Hetzner, Hillsboro): es la transferencia principal y la más fácil de evitar trasladándolo a la UE. 6. Stripe como responsable independiente para fraude y obligaciones regulatorias: revisar el reparto de papeles en su acuerdo de tratamiento (https://stripe.com/es/legal/dpa). 7. Cookies y recursos de terceros: el almacenamiento local de preferencias elegidas por el usuario está exento según la Guía de cookies de la AEPD. Google Fonts y cdnjs transmiten la IP a terceros (LG München I, 20-01-2022, 3 O 17493/20, como indicio de riesgo). Art. 22.2 LSSI: https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758; Guía de cookies de la AEPD: https://www.aepd.es/guias/guia-cookies.pdf. 8. Edad mínima: art. 7 LOPDGDD (14 años). Hemos propuesto 18 como decisión de negocio. 9. Plazos de conservación: los que salen del código están fijados (7 días, 90 días, 30 días, 14 días); el resto son propuestas. Bloqueo de datos: art. 32 LOPDGDD. Conservación de los pagos: depende de la normativa fiscal del vendedor (art. 66 LGT, 4 años; art. 30 Código de Comercio, 6 años; en EE. UU., las reglas del IRS). 10. Texas / EE. UU.: la TDPSA (Tex. Bus. & Com. Code cap. 541) probablemente no es aplicable en lo sustancial si la LLC es una small business según la SBA. Fuentes: https://statutes.capitol.texas.gov/Docs/BC/htm/BC.541.htm; tabla SBA: https://www.sba.gov/document/support-table-size-standards. 11. Derecho de reclamación: AEPD, sede electrónica https://sedeagpd.gob.es; art. 77 RGPD.