El responsable no está obligado a designar un Delegado de Protección de Datos (DPD/DPO) al no concurrir los supuestos del artículo 37 del RGPD. No obstante, puedes dirigir cualquier consulta sobre protección de datos a hola@lazzo.es.
Tratamos únicamente los datos necesarios para prestar el servicio. A continuación se detalla cada categoría:
| Categoría | Datos | Finalidad |
|---|---|---|
| Cuenta de acceso | Dirección de correo electrónico, nombre de perfil, foto de perfil (opcional, de Google) | Autenticación e identificación del usuario en la app |
| Datos del menor | Nombre, fecha de nacimiento, DNI/NIE, centro escolar, médico de cabecera, fotografía, sexo | Gestión del perfil del menor dentro de la unidad familiar |
| Salud del menor | Medicación activa, dosis, fechas de tratamiento, notas médicas | Seguimiento y coordinación del tratamiento médico entre tutores |
| Datos de crecimiento | Tallas, pesos, tallas de ropa y calzado | Registro del desarrollo físico del menor |
| Documentos | Archivos PDF e imágenes subidos por los tutores | Almacenamiento y consulta de documentación del menor |
| Comunicaciones | Mensajes entre tutores dentro de la app | Canal de comunicación privado entre los miembros de la familia |
| Calendario y turnos | Eventos, fechas de custodia, turnos asignados | Organización y coordinación de la convivencia y cuidado del menor |
| Gastos compartidos | Nombre del concepto, importe, archivos adjuntos de recibos | Gestión de gastos relacionados con el menor |
| Datos de suscripción | Identificador de cliente Stripe, estado de suscripción, fecha de caducidad del plan | Gestión del acceso al servicio de pago y facturación |
| Datos de uso y seguridad | Registro de operaciones sensibles (logs de actividad), tokens de App Check | Seguridad, integridad de datos, prevención de abuso y resolución de incidencias |
| Comunicaciones transaccionales | Dirección de correo electrónico | Envío de emails de bienvenida, código de invitación, confirmación de pago y avisos del servicio |
El tratamiento de tus datos se fundamenta en las siguientes bases legales previstas en el artículo 6 del RGPD:
De acuerdo con el artículo 8 del RGPD y el artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD), en España la edad de consentimiento digital es de 14 años. Al ser los tutores legales quienes gestionan los datos de sus hijos menores, es responsabilidad de dichos tutores garantizar que cuentan con la capacidad legal para introducir y gestionar esa información.
Los datos de salud del menor (medicación, datos médicos) constituyen una categoría especial de datos según el artículo 9 del RGPD. Su tratamiento está amparado por el consentimiento explícito del tutor legal, quien puede retirar dicho consentimiento en cualquier momento mediante solicitud a hola@lazzo.es.
Lazzo aplica medidas específicas de protección para estos datos: acceso restringido únicamente a los tutores autorizados de cada familia, aislamiento técnico entre familias mediante reglas de base de datos y, en ningún caso, acceso del administrador del servicio al contenido privado de cada unidad familiar.
No vendemos ni cedemos datos personales a terceros con fines comerciales o publicitarios. Los datos únicamente se comparten con los siguientes proveedores técnicos, en calidad de encargados del tratamiento, que actúan bajo nuestras instrucciones y están vinculados por las garantías exigidas por el RGPD:
| Proveedor | Servicio | Datos transferidos | Garantía |
|---|---|---|---|
| Google Firebase Google LLC / Google Ireland Ltd. |
Autenticación (Auth), base de datos (Firestore), almacenamiento de archivos (Storage), funciones de servidor (Cloud Functions), protección frente a bots (App Check / reCAPTCHA) | Todos los datos de la app excepto datos de pago | Data Processing Amendment (DPA) con Google Cloud. Cláusulas Contractuales Tipo de la UE. Certificaciones ISO 27001, SOC 2/3. |
| Stripe Stripe Payments Europe, Ltd. |
Procesamiento de pagos y gestión de suscripciones | Email del titular, identificador de familia, estado y fecha de suscripción | DPA con Stripe. Cláusulas Contractuales Tipo de la UE. Certificación PCI DSS nivel 1. Stripe no almacena datos de tarjeta en Lazzo. |
| SendGrid Twilio SendGrid (Twilio Inc.) |
Envío de emails transaccionales (bienvenida, invitaciones, confirmaciones de pago, avisos del servicio) | Dirección de correo electrónico y nombre del destinatario | DPA con Twilio. Cláusulas Contractuales Tipo de la UE. Certificación ISO 27001. |
| OpenAI OpenAI Ireland Ltd. / OpenAI, Inc. |
Procesamiento de texto mediante inteligencia artificial para la función «Mejorar con IA» en mensajes (solo usuarios Premium que activan la función voluntariamente) | Borradores de mensajes introducidos por el usuario en el momento de solicitar la mejora. No se transfieren datos identificativos del usuario ni datos de menores. | Data Processing Agreement (DPA) con OpenAI. Cláusulas Contractuales Tipo de la UE. OpenAI no almacena los mensajes ni los utiliza para entrenar sus modelos en virtud del DPA de API. |
Además de lo anterior, los datos pueden ser accedidos por los demás tutores autorizados de la misma unidad familiar, conforme a los permisos configurados en la aplicación y aceptados por ambas partes al unirse al lazzo.
Los datos familiares se almacenan en servidores de Google Firebase ubicados en la región europe-southwest1 (Madrid, España) y las funciones de servidor en europe-west1 (Bélgica), ambas dentro del Espacio Económico Europeo.
No obstante, los siguientes proveedores tienen sede en Estados Unidos y pueden implicar transferencias internacionales de datos, siempre amparadas por las garantías indicadas:
| Proveedor | País sede | Garantía de transferencia |
|---|---|---|
| Google LLC | Estados Unidos | Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea + Data Processing Amendment de Google Cloud. |
| Stripe, Inc. | Estados Unidos | Cláusulas Contractuales Tipo (CCT) + DPA de Stripe. Stripe Payments Europe Ltd. actúa como entidad principal en la UE. |
| Twilio Inc. (SendGrid) | Estados Unidos | Cláusulas Contractuales Tipo (CCT) + DPA de Twilio. Solo se transfieren direcciones de email para el envío de comunicaciones transaccionales. |
| OpenAI, Inc. | Estados Unidos | Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea + DPA de OpenAI API. OpenAI Ireland Ltd. actúa como entidad de referencia en la UE. Los datos transferidos son únicamente borradores de texto del mensaje en curso, sin identificadores personales. OpenAI no retiene ni entrena sobre estos datos según el DPA vigente. |
| Tipo de dato | Plazo de conservación |
|---|---|
| Datos de cuenta y acceso | Mientras la cuenta esté activa. Eliminados a los 30 días de la solicitud de baja o tras 2 años de inactividad. |
| Datos del menor y documentos | Mientras la cuenta esté activa. El tutor puede eliminarlos en cualquier momento desde la app. |
| Datos de salud del menor | Mientras el consentimiento esté vigente. Eliminados en un plazo máximo de 30 días tras la retirada del consentimiento o solicitud de borrado. |
| Mensajes entre tutores | Mientras la cuenta esté activa. El autor puede marcar sus propios mensajes como eliminados desde la app. |
| Logs de actividad y seguridad | 30 días desde su generación, por razones de seguridad e integridad del servicio. |
| Datos de suscripción y facturación | 5 años desde la última transacción, por obligaciones fiscales y mercantiles (Art. 30 C.Com. y Ley 58/2003 General Tributaria). |
| Tokens de App Check y rate limiting | Máximo 1 hora desde su generación. Son datos técnicos efímeros sin valor personal. |
Transcurridos los plazos indicados, los datos serán eliminados o anonimizados de forma irreversible.
En virtud del RGPD y la LOPDGDD, puedes ejercer los siguientes derechos respecto a tus datos personales:
Conocer qué datos tuyos tratamos y obtener una copia.
Corregir datos inexactos o incompletos.
Solicitar el borrado de tus datos («derecho al olvido»).
Suspender el tratamiento en determinadas circunstancias.
Recibir tus datos en formato estructurado y legible por máquina.
Oponerte al tratamiento basado en interés legítimo.
Retirar el consentimiento en cualquier momento sin efecto retroactivo.
No ser objeto de decisiones basadas únicamente en tratamiento automatizado (Art. 22 RGPD).
Presentar una reclamación ante la AEPD si consideras que tus derechos han sido vulnerados.
Puedes ejercer cualquiera de tus derechos enviándonos una solicitud por email a hola@lazzo.es con el asunto «Ejercicio de derechos RGPD», indicando el derecho que deseas ejercer, tu nombre completo y el email con el que estás registrado. Responderemos en un plazo máximo de 30 días.
También puedes usar el formulario a continuación:
Aplicamos medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, en cumplimiento del artículo 32 del RGPD:
En caso de producirse una brecha de seguridad que afecte a datos personales, Lazzo notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde que tenga conocimiento de ella, conforme al artículo 33 del RGPD. Si la brecha entraña un alto riesgo para tus derechos y libertades, serás notificado sin dilación indebida de acuerdo con el artículo 34 del RGPD.
Lazzo utiliza las siguientes tecnologías de almacenamiento local:
| Tecnología | Proveedor | Finalidad | Tipo |
|---|---|---|---|
| Cookies de sesión | Firebase Authentication (Google) | Mantener la sesión iniciada del usuario entre páginas | Técnica necesaria — exenta de consentimiento |
| localStorage | Lazzo (propio) | Preferencias de interfaz (filtros, última pestaña activa) | Técnica necesaria — exenta de consentimiento |
| Token de App Check | reCAPTCHA v3 (Google) | Verificar que la solicitud proviene de un cliente legítimo y prevenir el abuso automatizado | Seguridad — interés legítimo |
| Cache API (Service Worker) | Lazzo (propio) | Almacenamiento local de recursos de la app (HTML, CSS, JS, imágenes) para funcionamiento offline y carga rápida como aplicación instalada (PWA). No se cachean datos personales ni contenido de usuario. | Técnica necesaria — exenta de consentimiento |
No se utilizan cookies de rastreo, publicidad ni analítica. No existe seguimiento del comportamiento del usuario entre sesiones con fines comerciales ni perfilado publicitario.
El token de reCAPTCHA es un dato técnico efímero que Google utiliza para evaluar el riesgo de la sesión. Google puede tratar este dato de acuerdo con su propia Política de Privacidad.
Lazzo ofrece una funcionalidad opcional denominada «Mejorar con IA», disponible exclusivamente para usuarios con plan Premium, que permite mejorar el tono de los mensajes de comunicación coparental antes de enviarlos. Esta sección explica cómo se tratan los datos en el contexto de esta funcionalidad, de conformidad con el artículo 13 del RGPD.
| Aspecto | Detalle |
|---|---|
| Responsable del tratamiento | José Rubén Mariscal Sánchez (Lazzo), como responsable, y OpenAI Ireland Ltd. / OpenAI, Inc., como encargado del tratamiento (Art. 28 RGPD). |
| Dato tratado | Únicamente el texto del borrador del mensaje que el usuario introduce en el campo de redacción y decide mejorar activamente. No se envían nombres, identificadores de usuario, datos de menores ni ningún otro dato personal. |
| Finalidad | Reescribir el tono del mensaje en tres variantes (empático, directo y claro, conciliador) para facilitar una comunicación coparental más respetuosa. No existe ningún otro tratamiento adicional. |
| Base legal | Consentimiento del interesado (Art. 6.1.a RGPD), prestado de forma libre, específica, informada e inequívoca antes del primer uso de la función. |
| Almacenamiento por OpenAI | OpenAI no almacena los mensajes enviados a través de su API en virtud del DPA vigente. Los datos no se utilizan para entrenar modelos de inteligencia artificial. |
| Conservación | El texto del borrador se procesa en tiempo real y no se almacena en los servidores de Lazzo ni de OpenAI una vez generada la respuesta. Las versiones mejoradas tampoco se guardan salvo que el usuario las envíe como mensaje. |
| Transferencia internacional | El texto se transfiere a servidores de OpenAI ubicados en Estados Unidos, amparada en Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea y en el DPA de OpenAI API (ver sección 6). |
| Límite de uso | Máximo 20 usos por usuario por día para garantizar la calidad del servicio y el uso responsable. El contador es visible en la configuración del chat. |
| Retirada del consentimiento | El usuario puede retirar su consentimiento en cualquier momento. La retirada no afectará a los mensajes ya enviados. Una vez retirado, el texto de los borradores no volverá a enviarse a OpenAI. |
Las versiones mejoradas generadas por la IA son sugerencias orientativas. El usuario revisa y decide en todo momento qué texto envía. Lazzo no asume responsabilidad por el contenido de las sugerencias generadas por la IA ni por las decisiones que el usuario tome a partir de ellas.
Para ejercer el derecho de retirada del consentimiento o cualquier otro derecho RGPD en relación con esta función, contacta con nosotros en hola@lazzo.es con el asunto «Ejercicio de derechos RGPD — IA».
Podemos actualizar esta política de privacidad para reflejar cambios en el servicio, en la legislación aplicable o en nuestras prácticas de tratamiento de datos. Cuando realicemos cambios significativos, te lo notificaremos mediante un aviso visible en la aplicación y, si procede, por email, antes de que los cambios entren en vigor.
La fecha y versión de la última actualización están siempre indicadas en la cabecera de este documento. Te recomendamos revisarla periódicamente. El uso continuado de la aplicación tras la notificación de cambios implica la aceptación de la nueva versión.
Para cualquier consulta sobre esta política de privacidad o sobre el tratamiento de tus datos personales, puedes contactar con el responsable del tratamiento: