Política de Privacidad

Última actualización: 20 de septiembre de 2026

En Crezfy nos comprometemos a proteger tu privacidad y tus datos personales conforme al Reglamento General de Protección de Datos (RGPD) (UE) 2016/679 y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

Responsable: Jesús González Ramírez
NIF/CIF: 77369919N
Domicilio: Calle Antonio Romero Maroto, 3, escalera 2, 4ª A, 23009 Jaén
Correo electrónico: contacto@crezfy.com
Delegado de Protección de Datos (DPO): dpo@crezfy.com

2. Datos personales que recogemos

Recogemos y tratamos los siguientes datos personales:

Datos de registro: nombre, dirección de correo electrónico y contraseña (almacenada de forma cifrada con bcrypt).
Datos financieros voluntarios: información financiera que el usuario introduce voluntariamente para utilizar las herramientas de simulación y planificación (ingresos, gastos, ahorros, objetivos, inversiones, deudas). Estos datos se proporcionan exclusivamente por decisión del usuario.
Fecha de nacimiento (opcional): si decides indicarla en tu perfil, se utiliza únicamente para calcular tu edad en las proyecciones a largo plazo (por ejemplo, la calculadora de jubilación). Es un campo opcional: puedes dejarlo vacío o borrarlo en cualquier momento y la plataforma sigue funcionando con normalidad.
Consentimiento de comunicaciones: si marcas la casilla de novedades y ofertas (en el registro o en Ajustes), guardamos que lo has hecho, cuándo, y la dirección IP y el navegador desde los que lo hiciste, como prueba del consentimiento. Lo mismo cuando lo retiras.
Datos de pago (suscripción Premium): los datos de tarjeta son tratados directamente por Stripe (encargado de tratamiento certificado PCI-DSS Nivel 1). Crezfy no almacena datos de tarjeta; únicamente identificadores anónimos del cliente y el estado de la suscripción.
Datos de uso técnicos: dirección IP, agente de usuario y logs de errores, recogidos por motivos de seguridad (rate-limiting, prevención de abuso) y diagnóstico.
Datos de comunicaciones: contenido de los mensajes que envíes a través del formulario de contacto.
Lista de espera: si te apuntas a la lista de espera, guardamos tu dirección de correo electrónico y, si lo indicas, tu nombre, junto con la fecha de alta. Se usan únicamente para avisarte cuando podamos darte acceso. Puedes pedir la baja escribiéndonos y borraremos el registro.
Invitaciones: cuando una persona usuaria invita a otra, guardamos la dirección de correo de destino, quién la invitó y la fecha, para poder validar el acceso y evitar invitaciones duplicadas. El enlace de invitación se almacena cifrado (solo su hash), nunca en claro.
Enlaces de afiliación: en algunas pantallas del plan gratuito (simulador, educación, libertad financiera, inversiones, cuentas e inmuebles) mostramos un bloque señalado enlace patrocinado hacia una entidad ajena a Crezfy. Registramos que ese bloque se ha visto y si se ha pulsado, junto con la ruta de la página y la fecha. Este registro es anónimo: no guardamos tu identificador de usuario, ni tu dirección IP, ni ningún dato que permita relacionarlo contigo. Sirve únicamente para saber, en conjunto, si esos bloques le interesan a alguien.

3. Finalidad del tratamiento

Los datos recogidos se utilizan exclusivamente para las siguientes finalidades:

Gestión del registro y autenticación de usuarios.
Prestación del servicio de planificación financiera educativa, simulaciones y calculadoras.
Almacenamiento de las configuraciones y preferencias del usuario.
Comunicaciones relacionadas con el servicio (verificación de email, restablecimiento de contraseña, informes mensuales si has optado).
Solo si lo has consentido, envío por email de novedades, mejoras y ofertas de Crezfy. Estos correos pueden incluir enlaces de afiliación a productos de terceros por los que Crezfy recibe una comisión; cuando sea así, el propio correo lo indica. Se envían a través de Resend, que gestiona también la lista y las bajas.
Procesamiento de pagos de la suscripción Premium (cuando proceda).
Atención de consultas recibidas a través del formulario de contacto.
Detección y prevención de abuso (rate-limiting, verificación anti-bot opcional con Cloudflare Turnstile).
Medición agregada y anónima del rendimiento de los enlaces de afiliación (cuántas veces se ven y cuántas se pulsan).

No elaboramos perfiles con tus datos financieros ni tomamos decisiones automatizadas con efectos jurídicos sobre ti, y no cedemos tus datos a terceros con fines comerciales. Las comunicaciones de novedades y ofertas son las mismas para todos los que las han pedido: no se seleccionan a partir de tu situación financiera, tus movimientos ni tu comportamiento en la aplicación. Puedes darte de baja en cualquier momento desde el enlace que lleva cada correo o desde Ajustes, y dejarás de recibirlas de inmediato. Lo mismo vale para los enlaces patrocinados que aparecen en el plan gratuito: son siempre los mismos para todo el mundo y su medición es anónima. Si contratas con la entidad enlazada, Crezfy puede recibir una comisión, que se te indica en el propio bloque o correo y no altera lo que pagas. El plan Premium no muestra estos enlaces en la aplicación.

4. Base legal del tratamiento

Consentimiento (art. 6.1.a RGPD y art. 21 LSSI) — para el registro, el alta en la lista de espera, el envío de comunicaciones de novedades y ofertas (siempre con casilla sin premarcar y baja en cada correo) y la introducción voluntaria de datos financieros.
Ejecución de un contrato (art. 6.1.b RGPD) — para la prestación del servicio Premium tras la suscripción.
Interés legítimo (art. 6.1.f RGPD) — para la seguridad del servicio (rate-limiting, captura de errores) y la atención de consultas iniciadas por el usuario.
Cumplimiento de obligaciones legales (art. 6.1.c RGPD) — para la conservación de registros contables y atención a requerimientos de autoridades competentes.

Puedes retirar tu consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo a su retirada.

5. Destinatarios de los datos (encargados del tratamiento)

Tus datos personales no se venden a terceros. Únicamente acceden a ellos los siguientes proveedores de infraestructura, necesarios para la prestación del servicio. Todos están vinculados por contratos de encargo del tratamiento conforme al artículo 28 del RGPD:

Hetzner Online GmbH — Alojamiento del servidor (VPS) y red de aplicación. Ubicación: Alemania (UE).
Cloudflare, Inc. — Red de distribución de contenido (CDN), DNS y almacenamiento de copias de seguridad cifradas (R2). Ubicación: Estados Unidos / red global. Cláusulas Contractuales Tipo (SCC) y Marco de Privacidad de Datos UE-EE.UU.
Resend, Inc. — Envío de correos transaccionales (verificación de email, restablecimiento de contraseña, informes mensuales, contacto, lista de espera e invitaciones) y, solo con tu consentimiento, de comunicaciones de novedades y ofertas, incluida la gestión de la lista de contactos y de las bajas. Ubicación: Estados Unidos. Cláusulas Contractuales Tipo (SCC) y Marco de Privacidad de Datos UE-EE.UU.
Functional Software, Inc. (Sentry) — Captura de errores de la aplicación para diagnóstico y mejora del servicio. Ubicación: Estados Unidos. Cláusulas Contractuales Tipo (SCC) y Marco de Privacidad de Datos UE-EE.UU.
OpenAI, LLC — Procesamiento de las consultas dirigidas al asistente conversacional. Los prompts y respuestas no se utilizan para entrenar modelos (opt-out activado). Ubicación: Estados Unidos. Cláusulas Contractuales Tipo (SCC) y Marco de Privacidad de Datos UE-EE.UU.
Stripe Payments Europe, Ltd. — Procesamiento de pagos de la suscripción Premium. Los datos de tarjeta no son almacenados en nuestros sistemas (PCI-DSS). Ubicación: Irlanda (UE) / Estados Unidos para procesamiento internacional. Cláusulas Contractuales Tipo (SCC) cuando aplica.

Las transferencias internacionales se realizan con las garantías adecuadas previstas en el Capítulo V del RGPD (Cláusulas Contractuales Tipo y, cuando aplica, Marco de Privacidad de Datos UE-EE.UU.).

Integraciones que tú conectas. Si decides conectar una aplicación de terceros (por ejemplo, un asistente de IA como Claude vía nuestra API o el servidor MCP, mediante una clave de API o autorización OAuth), tú diriges el envío de tus datos a ese servicio. El tratamiento que dicho tercero haga de esos datos se rige por sus propias condiciones y política de privacidad, no por la nuestra. Puedes revocar el acceso en cualquier momento desde Ajustes → API keys o revocando la conexión.

6. Plazos de conservación

Cuenta activa: mientras mantengas tu cuenta en la plataforma.
Inactividad: si tu cuenta permanece inactiva durante un periodo de 5 años, procederemos a la eliminación o anonimización automática.
Solicitud de borrado: 30 días máximo desde la solicitud para la eliminación de datos no sujetos a obligaciones legales de conservación.
Datos contables y de facturación: 6 años (Código de Comercio art. 30) y 4 años (Ley General Tributaria) según corresponda.
Mensajes del formulario de contacto: 24 meses desde la respuesta para poder atender posibles reaperturas; despues se eliminan o anonimizan.
Lista de espera: hasta que te demos acceso o nos pidas la baja. Si borras tu cuenta, la entrada asociada a tu correo se elimina también.
Invitaciones: se conservan mientras exista la cuenta de quien invita, como registro de por dónde entró cada persona. Las invitaciones caducan a los 14 días.
Eventos de enlaces de afiliación: 24 meses desde el evento; después se eliminan automáticamente. Al ser anónimos no están asociados a ninguna cuenta, por lo que no se ven afectados por el borrado de tu perfil.
Copias de seguridad: hasta 90 días en almacenamiento remoto cifrado.

7. Derechos del interesado

De acuerdo con el RGPD y la LOPDGDD, puedes ejercer los siguientes derechos en relación con tus datos personales:

Acceso — obtener confirmación de si se tratan tus datos y acceder a los mismos.
Rectificación — solicitar la corrección de datos inexactos o incompletos.
Supresión — solicitar la eliminación de tus datos cuando ya no sean necesarios para la finalidad para la que fueron recogidos.
Portabilidad — recibir tus datos en un formato estructurado, de uso común y lectura mecánica.
Oposición — oponerte al tratamiento de tus datos en determinadas circunstancias.
Limitación del tratamiento — solicitar la limitación del tratamiento en los supuestos previstos en el artículo 18 del RGPD.
Retirar el consentimiento — en cualquier momento, sin efectos retroactivos. Para las comunicaciones de novedades y ofertas no hace falta escribirnos: basta el enlace de baja de cualquier correo o el interruptor de Ajustes → Privacidad.

Para ejercer cualquiera de estos derechos, puedes contactarnos en dpo@crezfy.com o a través del formulario de contacto. Responderemos a tu solicitud en un plazo máximo de 30 días.

Si consideras que tus derechos no han sido debidamente atendidos, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es.

8. Seguridad de los datos

Implementamos medidas técnicas y organizativas adecuadas para proteger tus datos personales contra el acceso no autorizado, la alteración, la divulgación o la destrucción. Entre ellas:

Cifrado de contraseñas mediante bcrypt (factor de coste 12).
Comunicaciones cifradas mediante HTTPS/TLS en todo el sitio.
Cabeceras de seguridad estrictas: Content Security Policy (CSP) en modo enforce, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
Acceso a la base de datos restringido a la red interna del servidor.
Copias de seguridad automáticas diarias con replica remota cifrada en proveedor distinto al de hosting.
Captura de errores con datos personales depurados mediante beforeSend.
Verificación de email obligatoria para acceso a funciones sensibles.
Verificación en dos pasos (2FA) opcional disponible en los ajustes de la cuenta.

9. Modificaciones de esta política

Nos reservamos el derecho de actualizar esta política de privacidad para adaptarla a novedades legislativas o cambios en el servicio. En caso de cambios significativos, te notificaremos a través de la plataforma con antelación razonable. Te recomendamos revisar esta página periódicamente.