Política de privacidad de Boring Order Tracker (app y web)

1. Responsable del tratamiento

El responsable del tratamiento de datos en el sentido del Reglamento General de Protección de Datos (RGPD) es:

Jan Gerster
Hauptstr. 53
79787 Lauchringen
Alemania
Correo electrónico: info@hosting-fox.de

2. Ámbito de aplicación y principio general

Esta política se aplica al sitio web tostviewer.de, a la app de Boring Order Tracker para iOS y Android y a los servicios de backend asociados. La app solo trata datos en la medida necesaria para las funciones que utilizas. Varias funciones comunitarias y basadas en el servidor solo funcionan después de que hayas dado tu consentimiento expreso.

Algunos datos permanecen exclusivamente en tu dispositivo. Otros se transmiten, según la función que actives, a los servidores del operador de la app o a servicios de terceros claramente identificados.

3. Datos principales de la app

a) Inicio de sesión con Tesla, pedidos y vehículos existentes opcionales

Cuando inicias sesión con Tesla, la app recibe tokens OAuth de Tesla para autenticar las solicitudes posteriores a la API. Estos tokens se almacenan localmente en el dispositivo y no se envían a los servidores comunitarios, del blog o de comparación del operador de la app.

La app obtiene datos directamente de Tesla, incluidos pedidos abiertos, estado, ventanas de entrega, centro de entrega, configuración, códigos de opciones, estado del VIN, datos de financiación, vehículos registrados y, si lo activas, datos técnicos de vehículos existentes, como nivel de batería, autonomía, kilometraje, estado de carga, versión del software y configuración del vehículo.

b) Almacenamiento local, historial y modo de privacidad

Los pedidos, los vehículos existentes opcionales, el historial de cambios detectado localmente, las cachés, los ajustes, los borradores de documentación y otros datos similares de la app se almacenan en el entorno aislado de la app en tu dispositivo. El modo de privacidad oculta referencias, fragmentos del VIN y valores similares en la interfaz, pero no modifica el tratamiento realizado por Tesla ni el almacenamiento local en el propio dispositivo.

c) Actualización en segundo plano y avisos locales

Si activas la actualización en segundo plano, la app intenta cargar periódicamente datos actualizados de Tesla y puede avisarte de los cambios detectados de forma local o mediante notificaciones push. El momento exacto depende de las políticas del sistema de iOS o Android.

4. Funciones comunitarias, de comparación y basadas en el servidor

a) Estadísticas y datos de comparación (participación voluntaria)

Con tu consentimiento expreso, la app transmite datos de comparación seudonimizados al servidor del operador de la app. Según la función, pueden incluir el modelo, la configuración, los códigos de opciones, la fecha del pedido, la ventana de entrega, el centro de entrega, el estado, marcas de tiempo técnicas y, en el caso de vehículos existentes, únicamente campos técnicos del vehículo. Para la deduplicación y asignación se utiliza un identificador seudónimo del dispositivo o cliente.

Esta carga de estadísticas no incluye, en particular, tu nombre real, dirección postal, número de teléfono, VIN reales, tokens de inicio de sesión de Tesla, cookies, encabezados de autorización ni datos completos de financiación.

b) Ideas, soporte y blog comunitario (participación voluntaria)

Si utilizas las funciones de ideas, soporte o blog, el contenido que envías se transmite al servidor del operador de la app. Según la función, puede incluir el nombre de usuario, un identificador seudónimo del dispositivo o cliente, una identidad comunitaria vinculada opcionalmente, publicaciones, comentarios, «Me gusta», votos, solicitudes de soporte, imágenes y metadatos relacionados. Como en las solicitudes web normales, también se tratan datos técnicos de transporte, como la dirección IP, la marca de tiempo y el agente de usuario.

c) Identidad comunitaria opcional

Para asociar una identidad comunitaria entre dispositivos, la app puede enviar opcionalmente al servidor una clave de identidad con hash. En iOS, esta clave se basa en el uso opcional de Iniciar sesión con Apple. En Android, se basa en el uso opcional del inicio de sesión con Google. La app y el backend utilizan una asociación seudónima en lugar de tu contraseña de Apple o Google en texto claro.

5. Funciones de IA y OpenAI

a) Chat de IA dentro de la app

Si utilizas el chat de IA, el servidor del operador de la app trata tu solicitud junto con un identificador seudónimo del dispositivo o cliente, datos de plataforma y versión, el idioma seleccionado, los datos visibles relevantes del pedido o vehículo dentro del contexto actual de la app y estadísticas resumidas de Boring-OT. El backend también puede almacenar solicitudes, respuestas, marcas de tiempo, el modelo utilizado, el uso de tokens, estimaciones de costes y señales técnicas de calidad. Estos datos se utilizan, en particular, para mantener la continuidad de la conversación, limitar la frecuencia de uso, prevenir abusos, asegurar la calidad y mejorar la lógica de respuesta del servidor.

Para el tratamiento mediante IA, el servidor puede transmitir partes relevantes de este contexto compacto a OpenAI. Los tokens de inicio de sesión de Tesla, las cookies, los encabezados de autorización y las respuestas completas sin procesar de Tesla no se envían a OpenAI. El servidor está diseñado para enviar únicamente los datos visibles y las estadísticas agregadas necesarios para la pregunta concreta.

b) Traducciones asistidas por IA y herramientas de IA del servidor

El servidor también puede utilizar OpenAI para traducir el blog, prestar asistencia editorial o realizar categorizaciones internas. En cada caso solo se trata el texto o extracto de datos necesario.

6. Notificaciones, push y diagnóstico de fallos

Para entregar notificaciones, la app trata tokens push específicos de cada plataforma y las preferencias de notificación que hayas elegido. En iOS, la entrega se realiza mediante Apple Push Notification Service (APNs). En Android, se realiza mediante Firebase Cloud Messaging (FCM). La app puede transmitir estos tokens, junto con metadatos técnicos de la app, al backend del operador para que se puedan entregar notificaciones y activar actualizaciones silenciosas.

Las versiones de producción para Android también utilizan Firebase Crashlytics para diagnosticar fallos y errores técnicos graves de forma seudónima. Actualmente, iOS no utiliza un proveedor externo independiente para informar de fallos. Crashlytics se utiliza únicamente con fines de diagnóstico, no para publicidad ni elaboración de perfiles.

7. Módulos opcionales adicionales

a) Datos sin procesar para desarrolladores (actualmente solo en iOS)

En iOS puedes activar opcionalmente la carga cifrada de datos sin procesar para desarrolladores. Estos datos pueden incluir respuestas sin procesar de Tesla, datos de EPC o del catálogo de piezas disponibles localmente e historiales de cambios almacenados en el dispositivo. Los tokens de Tesla, las cookies y los encabezados de autorización están expresamente excluidos. Los datos se cifran en el dispositivo antes de cargarse; el servidor solo almacena el paquete cifrado y metadatos técnicos. Actualmente, Android no ofrece este flujo separado de datos sin procesar.

b) Entrega del vehículo y verificación

Durante la entrega del vehículo, la app puede almacenar y sincronizar informes de inspección, fotos, notas y puntos de control. Para documentos publicados o completados se puede generar un enlace de verificación o un código QR. En este proceso se tratan principalmente datos del modelo, datos del VIN parcialmente enmascarados, el estado de la inspección, marcas de tiempo y metadatos del documento.

c) Compras dentro de la app y apoyo voluntario

Las compras de apoyo voluntario o las aportaciones se procesan mediante Apple StoreKit en iOS o la infraestructura de Google Play Billing en Android. La app y el servidor del operador solo reciben los datos necesarios para gestionar la activación, la restauración y la atribución opcional del apoyo, como el identificador del producto, el identificador técnico de la compra y la marca de tiempo de la compra.

8. Sitio web y contenidos web cargados dentro de la app

El sitio web tostviewer.de no utiliza cookies publicitarias ni de análisis. Como máximo, puede establecerse una cookie opcional de idioma o preferencias. El servidor web trata los registros técnicos de acceso habituales, como la dirección IP, la marca de tiempo, la URL solicitada, el referrer y el agente de usuario, para operar el sitio de forma segura y defenderlo frente a abusos.

Cuando una visita utiliza expresamente un enlace de referido (por ejemplo, /ref=partner), se crea sin cookies un identificador de visita aleatorio y de corta duración. Se almacenan el código de referido, categorías técnicas generales como el tipo de dispositivo, el sistema operativo, la familia del navegador, el idioma y, cuando lo proporciona la plataforma de alojamiento, el país, junto con las interacciones, la duración de la visita, la profundidad de desplazamiento y los clics hacia las tiendas de aplicaciones o socios externos. Las direcciones IP y las cadenas completas del agente de usuario no se almacenan en las estadísticas de referidos.

Buscador de barcos por VIN en los sitios web de Boring Order Tracker

Cuando utilizas expresamente el buscador de barcos por VIN, el VIN completo se trata únicamente en la memoria de trabajo durante esa única solicitud web cifrada. El servidor obtiene localmente el modelo de Tesla, la planta de producción, el código de año del VIN y un rango aproximado del número de serie y compara esos datos con los indicios de transporte disponibles. El VIN completo no se almacena en la base de datos Shipping, en la sesión, en una URL ni en estadísticas, y tampoco vuelve a mostrarse en el resultado. Solo los datos derivados del vehículo y el resultado de la consulta permanecen durante unos minutos en la sesión protegida.

Esta función utiliza una sesión estrictamente protegida y de corta duración. Para prevenir abusos, el servidor trata durante un máximo de una hora únicamente huellas vinculadas a una clave secreta del VIN, de la sesión y de un prefijo truncado de la dirección IP, junto con los contadores de protección seudónimos asociados. Estos valores no se almacenan en texto claro. Las métricas puramente agregadas cuentan sesiones del buscador y categorías generales de resultados; no contienen datos del VIN, de la dirección IP, del identificador de sesión, del rango VIN, del país, del modelo ni de barcos candidatos. El resultado permanece en la sesión solo durante unos minutos.

Cada consulta está protegida mediante Cloudflare Turnstile. Cloudflare trata los datos técnicos de conexión y del navegador necesarios para detectar bots. El servidor solo transmite a Cloudflare el token de verificación de Turnstile de corta duración, nunca el VIN ni el barco encontrado.

Cuando la app carga la política de privacidad u otros contenidos web directamente desde el sitio, se aplican los mismos registros del servidor web que en una visita normal.

9. Destinatarios y transferencias internacionales

• Tesla, Inc.: autenticación, consulta de pedidos y vehículos, imágenes del vehículo y datos en tiempo real opcionales.
• Servidores del operador de la app (hosting-fox.de): datos de comparación, funciones comunitarias, soporte, blog, lógica de notificaciones, servicios de documentación y verificación, preprocesamiento mediante IA y administración relacionada.
• Apple: Iniciar sesión con Apple, APNs y compras dentro de la app mediante StoreKit.
• Google / Firebase: inicio de sesión con Google en Android, Firebase Cloud Messaging para notificaciones push en Android y Firebase Crashlytics para diagnosticar fallos en Android.
• OpenAI: chat de IA, traducciones y determinadas funciones auxiliares de IA del servidor a través del servidor del operador de la app.
• Cloudflare Turnstile: protección del buscador público de barcos por VIN frente a consultas automatizadas masivas; el VIN y el resultado de la consulta no se transmiten a Cloudflare.
• Servicio de códigos QR (api.qrserver.com): se utiliza únicamente para generar códigos QR para enlaces de verificación en informes de documentación.

Cuando intervienen proveedores situados fuera de la UE o del EEE, los datos solo se transfieren en la medida necesaria para la función correspondiente. Se aplican los mecanismos de privacidad y transferencia del proveedor respectivo.

10. Bases jurídicas

• Art. 6, apartado 1, letra b), del RGPD: tratamiento necesario para prestar las funciones principales que solicitas, como el inicio de sesión con Tesla, la visualización de pedidos, la documentación o la gestión de compras.
• Art. 6, apartado 1, letra a), del RGPD: tratamiento que requiere tu consentimiento expreso, especialmente las cargas de estadísticas, las funciones comunitarias, el blog, las ideas, el soporte, los datos sin procesar para desarrolladores y la vinculación opcional de la identidad.
• Art. 6, apartado 1, letra f), del RGPD: intereses legítimos relativos al funcionamiento seguro, la prevención de abusos, el registro técnico, la entrega técnica de notificaciones, el diagnóstico de fallos o errores y el aseguramiento de la calidad de los servicios comunitarios y de IA del servidor.

11. Conservación y supresión

• Por lo general, los datos locales de la app permanecen en el dispositivo hasta que los eliminas, restableces la app o la desinstalas.
• Los datos comunitarios, estadísticos, de IA o de documentación almacenados en el servidor se conservan hasta que finaliza la finalidad correspondiente, solicitas su eliminación o retiras tu consentimiento, salvo que existan obligaciones legales de conservación.
• Las cargas de datos sin procesar para desarrolladores solo se almacenan cifradas y se eliminan de nuevo automáticamente después de un periodo limitado.
• Los registros del sitio web y del servidor se conservan únicamente durante el tiempo necesario para el funcionamiento, la prevención de abusos y el análisis técnico.
• Los identificadores y contadores seudónimos de protección contra abusos del buscador de barcos por VIN caducan, como máximo, al cabo de una hora. Las métricas horarias puramente agregadas caducan, como máximo, 48 horas después del final de la hora correspondiente, y los agregados diarios exclusivamente anónimos, 400 días después del final del día correspondiente. El resultado de la sesión de corta duración se elimina después de unos minutos.

12. Seguridad de los datos

• La comunicación de red se cifra generalmente mediante HTTPS/TLS.
• Las credenciales de Tesla se almacenan localmente utilizando el almacenamiento seguro adecuado para cada plataforma.
• Varias áreas del servidor utilizan consultas preparadas a la base de datos, identificadores seudónimos de dispositivos y niveles de consentimiento separados.
• Los datos sin procesar especialmente sensibles para desarrolladores en iOS se cifran en el cliente antes de cargarse.

13. Tus derechos

En virtud del RGPD, tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición. También puedes retirar cualquier consentimiento que hayas otorgado con efecto para el futuro.

Contacto: info@hosting-fox.de

Varias áreas de la app ofrecen además funciones directas de eliminación, por ejemplo, para datos comunitarios, datos sin procesar para desarrolladores o el restablecimiento completo de la cuenta de la app.

14. Cambios en esta política

Esta política de privacidad se actualiza cuando cambian las funciones, los flujos de datos o los requisitos legales. La versión vigente publicada en el sitio web es la que prevalece. La app puede cargar directamente esta versión del sitio para mantenerse actualizada sin necesidad de una actualización de la app.

Última actualización: agosto de 2026