Política de privacidad

Versión: 2026-10-16

1. Quiénes somos y quién es responsable

You Shouldn’t Have es operada por AI Eh By Solutions, una empresa canadiense («nosotros»). Esta política cubre la aplicación web app.youshouldnthave.ca, el sitio youshouldnthave.ca y los correos y notificaciones que enviamos. Somos responsables de la información personal que tenemos y cumplimos la Ley de Protección de la Información Personal y los Documentos Electrónicos de Canadá (PIPEDA) y, para las personas en Quebec, la Ley sobre la protección de la información personal en el sector privado de Quebec. Nuestro responsable de privacidad es la persona a cargo de la protección de la información personal y atiende preguntas, solicitudes y quejas: contact@youshouldnthave.ca.

2. Qué recopilamos y para qué

Cuenta: su nombre, correo electrónico, el identificador que nos da su proveedor de inicio de sesión (Google, o Apple donde esté disponible), su idioma, zona horaria y tema de pantalla. Si inicia sesión con correo y contraseña, la contraseña la gestiona Google Identity Platform; nunca la vemos ni la guardamos en forma legible. Usamos estos datos para iniciar su sesión y escribirle en su idioma a horas razonables.
Ubicación para estimar entregas: su país y, si lo indica, su código postal. Nada más. Los usamos solo para estimar plazos de entrega y mostrar tiendas que envían a su zona. Nunca pedimos su dirección ni usamos la ubicación de su dispositivo.
Eventos: lo que ingresan los organizadores: título, descripción, fecha, hora, zona horaria, lugar, presupuesto, reglas del sorteo (hogares y parejas que no deben tocarse entre sí), una dirección de envío para una lista de regalos si el organizador la agrega, y los nombres, correos y (opcionalmente) teléfonos y hogares de las personas invitadas. Si alguien le invitó, recibimos de esa persona su nombre y correo. Por ahora no enviamos mensajes de texto ni hacemos llamadas.
Ideas y listas de regalos: sus intereses, notas (por ejemplo tallas) y los enlaces que agrega; los artículos de las listas, quién los reservó o compró y el estado de los regalos.
Mensajes: preguntas y respuestas anónimas en los hilos del Amigo secreto.
Asignaciones del Amigo secreto: quién regala a quién, guardado cifrado (sección 4).
Notificaciones: si activa las notificaciones push, la dirección push y las claves de su navegador; sus preferencias de notificación y horas de silencio; y un registro de su consentimiento para las notificaciones push (el texto que vio, fecha y hora, dirección IP y navegador).
Calendario: si crea un feed de calendario, un token de enlace secreto guardado solo como hash; si conecta Google Calendar, un token de actualización de Google cifrado y, para cada evento que agregamos a su Google Calendar, el identificador que Google le da a ese evento (sección 8).
Registros de envío: para cada correo y notificación push, la dirección o cuenta de destino, el tipo de mensaje, el idioma, la hora y si se entregó. Nunca el contenido de un correo; de las notificaciones push, solo el título.
Formularios del sitio: lo que envía en los formularios de contacto, soporte o eliminación de cuenta (nombre, correo, mensaje). Nos llega por correo electrónico y no se guarda en la aplicación.
Datos técnicos: nuestro alojamiento guarda registros de solicitudes (dirección IP, navegador, hora, página y errores) por seguridad y para resolver problemas. La aplicación usa una cookie para mantener su sesión, y su navegador guarda ajustes como el idioma y el tema. No usamos cookies publicitarias ni analíticas ni rastreadores de terceros.

Usamos esta información solo para hacer funcionar la aplicación y sus eventos: enviar invitaciones, hacer el sorteo, entregar mensajes anónimos, mostrar listas de deseos y de regalos, consultar enlaces, estimar entregas, enviar los recordatorios descritos en la aplicación, mantener el servicio seguro y cumplir la ley. No vendemos información personal, no la usamos para publicidad ni creamos perfiles publicitarios. El sorteo es aleatorio y la aplicación no toma decisiones automatizadas con efectos legales o de importancia similar.

3. Consentimiento y privacidad por defecto

Al crear una cuenta o unirse a un evento, usted acepta este uso. Los organizadores confirman que tienen permiso para agregar a las personas que invitan. Las funciones opcionales empiezan desactivadas: las notificaciones push, el correo de resumen diario de la lista de regalos, el feed de calendario y Google Calendar siguen desactivados hasta que usted los active, y el código postal es opcional. Puede retirar su consentimiento en cualquier momento cambiando sus Ajustes, usando el enlace para darse de baja de un correo o eliminando su cuenta; sin ciertos datos (por ejemplo su correo) es posible que no pueda participar en los eventos.

4. Secreto del Amigo secreto

Las asignaciones se cifran con una clave guardada en Google Cloud Secret Manager, por lo que no se pueden leer ni siquiera mirando la base de datos. Cada persona ve solo a quién le regala; la persona que le regala ve su nombre, sus intereses y su lista de deseos. Los organizadores ven una tabla de estado (se unió, vio su asignación, lista de deseos lista, estado del regalo, preguntas sin responder, última entrega de correo) que nunca muestra las asignaciones. Un organizador puede revelar la asignación de una sola persona, solo con una herramienta de solución de problemas, tras dos confirmaciones, escribiendo el nombre de esa persona y dando un motivo por escrito; cada revelación queda registrada (quién la hizo, de quién, el motivo y la hora) y se muestra a todos los organizadores del evento. Los mensajes anónimos nunca muestran a quien recibe la identidad de quien regala, y las notificaciones nunca dicen quién es su asignación.

5. Listas de regalos

Los organizadores ven quién reservó o compró cada artículo; los demás invitados solo ven cuántos quedan disponibles. Una dirección de envío, si el organizador la agrega, solo la ven los organizadores y los invitados que se unieron. Cualquier persona con un enlace abierto a una lista ve el título, la fecha y la descripción del evento, el nombre de pila del organizador y los artículos, nunca quién los reservó.

6. Consulta de enlaces y estimaciones de entrega

Cuando usted o un organizador pegan un enlace, nuestros servidores consultan esa página web para leer el nombre, la imagen y el precio del producto. Las páginas de Amazon son la excepción: nunca las consultamos; para un enlace de Amazon tomamos el nombre del producto del propio enlace, no mostramos imagen ni precio, y la aplicación dice «Ver el precio en Amazon»; para comprobar el presupuesto, un precio de Amazon se considera desconocido. El comercio ve una solicitud de nuestros servidores, no de su dispositivo. El resultado (el enlace y los detalles del producto, no quién lo pegó) se reutiliza durante 24 horas y se elimina después de unos 7 días. Para las tiendas con las que no tenemos programa de afiliados, guardamos el nombre del sitio, un conteo, las fechas en que apareció por primera y última vez y un enlace de ejemplo, no quién lo pegó, para decidir a qué programas unirnos. Las estimaciones de entrega las calculamos nosotros a partir de tiempos habituales que fijamos para cada tienda y de su país y código postal; no se envía nada sobre usted a la tienda.

7. Enlaces de afiliado

Cuando participamos en el programa de afiliados de un comercio, los enlaces a ese comercio llevan nuestra etiqueta de afiliado y aparecen primero entre los lugares para comprar. No enviamos su información personal a los comercios. Al seguir un enlace a una tienda, sale de nuestra aplicación: el comercio (por ejemplo Amazon, que puede tratar datos en Estados Unidos) puede usar sus propias cookies y trata sus datos según su propia política de privacidad. No recibimos detalles de sus compras más allá de lo que sus programas de afiliados nos informan.

8. Calendarios y Google Calendar

Los enlaces «Agregar al calendario» abren Google Calendar, Outlook, Office 365 o Yahoo con el título, la fecha y el lugar del evento y un enlace a él; ese servicio los recibe cuando usted lo elige. El enlace de su feed de calendario muestra sus eventos y fechas límite a cualquier persona que lo tenga; puede cambiarlo o quitarlo en Ajustes.

Si elige conectar Google Calendar (cuando esté disponible), Google le pide que nos dé acceso con el alcance de Google Calendar «calendar.events». Usamos ese acceso solo para crear en su calendario principal de Google un evento por cada evento de You Shouldn’t Have que usted organiza o al que se unió, para actualizar ese mismo evento cuando el evento cambia (volver a conectar o volver a agregar el evento lo actualiza; nunca crea una copia), y para eliminarlo cuando el evento se elimina o usted lo deja. No leemos, cambiamos ni eliminamos ningún otro evento, y no usamos nada de su calendario para ningún otro fin. Guardamos el token de Google cifrado, con el identificador de cada evento de Google que creamos. Cuando se desconecta o elimina su cuenta, eliminamos de su Google Calendar los eventos que creamos (cuando Google todavía nos lo permite), revocamos nuestro acceso ante Google y eliminamos el token; también puede quitar nuestro acceso en cualquier momento en myaccount.google.com/permissions (los eventos que agregamos quedan entonces en su calendario hasta que usted los elimine). El uso y la transferencia a cualquier otra aplicación, por parte de You Shouldn’t Have, de la información recibida de las API de Google cumplirán la Política de Datos del Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use) (developers.google.com). No usamos los datos de usuarios de Google para publicidad, no los vendemos, no los usamos para entrenar modelos de IA y no permitimos que personas los lean, salvo con su consentimiento, por seguridad o cuando la ley lo exija.

9. Correos y notificaciones

Todos nuestros correos tratan de eventos que usted organiza, en los que participa o a los que fue invitado: invitaciones (enviadas a pedido de un organizador e indicando su nombre), avisos de asignación, preguntas y respuestas, recordatorios y, solo si lo activa, un resumen diario de la lista de regalos. No enviamos correos de marketing ni promocionales. Cada correo identifica a You Shouldn’t Have y a AI Eh By Solutions, con nuestra dirección postal y nuestra dirección de contacto (contact@youshouldnthave.ca), e incluye un enlace para darse de baja de ese tipo de correo, que funciona sin iniciar sesión y tiene efecto de inmediato. También puede elegir cada tipo de correo en Ajustes > Notificaciones. Las notificaciones push están desactivadas hasta que usted las active; usted elige cada tipo, y no se envía ninguna notificación push durante sus horas de silencio (de 22:00 a 07:00, salvo que las cambie).

10. Con quién la compartimos y dónde se guarda

Otros participantes, como se describe en las secciones 4 y 5.
Proveedores de servicios que tratan datos por cuenta nuestra:
- Google Cloud (servidores de la aplicación, base de datos, Secret Manager, tareas programadas y copias de seguridad), en la región northamerica-northeast1 (Montreal, Canadá); las páginas se entregan mediante Firebase Hosting, la red mundial de Google;
- Google Identity Platform (inicio de sesión, incluido el de correo y contraseña y el de Google), y Apple si usa Iniciar sesión con Apple donde esté disponible;
- Google Workspace, que envía nuestros correos desde noreply@youshouldnthave.ca;
- el servicio push de su navegador, si activa las notificaciones: Apple (Safari), Google (Chrome y la mayoría de navegadores Android), Mozilla (Firefox) o Microsoft (Edge). Recibe la dirección push de su navegador y la notificación, cifrada para que solo su navegador pueda leerla.
Motivos legales: cuando la ley lo exija, o en una venta o transferencia de nuestro negocio (se lo informaremos).

Nuestra base de datos y nuestras copias de seguridad están en Canadá. Algunos de los proveedores anteriores (inicio de sesión, correo, entrega de páginas, servicios push y las tiendas que visite) pueden tratar datos fuera de Quebec y de Canadá, incluso en Estados Unidos, donde los tribunales y las autoridades podrían acceder a ellos según las leyes locales.

11. Cuánto tiempo la conservamos

Datos de la cuenta (perfil, preferencias de notificación, suscripciones push, registros de consentimiento, conexión de calendario, listas de deseos y mensajes que escribió): hasta que elimine su cuenta (la conexión de calendario también termina cuando se desconecta). Las suscripciones push también se eliminan cuando el servicio push indica que ya no son válidas, o después de 60 días sin que su navegador las renueve.
Eventos (con sus participantes, listas de deseos, mensajes, artículos y reservas): hasta que un organizador elimine el evento, o hasta que su propietario elimine su cuenta sin que quede ningún coorganizador. Los eventos se cierran 30 días después de su fecha, pero no se eliminan automáticamente.
Registros de envío (sección 2): 13 meses después de enviado el correo o la notificación, o menos si elimina su cuenta.
Personas invitadas que nunca se unieron: 90 días después de la fecha del evento se eliminan su nombre, correo, teléfono, registros de envío y enlace de invitación.
Consultas de enlaces: unos 7 días (sección 6).
Registro de auditoría de organizadores (sorteos, cambios y revelaciones de solución de problemas): 2 años después de la fecha del evento, o 2 años después de que se elimine el evento si se elimina antes de su fecha.
Registros de seguridad de corta duración (contadores de intentos de inicio de sesión y otros, solicitudes de conexión con Google Calendar y confirmaciones de solución de problemas): 30 días como máximo; se eliminan de inmediato cuando elimina su cuenta.
Bajas y rebotes: una huella unidireccional de la dirección (no la dirección en sí) con el tipo de correo, para no volver a escribirle en contra de su voluntad.
Copias de seguridad: copias de la base de datos hechas antes de cada actualización de la aplicación, guardadas en Canadá: 35 días.
Registros del alojamiento: 30 días (el plazo predeterminado de nuestro proveedor de alojamiento, Google Cloud).
Mensajes de los formularios del sitio: en nuestro correo, el tiempo necesario para atender su solicitud.

12. Sus derechos

Acceso y exportación: Ajustes > Descargar mis datos le da una copia de sus datos en un formato estructurado y de uso común (JSON).
Corrección: edite su perfil en Ajustes; pida al organizador que corrija los detalles del evento que ingresó.
Eliminación: Ajustes > Eliminar cuenta, o la página de eliminación de cuenta en youshouldnthave.ca/es/delete-account, que explica exactamente qué se elimina y qué se conserva.
Otras solicitudes: escriba a contact@youshouldnthave.ca para pedir acceso, corrección, eliminación o información sobre cómo usamos sus datos, o para retirar su consentimiento. Respondemos en un plazo de 30 días.
Quejas: comuníquese primero con nuestro responsable de privacidad. También puede presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá (priv.gc.ca) o, en Quebec, ante la Commission d’accès à l’information du Québec (cai.gouv.qc.ca).

13. Seguridad e incidentes

Cifrado en tránsito (HTTPS) y en reposo, asignaciones selladas, tokens de calendario cifrados, acceso a la base de datos limitado a la cuenta de servicio de la aplicación, cookies de sesión HttpOnly y Secure, y registro de acciones sensibles. Ningún sistema es perfectamente seguro. Llevamos un registro de cada vulneración de la privacidad (incidente de confidencialidad). Cuando una vulneración represente un riesgo real de daño significativo (un riesgo de perjuicio grave según la ley de Quebec), avisaremos a las personas afectadas y a la Oficina del Comisionado de Privacidad de Canadá y, para las personas en Quebec, a la Commission d’accès à l’information, como lo exige la ley.

14. Menores

Las cuentas son para personas de 14 años o más (sección 2 de los Términos de uso). No recopilamos a sabiendas información de menores de 14 años sin el consentimiento de su madre, padre o tutor. Un organizador solo puede incluir a un menor de 14 años en un evento con el permiso de su madre, padre o tutor, usando el correo de esa persona adulta. Si cree que un menor de 14 años nos dio información sin ese consentimiento, contáctenos y la eliminaremos.

15. Idioma

Esta política está disponible en inglés, francés y español, y cada versión tiene el mismo efecto.

16. Cambios

Publicaremos los cambios aquí con una nueva fecha de versión y le avisaremos en la aplicación o por correo de los cambios importantes antes de que entren en vigor.