Privacidad

GRILL ME te hace preguntas sobre una decisión. Lo que dices mientras lo hace es lo más privado de la app, así que está construida para no guardarlo desde el principio.

Responsable

Oliver Strebel-Mark
Emmericher Weg 76a
47574 Goch, Alemania
hello@grillofficer.app

Sin cuenta

No hay registro, no hay inicio de sesión, no hay correo. La app nunca te pide nada que te identifique.

Tu voz no sale del dispositivo

Cuando hablas, lo que dijiste se convierte en texto en tu iPhone. La grabación nunca se transmite y nunca se guarda.

Qué se envía y no se guarda

Tu tema y tus respuestas se envían a nuestro servidor como texto para poder producir la siguiente pregunta y, al final, el veredicto. Nuestro servidor no guarda ese texto. El estado de la conversación vive en tu dispositivo y viaja con cada pregunta.

Lo que el servidor sí lleva es una cuenta, nunca un contenido. Para que la cuota gratuita y una suscripción puedan funcionar, registra junto a tu identificador de dispositivo: qué Grills se han empezado, cuántos has usado en el periodo actual y si hay una suscripción activa, cada cosa con la hora en que se escribió. Tu tema, tus respuestas y el veredicto no forman parte de nada de eso.

Una excepción, y es un caso de error. Si el modelo devuelve una respuesta que el servidor no puede leer, el servidor escribe unos cientos de caracteres de esa respuesta en su propio registro de operación en Cloudflare, para poder encontrar y corregir el fallo. Ese texto es del Oficial y puede repetir lo que dijiste. No pasa a nuestra herramienta de análisis.

Para procesarlo, no para que nosotros lo guardemos, ese texto llega a:

• Anthropic (vía Vercel AI Gateway): produce las preguntas y el veredicto.
• ElevenLabs: produce la voz hablada, si la dejas activada. Solo se envía la frase que dice el Oficial, nunca tu respuesta.
• Cloudflare: opera el servidor por el que pasan ambos.

Qué se queda en tu dispositivo

Cuando termina un Grill, se escribe en tu dispositivo: el tema, tus respuestas tal como las registró el Oficial, las afirmaciones y su resultado, y el veredicto. Se guarda solo ahí. No se nos envía y no está en tu iCloud ni en la copia de seguridad del dispositivo. Nadie más puede leerlo, salvo que tú lo envíes: la app puede convertir un veredicto en una tarjeta para compartir, y lo que compartes así sale de tu dispositivo porque tú decidiste enviarlo.

Puedes borrarlo todo cuando quieras en Ajustes → En este dispositivo → Eliminar todos los Grills. Eliminar la app también lo borra. Como nunca lo recibimos, ese es el único lugar donde existe y el único donde hay que borrarlo.

Qué medimos

Contamos cómo se usa la app: que un Grill empezó o terminó, cuánto tardó una pregunta, si la voz funcionó. Estos eventos están construidos para no llevar texto libre. Un valor puede ser un número, un valor verdadero/falso o un texto corto de como mucho cuarenta caracteres, deliberadamente demasiado pequeño para un tema, una pregunta o una respuesta. Tu tema, tus respuestas y las preguntas del Oficial no se ponen ahí. Es una regla que la app cumple y un límite que el servidor impone, no una imposibilidad matemática, y preferimos decírtelo antes que prometerte una.

Los eventos llevan un identificador de dispositivo, el identifierForVendor de Apple. No es tu nombre y no contiene nada que nos hayas contado. Pero es el mismo identificador en todo: el recuento de uso, la cuota gratuita, la suscripción y el análisis dependen de él, así que esos registros van juntos y pertenecen a un dispositivo. Apple solo lo aplica a apps nuestras y solo lo reinicia cuando se ha eliminado de ese dispositivo toda app nuestra, de modo que borrar GRILL ME por sí solo no siempre lo cambia. Se analizan a través de nuestro servidor en PostHog, cuyo centro de datos para nosotros está en la UE. PostHog Inc. es una empresa estadounidense y también trata estos datos fuera de la UE; la sección de más abajo lo cubre.

No hay identificador publicitario ni seguimiento en otras apps o sitios web, y por eso tampoco aparece el aviso de seguimiento de Apple.

Cuando algo sale mal

Cuando la app detecta un error, lo informa para que pueda corregirse: el tipo de error, el mensaje que la app escribió sobre sí misma, en qué pantalla ocurrió, el dominio y el número de error de Apple, y hasta cuarenta líneas de la pila de llamadas interna de la app. Esto va a PostHog, bajo el mismo identificador de dispositivo que los eventos de uso.

Ese mensaje lo escribe la app sobre sí misma, nunca tú. Contiene cosas como un código de estado o un fallo de decodificación, y está limitado a trescientos caracteres. No es un sitio donde se pongan tu tema ni tus respuestas.

Este sitio web

El sitio también cuenta las visitas: qué página, en qué idioma y desde dónde llegaste. Lo analiza PostHog en la UE, a través de nuestra propia dirección z.grillofficer.app, así la petición no va a un tercero.

No se guarda nada en tu dispositivo: ni cookies ni almacenamiento local. Por eso aquí ningún aviso te pide consentimiento, y por eso cada visita es la primera, porque no hay nada que te reconozca. Tu dirección IP se procesa para entregar la página y para deducir el país.

No se registran clics ni se graban sesiones.

Compras

La suscripción va por Apple. Gestionamos el derecho de acceso con RevenueCat, usando el mismo identificador de dispositivo. Nunca vemos datos de pago; esos se quedan con Apple.

Cuánto tiempo se conserva

En tu dispositivo: un Grill terminado se queda hasta que lo borres, y eliminar la app también lo borra. Ahí nada caduca solo, porque nada de eso es nuestro.

En nuestro servidor: el registro de que un Grill concreto se empezó se borra a los siete días. Los contadores que hay detrás, cuántos Grills gratuitos ha usado este dispositivo y si hay una suscripción activa, se conservan sin límite de tiempo. Preferimos decirlo claro antes que inventar un plazo: la cuota gratuita es por dispositivo mientras exista ese identificador, y nunca nos enteramos de que has borrado la app, así que no hay ningún hecho que pueda disparar un borrado. Dos filas, sin contenido, y puedes hacer que se borren escribiendo a la dirección de arriba.

En nuestros encargados del tratamiento:

• PostHog, eventos de uso e informes de error: como mucho siete años, según nuestro plan. PostHog aplica ese límite proyecto por proyecto y al nuestro todavía no le aplica, así que hoy no se elimina nada de forma automática. Nuestro contrato prevé el borrado o la devolución cuando termine.
• Cloudflare, el registro de operación que puede contener unos cientos de caracteres de una respuesta ilegible: como mucho siete días.
• RevenueCat, el estado de la suscripción: destrucción o devolución dentro de los treinta días siguientes al fin de nuestro contrato.
• ElevenLabs, que solo recibe la frase que dice el Oficial: eliminación tras ciento ochenta días sin uso.
• Vercel, que lleva la petición al modelo: borrado al terminar nuestro contrato.

Adónde va fuera de la UE

Tu tema y tus respuestas se tratan fuera de la UE, y los eventos de uso también. Todas las empresas siguientes están en Estados Unidos, y cada transferencia se apoya en un contrato que hemos firmado con ellas.

• Vercel Inc. lleva la petición al modelo, y Anthropic produce las preguntas y el veredicto como subencargado de Vercel. No tenemos contrato propio con Anthropic y la app nunca llega a él directamente. Cláusulas contractuales tipo de la Comisión Europea, Decisión de Ejecución (UE) 2021/914, módulo dos, bajo derecho irlandés.
• ElevenLabs Inc. produce la voz hablada. Cláusulas contractuales tipo y el Marco de Privacidad de Datos UE-EE. UU., bajo derecho irlandés.
• PostHog Inc. analiza los eventos de uso. Su centro de datos para nosotros está en la UE, pero también trata fuera de ella. Marco de Privacidad de Datos y, además, cláusulas contractuales tipo, módulo dos, bajo derecho irlandés.
• RevenueCat Inc. gestiona la suscripción. Cláusulas contractuales tipo, módulo dos, con el addendum del Reino Unido, bajo derecho irlandés.
• Cloudflare Inc. opera el servidor por el que pasa todo. Cláusulas contractuales tipo, módulo dos, y el Marco de Privacidad de Datos.

Cada una de estas empresas publica la lista de sus propios subencargados, y cada contrato la obliga a trasladarles estos deberes.

Bases jurídicas

Enviar lo que escribes es el servicio mismo (art. 6.1.b RGPD). La medición anónima de uso se apoya en nuestro interés legítimo en que la app funcione (art. 6.1.f).

Tus derechos

Puedes pedir acceso, rectificación, supresión, limitación, portabilidad y oponerte: escribe a la dirección de arriba. Como no guardamos contenido, en la práctica esto afecta a los eventos de uso; dinos el periodo aproximado para poder encontrarlos. Tus Grills no entran aquí, porque nunca nos llegan: están en tu dispositivo y los borras ahí. También puedes reclamar ante una autoridad de control de protección de datos.

La vía más rápida no necesita nada de nosotros: eliminar la app quita el identificador de dispositivo. Después de eso, nada puede atribuirse a ti.