trata datos personales en esta aplicación. Aquí se explica qué datos son, para qué se usan, con qué base legal, cuánto tiempo se guardan y quién más los toca — tal y como la aplicación funciona hoy.
Quién responde de tus datos
Responsable del tratamiento: Decide qué datos se tratan y para qué; ante él se ejercen los derechos.
Delegado de protección de datos:
Encargado del tratamiento: Ilya Labs, que desarrolla y mantiene la aplicación y trata los datos solo por cuenta del responsable (art. 28 RGPD). No los usa para fines propios ni los cede fuera de la tabla siguiente.
Una excepción: la bandeja de soporte es de Ilya Labs, que ahí actúa como responsable. Esas incidencias no viven en la base de datos del negocio; para lo que escribas ahí, los derechos se ejercen ante lucas@ilyalabs.es.
Dónde están los datos y quién más los toca
| Quién | Qué hace | Dónde |
|---|
| Ilya Labs (España) |
Mantiene la aplicación; para reparar una avería puede acceder a los datos. Encargado. |
España |
| Supabase |
Base de datos, cuentas de acceso y ficheros subidos. Subencargado. |
Irlanda (eu-west-1). Supabase Inc. es una sociedad estadounidense, aunque el dato repose en la Unión Europea |
| Netlify |
Sirve la aplicación y ejecuta sus funciones de servidor; sus registros técnicos guardan IP, fecha y hora. Subencargado. |
eu-west-1 (Irlanda), la región configurada para esta aplicación: lo que pasa por sus funciones se trata en la Unión Europea, igual que la base de datos. Netlify Inc. es una sociedad estadounidense y las páginas se sirven desde su red mundial |
| Ilya Soporte (Ilya Labs) |
Las incidencias del botón de soporte. El widget consulta el servidor de Ilya Labs al usar la aplicación y esa conexión registra la IP. Aquí Ilya Labs es responsable. |
Irlanda; sus correos, por Resend, Inc. (Estados Unidos) |
Fuera de esta lista no se comunican datos a nadie, salvo obligación legal.
Salidas fuera del Espacio Económico Europeo
De este módulo, ninguna: no envía correos y no usa lectura con inteligencia artificial, así que no interviene ni Resend ni Anthropic. Sus datos se tratan y se guardan en Irlanda, incluidas sus dos funciones de servidor. La única salida a Estados Unidos es la del canal de soporte, que es de Ilya Labs y cuyos correos van por Resend. La garantía del art. 46 RGPD que la ampara (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo) puede pedirse por el canal de derechos de abajo.
Seguridad
Los datos viajan por HTTPS y se guardan con el cifrado en reposo del proveedor. Al panel solo se entra con la sesión iniciada. Hay pantallas públicas que funcionan con un enlace de código largo, sin contraseña: quien tenga el enlace las ve, así que conviene no reenviarlo — más abajo se dice cuáles son y cómo se revocan. Dentro del negocio no hay roles: toda cuenta ve todo, incluidas todas las alergias, también las de los menores.
¿Estás obligado a dar estos datos?
Los marcados como obligación legal, sí. Los del contrato son necesarios para prestar el servicio. Los basados en consentimiento son voluntarios, y el permiso se puede retirar cuando quieras. La tabla de abajo dice cuál es cuál.
Qué trata Ilya Weddings
Datos de las parejas que contratan y de las que solo piden presupuesto, de los invitados —incluidos menores de edad—, de los proveedores, de las personas clave del día D y del equipo que come ese día.
| Qué datos | Para qué | En qué se apoya | Cuánto se guarda |
|---|
| Solicitud del formulario público: pareja, correo, teléfono, fecha aproximada, lugar, nº de invitados, presupuesto, mensaje libre y alergias si se declaran |
Responder a quien pide información y preparar un presupuesto |
Tu consentimiento (art. 6.1.a RGPD), y art. 9.2.a para las alergias. Es voluntario, y el formulario no deja enviar sin marcar la casilla: se envía la marca real y queda registrada |
Las alergias se borran solas a los 7 días de la boda si la solicitud se convirtió en boda. El resto no tiene borrado automático: se puede borrar cualquier solicitud desde la bandeja, y el plazo lo fija el responsable |
| Pareja contratante: nombres, contacto, datos fiscales (nombre fiscal, NIF, dirección), presupuesto, partidas, cronograma y cuestionario |
Organizar la boda contratada |
Ejecución del contrato con la pareja (art. 6.1.b RGPD): son datos necesarios, sin ellos no se puede organizar la boda ni facturarla |
Mientras dure el encargo y 5 años más, plazo de prescripción de las acciones derivadas del contrato (art. 1964.2 del Código Civil) |
| Invitados: nombre, grupo, acompañante, si es adulto, adolescente, niño o bebé, respuesta al RSVP, mesa, plato elegido, punto de cocción, trona y notas |
Gestionar la lista, el RSVP, el seating y el servicio de mesa |
Interés legítimo en organizar el evento al que esa persona ha sido invitada (art. 6.1.f). Con el invitado no hay contrato: el contrato es con la pareja. Puedes oponerte |
Hasta la celebración y el cierre administrativo de la boda. Sin norma que imponga plazo |
| 🩺 (a) Alergias, intolerancias y dieta que declara el propio invitado en el RSVP |
Seguridad alimentaria del servicio: que nadie coma algo que le haga daño |
Son datos de salud (art. 9 RGPD) con consentimiento explícito (art. 9.2.a, junto con el art. 6.1.a): el servidor rechaza el envío si la casilla no está marcada y se guarda con su fecha y hora. Es voluntario: puedes confirmar sin declarar dieta ni alergias |
Se borran solas a los 7 días de la boda, con una tarea que se ejecuta cada madrugada. No hay que pedirlo ni pulsar nada |
| 🩺 (b) Alergias y dietas que escribe otra persona: las restricciones que indican los novios en su cuestionario, las dietas y notas del equipo que come ese día, la nota de cocina y las alergias que el organizador teclea en la ficha de un invitado |
Lo mismo: seguridad alimentaria del servicio |
También son datos de salud, pero por este camino la aplicación no recoge el consentimiento de la persona afectada: al teclear una alergia sin marcar la casilla, avisa citando el art. 9 y deja guardar, y el registro queda marcado sin consentimiento. Es decir, estos datos no tienen base del art. 9 dentro de la aplicación: quien los introduzca debe tenerla obtenida fuera |
La misma purga automática a los 7 días: alcanza también a la nota de cocina, a las dietas y notas del equipo, a las restricciones del cuestionario y a las alergias de la solicitud de origen |
| Proveedores (nombre, categoría, teléfono, correo, Instagram, notas) y personas clave del día D (nombre, rol, teléfono, contacto de emergencia) |
Coordinar el día de la boda y poder localizar a alguien si pasa algo |
Interés legítimo en coordinar el evento (art. 6.1.f). Son datos de contacto profesional o de rol. Puedes oponerte |
Mientras dure la relación comercial o hasta el cierre de la boda. Sin norma |
| Cobros de la pareja, pagos a proveedores y movimientos de caja |
Soporte contable y fiscal del negocio |
Obligación legal del responsable (art. 6.1.c RGPD): obligatorio |
6 años: el mayor de los dos plazos aplicables, 4 años de prescripción tributaria (arts. 66 y 67 de la Ley 58/2003) y 6 de conservación de libros (art. 30 del Código de Comercio). Este módulo no emite facturas: solo registra cobros y pagos |
| Cuándo se abrió el cuestionario de los novios, cuántas veces y cuándo se respondió |
Seguimiento del encargo |
Interés legítimo (art. 6.1.f). Es un registro de uso de un enlace que se os ha enviado, y podéis oponeros |
Vive dentro de la boda y sigue su plazo; no se borra por separado |
🩺 Datos de salud — aquí sí los hay
Las alergias, las intolerancias y las dietas médicas son datos de salud, la categoría más protegida del RGPD (art. 9), y esta aplicación sí los trata: son necesarios para que la cocina no sirva a nadie algo que le haga daño. La base es el consentimiento explícito (art. 9.2.a), y solo hay un camino donde la aplicación lo comprueba de verdad: el RSVP que rellena el propio invitado, donde el servidor rechaza el envío sin la casilla marcada. Por los demás caminos —el cuestionario de los novios, las dietas del equipo, la nota de cocina y lo que el organizador teclea a mano— los datos entran sin consentimiento de la persona a la que se refieren, y quien los introduce debe tener su propia base legal; si no la tiene, no debe escribirlos.
Se borran solos. Una tarea automática elimina cada madrugada los datos de salud de las bodas celebradas hace más de 7 días: alergias, dietas, notas y punto de cocción de los invitados, la nota de cocina, la foto enviada al catering, las dietas del equipo, las restricciones del cuestionario y las alergias de la solicitud de origen. Los nombres, las mesas y los platos se conservan.
Menores de edad. La lista distingue niños y bebés, y de ellos se tratan nombre, menú y, si se declaran, alergias. Quien rellene el RSVP de un menor debe ser su padre, madre o tutor, que es quien puede consentir por él.
El catering. La aplicación no envía nada al catering ni le da acceso: genera hojas de cocina que el responsable imprime o exporta y entrega él mismo. Que exista contrato de encargado de tratamiento (art. 28) con ese catering es cosa del responsable: esta aplicación no lo comprueba.
Pantallas que funcionan sin cuenta
Este módulo tiene cuatro: el RSVP de cada invitado, el formulario público de solicitud, el cuestionario de los novios y el portal de la propuesta. Se abren con un enlace de código largo, sin cuenta y sin contraseña, y cada uno muestra solo lo que le corresponde. Del RSVP conviene saber que cerrarlo desactiva esos enlaces, pero es reversible: si se reabre, los mismos enlaces vuelven a funcionar, porque hoy no se renuevan.
Si estos datos no los diste tú
Si eres invitado, tu nombre y tu grupo los introdujo la pareja o su organizador antes de enviarte el enlace del RSVP. Si eres proveedor, persona clave o parte del equipo, tus datos los introdujo el negocio. Nunca proceden de fuentes públicas ni se han comprado, y tus derechos son los mismos.
Tus derechos
Acceso, rectificación, supresión, limitación, oposición y portabilidad; el consentimiento se puede retirar cuando quieras, sin que afecte a lo hecho antes. Contra los usos basados en interés legítimo —marcados así en la tabla— puedes oponerte por motivos de tu situación particular.
Cómo ejercerlos: El responsable contesta en un mes (art. 12.3 RGPD).
Lo que una norma obliga a conservar no se borra: queda bloqueado (art. 32 de la LO 3/2018) hasta vencer su plazo, y la supresión hay que pedirla. La excepción es la purga de datos de salud descrita arriba, que sí es automática.
Reclamación ante la AEPD. Si no te contestan o no estás conforme: Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es, presentación electrónica en sedeagpd.gob.es (art. 77 RGPD).
Lo que esta aplicación no hace
No toma decisiones automatizadas con efectos jurídicos ni elabora perfiles (art. 22 RGPD). No hay analítica de terceros ni cookies de publicidad; el almacenamiento del navegador se usa solo para la sesión y para recordar el idioma o el tema.
Última actualización: Este texto se revisa cuando cambia la aplicación. Aplicación desarrollada por Ilya Labs; no es asesoramiento jurídico y no sustituye al aviso de privacidad propio del responsable, que además puede tratar datos fuera de esta aplicación.
