Política de privacidad
Última actualización: 9 de septiembre de 2026
Este sitio trata datos personales solo en la medida necesaria para funcionar, responder a consultas y briefs y - con consentimiento - medir el tráfico. No describo servicios que este sitio no usa (por ejemplo no hay base Supabase propia).
Responsable del tratamiento
El responsable es Piotr Kulbacki (autónomo / Einzelunternehmen, Berlín).
Bendastr. 11, 12051 Berlin
Germany
Email: kontakt@piotrkulbacki.com
Teléfono: +49 157 35166871
Delegado de protección de datos
No estoy obligado a designar un delegado de protección de datos (DPO / IOD) y no he nombrado ninguno. Para privacidad use los datos de contacto del responsable arriba.
Qué datos trato
Por cada servicio realmente usado: qué datos, con qué fin, base jurídica, destinatario, si hay transferencia fuera del EEE y cuánto tiempo se conservan. Solo tecnologías de piotrkulbacki.com.
Alojamiento (Vercel)
Datos: IP, user agent, marca de tiempo, URL, posibles logs de error.
Fin: entregar el sitio, seguridad, diagnóstico.
Base: art. 6.1.f RGPD (interés legítimo en un hosting estable).
Destinatario: Vercel Inc., EE. UU.
Transferencia fuera del EEE: sí (EE. UU.), cláusulas contractuales tipo de Vercel.
Conservación: logs técnicos habitualmente breves, según la práctica de Vercel (unas semanas, más solo ante un incidente).
Protección de formularios (Cloudflare Turnstile)
Datos: token del desafío, IP, señales limitadas del navegador para distinguir humanos y bots.
Fin: proteger el formulario y el brief frente a spam.
Base: art. 6.1.f RGPD.
Destinatario: Cloudflare, Inc., EE. UU.
Transferencia: sí (EE. UU.), CCT de Cloudflare.
Conservación: la verificación es breve; Cloudflare puede guardar logs de seguridad limitados según su política.
Formulario de contacto
Datos que aportas: nombre, email, teléfono opcional, mensaje; más el locale y el resultado de Turnstile.
Fin: contacto, aclarar la necesidad y - si hay conversación - oferta y ejecución. Enviar el formulario no celebra un contrato.
Base: art. 6.1.b RGPD (pasos precontractuales a tu petición) y f.
Destinatario: yo como responsable; envío de correo vía Brevo (Sendinblue GmbH, Alemania).
Transferencia: el formulario no está pensado para ello; Brevo trata en la UE.
Conservación: consultas sin contrato - hasta 12 meses tras el último contacto, luego supresión salvo defensa de pretensiones. Si hay colaboración, rigen los plazos de correspondencia y contabilidad.
Brief del proyecto
Datos: nombre, email, teléfono opcional y respuestas sobre el proyecto (tipo, nombres, objetivos, alcance, materiales, idiomas, integraciones, plazo).
Fin: entender el proyecto y preparar una propuesta individual. El brief no es un pedido.
Base: art. 6.1.b o f RGPD.
Destinatario y transferencia: como el formulario (Brevo en la UE).
Conservación: como las consultas. Un borrador en el navegador (sessionStorage) permanece en tu dispositivo hasta enviar o abandonar la sesión; tras un envío correcto se elimina. El borrador no se sube antes.
Sin uso de marketing sin consentimiento aparte.
Respuesta con la plantilla del sitio (enlace del aviso)
Cuando escribes por el formulario o el brief, el aviso en mi bandeja puede incluir un botón de respuesta. Abre una página privada /reply (sin indexación) con un token HMAC firmado: nombre, email, origen de la consulta, idioma y caducidad (90 días). El token está en el enlace; no se guarda en una base de datos.
El formulario envía mi respuesta a través de Brevo con la plantilla del sitio a tu dirección; una copia puede ir a mi bandeja (CCO). Base: art. 6.1.b o f RGPD. La página de respuesta no está protegida por Turnstile (solo quien tiene el enlace la abre); las peticiones tienen límite de ritmo. Tras el envío rigen los plazos de correspondencia de abajo.
Categorías especiales de datos (art. 9 RGPD)
Los formularios, el brief y el canal de respuesta no sirven para recoger categorías especiales de datos personales (art. 9 RGPD) - por ejemplo salud, origen racial o étnico, opiniones políticas, religión, afiliación sindical, datos genéticos o biométricos, o datos relativos a la vida o orientación sexual. Por favor no los envíe.
Si aparecen de forma incidental en un mensaje, los trato solo para gestionar la consulta o para pedir una versión sin esos datos, y los elimino cuando ya no hagan falta. No recojo datos del art. 9 de propósito y no me baso en un consentimiento explícito del art. 9.2.a en este sitio.
Correo transaccional (Brevo)
Datos: direcciones, nombre, contenido del mensaje/brief, metadatos de envío.
Fin: entregar el correo a mi buzón, acuse automático y seguimiento por ese canal.
Base: art. 6.1.b o f RGPD.
Destinatario: Sendinblue GmbH (Brevo), Alemania, como encargado.
Transferencia fuera del EEE: en principio no - tratamiento en la UE.
Conservación: copias operativas en Brevo el tiempo necesario para el envío y la gestión, luego según la correspondencia.
Analítica (Vercel Analytics y Google Analytics 4)
Vercel Analytics: métricas de tráfico minimizadas (sin cookies clásicas de tracking).
GA4 (solo con consentimiento): IDs de cookies (_ga / _ga_*), región aproximada, dispositivo, páginas, fuente.
Fin: mejorar el sitio - no publicidad.
Base: art. 6.1.a RGPD. Hasta tu decisión, Consent Mode v2 deja analytics_storage y ad_* en “denied”. Tras «Aceptar todas» solo pongo analytics_storage=granted; ad_storage, ad_user_data y ad_personalization siguen denied. «Solo necesarias» o un cambio posterior en el pie mantiene GA apagado.
Destinatarios: Vercel Inc.; Google Ireland Ltd. / Google LLC.
Transferencia: Vercel y Google LLC (EE. UU.) - CCT / marcos de los proveedores.
Conservación: consentimiento en pk_cookie_consent - 12 meses. Cookies GA según Google (habitualmente hasta 14 meses en la retención GA4 por defecto).
Destinatarios de los datos
Según la función:
• Vercel Inc. - hosting y analítica opcional tras consentimiento • Cloudflare, Inc. - Turnstile • Sendinblue GmbH (Brevo) - envío de email, incluidas las respuestas con la plantilla del sitio desde el enlace del aviso • Google Ireland Ltd. / Google LLC - GA4 solo tras consentimiento de analítica
No vendo datos. No hay Meta Pixel, Google Ads ni CMP externo.
Transferencias fuera del EEE
Vercel, Cloudflare y Google LLC tienen establecimientos o subencargados en EE. UU. y usan cláusulas tipo o un mecanismo equivalente. Brevo (Sendinblue GmbH) trata en la UE.
No hay una cláusula genérica de «envío a todo el mundo» sin nombrar al destinatario.
Plazos de conservación
• Consultas y briefs sin contrato: hasta 12 meses tras el último contacto. • Tokens firmados del formulario de respuesta: 90 días en el enlace, luego inválidos. • Correspondencia comercial de oferta / proyecto: hasta 3 años tras el cierre del asunto, salvo que baste menos. • Datos de clientes y facturas / contabilidad: 10 años si surge obligación fiscal. • Logs de hosting: breves, según Vercel, salvo incidente. • Consentimiento de analítica: 12 meses o hasta revocarlo. • Elección de cookies: hasta que caduque la cookie o borres el navegador. • sessionStorage del brief: en local, hasta enviar o cerrar la pestaña.
Después elimino o anonimizo, salvo obligación legal de conservar.
Tus derechos
Conforme al RGPD puedes:
- acceder a los datos
- rectificarlos
- suprimirlos
- limitar el tratamiento
- recibirlos en formato portable
- oponerte al tratamiento basado en interés legítimo
- retirar el consentimiento (analítica) en cualquier momento, sin afectar la licitud anterior
- reclamar ante una autoridad de control
Autoridad de control
Puedes presentar una reclamación ante la autoridad competente. Para el establecimiento en Berlín:
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59-61
10555 Berlin