Política de privacidad

Fecha de vigencia: 2026-09-06

Jonot es un servicio de gestión de colas en la nube. Esta política explica qué datos personales recopilamos cuando tú o tus clientes utilizan el servicio, por qué los recopilamos, durante cuánto tiempo los conservamos y qué derechos tienes sobre ellos.

Quiénes somos

El servicio lo gestiona Jonot Oy (ID de empresa 3620928-7), una sociedad registrada en Finlandia ("Jonot", "nosotros" en esta política). Para consultas de privacidad:

Correo electrónico: info@jonot.io
Dirección postal: Jonot Oy, Tenavatie 11B, 00760 Helsinki, Finlandia

No hemos designado un delegado de protección de datos —estamos por debajo de los umbrales del artículo 37 del RGPD que lo exigirían—, pero la dirección de correo anterior llega a la persona responsable del cumplimiento de la normativa de privacidad.

Qué recopilamos, por rol

Jonot lo utilizan tres grupos de personas y recopilamos datos distintos de cada uno.

Usuarios finales (personas que se unen a una cola)

Hash del turno: un identificador aleatorio de 22 caracteres que representa al usuario final. Es el único identificador que tiene el usuario final —sin cuenta, sin inicio de sesión y sin correo electrónico recopilado por defecto.
Dirección IP: se lee en el edge para la limitación de velocidad y la protección contra abusos (por ejemplo, para impedir que un navegador sature una cola). Las direcciones IP no se almacenan en la base de datos de colas; solo se conservan en registros de solicitudes de corta duración.
Datos de contacto opcionales: si el negocio ha configurado un flujo de quiosco o de unión que solicita el nombre o el número de teléfono (por ejemplo, para llamarte cuando sea tu turno), ese valor se almacena vinculado a tu turno durante el tiempo que dura el periodo de cola.

Usuarios del personal (mostrador, administración, super-admin)

Identidad: correo electrónico, nombre, avatar e ID de usuario. Jonot gestiona su propia autenticación en su base de datos de la UE; tu contraseña solo se almacena como hash con sal —nunca en texto claro y nunca visible para nosotros.
Permisos: los roles asignados a tu cuenta (por ejemplo, org-manager, desk), verificados en cada solicitud.
Registro de actividad: un historial de acciones administrativas (crear local, revocar dispositivo, etc.) vinculado a tu ID de usuario.
Metadatos de solicitud: IP y agente de usuario registrados en los logs de solicitudes de corta duración.

Dispositivos (quioscos, pantallas)

Hash del token de sesión del dispositivo: un hash unidireccional del token que emitimos al emparejar. Nunca almacenamos el token en bruto.
Metadatos de emparejamiento: el local con el que está emparejado el dispositivo, una etiqueta legible y marcas de tiempo de última conexión.

Por qué lo recopilamos (base jurídica)

El RGPD exige una base jurídica para cada actividad de tratamiento. Las nuestras son:

Contrato (art. 6.1 b): cuentas del personal, emisión de turnos y emparejamiento de quioscos, todos necesarios para prestar el servicio que nuestro cliente de pago contrató.
Intereses legítimos (art. 6.1 f): limitación de velocidad, protección contra abusos y logs de solicitudes. Nuestro interés en mantener el servicio disponible y equitativo supera la intrusión mínima de un log de IP de corta duración.
Consentimiento (art. 6.1 a): campos de contacto opcionales que un usuario final rellena activamente en un formulario de quiosco. Puedes retirar el consentimiento en cualquier momento enviándonos un correo.

Cuentas de demostración

Una cuenta de demostración es una forma gratuita y no remunerada de probar Jonot de extremo a extremo, incluso con usuarios finales reales (por ejemplo, un código QR escaneado en un mostrador real). Activarla recopila los mismos datos de identidad de usuario del personal descritos más arriba, además de cualesquiera datos de usuario final que fluyan a través de las colas que configures — potencialmente nombres y números de teléfono reales, exactamente como ocurriría con un Cliente que paga. Recopilamos la dirección de correo electrónico utilizada para activar una cuenta de demostración conforme a intereses legítimos (art. 6.1 f), para operar una oferta gratuita y limitada en el tiempo de forma justa y para prevenir su abuso; los datos de usuario final recopilados a través de una cola de demostración se tratan conforme a las mismas bases jurídicas establecidas más arriba para un Cliente que paga. Como con un Cliente que paga, sigues siendo el responsable del tratamiento de esos datos de usuario final, y nuestra adenda de tratamiento de datos se aplica a ellos sobre la misma base.

Una cuenta de demostración y todo su contenido se eliminan conforme a un calendario fijo y breve, no el calendario para Clientes que pagan que figura más abajo: los datos de turno en vivo transcurridas aproximadamente 24 horas; una cuenta que no haya emitido ningún turno transcurridas aproximadamente 48 horas (iniciar sesión y los datos de cola de muestra que sembramos para ti no cuentan como emitir un turno); y la organización de demostración completa — datos de usuario del personal y de usuario final por igual — aproximadamente 7 días después de que finalice el plazo de demostración. Una cuenta de demostración puede ampliarse una vez, por otros 14 días; ese vencimiento posterior es lo que inicia la cuenta atrás de 7 días, por lo que la cuenta de demostración y sus datos pueden existir, como máximo, aproximadamente 35 días desde la activación. Si te uniste a una cola que resulta ser una demostración, este es el calendario que siguen tus datos; puedes seguir contactándonos en info@jonot.io con cualquier pregunta al respecto.

Registro de activaciones de demostración. Cuando se elimina una organización de demostración, conservamos un único registro que identifica que ya se creó una demostración desde una dirección de correo electrónico determinada, de forma que esa misma dirección no pueda activar repetidamente nuevas cuentas de demostración para eludir el límite de plazo. Ese registro contiene un hash criptográfico con sal de la dirección de correo electrónico normalizada y una marca de tiempo de creación — nunca la dirección en texto claro, y nada más. Su base es el interés legítimo (art. 6.1 f): prevenir la elusión repetida de una oferta gratuita limitada en el tiempo. Lo conservamos durante aproximadamente 12 meses desde su creación, con independencia de cuánto tiempo existiera la propia organización de demostración, y rechazamos las solicitudes de supresión sobre él durante ese periodo, porque el registro se conserva específicamente para prevenir el abuso que su eliminación volvería a habilitar (art. 17.1 c del RGPD). Puedes preguntarnos por una entrada concreta y te explicaremos nuestro razonamiento.

Quién trata los datos en nuestro nombre

Nos apoyamos en un pequeño número de subencargados para prestar el servicio. Cada uno está vinculado por una adenda de tratamiento de datos y solo puede tratar datos personales según nuestras instrucciones:

Cloudflare — alojamiento, base de datos (D1) y computación en el edge. Los datos de cola y de cuenta se almacenan en la UE (Europa Occidental); los activos estáticos y la computación sin estado se sirven desde su red edge global.

La autenticación y la identidad del personal se gestionan internamente en nuestra propia base de datos de la UE, no por un tercero. La facturación la gestiona Polar como nuestro merchant of record; Polar actúa como responsable independiente para los datos de pago, no como subencargado nuestro. Crear una organización —incluida una cuenta de demostración— registra un cliente en Polar con la dirección de correo electrónico utilizada al registrarte y una referencia interna a la organización, de modo que Polar pueda reconocerte si más adelante realizas un pago; no se envía nada más —ni el nombre de la organización, ni datos de cola, ni datos de usuarios finales. Activar o ampliar una cuenta de demostración en sí no crea ninguna suscripción, no genera ningún cargo y no recopila datos de pago. Actualizamos esta lista cuando cambian nuestros subencargados.

Dónde se tratan los datos

Datos de cola: almacenados en la UE (Europa Occidental).
Activos estáticos y computación de aplicaciones: servidos desde una red edge global. La computación es sin estado; no se persisten datos personales en el edge.
Identidad y autenticación: gestionadas internamente en nuestra base de datos de la UE (Europa Occidental).
Facturación (a través de Polar, nuestro merchant of record): puede implicar transferencias a EE. UU. en el marco del Marco de Privacidad de Datos UE-EE. UU.

Si un destinatario no está certificado en el Marco de Privacidad de Datos UE-EE. UU., la transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea; puede solicitarse una copia de las cláusulas en info@jonot.io.

Cuánto tiempo conservamos los datos

Turnos de cola: se conservan hasta que el periodo de cola se cierra, luego 30 días para resolución de disputas y después se eliminan.
Sesiones de dispositivo: se conservan hasta que el dispositivo se revoca; la revocación activa la eliminación inmediata del hash del token.
Datos de cuenta del personal: se conservan durante la vigencia de la suscripción de la organización, más 90 días tras la cancelación, y luego se eliminan de nuestra base de datos. Los datos de identidad, incluido el hash de contraseña con sal, forman parte de estos datos de cuenta y se eliminan según el mismo calendario.
Registros de auditoría: 12 meses.
Logs de solicitudes: normalmente 7 días.
Cuentas de demostración: datos de turno en vivo aproximadamente 24 horas; una cuenta que no haya emitido ningún turno aproximadamente 48 horas; la organización de demostración completa aproximadamente 7 días después de que finalice su plazo (incluida cualquier ampliación única de 14 días) — un máximo de aproximadamente 35 días desde la activación. Véase Cuentas de demostración más arriba.
Registro de activaciones de demostración: aproximadamente 12 meses desde su creación, con independencia del propio ciclo de vida de la organización de demostración.

Tus derechos

Si te encuentras en la UE/EEE (y en la mayoría de los casos, independientemente de dónde estés), tienes derecho a:

Acceder a los datos personales que conservamos sobre ti.
Rectificar los datos incorrectos.
Suprimir tus datos (con sujeción a las obligaciones legales de conservación, por ejemplo, de datos de facturación).
Exportar tus datos en un formato portátil.
Oponerte al tratamiento basado en intereses legítimos.
Retirar el consentimiento para cualquier cosa sobre la que hayas dado tu consentimiento (sin que ello afecte al tratamiento ya realizado).

Envía un correo a info@jonot.io para ejercer cualquiera de estos derechos. Nos comprometemos a responder en 30 días; el plazo legal de la autoridad supervisora es un mes, ampliable por otros dos meses en casos complejos.

Si tratamos datos en nombre de un cliente de Jonot (por ejemplo, tu empleador), dirige la solicitud a ellos primero —son el responsable de esos datos y nosotros actuamos según sus instrucciones.

Cookies y almacenamiento local

Las aplicaciones de Jonot usan el almacenamiento del navegador de forma limitada:

Almacenamiento de sesión para URL post-inicio de sesión para enviarte de vuelta a donde estabas tras el inicio de sesión. Se borra en cuanto finaliza la redirección.
Tokens de identidad: tokens de ID y de actualización conservados en memoria y en cookies de actualización seguras emitidas por el propio servicio de autenticación de Jonot.
Historial de filas en su dispositivo: la aplicación de cliente guarda su turno activo y una lista breve de los lugares donde se ha unido a una fila, para que la aplicación instalada siga teniendo adónde ir cuando el turno haya terminado. Los datos permanecen en su navegador, nunca se envían a Jonot y puede borrarlos desde la aplicación cuando quiera.

Usamos Google Analytics en nuestros sitios de marketing y registro y en nuestras aplicaciones para clientes, personal, quioscos y pantallas para comprender cómo se utiliza el servicio. Recopilamos las páginas que visitas, las acciones que realizas, el sitio del que procedes e información sobre tu navegador y pantalla. Las direcciones de las páginas pueden incluir identificadores asociados a organizaciones, colas o turnos. Esta medición puede realizarse sin cookies. Google también recibe tu dirección IP e información del navegador cuando tu dispositivo contacta con sus servicios.

En nuestros sitios de marketing y registro, Google también nos ayuda a medir la eficacia de nuestra publicidad desde que abres una página. Esta medición no habilita inicialmente cookies publicitarias, pero la información sobre tu visita y el anuncio que te trajo puede seguir compartiéndose con Google. El sitio de marketing no las habilita. Estos sitios no muestran un banner independiente de consentimiento de cookies.

A partir del segundo paso del registro, Google puede usar cookies y otro almacenamiento del navegador para la medición publicitaria y la publicidad personalizada. Esto también se aplica cuando abres o reanudas directamente un paso posterior y puede suceder antes de que crees una cuenta o suscripción. El proceso de registro no ofrece una elección publicitaria opcional independiente. Algunas cookies publicitarias también pueden utilizarse en otros sitios y aplicaciones de Jonot.

Cuando se confirma una suscripción, compartimos su número de referencia y el importe y la moneda disponibles con Google para medir qué publicidad genera suscripciones de pago. También guardamos números de referencia de suscripciones en tu navegador para evitar contar la misma suscripción más de una vez. Para conocer las prácticas de Google sobre los datos, consulta Cómo usa Google la información de sitios o aplicaciones que utilizan nuestros servicios.

Menores

Jonot es un servicio empresarial. No recopilamos datos de menores de 16 años de forma consciente. Si crees que un menor ha enviado datos a través del quiosco de un cliente que no deberían estar ahí, escríbenos y los eliminaremos.

Cambios en esta política

Actualizamos esta política a medida que el servicio evoluciona. La fecha de vigencia que aparece en la parte superior de la página refleja siempre la versión actual; para cambios sustanciales, notificaremos a los usuarios del personal registrados con al menos 14 días de antelación por correo electrónico.

Reclamaciones

Si no estás satisfecho con cómo hemos gestionado una solicitud de privacidad, puedes presentar una reclamación ante una autoridad supervisora. En Finlandia es la Oficina del Comisionado de Protección de Datos (tietosuoja.fi). En cualquier otro país de la UE/EEE, es tu autoridad local de protección de datos.