Política de Privacidad

1. Responsable del tratamiento

Ninja Pay LLC (en adelante, "Ninja QR" o "nosotros"), sociedad constituida en Delaware (Estados Unidos), con domicilio registrado en el Estado de Delaware y correo de contacto legal@ninjaqrglobal.com.

2. Qué datos recogemos

Recogemos únicamente los datos estrictamente necesarios para prestar el servicio:

• Email cuando solicitas acceso o te suscribes.
• Nombre del negocio e IBAN cuando generas códigos QR — estos datos permanecen en tu propio navegador (localStorage) y nunca se envían a nuestros servidores en la fase beta.
• Datos de facturación gestionados exclusivamente por Stripe (nuestro procesador de pagos). Nosotros nunca almacenamos números de tarjeta.
• Logs técnicos: dirección IP, user-agent y timestamp de las peticiones, conservados 30 días para prevención de abuso y debug.

3. Qué NO recogemos

• No tenemos acceso a tus cuentas bancarias ni a credenciales.
• No almacenamos información de pagos recibidos — las transferencias SEPA Instant van directamente al IBAN del comercio sin pasar por nosotros.
• No utilizamos cookies de seguimiento ni analytics de terceros.
• No vendemos ni compartimos tus datos con anunciantes.

4. Base jurídica (RGPD)

• Ejecución de contrato: tratamos tu email y datos de facturación para prestarte el servicio contratado.
• Interés legítimo: logs técnicos para seguridad y debug.
• Consentimiento: cuando aceptas la lista de espera o suscripción.

5. Encargados y transferencias internacionales

Nuestros encargados del tratamiento son:

• Contabo GmbH (Alemania) — alojamiento del servicio, servidores en la UE.
• Stripe Inc. (EE.UU.) — procesamiento de pagos y facturación. Transferencia internacional cubierta por cláusulas contractuales tipo de la Comisión Europea.
• Let's Encrypt / ISRG (EE.UU.) — certificados TLS automatizados.

6. Tus derechos

Como titular de los datos, puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a privacidad@ninjaqrglobal.com. También tienes derecho a presentar una reclamación ante la AEPD (aepd.es) u otra autoridad de control competente.

7. Retención

Conservamos tus datos de cuenta mientras exista la relación contractual y hasta 24 meses después de su finalización por obligaciones fiscales. Logs técnicos: 30 días. Lista de espera: hasta que la elimines por solicitud expresa.

8. Medidas de seguridad

Aplicamos cifrado TLS 1.3, HSTS preload, CSP estricta, OAuth 2.0 para integraciones bancarias, control de acceso por hash SHA-256, firewall UFW, fail2ban y auditorías periódicas de red-team. Nunca almacenamos credenciales bancarias.

9. Cambios en esta política

Nos reservamos el derecho de modificar esta política. Las modificaciones sustanciales se notificarán por email con al menos 15 días de antelación.