Política de privacidad

Castris es una demo opensource opinada para facturación electrónica + panel de hosting. Esta política describe qué datos personales procesa la demo y bajo qué condiciones.

1. Quién es el responsable

Aicha Digital (Abdelkarim Mateos), Almería, España. Contacto: abdelkarim@aichadigital.es.

2. Qué datos recogemos

Si te registras en la demo:

• Nombre y email que indiques al registrarte.
• Contraseña almacenada con hash bcrypt (no la guardamos en claro).
• IP y user agent en logs estándar del servidor web.
• Datos que tú introduzcas voluntariamente en tickets, facturas u otras entidades de la demo. Como pide el aviso del registro, NO introduzcas datos reales de terceros.

La demo NO usa:

• Cookies de tracking, analytics, ad networks ni similares.
• Píxeles de terceros (Facebook, Google, etc.).
• Servicios de fingerprinting o telemetría más allá de lo estrictamente necesario para la sesión.

Las cookies que sí se usan son las funcionales mínimas: sesión Laravel (autenticación), preferencia de tema visual, token CSRF. Todas son cookies propias (first-party) sin tracking cross-site.

3. Para qué los usamos

• Autenticarte en la demo y mantener tu sesión.
• Mostrarte los datos que has introducido (tus tickets, tus facturas, tus servicios).
• Enviarte emails operativos relacionados con tu actividad en la demo (notificaciones de tickets). En entornos de desarrollo estos emails NO salen al exterior; se capturan localmente con Laravel Herd SMTP catcher.
• Auditoría de seguridad y diagnóstico de errores (logs).

4. Base legal

El tratamiento se basa en tu consentimiento al registrarte (RGPD art. 6.1.a) y en el interés legítimo de mantener la demo funcionando (RGPD art. 6.1.f).

5. Con quién compartimos los datos

Con nadie en el caso de la demo opensource pública. No hay procesadores externos. Los forks comerciales (castris.com, aicha.es) tienen su propia política de privacidad con los procesadores que correspondan.

6. Cuánto tiempo conservamos los datos

• Cuentas activas: mientras tu cuenta exista en la demo.
• Cuentas eliminadas: borrado inmediato cuando solicites baja por email.
• Tickets cerrados: la demo incluye una purga programada de adjuntos antiguos (configurable). Ver ADR-002 del paquete laratickets.
• Logs: rotación estándar del servidor, ~30 días.
• Demo pública wipe: la base de datos de la demo pública puede resetearse sin previo aviso cuando se actualice el repositorio. NO introduzcas datos que necesites recuperar.

7. Tus derechos (RGPD)

Puedes ejercer en cualquier momento los derechos de:

• Acceso a tus datos.
• Rectificación.
• Supresión (derecho al olvido).
• Limitación del tratamiento.
• Portabilidad.
• Oposición.

Envía la solicitud a abdelkarim@aichadigital.es. Te responderemos en el plazo máximo legal (1 mes).

También puedes reclamar ante la Agencia Española de Protección de Datos si consideras que el tratamiento no cumple con la normativa.

8. Seguridad

El proyecto aplica las buenas prácticas estándar de Laravel: hashing bcrypt para contraseñas, CSRF tokens, HTTPS obligatorio en producción, validación server-side de todos los inputs, certificados AEAT cifrados con AES-256-GCM (ADR específico del paquete lara-verifactu). El código fuente está auditado vía PHPStan max + Pest + Codex review.

9. Cambios

Esta política puede actualizarse. Los cambios se reflejarán aquí con la nueva fecha de revisión.