Política de privacidad

Traducción a título informativo. En caso de discrepancia prevalece la versión alemana.

La protección de datos tiene para nosotros una importancia especialmente elevada. A continuación se informa detalladamente al usuario sobre la recogida de datos personales durante el uso de nuestro sitio web (gumb.app) y de nuestras apps (web.gumb.app). Son datos personales todos los datos que permiten extraer conclusiones sobre el usuario a título personal, como el nombre, la dirección, las direcciones de correo electrónico o el comportamiento de uso. El tratamiento se realiza siempre de conformidad con el Reglamento general de protección de datos (RGPD) y con la Ley federal suiza de protección de datos (LPD).

El responsable del tratamiento conforme al art. 4, punto 7 del RGPD es:

Gumb AG

Büsingerstrasse 5

CH-8203 Schaffhausen

Suiza

E-mail: privacy@gumb.app

Nuestro delegado de protección de datos puede contactarse en privacy@gumb.app (véase también el punto 3).

Gumb es una empresa con actividad global y con clientes en Suiza, la Unión Europea, EE. UU. y en todo el mundo. Conforme al art. 27 del RGPD hemos examinado si es necesario designar a un representante externo en la UE. Dado que gestionamos de forma centralizada la protección de los datos del usuario desde nuestra sede principal en Suiza, un país al que la Comisión Europea ha reconocido un nivel adecuado de protección de datos, y que actualmente no realizamos un tratamiento a gran escala de datos sensibles conforme al art. 9 del RGPD, nuestra sede principal actúa como punto de contacto central.

Para todas las consultas sobre protección de datos procedentes de la UE, de EE. UU. o de otras regiones, el usuario puede contactar directamente con nosotros:

Gumb AG
Büsingerstrasse 5
CH-8203 Schaffhausen
Suiza
E-mail: privacy@gumb.app

Supervisamos de forma continua nuestras obligaciones regulatorias. Si, como consecuencia de nuestro crecimiento en mercados específicos (p. ej., la UE o el Reino Unido), resultara necesario designar a un representante local, lo actualizaremos aquí de inmediato.

Cuando la ley lo exige (p. ej., en caso de tratamiento de datos sensibles o con más de 20 empleados conforme al art. 37 del RGPD o a las disposiciones nacionales), hemos designado a un delegado de protección de datos.

Se le puede contactar en:

Delegado de protección de datos de Gumb AG
Büsingerstrasse 5, CH-8203 Schaffhausen, Suiza
E-mail: privacy@gumb.app

Si no es necesario un delegado de protección de datos, la dirección de la empresa asume la responsabilidad; esto se basa en un análisis de riesgos conforme a la LPD y al RGPD.

El usuario tiene frente a nosotros los siguientes derechos en relación con los datos personales que le conciernen:

• Derecho de acceso (art. 15 del RGPD): El usuario puede solicitar información sobre los datos suyos que tratamos y una copia de dichos datos.
• Derecho de rectificación (art. 16 del RGPD): El usuario puede solicitar la corrección de los datos inexactos o que se completen los datos incompletos.
• Derecho de supresión (art. 17 del RGPD): El usuario puede solicitar la supresión de sus datos, siempre que no lo impidan obligaciones legales de conservación (p. ej., disposiciones de derecho tributario).
• Derecho a la limitación del tratamiento (art. 18 del RGPD): En determinadas circunstancias, el usuario puede solicitar el bloqueo de sus datos.
• Derecho a la portabilidad de los datos (art. 20 del RGPD): El usuario tiene derecho a recibir en un formato de uso común los datos que se traten sobre la base de su consentimiento o de un contrato.
• Derecho de oposición (art. 21 del RGPD) y revocación de consentimientos (art. 7, apdo. 3 del RGPD): Cuando el usuario nos haya otorgado un consentimiento, puede revocarlo en cualquier momento con efectos para el futuro. Si tratamos datos sobre la base de intereses legítimos (art. 6, apdo. 1, letra f) del RGPD), el usuario puede oponerse al tratamiento por motivos relacionados con su situación particular. La oposición o la revocación debe dirigirse a los datos de contacto indicados en el punto 1.
• Los ajustes de consentimiento del usuario (p. ej., para cookies, herramientas de análisis o de marketing) pueden modificarse o revocarse en cualquier momento a través del banner de cookies de nuestro sitio web o en los ajustes de la app. La revocación es gratuita, sencilla y surte efecto para el futuro, sin que se vea afectada la licitud del tratamiento realizado hasta ese momento. Como alternativa, la revocación puede dirigirse a los datos de contacto indicados en el punto 1.
• Derecho a presentar una reclamación: El usuario tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos. Es competente la autoridad del lugar de residencia del usuario o la autoridad de control suiza:
  Según el lugar en el que se encuentre el usuario, también puede presentar una reclamación ante la autoridad de control competente de su país (p. ej., en EE. UU. ante la respectiva autoridad estatal, la State Authority, o, en un Estado miembro de la UE, ante la autoridad local de protección de datos).
  Encargado federal de protección de datos y transparencia (PFPDT) www.edoeb.admin.ch

En el uso meramente informativo de nuestro sitio web, recogemos únicamente los datos que el navegador del usuario transmite a nuestro servidor. Son técnicamente necesarios para garantizar la estabilidad y la seguridad del sitio (base jurídica: art. 6, apdo. 1, letra f) del RGPD):

• Dirección IP
• Fecha y hora de la solicitud
• Diferencia de zona horaria con respecto a la hora media de Greenwich (GMT)
• Contenido de la solicitud (página concreta)
• Estado de acceso/código de estado HTTP
• Volumen de datos transmitido en cada caso
• Sitio web/app desde el que procede la solicitud (referrer)
• Navegador, sistema operativo, idioma y versión del software del navegador

Al usar nuestras apps, recogemos además los datos necesarios para su funcionamiento (art. 6, apdo. 1, letra f) del RGPD):

• Tipo de dispositivo (p. ej., iPhone, Samsung)
• Sistema operativo y su interfaz
• Contenido de la solicitud (página concreta dentro de la app)
• Datos de registro técnicos para garantizar la seguridad de funcionamiento

Cuando el usuario se pone en contacto con nosotros por correo electrónico o mediante un formulario de contacto, tratamos los datos personales que nos transmite (en particular su dirección de correo electrónico y, en su caso, su nombre y su número de teléfono) para tramitar su solicitud.

El tratamiento se realiza:

• conforme al art. 6, apdo. 1, letra b) del RGPD, cuando la solicitud del usuario tiene por objeto la celebración o la ejecución de un contrato,
• en caso contrario, conforme al art. 6, apdo. 1, letra f) del RGPD, sobre la base de nuestro interés legítimo en responder adecuadamente a las solicitudes.

Para la gestión y la documentación de las solicitudes de soporte utilizamos Zendesk, un servicio de Zendesk, Inc., EE. UU. Zendesk actúa como encargado del tratamiento conforme al art. 28 del RGPD. El uso de Zendesk se basa en nuestro interés legítimo en una tramitación eficiente y estructurada de las solicitudes de soporte (art. 6, apdo. 1, letra f) del RGPD).

No puede excluirse una transferencia de datos personales a EE. UU. Esta se realiza sobre la base de las cláusulas contractuales tipo de la UE conforme al art. 46 del RGPD y, cuando sea aplicable, sobre la base de la certificación del proveedor conforme al EU-U.S. Data Privacy Framework. Sin embargo, no puede excluirse por completo que las autoridades estadounidenses accedan a datos personales en casos concretos.

Las solicitudes de soporte se conservan, por regla general, durante 24 meses y se suprimen después, salvo que lo impidan obligaciones legales de conservación o que una conservación más prolongada sea necesaria para hacer valer, ejercer o defender pretensiones jurídicas.

Puede consultarse más información en la política de privacidad de Zendesk.

Utilizamos modelos de lenguaje de IA como herramienta interna para hacer más eficientes y mejorar en calidad diversos procesos de negocio. Entre ellos se cuentan, entre otros:

• Tramitación y preparación de respuestas a consultas de clientes, socios e inversores, así como correspondencia comercial general
• Desarrollo de producto, optimización de UI/UX y preparación de presentaciones y documentación; al tratar escenarios de uso o casos de clientes, estos se utilizan, en la medida de lo posible, de forma anonimizada
• Análisis de indicadores agregados y no personales para la optimización del producto

Todos los resultados de la IA son revisados por el personal antes de utilizarse o enviarse. No se produce ninguna toma de decisiones automatizada en el sentido del art. 22 del RGPD.

Datos personales: Cuando las consultas o la correspondencia contienen datos personales (en particular nombre, dirección de correo electrónico, contenido del mensaje y datos técnicos de la cuenta, como el rol, la pertenencia a una comunidad y el estado de la suscripción), estos pueden introducirse durante su tramitación en los sistemas de IA que se indican a continuación. En el contexto del desarrollo de producto, los escenarios de uso se tratan, por regla general, de forma anonimizada; no puede garantizarse una anonimización completa en cada caso concreto. En el análisis de indicadores se tratan exclusivamente datos agregados y no personales.

Proveedores de IA utilizados:

• Claude (Anthropic PBC), 548 Market St, PMB 90375, San Francisco, CA 94104, EE. UU.
• ChatGPT (OpenAI Ireland Ltd.), 1 Shelbourne Road, Ballsbridge, Dublin 4, Irlanda

Los datos del usuario no se utilizan para entrenar modelos de IA. Para ChatGPT (OpenAI) y Claude (Anthropic) hemos desactivado el uso para entrenamiento en los respectivos ajustes de la cuenta.

Base jurídica: art. 6, apdo. 1, letra f) del RGPD (interés legítimo en procesos de negocio eficientes, en una comunicación de alta calidad y en la mejora continua de nuestro producto).

Transferencias internacionales de datos: Anthropic y OpenAI pueden tratar datos en servidores en EE. UU. La transferencia se realiza sobre la base de las cláusulas contractuales tipo de la UE conforme al art. 46 del RGPD y, cuando sea aplicable, de la certificación conforme al EU-U.S. Data Privacy Framework. No puede excluirse por completo que las autoridades estadounidenses accedan a datos personales en casos concretos.

Comprobamos de forma continua si resulta necesario pasar a tarifas empresariales (Business) con un contrato formal de encargo del tratamiento (AVV) conforme al art. 28 del RGPD.

Más información:

• Política de privacidad de Anthropic
• Política de privacidad de OpenAI

Para crear una cuenta de cliente recogemos los siguientes datos obligatorios:

• Dirección de correo electrónico (como nombre de usuario)
• Una contraseña elegida por el usuario

El registro es necesario para utilizar nuestros servicios. La base jurídica es el art. 6, apdo. 1, letra b) del RGPD (inicio y ejecución del contrato) y nuestro interés legítimo en proporcionar una cuenta de usuario segura (art. 6, apdo. 1, letra f) del RGPD).

La facilitación de los datos obligatorios es necesaria para la celebración y la ejecución del contrato de uso. Sin estos datos no puede crearse una cuenta de usuario.

Recomendamos utilizar una dirección de correo electrónico privada. En el caso de la dirección de un empleador o de otra organización, esta puede tener acceso técnico al buzón y, por tanto, a los correos de Gumb, por ejemplo las notificaciones de eventos con nombres de otros miembros. De ello son responsables el usuario y la organización correspondiente.

Registramos de forma seudonimizada con qué funciones de planificación y con cuántos eventos se trabaja en nuestra app. Estos datos solo se recogen durante el uso activo y sirven para optimizar el rendimiento y para recomendar funciones adecuadas. La base jurídica es el art. 6, apdo. 1, letra f) del RGPD (interés legítimo en la mejora de nuestra oferta). El usuario puede oponerse en cualquier momento a este tipo de recomendación (para ello, puede contactar con nosotros a través de los datos de contacto indicados en el punto 1).

Los administradores (p. ej., miembros de la junta directiva de una asociación con derechos de administrador en la app) tienen la posibilidad de crear cuentas provisionales para terceros. En ese proceso se tratan los siguientes datos personales:

• Dirección de correo electrónico
• Nombre y apellidos
• Una contraseña temporal

La recogida de estos datos y su transmisión a Gumb AG corren a cargo del administrador correspondiente. En este sentido, los administradores actúan por cuenta propia como responsables del tratamiento en el sentido del art. 4, punto 7 del RGPD. Están obligados a garantizar la licitud de la recogida de datos y, cuando sea necesario, a establecer una base jurídica adecuada (p. ej., el consentimiento o una base contractual).

Gumb AG trata los datos transmitidos, en el marco de la puesta a disposición técnica de la plataforma, como responsable del tratamiento independiente conforme al art. 4, punto 7 del RGPD. No existe corresponsabilidad del tratamiento en el sentido del art. 26 del RGPD.

El tratamiento por parte de Gumb AG se basa en el art. 6, apdo. 1, letra f) del RGPD (interés legítimo en la puesta a disposición de las funciones de la plataforma y en una gestión eficiente de usuarios).

En cuanto un administrador ha creado una cuenta provisional, se informa sin demora a la persona interesada por correo electrónico. En esta notificación recibe una contraseña temporal y puede iniciar sesión, consultar y modificar los datos almacenados o eliminar la cuenta.

Si una persona interesada no está de acuerdo con la creación de la cuenta, puede eliminarla ella misma o solicitar a Gumb AG su supresión inmediata en privacy@gumb.app.

Cuando el usuario realiza un pedido en línea a través de nuestro sitio web o de nuestras apps, recogemos los datos necesarios para la celebración del contrato (base jurídica: art. 6, apdo. 1, letra b) del RGPD). Los datos se conservan durante la vigencia del contrato y conforme a las obligaciones legales de conservación (en particular, las disposiciones de derecho tributario) (base jurídica: art. 6, apdo. 1, letra c) del RGPD).

Para la gestión de los pagos utilizamos los siguientes proveedores de servicios de pago externos, que tratan los datos de pago del usuario como responsables del tratamiento independientes:

• Stripe: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irlanda.
  Política de privacidad de Stripe
• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.
  Política de privacidad de PayPal

La transmisión de los datos del usuario a los proveedores de servicios de pago se realiza sobre la base del art. 6, apdo. 1, letra b) del RGPD (ejecución del contrato).

Ofrecemos al usuario la posibilidad de registrarse e iniciar sesión con su cuenta existente en los siguientes proveedores:

• Facebook Connect (Meta Platforms Ireland Ltd.)
• Google (Google Ireland Limited)
• Apple (Apple Inc.)

Si el usuario inicia sesión a través de uno de estos servicios, se le pregunta, previo consentimiento, si desea transmitirnos determinada información de su perfil en dicho servicio. Por regla general recibimos los siguientes datos:

• Nombre y apellidos
• Dirección de correo electrónico
• Foto de perfil (según el proveedor)

Utilizamos estos datos para configurar, proporcionar y personalizar la cuenta de Gumb del usuario. La base jurídica es el art. 6, apdo. 1, letra b) del RGPD (inicio del contrato) y nuestro interés legítimo en un proceso de inicio de sesión cómodo (art. 6, apdo. 1, letra f) del RGPD). En el caso de Apple, el usuario tiene la posibilidad de ocultar su dirección de correo electrónico; en ese caso, recibe de Apple una dirección de correo electrónico anonimizada reenviada.

Los datos los transmite directamente el proveedor correspondiente, una vez que el usuario ha dado allí su consentimiento para la transferencia de datos.

Nuestro sitio web y nuestras apps utilizan cookies y tecnologías similares (p. ej., píxeles, SDK, Local Storage). Las cookies son pequeños archivos de texto que se almacenan en el dispositivo del usuario y que transmiten determinada información a la entidad que coloca la cookie. Las cookies no pueden ejecutar programas ni transmitir virus.

Distinguimos las siguientes categorías:

• Estrictamente necesarias: Estas cookies son necesarias para el funcionamiento del sitio web o de la app (p. ej., inicio de sesión, funciones de seguridad). Sin ellas no podemos ofrecer nuestros servicios. La base jurídica es el art. 6, apdo. 1, letra f) del RGPD (interés legítimo en el correcto funcionamiento).
• Funcionales: Estas cookies permiten una funcionalidad y una personalización mejoradas (p. ej., guardar los ajustes de idioma). Solo se instalan con el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).
• Análisis / rendimiento: Estas cookies nos ayudan a entender cómo utilizan los visitantes nuestro sitio, con el fin de mejorar su rendimiento. Solo se instalan con el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).
• Marketing / segmentación: Estas cookies las instalan socios publicitarios para elaborar perfiles de los intereses del usuario y mostrarle publicidad relevante. Solo se instalan con el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).

Para gestionar y documentar los ajustes de consentimiento del usuario utilizamos CookieScript (un servicio de Objectis, UAB, Laisvės str. 60, LT-05120 Vilnius, Lituania). CookieScript guarda las preferencias de consentimiento del usuario en una cookie en su dispositivo y nos permite acreditar su elección. La base jurídica es el art. 6, apdo. 1, letra f) del RGPD en relación con el § 25 TTDSG o con las correspondientes disposiciones de la normativa ePrivacy.

El usuario puede modificar o revocar en cualquier momento sus ajustes de consentimiento (p. ej., para cookies, herramientas de análisis o de marketing) a través del banner de cookies de nuestro sitio web o en los ajustes de la app. La revocación es gratuita, sencilla y surte efecto para el futuro, sin que se vea afectada la licitud del tratamiento realizado hasta ese momento. Como alternativa, la revocación puede dirigirse a los datos de contacto indicados en el punto 1.

Utilizamos Google Analytics 4 (GA4), un servicio de analítica web de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda). GA4 sirve para analizar el uso de nuestro sitio web y de nuestras apps.

Alcance del tratamiento

• Recogida de datos de uso (p. ej., páginas visitadas, tiempo de permanencia, comportamiento de clics)
• Información del dispositivo y del navegador
• Dirección IP (se anonimiza de forma predeterminada y no se almacena de forma permanente)

Si el usuario da su consentimiento, utilizamos Enhanced Conversions: determinados datos (p. ej., direcciones de correo electrónico) se transmiten a Google en forma de hash (SHA-256) para atribuir mejor las conversiones.

Google Consent Mode v2: Respetamos plenamente los ajustes de consentimiento del usuario. Según su elección, Google recibe datos detallados (con consentimiento) o solo datos agregados y no personales (sin consentimiento).

Plazo de conservación: Los datos a nivel de usuario se conservan durante un máximo de 14 meses y después se suprimen o se anonimizan automáticamente.

Destinatarios y transferencia de datos: Google Ireland Limited actúa, por regla general, como encargado del tratamiento. Los datos pueden transferirse a servidores de Google LLC en EE. UU. Esto se realiza sobre la base de las cláusulas contractuales tipo de la UE y de la certificación de Google conforme al EU-U.S. Data Privacy Framework.

Base jurídica: El consentimiento del usuario conforme al art. 6, apdo. 1, letra a) del RGPD. El usuario puede revocarlo en cualquier momento en el banner de cookies.

Más información: Política de privacidad de Google

Nuestras apps utilizan Firebase, una plataforma de Google, para los siguientes fines:

• Storage: Suministro de contenidos multimedia (p. ej., imágenes), base jurídica: art. 6, apdo. 1, letra f) del RGPD (interés legítimo en una entrega eficiente)
• Crashlytics: Identificación y corrección de fallos de la app (datos puramente técnicos), base jurídica: art. 6, apdo. 1, letra f) del RGPD (interés legítimo en la estabilidad)
• Analytics: Recopilación estadística del uso de la app, base jurídica: consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD)

El tratamiento de datos se realiza en servidores de Google, que también pueden estar ubicados en EE. UU. Se aplican las mismas medidas de seguridad que en Google Analytics (cláusulas contractuales tipo de la UE, Data Privacy Framework). Google Ireland Limited actúa, por regla general, como encargado del tratamiento en relación con los servicios de Firebase.

Utilizamos Contentsquare, un servicio de Content Square SAS (7 rue de Madrid, 75008 Paris, Francia), en nuestro sitio web y en nuestra aplicación web (web.gumb.app). Con él vemos dónde se atasca el manejo y podemos resolver más rápido las solicitudes de soporte. Contentsquare se carga a través de Google Tag Manager y solo se inicia cuando el usuario ha dado su consentimiento en el banner de cookies.

Contentsquare registra cómo utiliza el usuario nuestras páginas, p. ej., clics, comportamiento de desplazamiento y páginas visitadas, así como datos del dispositivo y del navegador. En nuestro sitio web, los textos y las imágenes son visibles en las grabaciones. En la aplicación web, todos los contenidos se enmascaran.

Tras iniciar sesión, el ID de usuario de Gumb puede vincularse a la grabación junto con datos de la suscripción (p. ej., plan e intervalo de facturación). Así, nuestro soporte puede asignar una grabación a la cuenta correcta.

Contentsquare almacena los datos durante un mes y después los suprime automáticamente. Hasta el 1 de noviembre de 2026 utilizamos Hotjar para ello. Las grabaciones existentes de Hotjar se suprimen como máximo a los 365 días.

En la medida en que se transfieran datos a EE. UU., Content Square, Inc. está certificada conforme al EU-U.S. Data Privacy Framework. Además, se aplican las cláusulas contractuales tipo de la UE.

La base jurídica es el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD). El usuario puede revocarlo en cualquier momento en el banner de cookies.

Más información: Política de privacidad de Contentsquare

Para la supervisión técnica de errores utilizamos Sentry.io (Functional Software, Inc., EE. UU.). Sentry trata exclusivamente datos técnicos (p. ej., mensajes de error, tipo de dispositivo, versión del sistema operativo) y no almacena datos personales en claro. La base jurídica es el art. 6, apdo. 1, letra f) del RGPD (interés legítimo en la corrección de errores y la estabilidad).
Más información: Política de privacidad de Sentry

Utilizamos Google Tag Manager de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda). Con él gestionamos y cargamos los servicios de análisis y de marketing de nuestro sitio web, p. ej., Google Analytics, Google Ads, el píxel de Meta y Contentsquare. Tag Manager en sí no instala cookies ni evalúa datos. Los servicios cargados a través de él solo se inician cuando el usuario ha dado su consentimiento en el banner de cookies (véase el punto 10.3). La base jurídica es el art. 6, apdo. 1, letra f) del RGPD (interés legítimo en una gestión eficiente de estos servicios).

Para una parte de la medición utilizamos además el etiquetado del lado del servidor a través de stape.io (Stape, Inc., 901 N Market St., Suite 100, Wilmington, DE 19801, EE. UU.). En este caso, determinados eventos (p. ej., registro, inicio del periodo de prueba, compra, acceso a la página de precios) llegan primero a un servidor de nuestro subdominio dessit.gumb.app. Este reenvía solo los datos necesarios a Google Analytics y a Meta (véanse los puntos 11.1 y 12.2). Se tratan datos de eventos, información del dispositivo y del navegador y la dirección IP. Stape actúa como nuestro encargado del tratamiento. La base jurídica es el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD), que puede revocar en cualquier momento en el banner de cookies.

Stape está certificada conforme al EU-U.S. Data Privacy Framework. Para las transferencias a EE. UU. se aplican además las cláusulas contractuales tipo de la UE.

Más información: Política de privacidad de Google, Política de privacidad de Stape

Utilizamos Google Ads para dar a conocer nuestros servicios. Para ello empleamos:

• Seguimiento de conversiones: Cuando el usuario hace clic en un anuncio de Google, se instala una cookie que nos informa (a nosotros y a Google) de si ha realizado una determinada acción (p. ej., un registro).
• Listas de remarketing: A los visitantes de nuestro sitio se les puede dirigir más adelante publicidad personalizada en otros sitios web de la red publicitaria de Google.

Respecto de la recogida de datos y de su transmisión a Google existe corresponsabilidad del tratamiento conforme al art. 26 del RGPD. El tratamiento posterior de los datos por parte de Google se realiza bajo su propia responsabilidad. Puede encontrarse más información en las condiciones de protección de datos de Google.

Estas funciones solo se activan con el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).
Más información: Política de privacidad de Google Ads

Utilizamos el píxel de Meta Platforms Ireland Ltd. (Facebook, Instagram). El píxel nos permite medir la eficacia de nuestros anuncios y mostrar a los visitantes de nuestro sitio publicidad basada en intereses en Facebook e Instagram. Si el usuario ha dado su consentimiento, utilizamos también la concordancia avanzada (transmisión de direcciones de correo electrónico en forma de hash para mejorar la creación de públicos objetivo). La base jurídica es el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).

Respecto de la recogida de datos de eventos y de su transmisión a Meta Platforms existe corresponsabilidad del tratamiento conforme al art. 26 del RGPD. El tratamiento posterior de los datos por parte de Meta se realiza bajo su propia responsabilidad. El acuerdo de corresponsabilidad («Controller Addendum») puede consultarse en la información de protección de datos de Meta.

Más información: Política de privacidad de Facebook

Utilizamos el LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company) para analizar las conversiones y el alcance de nuestras campañas en LinkedIn. LinkedIn recibe información sobre la interacción del usuario con nuestro sitio web, que puede vincularse a su cuenta de LinkedIn si ha iniciado sesión en ella. La base jurídica es el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).

Respecto de la recogida de datos y de su transmisión a LinkedIn existe corresponsabilidad del tratamiento conforme al art. 26 del RGPD. El tratamiento posterior por parte de LinkedIn se realiza bajo su propia responsabilidad.

Más información: Política de privacidad de LinkedIn

En nuestro sitio web incorporamos vídeos de YouTube. Para ello utilizamos el modo de privacidad mejorada. Este garantiza que YouTube no establezca una conexión con sus servidores hasta que el usuario inicie el vídeo activamente con un clic. Solo entonces se transmiten datos (p. ej., la dirección IP del usuario) a YouTube. Si el usuario ha iniciado sesión al mismo tiempo en su cuenta de YouTube, YouTube puede asociar el comportamiento de navegación a su perfil; el usuario puede evitarlo cerrando la sesión antes de hacer clic. La base jurídica es el consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).

Más información: Política de privacidad de Google

En el marco del uso de herramientas de análisis y de marketing (p. ej., Google Analytics, píxel de Meta) pueden elaborarse perfiles de uso seudónimos. Estos sirven para analizar el comportamiento del usuario y para mostrar publicidad personalizada. No se produce ninguna toma de decisiones automatizada en el sentido del art. 22 del RGPD que produzca efectos jurídicos o afecte al usuario de modo similar. La elaboración de perfiles se realiza únicamente con el consentimiento del usuario y puede revocarse en cualquier momento. Los riesgos incluyen una posible asignación a su perfil por parte de terceros, lo que minimizamos mediante la anonimización.

Alojamos nuestros sistemas en Amazon Web Services (AWS), un servicio de Amazon Web Services, Inc., EE. UU.

Servicios utilizados:

• S3: Almacenamiento en la nube para un almacenamiento de datos seguro y escalable
• Amazon Pinpoint: Comunicación con los usuarios por correo electrónico, SMS o notificaciones push
• Cognito: Gestión de identidades y autenticación
• SES (Simple Email Service): Envío de correos electrónicos transaccionales

Región de tratamiento de datos: Los datos del usuario se tratan principalmente en la UE (región de Fráncfort). No obstante, no pueden excluirse por completo accesos de mantenimiento desde EE. UU. Estos se realizan sobre la base de las cláusulas contractuales tipo de la UE y del EU-U.S. Data Privacy Framework. AWS está certificada conforme al Data Privacy Framework. La base jurídica del alojamiento es el art. 6, apdo. 1, letra f) del RGPD (interés legítimo en una infraestructura informática segura y eficiente).

No puede excluirse que las autoridades estadounidenses accedan a datos personales en casos concretos. A pesar de las medidas de protección contractuales y técnicas, en EE. UU. no puede garantizarse un nivel de protección de datos plenamente equivalente al de la UE.

Más información: Política de privacidad de AWS

Destinatarios de los datos personales
Los destinatarios de los datos del usuario pueden ser, en particular:

• Proveedores de servicios informáticos y de alojamiento
• Proveedores de servicios de análisis y de marketing
• Proveedores de servicios de pago
• Proveedores de servicios de soporte
• Autoridades, cuando así lo exija la ley

Cuando los datos se transfieran a terceros países fuera de la UE/del EEE, esto se hará únicamente sobre la base de garantías adecuadas conforme a los arts. 44 y ss. del RGPD, en particular cláusulas contractuales tipo o decisiones de adecuación.

La transferencia de datos personales a terceros países fuera de la UE/del EEE, como p. ej. EE. UU., se realiza exclusivamente sobre la base de garantías adecuadas conforme a los arts. 44 y ss. del RGPD, en particular cláusulas contractuales tipo de la UE (SCC), decisiones de adecuación o el EU-U.S. Data Privacy Framework (DPF). A pesar de estas medidas, en EE. UU. no puede garantizarse un nivel de protección de datos plenamente equivalente al de la UE, ya que las autoridades estadounidenses podrían tener acceso a los datos en casos concretos (p. ej., en virtud de la legislación estadounidense, como la CLOUD Act). Realizamos con regularidad evaluaciones de impacto de las transferencias (Transfer Impact Assessments, TIA) para minimizar los riesgos. Los usuarios pueden solicitar más detalles sobre las medidas de protección adoptadas en privacy@gumb.app.

Las candidaturas enviadas directamente por correo electrónico a careers@gumb.app se tramitan a través de Zendesk y se tratan como solicitudes de soporte. Nos reservamos el derecho de conservar la documentación de candidatura para futuros puestos adecuados. Si el usuario desea su supresión, puede comunicárnoslo en cualquier momento por correo electrónico a privacy@gumb.app y suprimiremos los datos de inmediato.

El usuario puede postularse a través de nuestro portal de candidaturas y de la plataforma Wellfound. Tratamos sus datos personales (datos de identificación, currículum, certificados, carta de presentación) exclusivamente para decidir sobre una relación laboral. La base jurídica es el art. 6, apdo. 1, letra b) del RGPD (aplicación de medidas precontractuales) en relación con el § 26 BDSG.

Si el usuario desea ser incluido en nuestra bolsa de candidatos, recabamos su consentimiento expreso (art. 6, apdo. 1, letra a) del RGPD). Los datos se conservan entonces mientras exista el consentimiento o concurra un interés legítimo. El usuario puede revocar su consentimiento en cualquier momento; ante una solicitud expresa de supresión, suprimimos los datos de inmediato.

Wellfound puede transferir datos a EE. UU.; la base son las cláusulas contractuales tipo de la UE. Más información: Política de privacidad de Wellfound

El usuario también puede postularse a través de la plataforma Indeed (Indeed Inc., EE. UU.). Tratamos sus datos personales (datos de identificación, currículum, certificados, carta de presentación) exclusivamente para decidir sobre una relación laboral. La base jurídica es el art. 6, apdo. 1, letra b) del RGPD (aplicación de medidas precontractuales) en relación con el § 26 BDSG. Indeed puede transferir datos a EE. UU.; la base son las cláusulas contractuales tipo de la UE y la certificación conforme al EU-U.S. Data Privacy Framework. Más información: Política de privacidad de Indeed.

El tratamiento de datos se realiza para llevar a cabo el sorteo conforme al art. 6, apdo. 1, letra b) del RGPD. Si se produce un uso adicional (p. ej., marketing), este se realiza exclusivamente sobre la base del consentimiento del usuario (art. 6, apdo. 1, letra a) del RGPD).

Adoptamos amplias medidas de seguridad técnicas y organizativas para proteger los datos del usuario frente a manipulaciones accidentales o intencionadas, pérdida, destrucción o acceso de personas no autorizadas (art. 32 del RGPD). Entre ellas se incluyen:

• Cifrado SSL/TLS para la transmisión de datos
• Controles de acceso y conceptos de autorización
• Revisión periódica de nuestros procedimientos de seguridad

Nuestro personal recibe formación periódica sobre el tratamiento de datos personales.

Conservamos los datos personales solo durante el tiempo que sea necesario para los fines correspondientes o mientras existan obligaciones legales de conservación (p. ej., 10 años para los datos de derecho tributario conforme al HGB/AO). Ejemplos:

• Datos de soporte (p. ej., tickets de Zendesk, incluidas las candidaturas recibidas en careers@gumb.app): hasta la solicitud de supresión o hasta el fin de la obligación legal de conservación, por regla general hasta 24 meses.
• Datos de análisis (p. ej., GA4): 14 meses.
• Grabaciones de Contentsquare: 1 mes.

Adaptamos de vez en cuando esta política de privacidad a la evolución técnica, a nuevas funciones o a cambios legales, p. ej., a raíz de reformas de la UE como las adaptaciones de la BDSG de 2026 para simplificar las obligaciones relativas al delegado de protección de datos o actualizaciones relativas al EU-U.S. Data Privacy Framework. La fecha de la última modificación figura al comienzo de este documento. Recomendamos al usuario que vuelva a leer nuestra política de privacidad a intervalos regulares. En caso de cambios sustanciales, informamos al usuario por correo electrónico o mediante una notificación en la app.

Para cualquier pregunta sobre protección de datos, puede dirigirse a:
Gumb AG - a la atención de Protección de datos
Büsingerstrasse 5, CH-8203 Schaffhausen
E-mail: privacy@gumb.app

Fecha de entrada en vigor: 20 de septiembre de 2020

Última actualización: 10 de noviembre de 2026